La Corée du Nord achemine les cryptos volés via des réseaux criminels : ce que les cabinets comptables et les directeurs financiers doivent évaluer dès maintenant
Un rapport publié par le Royal United Services Institute (RUSI) le 11 août 2026 conclut que la Corée du Nord a considérablement modifié la façon dont elle convertit les crypto-monnaies volées en fonds utilisables. Plutôt que de s'appuyer uniquement sur des infrastructures contrôlées par l'État et des opérateurs internes, les acteurs liés à la RPDC acheminent désormais des actifs numériques illicites via des réseaux criminels organisés établis. Pour les cabinets comptables, les auditeurs et les directeurs financiers ayant une exposition aux transactions cryptographiques, ce changement comporte des implications directes en matière de LCB et de sanctions qui ne peuvent être différées.
Ce que dit réellement le rapport RUSI
RUSI, un think tank londonien spécialisé dans la défense et la sécurité, est l'un des rares organismes de recherche ayant un accès analytique soutenu aux renseignements sur la criminalité financière parrainée par l'État. Ses conclusions d'août 2026 représentent une évolution notable par rapport aux évaluations antérieures du scénario de vol de cryptos par la RPDC.
Des pipelines internes aux réseaux externalisés
Les analyses précédentes du vol de cryptos par la RPDC, y compris celles liées au groupe Lazarus, se concentraient fortement sur les capacités internes : logiciels malveillants sur mesure, comptes d'échange compromis et un ensemble relativement limité de techniques de blanchiment en chaîne telles que le chain-hopping et le mélange. Le rapport RUSI indique que le modèle a changé. Les acteurs liés à la RPDC s'appuient désormais sur des organisations criminelles transnationales préexistantes pour traiter une partie importante du processus de blanchiment.
La conséquence pratique est que des fonds provenant de piratages parrainés par l'État peuvent entrer dans des pipelines de blanchiment qui transportent également des produits du trafic de drogue, de la fraude et d'autres entreprises criminelles. Les deux flux deviennent délibérément enchevêtrés, rendant l'attribution plus difficile et le dépistage conventionnel de la source des fonds moins fiable en tant que contrôle unique.
Pourquoi ce changement importe pour les institutions financières
Lorsque la RPDC exploitait son infrastructure de blanchiment plus directement, les signatures en chaîne étaient relativement distinctives. Les sociétés d'analyse de blockchain et les régulateurs avaient identifié des modèles. En externalisant vers des réseaux criminels, la RPDC achète effectivement l'obscurcissement en tant que service. Les fonds sales sont mélangés à un pool plus large et plus varié de produits illicites, et les contreparties que les équipes de conformité rencontrent peuvent ne pas porter d'indicateurs évidents de la RPDC dans les bases de données de dépistage.
Cela ne signifie pas que le dépistage est inutile. Cela signifie que le dépistage seul est insuffisant et que les entreprises doivent l'associer à une analyse comportementale et transactionnelle calibrée sur les modèles de blanchiment multi-acteurs.
Le contexte réglementaire et des sanctions
Les conclusions du RUSI arrivent dans un environnement répressif déjà renforcé. L'OFAC a maintenu et étendu des sanctions globales contre la RPDC, et ces sanctions s'appliquent aux personnes américaines et, dans de nombreuses circonstances, aux entités non américaines ayant un lien avec les États-Unis. L'exposition à des fonds liés à la RPDC, même sans le savoir, peut déclencher des pénalités en cas de responsabilité stricte. Les entreprises ne peuvent pas invoquer l'intention comme défense dans le cadre de la responsabilité stricte de l'OFAC.
Le GAFI et la règle de voyage
Le Groupe d'action financière (GAFI) a depuis longtemps inscrit la RPDC parmi les juridictions faisant l'objet d'un appel à l'action, sa désignation à plus haut risque, exigeant une diligence raisonnable renforcée de la part des institutions financières de tous les pays membres. La règle de voyage, qui oblige les fournisseurs de services d'actifs virtuels à transmettre les informations sur le donneur d'ordre et le bénéficiaire pour les transferts dépassant un seuil, est précisément le type de contrôle qui devient critique lorsque le blanchiment implique plusieurs sauts entre différents fournisseurs de services et juridictions. Si un maillon de cette chaîne ne collecte pas ou ne transmet pas les données requises, l'opacité que la RPDC exploite désormais est aggravée.
Implications de l'UE et de MiCA
En vertu du règlement sur les marchés de crypto-actifs (MiCA), les prestataires de services sur crypto-actifs autorisés dans l'UE sont soumis à l'intégralité du cadre LCB de l'UE. L'Autorité de lutte contre le blanchiment d'argent de l'UE (AMLA), qui deviendra opérationnelle en 2025-2026, aura des pouvoirs de supervision directs sur les PSAC à haut risque. Une conclusion comme celle de RUSI, qui signale que des fonds liés à la RPDC peuvent circuler via des réseaux qui ressemblent superficiellement à des organisations criminelles ordinaires, renforce la raison d'être du mandat de supervision transfrontalier de l'AMLA. Les entreprises basées dans l'UE devraient considérer ce rapport comme une incitation à revoir si leurs déclencheurs de diligence raisonnable renforcée sont définis de manière appropriée pour les contreparties dans les corridors à haut risque.
Implications comptables et d'audit
Le changement dans la méthodologie de blanchiment de la RPDC a des conséquences qui vont au-delà des équipes de conformité. Cela touche au travail comptable et d'audit que les praticiens effectuent pour le compte de clients natifs de la cryptographie, d'échanges et d'entreprises détenant des actifs numériques.
Documentation de la source des fonds
Lorsqu'une entreprise utilise un logiciel de comptabilité crypto pour rapprocher les entrées d'actifs numériques, le logiciel capture les données en chaîne mais ne peut pas, à lui seul, évaluer si la contrepartie est un écran pour un réseau criminel superposant des fonds de la RPDC. La couche de jugement humain, en particulier le dossier de diligence raisonnable qui accompagne l'écriture comptable, devient le contrôle critique. Les comptables devraient demander aux clients une documentation sur la source des fonds pour les entrées importantes, non seulement lors de l'intégration, mais aussi périodiquement et en fonction des événements. Une entrée importante ou inhabituelle provenant d'une contrepartie qui ne peut pas être facilement expliquée est un signal d'alarme qui justifie une escalade, quelle que soit la réponse de l'analyse de la blockchain.
Provisions et passifs éventuels
Si une entreprise prend connaissance, par le biais d'un rapport d'activités suspectes ou d'une enquête réglementaire, que des fonds qu'elle a traités peuvent être liés à un contournement des sanctions contre la RPDC, la question comptable de savoir si une provision ou une divulgation de passif éventuel est requise en vertu des IFRS ou des PCGR des États-Unis se pose immédiatement. En vertu d'IAS 37, une provision est comptabilisée lorsqu'il existe une obligation actuelle, une sortie de ressources est probable et le montant peut être estimé de manière fiable. Une enquête officielle de l'OFAC satisferait généralement aux deux premiers critères ; le troisième nécessite l'avis d'un conseiller juridique. Les auditeurs qui examinent les états financiers de toute entité ayant des volumes de transactions cryptographiques importants devraient explicitement demander à la direction si des enquêtes réglementaires liées aux sanctions ou à la LCB sont en cours.
Considérations de continuité d'exploitation
Pour les petits fournisseurs de services cryptographiques, une action coercitive de l'OFAC ou une enquête prolongée sur la LCB peut menacer la viabilité. Les auditeurs devraient intégrer l'environnement de risque accru lié à la RPDC dans leurs évaluations de continuité d'exploitation, en particulier lorsque le réseau de contreparties d'un client comprend des juridictions à haut risque ou des intermédiaires non réglementés.
Mesures pratiques pour les entreprises et les directeurs financiers
Le rapport RUSI n'exige pas des entreprises qu'elles remanient l'ensemble de leur programme LCB du jour au lendemain. Il nécessite une réévaluation ciblée de contrôles spécifiques.
Revue du calibrage de la surveillance des transactions
Si vos règles de surveillance des transactions sont calibrées principalement pour détecter les interactions directes avec les portefeuilles de la RPDC, elles ne détecteront peut-être pas les modèles superposés à plusieurs sauts qui caractérisent le blanchiment externalisé. Travaillez avec votre équipe de conformité pour tester les règles existantes face à des scénarios impliquant plusieurs portefeuilles intermédiaires et des fonds d'origine mixte. L'objectif est d'identifier si vos seuils et typologies actuels feraient remonter ces modèles ou les laisseraient passer.
Renforcement de la diligence raisonnable des contreparties sur les entrées de cryptos
La diligence raisonnable renforcée ne doit pas être réservée aux contreparties déjà sur une liste de surveillance. La conclusion de RUSI implique que certaines contreparties n'apparaîtront sur aucune liste, car ce sont des intermédiaires d'apparence légitime utilisés par les réseaux criminels. Les indicateurs comportementaux, tels que des explications incohérentes sur l'origine des fonds, des changements fréquents de portefeuille ou des modèles de transactions ne correspondant pas à l'objectif commercial déclaré, devraient peser davantage dans le modèle de notation des risques.
Coordination entre comptabilité et conformité
Une vulnérabilité structurelle dans de nombreuses entreprises est que l'équipe gérant le logiciel de comptabilité crypto et le rapprochement du grand livre fonctionne séparément de l'équipe de conformité effectuant la surveillance LCB. Lorsque ces deux fonctions ne partagent pas l'information en temps quasi réel, une entrée suspecte peut être comptabilisée sans déclencher l'examen de conformité qu'elle mérite. Établir un protocole d'escalade clair, afin que l'équipe comptable puisse signaler les entrées inhabituelles à la conformité avant leur règlement complet dans le grand livre, est une amélioration de processus à faible coût et à haute valeur.
Les entreprises qui ont déjà examiné les implications des actions de sanctions de l'OFAC contre les contreparties cryptographiques reconnaîtront ce modèle : la charge de conformité n'arrive pas seulement par le biais des listes de désignation officielles ; elle arrive également par les réseaux de contreparties que ces entités désignées utilisent. De même, l'expérience documentée dans la poursuite de Bybit et le gel des actifs contre le groupe Lazarus illustre à quelle vitesse une entreprise peut être impliquée dans des procédures liées à la RPDC une fois que des fonds volés ont touché son infrastructure.
Mise à jour des évaluations des risques clients
Tout client dont l'activité implique des volumes de transactions cryptographiques importants, en particulier dans des juridictions aux cadres LCB plus faibles, devrait voir sa notation de risque révisée à la lumière des conclusions de RUSI. Ce n'est pas une formalité ; c'est le type de réévaluation documentée et raisonnée qu'un régulateur ou un auditeur s'attendra à voir si des questions se posent plus tard. Le logiciel de comptabilité des actifs numériques peut soutenir cela en générant des résumés de transactions des contreparties, mais le jugement de risque lui-même doit être effectué par un réviseur humain qualifié.
Ce qu'il faut surveiller ensuite
Le rapport de RUSI est un résultat de recherche, pas un instrument réglementaire. Il ne crée pas de nouvelles obligations légales en soi. Mais ce type de recherche informe systématiquement les orientations réglementaires ultérieures, les priorités répressives et les typologies publiées par des organismes tels que le GAFI, FinCEN et l'AMLA de l'UE. Les entreprises devraient surveiller si l'un de ces organismes publie des directives mises à jour spécifiques à la RPDC dans les mois suivant cette publication, et si l'OFAC ou l'OFSI désignent certains des intermédiaires de réseaux criminels identifiés dans la recherche sous-jacente de RUSI.
La trajectoire plus large est claire : le vol de cryptos parrainé par l'État devient plus difficile à détecter précisément parce que les acteurs derrière lui investissent pour le faire ressembler à du crime organisé ordinaire. La réponse en matière de conformité et de comptabilité doit devenir correspondant plus sophistiquée, dépassant le simple dépistage sur listes pour adopter une approche plus comportementale, en couches et interfonctionnelle.
Source : Decrypt
Questions fréquemment posées
Le rapport RUSI crée-t-il de nouvelles obligations légales pour les cabinets comptables ?
Non. RUSI est une institution de recherche indépendante, pas un régulateur. Ses conclusions ne modifient pas la législation existante en matière de LCB et ne créent pas de nouvelles obligations de déclaration. Cependant, elles fournissent un contexte important que les régulateurs et les organismes répressifs utilisent lors de l'émission de typologies ou de directives mises à jour, et les entreprises devraient traiter le rapport comme une incitation à examiner les contrôles existants plutôt que comme un déclencheur de nouvelles obligations légales.
Comment l'utilisation de réseaux criminels par la RPDC affecte-t-elle l'exposition à l'OFAC ?
Les sanctions de l'OFAC contre la RPDC sont globales et s'appliquent sur une base de responsabilité stricte aux personnes américaines, ce qui signifie que l'intention n'est pas une défense. Si une entreprise traite sans le savoir des fonds qui ont transité par un réseau criminel utilisé par des acteurs de la RPDC, elle peut toujours être exposée à des mesures répressives. L'atténuation clé consiste à démontrer un programme de conformité robuste et documenté, comprenant une diligence raisonnable renforcée, une surveillance des transactions et un processus d'escalade clair pour les activités suspectes.
Que devrait faire le logiciel de comptabilité crypto qu'il ne peut pas faire seul ?
Le logiciel de comptabilité des actifs numériques est très efficace pour capturer les données de transaction en chaîne, rapprocher les soldes de portefeuille et générer des écritures comptables prêtes à être auditées. Il ne peut pas, à lui seul, évaluer le profil de risque d'une contrepartie ou déterminer si des fonds ont transité par un réseau criminel. Les entreprises doivent superposer le jugement humain de diligence raisonnable, la notation du risque LCB et l'examen de conformité sur les données produites par leurs outils comptables.
Les auditeurs devraient-ils changer leur approche des clients détenant des cryptos à la suite de ce rapport ?
Les auditeurs devraient intégrer l'environnement de risque accru dans leur planification. Plus précisément, ils devraient demander à la direction si des enquêtes réglementaires liées à la LCB ou aux sanctions sont en cours, évaluer si des provisions ou des passifs éventuels sont requis en vertu d'IAS 37 ou d'ASC 450, et déterminer si le risque de blanchiment lié à la RPDC est suffisamment important pour affecter les évaluations de continuité d'exploitation des clients fortement exposés aux flux de transactions cryptographiques.
Ce risque se limite-t-il aux échanges et aux dépositaires, ou s'étend-il également aux entreprises détenant des cryptos ?
Toute entité qui reçoit, détient ou transfère des crypto-monnaies peut être exposée si les fonds qu'elle reçoit ont transité par un pipeline de blanchiment lié à la RPDC. Le risque est le plus élevé pour les entités qui négocient fréquemment avec un large éventail de contreparties, telles que les échanges, les processeurs de paiement et les participants aux protocoles DeFi, mais les entreprises détenant des cryptos dans leur bilan de trésorerie ne sont pas à l'abri, en particulier si elles utilisent des bureaux OTC ou des mécanismes de pair à pair pour l'acquisition.