Criminalité inter-chaînes : ce que le rapport Elliptic signifie pour l'AML crypto et la comptabilité
Les groupes de ransomware et les pirates informatiques ne sont plus limités par les blockchains individuelles. Selon le rapport State of Cross-Chain Crime d'Elliptic, les échanges décentralisés et les ponts inter-chaînes sont devenus la tuyauterie préférée pour déplacer des fonds illicites entre actifs et réseaux, créant une catégorie de risque de blanchiment que la surveillance traditionnelle des transactions n'a jamais été conçue pour détecter. Pour les cabinets comptables, les auditeurs et les directeurs financiers exposés aux actifs numériques, cette lacune constitue une responsabilité qui vous incombe directement.
Ce que signifie réellement la criminalité inter-chaînes
L'expression semble technique, mais la mécanique est simple. Un criminel commence avec des produits sur une blockchain, peut-être des Bitcoin issus d'une rançon, et utilise un pont ou un échange décentralisé pour convertir ces fonds en un autre actif sur un réseau différent. Chaque saut obscurcit la piste d'audit. Répétez le processus deux ou trois fois et le lien entre le crime initial et l'encaissement final devient extrêmement difficile à reconstituer sans une analyse blockchain spécialisée.
Le rôle des ponts et des DEX
Les ponts inter-chaînes ont été conçus pour permettre aux utilisateurs légitimes de déplacer des actifs librement entre écosystèmes. Les jetons enveloppés (wrapped tokens), le mécanisme qui permet au Bitcoin « d'exister » sur Ethereum ou une autre chaîne à contrats intelligents, constituent un élément central de cette infrastructure. La même conception sans permission qui rend les ponts utiles pour les participants à la DeFi les rend également attractifs pour les acteurs malveillants. Il n'y a pas de contrepartie centrale effectuant des vérifications de connaissance du client au moment de l'échange, et le règlement est quasi instantané.
Les échanges décentralisés aggravent le problème. Un swap sur DEX laisse une trace on-chain, mais cette trace relie des adresses de portefeuille plutôt que des identités vérifiées. Sans analyse capable de suivre les fonds au-delà des frontières des chaînes, une équipe de conformité examinant un historique de transactions sur une seule chaîne peut voir des fonds entrants propres sans savoir que ces fonds ont traversé trois ponts et deux swaps DEX à l'arrivée.
Typologies criminelles mises en évidence dans le rapport
La recherche d'Elliptic identifie les groupes de ransomware et les pirates informatiques comme les principaux abuseurs de l'infrastructure inter-chaînes. Ces deux catégories génèrent des entrées importantes et soudaines qui sont immédiatement visibles sur une seule chaîne, ce qui crée une forte incitation à disperser les fonds sur plusieurs réseaux le plus rapidement possible. Le rapport souligne également l'ampleur du phénomène : des milliards de dollars en crypto ont été déplacés de cette manière, faisant du blanchiment inter-chaînes une préoccupation systémique plutôt qu'un cas isolé.
Pourquoi les cadres de conformité existants peinent
La plupart des programmes AML dans le secteur crypto ont été conçus autour d'un modèle mono-chaîne. Les règles de surveillance des transactions recherchent des schémas suspects dans un seul registre. Les outils d'analyse blockchain intégrés aux processus d'onboarding ou de surveillance continue peuvent ne pas suivre nativement un saut de jeton enveloppé vers une deuxième chaîne, et encore moins une troisième. C'est précisément cette lacune architecturale qu'exploitent les acteurs malveillants sophistiqués.
L'angle mort comptable des jetons enveloppés
D'un point de vue purement comptable, les jetons enveloppés introduisent leur propre complexité avant même d'aborder la question AML. Lorsqu'un client détient du Wrapped Bitcoin (WBTC) plutôt que du BTC natif, le traitement comptable dépend de si le wrapper est traité comme un actif distinct, de la classification de l'accord de garde pour le collatéral sous-jacent, et de si l'événement d'enveloppement constitue lui-même une cession à des fins fiscales. Ajoutez une préoccupation AML par-dessus, et le jeton enveloppé devient un double problème : difficile à comptabiliser et difficile à filtrer.
Lacunes dans la surveillance des transactions
La surveillance standard basée sur des règles signale la vélocité, les transactions à montants ronds et les interactions avec des adresses connues comme malveillantes. Les flux inter-chaînes peuvent être structurés pour rester sous les seuils de vélocité sur chaque chaîne individuelle tout en déplaçant des montants significatifs dans l'ensemble. Sans analyse inter-chaînes qui reconstitue le parcours, les responsables de la conformité peuvent ne jamais voir l'image complète. Le rapport Elliptic présente cela comme la « nouvelle frontière » du blanchiment crypto, et les régulateurs de plusieurs juridictions en prennent clairement note.
La pression réglementaire s'intensifie
Le timing de ce rapport est important. Dans les principales juridictions, les superviseurs AML intensifient leur examen des prestataires de services sur actifs virtuels (VASP) et des cabinets professionnels qui les servent. Le cadre Travel Rule du Groupe d'action financière (GAFI), qui exige que les informations sur l'émetteur et le bénéficiaire accompagnent les transferts de crypto, est de plus en plus appliqué, mais il a été conçu pour les transferts en dépôt entre VASP. Il ne s'applique pas proprement à un swap DEX ou à une transaction de pont où il n'y a pas de VASP intermédiaire pour collecter et transmettre les données.
Implications pour la pile de conformité des VASP
Les régulateurs attendent des VASP qu'ils maintiennent une approche efficace fondée sur les risques. Pour l'activité inter-chaînes, cela signifie que la pile de conformité doit disposer d'outils capables de tracer les fonds sur plusieurs registres, et pas seulement au sein d'un seul. Les cabinets qui s'appuient sur des analyses couvrant uniquement les chaînes où opère leur produit principal peuvent avoir une lacune importante dans leur évaluation des risques. Cette lacune, si elle est identifiée lors d'un examen de supervision ou d'une enquête liée aux sanctions, pourrait entraîner des mesures d'application.
L'activité récente d'application autour des portefeuilles désignés par des sanctions et des places de marché illicites, y compris les actions de l'OFAC contre des entités comme Xinbi Guarantee, souligne la rapidité avec laquelle les flux inter-chaînes peuvent devenir un problème de filtrage des sanctions en plus d'un problème AML. Une entité qui commence sur une chaîne et passe à une autre ne laisse pas derrière elle une adresse propre sur une seule chaîne pour un filtrage direct.
Étapes pratiques pour les cabinets comptables et les directeurs financiers
Le rapport Elliptic fournit des orientations destinées aux professionnels de la conformité. Le traduire en actions concrètes pour les cabinets comptables et leurs clients entreprises implique trois domaines distincts.
Améliorer votre couverture analytique
Si votre outil actuel d'analyse blockchain n'offre pas de traçage inter-chaînes, c'est une lacune qui nécessite une conversation urgente avec votre fournisseur ou un examen des achats. L'exigence minimale est la capacité de suivre les fonds à travers les ponts et les swaps DEX et d'attribuer les détentions de jetons enveloppés à leur chaîne d'origine. Les cabinets agissant en tant que comptables ou auditeurs pour des clients VASP devraient poser la même question à leurs clients concernant leur propre pile de conformité.
Réviser votre évaluation des risques pour les clients exposés à la DeFi
Tout client dont les opérations touchent la DeFi, que ce soit en tant qu'utilisateur, opérateur de protocole ou fournisseur de liquidité, porte une exposition inter-chaînes par définition. Les évaluations des risques rédigées avant que les ponts et les DEX ne deviennent une infrastructure courante doivent être mises à jour. Les facteurs pertinents incluent : quelles chaînes et quels ponts le client utilise, si la surveillance des transactions du client couvre ces chaînes, et quelle est la politique du client pour signaler ou refuser les fonds qui arrivent via des transferts de pont provenant de sources à haut risque.
Traitement comptable des transactions de pont et DEX
Chaque transfert de pont et chaque swap DEX génère des événements comptables. Le traitement fiscal et comptable de ces événements n'est pas réglé dans toutes les juridictions, mais l'orientation de la plupart des autorités fiscales est qu'un swap ou un événement de pont impliquant un changement dans l'actif détenu constitue une cession. Cela signifie que chaque saut inter-chaînes peut être un événement imposable, et chacun doit être capturé, évalué au moment de la transaction et enregistré correctement dans le grand livre. Les clients qui ont ignoré la complexité comptable de leur activité inter-chaînes accumulent simultanément un risque de passif fiscal et un risque potentiel de déclaration AML.
Mettre à jour les procédures d'onboarding et de surveillance continue des clients
Les questionnaires de diligence raisonnable renforcée pour les clients natifs de la crypto devraient désormais poser des questions spécifiques sur l'activité inter-chaînes. Les questions à ajouter incluent : le client utilise-t-il des ponts ou des DEX, quels protocoles, et le client a-t-il réalisé une évaluation des risques des contrôles AML de ces protocoles ? La surveillance continue devrait signaler les transferts entrants importants qui arrivent d'adresses de contrats de pont plutôt que directement d'un autre portefeuille identifié, car les reçus de pont justifient un filtrage supplémentaire de la chaîne d'origine.
Ce que cela signifie pour les logiciels de comptabilité des actifs numériques
Pour les cabinets évaluant ou mettant à niveau leur logiciel de comptabilité crypto, le paysage de la criminalité inter-chaînes ajoute une dimension de conformité à ce qui est souvent présenté comme une simple question de tenue de livres ou de rapprochement. Un logiciel capable d'ingérer des données de plusieurs chaînes, d'identifier correctement les transactions de pont et DEX comme des événements comptables distincts, et de s'intégrer aux résultats du filtrage des sanctions n'est plus un ensemble de fonctionnalités premium. C'est une exigence de base pour tout cabinet ayant une exposition client multi-chaînes.
La capacité de produire un historique complet des transactions multi-chaînes pour un client, montrant chaque saut de pont et swap DEX en séquence, avec horodatages et évaluations, est de plus en plus ce que les auditeurs et les régulateurs s'attendront à voir. Un logiciel de comptabilité des actifs numériques qui ne peut pas produire ce résultat laisse à la fois le cabinet et ses clients exposés. Il en va de même pour les directeurs financiers gérant des positions de trésorerie incluant des avoirs en DeFi ou en jetons enveloppés : le grand livre comptable et la piste d'audit AML doivent être construits à partir des mêmes données sous-jacentes, et non reconstitués séparément après coup.
Les cabinets qui ont couvert l'angle réglementaire de la DeFi d'un point de vue législatif, y compris les récents développements américains ciblant les opérateurs DeFi non décentralisés, trouveront que les typologies de criminalité inter-chaînes de ce rapport fournissent le contexte du côté de l'application que l'analyse législative seule ne peut pas fournir. Les exigences AML du Revised CLARITY Act pour les opérateurs DeFi et les méthodes de blanchiment inter-chaînes décrites dans ce rapport sont les deux faces d'une même conversation réglementaire. De même, le schéma d'application des sanctions de l'OFAC autour des flux illicites inter-chaînes est directement pertinent pour les obligations de filtrage abordées dans notre couverture des sanctions de l'OFAC contre Xinbi Guarantee.
La dimension audit et assurance
Pour les auditeurs, l'activité inter-chaînes dans le portefeuille d'actifs numériques d'un client crée des défis spécifiques au niveau des états financiers. L'exhaustivité est l'assertion principale à risque. Si les dossiers d'un client ne montrent que des transactions sur la chaîne native et ne capturent pas les segments de pont ou DEX d'un flux multi-chaînes, l'historique des transactions est incomplet par définition. Les auditeurs doivent obtenir des preuves couvrant toute la chaîne de possession, et pas seulement l'adresse de dépôt finale. Cela peut nécessiter de demander des rapports d'analyse blockchain générés par des outils ayant une capacité inter-chaînes, plutôt que de se fier à des résumés préparés par le client sur l'activité d'une chaîne individuelle.
Les assertions d'existence et d'évaluation sont également affectées. Un jeton enveloppé et son actif natif sous-jacent sont économiquement liés mais juridiquement et techniquement distincts. La politique comptable choisie doit être appliquée de manière cohérente, et l'évaluation à chaque événement de pont doit être documentée. Dans un environnement réglementaire où les flux inter-chaînes font l'objet d'un examen actif de la part des superviseurs AML et des autorités fiscales, la piste de travail pour ces positions doit être robuste.
Source : Elliptic
Questions fréquentes
Qu'est-ce qu'un pont inter-chaînes et pourquoi crée-t-il un risque AML ?
Un pont inter-chaînes est un protocole qui permet aux actifs de circuler entre différentes blockchains, généralement en verrouillant l'actif d'origine sur une chaîne et en émettant un équivalent enveloppé sur une autre. Le risque AML survient parce que la plupart des ponts fonctionnent sans intermédiaire central effectuant des vérifications d'identité, ce qui permet de transférer des fonds entre chaînes sans les données sur l'émetteur et le bénéficiaire que les institutions financières réglementées sont tenues de collecter et de transmettre en vertu des obligations de la Travel Rule.
Les jetons enveloppés sont-ils un actif distinct à des fins comptables ?
Dans la plupart des cas, oui. Les jetons enveloppés sont techniquement des instruments distincts de leurs actifs sous-jacents, même lorsqu'ils suivent le même prix. La question de savoir si l'acte d'enveloppement constitue une cession à des fins fiscales dépend de la juridiction, mais les normes comptables exigent généralement que les jetons enveloppés soient comptabilisés et évalués séparément. L'accord de garde pour le collatéral garantissant le jeton enveloppé doit également être évalué pour un traitement hors bilan ou de passif éventuel.
La Travel Rule du GAFI s'applique-t-elle aux transactions DEX ?
La Travel Rule telle qu'elle est actuellement mise en œuvre s'applique aux transferts entre prestataires de services sur actifs virtuels. Un swap DEX, où il n'y a pas d'intermédiaire VASP d'un côté ou des deux, ne s'inscrit pas proprement dans ce cadre. Il s'agit d'une lacune connue que le GAFI et les régulateurs nationaux s'efforcent activement de combler, mais les cabinets ne doivent pas supposer que les transactions acheminées via DEX sont exemptées des obligations AML au niveau plus large de l'évaluation des risques simplement parce que le mécanisme de la Travel Rule ne s'applique pas directement.
Que doit faire un cabinet comptable si les fonds entrants d'un client sont arrivés via un transfert de pont ?
Traitez l'adresse du contrat de pont comme un signal nécessitant une enquête supplémentaire plutôt que comme une source propre. Utilisez un outil d'analyse blockchain avec capacité inter-chaînes pour tracer les fonds jusqu'à leur adresse d'origine sur la chaîne source, puis filtrez cette adresse par rapport aux listes de sanctions et évaluez le profil de risque de la chaîne et du protocole d'origine. Documentez vos conclusions dans le dossier client. Si la source d'origine ne peut pas être identifiée de manière satisfaisante, escaladez via le processus d'escalade AML de votre cabinet avant de poursuivre.
Comment l'activité inter-chaînes affecte-t-elle un audit d'actifs numériques ?
Elle remet directement en cause les assertions d'exhaustivité et d'existence. Si les dossiers du client ne reflètent que l'activité sur une seule chaîne, l'auditeur ne peut pas être satisfait que la population des transactions soit complète sans obtenir des preuves analytiques inter-chaînes. Les auditeurs devraient demander des rapports d'analyse blockchain couvrant toutes les chaînes sur lesquelles le client opère, y compris des preuves de transactions de pont et DEX, et devraient évaluer si le logiciel comptable du client capture ces événements comme des transactions distinctes et valorisées plutôt que de les compenser ou de les omettre entièrement.