Crypto en conflit : risque de sanctions, levée de fonds DeFi et ce que les entreprises doivent savoir

Une analyse détaillée publiée par la société de renseignement blockchain Elliptic cartographie l'activité en cryptoactifs des deux camps de la guerre Russie-Ukraine et atterrit directement sur les bureaux des responsables conformité, des auditeurs et des cabinets comptables qui conseillent les prestataires de services sur actifs virtuels (PSAV). Le constat principal est sans appel : plus d'une donation crypto pro-russe sur dix provient de sources déjà signalées comme illicites, créant une exposition aux sanctions bien réelle pour toute plateforme qui traite ces fonds sans contrôle adéquat. Pour les équipes qui construisent ou révisent leurs dispositifs LBC, et pour quiconque s'appuie sur un logiciel de comptabilité crypto pour tenir une piste d'audit, ce rapport constitue un test de résistance concret des cadres existants.

Ce que le rapport couvre réellement

Elliptic s'est appuyé sur ses propres données blockchain propriétaires pour tracer les flux de cryptoactifs liés aux activités de collecte de fonds ukrainiennes et pro-russes depuis l'invasion à grande échelle de la Russie en février 2022. Le périmètre est délibérément large : campagnes humanitaires, réseaux de soutien militaire, entités sanctionnées et groupes dont les communications publiques ont inclus des contenus que le rapport qualifie d'apologie de crimes de guerre et de crimes contre l'humanité potentiels.

Le tableau de la collecte ukrainienne

La technologie blockchain s'est révélée très efficace comme canal de collecte côté ukrainien. Le rapport chiffre le total des dons crypto à plus de 78 millions de dollars. Le bitcoin n'a représenté que 1 % de ce montant. L'essentiel a transité par des canaux bâtis sur une infrastructure plus récente : protocoles DeFi, campagnes de jetons non fongibles et organisations autonomes décentralisées. Les seules campagnes NFT ont contribué à hauteur de près de 8 millions de dollars, soit environ 10 % du total. Cette ampleur démontre ce que les équipes conformité devraient déjà modéliser : les flux DeFi et NFT ne sont plus une niche. Ce sont des véhicules de collecte de fonds matériels qui doivent s'intégrer à toute architecture crédible de LBC et de logiciel de comptabilité crypto.

Le tableau de la collecte pro-russe et sa souillure illicite

Les entités pro-russes, catégorie qui englobe les collecteurs de fonds pour l'armée russe et les milices affiliées, ont levé 4,8 millions de dollars de dons crypto selon le rapport. Les efforts pour reproduire le modèle ukrainien via des structures NFT et DeFi ont largement échoué. Ce qui n'a pas échoué, en revanche, c'est le flux de fonds provenant de sources déjà souillées : le rapport constate que plus de 10 % des dons pro-russes remontent à des marchés du dark web, des entités sanctionnées ou des vendeurs liés à des données de cartes de paiement volées. Cette proportion transforme l'écosystème de collecte pro-russe en un problème actif de filtrage des sanctions pour toute plateforme ayant pu toucher ces portefeuilles.

Exposition aux sanctions : ce que les chiffres signifient en pratique

Un taux de sources illicites supérieur à 10 % n'est pas un point de données académique. Selon les règles de l'OFAC aux États-Unis comme les règlements de sanctions de l'UE, un PSAV qui traite une transaction dont le portefeuille de contrepartie est lié à une entité désignée encourt une exposition potentielle de responsabilité stricte, que la plateforme ait connu ou non ce lien au moment des faits. L'obligation de savoir incombe à l'entreprise.

Les mécanismes des sanctions OFAC et UE

Le cadre de l'OFAC impose aux personnes et entités américaines de bloquer les transactions impliquant des parties sanctionnées et de déclarer les biens bloqués. Le régime de sanctions de l'UE, mis en œuvre dans les États membres par les règlements du Conseil, impose des obligations équivalentes de gel des avoirs et de déclaration. Aucun de ces cadres ne prévoit d'exception pour les montants qui paraissent faibles. Un don de 500 dollars acheminé via un groupe de portefeuilles lié à une milice sanctionnée porte la même exposition juridique qu'un virement institutionnel de grande taille si le lien peut être établi on-chain.

Pourquoi la traçabilité blockchain compte ici

Le registre public permanent de la blockchain joue dans les deux sens. C'est le mécanisme qui a permis à Elliptic d'identifier la proportion de sources illicites, mais c'est aussi le mécanisme qui permet aux régulateurs et aux forces de l'ordre de tracer les flux rétrospectivement. Un PSAV qui a traité un portefeuille de dons pro-russes en 2022 ou 2023 peut découvrir que ce groupe de portefeuilles a été nouvellement désigné ou nouvellement rattaché à une entité sanctionnée en 2026. C'est précisément pour cette exposition rétrospective que les enregistrements au niveau des transactions, et non de simples instantanés KYC à l'entrée en relation, doivent être conservés et interrogeables dans le logiciel de comptabilité d'actifs numériques utilisé par l'entreprise.

DeFi, NFT et DAO : angles morts de la conformité

Les données de collecte ukrainiennes rendent un service utile aux équipes conformité : elles démontrent empiriquement que les protocoles DeFi, les campagnes de mint de NFT et les DAO peuvent mobiliser des dizaines de millions de dollars rapidement et par-delà les frontières. Cette même capacité est neutre quant à la cause qu'elle sert. Un protocole DeFi ne filtre pas l'affiliation politique d'un fournisseur de liquidité. Un contrat intelligent NFT n'effectue pas de KYC sur un acheteur.

Trajectoire réglementaire aux États-Unis et dans l'UE

Les États-Unis comme l'UE s'emploient à combler le fossé de conformité de la DeFi, mais à des rythmes différents. Aux États-Unis, le CLARITY Act révisé a concentré l'attention législative sur la question de savoir quels opérateurs DeFi sont suffisamment décentralisés pour échapper à la classification de courtier-négociant et lesquels ne le sont pas. Les opérateurs qui conservent un contrôle significatif font face à des obligations LBC au titre des règles de FinCEN. Pour un éclairage sur l'évolution de cette législation, voir notre analyse précédente de ce que le CLARITY Act révisé signifie pour les opérateurs DeFi non décentralisés.

Dans l'UE, le règlement sur les marchés de crypto-actifs (MiCA) et le règlement sur les transferts de fonds (TFR) exigent ensemble le respect de la règle de voyage pour les transferts crypto au-delà de certains seuils, mais la DeFi demeure dans une zone grise réglementaire déclarée que la Commission européenne s'est engagée à réexaminer. Les conclusions d'Elliptic ajoutent une pression politique à cet examen : si les canaux DeFi peuvent déplacer 78 millions de dollars dans un contexte de conflit, les régulateurs n'accepteront pas une ambiguïté indéfinie sur les obligations LBC.

NFT : le point de données de 8 millions de dollars que les entreprises ne peuvent ignorer

Près de 8 millions de dollars levés via des campagnes NFT dans un seul contexte de conflit constituent un point de données qui devrait guider la façon dont les cabinets comptables classent l'activité NFT de leurs clients PSAV. Un NFT n'est pas automatiquement un objet de collection à risque minimal de criminalité financière. Lorsque des campagnes NFT servent de véhicules de collecte de fonds, les flux sous-jacents présentent le même profil LBC que tout autre canal de dons, y compris la nécessité de vérifications de l'origine des fonds pour les contributeurs significatifs et de filtrage des sanctions sur les adresses de portefeuille impliquées dans les transactions sur le marché secondaire.

Implications comptables et d'audit

Pour les comptables et auditeurs au service de PSAV, le rapport Elliptic soulève plusieurs questions concrètes qui devraient figurer dans toute planification de mission ou cycle d'audit interne en 2026.

Intégrité des enregistrements au niveau des transactions

Si un client PSAV a traité des transactions impliquant des portefeuilles aujourd'hui identifiés comme liés à des entités sanctionnées ou à des marchés du dark web, le cabinet doit établir quels enregistrements existent au niveau des transactions. Les soldes agrégés inscrits dans un grand livre général sont insuffisants ; il faut l'adresse du portefeuille, l'horodatage, la contrepartie et le hash de la transaction blockchain. Tout déploiement de logiciel de comptabilité crypto qui ne capture et ne conserve pas ces champs au niveau de chaque transaction est opérationnellement inadapté à un contexte de filtrage des sanctions.

Information sur les passifs éventuels

Lorsqu'un PSAV a traité des transactions susceptibles de comporter une exposition rétrospective aux sanctions, les auditeurs et les préparateurs doivent évaluer si une information sur un passif éventuel est requise selon les IFRS (IAS 37) ou les US GAAP (ASC 450). Le seuil est de savoir si une sortie de ressources est probable et peut être estimée de manière fiable. Dans un contexte où la surveillance réglementaire et judiciaire des portefeuilles liés à un conflit est active et continue, ce seuil peut être plus proche que les entreprises ne le supposent.

Documentation de gouvernance pour les catégories à haut risque

Les documents de gouvernance au niveau du conseil, y compris les évaluations des risques LBC et les politiques écrites exigées par les règles de programme de FinCEN et le cadre AMLD de l'UE, devraient être revus pour confirmer que les groupes de portefeuilles liés à un conflit y sont explicitement traités comme une catégorie à haut risque. Si la documentation actuelle est antérieure à la période d'activité significative liée au conflit, elle nécessite probablement une mise à jour. Les auditeurs devraient considérer l'absence de cette catégorie comme une lacune de contrôle.

Revue de l'exposition des périodes antérieures

Le rapport couvre l'activité depuis 2022. Les cabinets comptables ayant des clients PSAV devraient se demander si une revue ciblée des enregistrements de transactions des périodes antérieures est justifiée, en utilisant les données actuelles de renseignement blockchain pour tester si des portefeuilles traités portent désormais une désignation connue de source illicite ou de sanctions. Il s'agit d'une mesure proportionnée, non d'un réaudit exhaustif, mais elle fournit une trace défendable que le cabinet a pris des mesures raisonnables lorsque le renseignement sur les risques est devenu disponible. Pour un exemple parallèle de la façon dont les désignations OFAC créent des obligations comptables et de conformité rétroactives, voir notre analyse de l'impact des sanctions OFAC sur Xinbi Guarantee sur les flux de travail de comptabilité crypto.

Mesures pratiques pour les équipes conformité et finance

Le rapport ne prescrit pas de réponse de conformité, mais les données pointent vers plusieurs actions concrètes.

Architecture de filtrage

Le filtrage des portefeuilles doit fonctionner au niveau des transactions, pas seulement à l'entrée en relation. Les flux de renseignement blockchain doivent être mis à jour assez fréquemment pour détecter les groupes de portefeuilles nouvellement désignés. Tout logiciel de comptabilité d'actifs numériques utilisé pour enregistrer les transactions d'un PSAV doit consigner le résultat du filtrage aux côtés de l'enregistrement de la transaction afin que la piste d'audit soit complète et autonome.

Couverture des politiques DeFi et NFT

Les politiques LBC qui n'abordent pas explicitement les interactions avec les protocoles DeFi et les campagnes NFT laissent une lacune que les régulateurs et les auditeurs identifieront. Les données d'Elliptic rendent cette omission difficile à défendre : ce sont des canaux de collecte de fonds documentés et matériels, avec une capacité démontrée d'exposition à grande échelle à des sources illicites.

Formation du personnel aux typologies liées aux conflits

La déclaration d'activités suspectes exige que le personnel reconnaisse les schémas. Les typologies de collecte de fonds liées à un conflit, notamment l'utilisation de DAO pour mettre en commun des dons, les drops NFT comme couverture de transfert de valeur et le bridging DeFi pour obscurcir l'origine des fonds, devraient être incluses dans le prochain cycle de formation. Les orientations du GAFI sur les actifs virtuels et les exigences de déclaration SAR de FinCEN pour les PSAV fournissent toutes deux une base réglementaire pour attendre cette couverture.

Questions fréquentes

Le rapport d'Elliptic crée-t-il des obligations juridiques pour les PSAV ?

Le rapport lui-même non. Les obligations juridiques découlent des désignations OFAC, des règlements du Conseil de l'UE et des législations nationales LBC. La valeur du rapport réside dans le fait qu'il fait apparaître des schémas de risque et des données sur les groupes de portefeuilles que les PSAV peuvent utiliser pour renforcer leur filtrage. Ignorer ce renseignement alors qu'il est publiquement disponible pourrait être pertinent dans l'évaluation réglementaire du point de savoir si une entreprise a pris des mesures adéquates.

Que signifie « plus de 10 % de sources illicites » pour un PSAV qui a accepté des dons pro-russes ?

Cela signifie que la probabilité statistique qu'un portefeuille de dons pro-russes donné remonte à un marché du dark web, une entité sanctionnée ou un vendeur de cartes volées est matérielle, et non négligeable. Un PSAV qui a accepté de tels dons sans filtrage au niveau des transactions devrait y voir une invitation à examiner ses enregistrements et, si une exposition est identifiée, à consulter un conseil juridique sur les obligations de déclaration volontaire au titre des règles de sanctions OFAC ou UE applicables.

Les transactions NFT sont-elles soumises aux mêmes obligations LBC que les transferts crypto ?

Dans la plupart des juridictions, oui, lorsqu'un PSAV facilite l'échange ou le transfert de NFT qui relèvent des actifs virtuels selon le droit local. Les orientations actualisées du GAFI sur les actifs virtuels incluent explicitement les NFT qui fonctionnent comme instruments de paiement ou d'investissement. Les règles de FinCEN aux États-Unis et le TFR de l'UE s'appliquent tous deux aux transferts éligibles. La classification précise dépend des caractéristiques du NFT et du rôle de la plateforme dans la transaction.

Comment les auditeurs doivent-ils traiter l'exposition des portefeuilles liés à un conflit dans les états financiers ?

Selon IAS 37 et ASC 450, un passif éventuel doit être présenté lorsqu'une sortie potentielle est probable et peut être raisonnablement estimée, et mentionné lorsqu'une sortie est possible mais non probable. Si un PSAV a traité des portefeuilles présentant des liens de sanctions identifiés et fait face à une action réglementaire potentielle, l'auditeur doit évaluer si l'un ou l'autre seuil est atteint, en concertation avec les conseillers juridiques de l'entité.

Ce rapport affecte-t-il les entreprises qui n'utilisent la crypto qu'à des fins de trésorerie ou de paiement, sans être des PSAV ?

Les obligations LBC directes sont moindres pour les entreprises non PSAV, mais les obligations de sanctions s'appliquent à toutes les personnes américaines et entités de l'UE quel que soit leur modèle d'affaires. Une trésorerie d'entreprise qui détient de la crypto et réalise des transactions on-chain a l'obligation de ne pas traiter avec des contreparties sanctionnées. Si l'entreprise utilise un canal de paiement connecté à la blockchain, elle doit confirmer que son filtrage des sanctions couvre les contreparties on-chain et pas seulement les coordonnées bancaires traditionnelles.

Source : Elliptic