Elliptic Holistic Screening : ce que la lutte anti-blanchiment inter-chaînes signifie pour les cabinets comptables et les directeurs financiers
L'analyse de la blockchain vient de franchir un cap. Elliptic a lancé Holistic Screening, une capacité qui trace automatiquement les produits du crime sur toutes les grandes blockchains et crypto-actifs en même temps, remplaçant ce qui était auparavant des enquêtes inter-chaînes lentes et manuelles par des scores de risque générés par API et fournis en quelques millisecondes. Pour les cabinets comptables, les auditeurs et les directeurs financiers qui valident les contrôles LAB sur les actifs numériques, cette évolution change la référence de ce à quoi ressemble un programme de contrôle défendable.
Pourquoi la criminalité inter-chaînes a créé une lacune en matière de conformité
Il y a dix ans, la plupart des activités illicites en crypto restaient sur une seule chaîne. Bitcoin circulait entre adresses Bitcoin ; les enquêteurs suivaient les transactions Bitcoin. Ce monde n'existe plus.
L'essor de l'infrastructure inter-chaînes
Les bourses décentralisées, les ponts inter-chaînes et les services de coinswap ont supprimé les barrières qui séparaient autrefois les blockchains et les actifs individuels. Les capitaux circulent désormais librement entre les chaînes, ce qui est réellement utile pour les acteurs légitimes du marché. C'est tout aussi utile pour ceux qui cherchent à masquer l'origine des fonds. Selon les recherches d'Elliptic, des centaines de millions de dollars liés à des rançongiciels et à des cyberactivités parrainées par l'État nord-coréen ont transité par des ponts inter-chaînes. Les bourses décentralisées ont été utilisées pour contrecarrer des saisies d'actifs valant des milliards de dollars, et les services de coinswap opérant en Russie et ailleurs ont facilité le blanchiment d'argent et le contournement des sanctions à grande échelle.
Où les outils de première génération montrent leurs limites
La génération d'outils d'analyse de la blockchain construite entre 2015 et le début des années 2020 traite chaque blockchain comme un silo séparé. Un portefeuille Bitcoin est analysé par rapport aux données Bitcoin ; un portefeuille Ethereum par rapport aux données Ethereum. Lorsque des fonds traversent un pont ou passent par un échange décentralisé, la piste se brise. Les enquêteurs doivent alors reconstituer le tableau manuellement, ce qui est long, sujet aux erreurs et non extensible à un large portefeuille de clients. C'est cette lacune que la nouvelle capacité d'Elliptic vise à combler.
Ce que fait réellement Holistic Screening
Holistic Screening est construit sur Nexus, un moteur d'analyse qu'Elliptic déclare avoir mis trois ans à développer. Nexus fusionne les données blockchain par blockchain en un seul réseau financier unifié représentant l'ensemble de l'écosystème des crypto-actifs, s'appuyant sur des centaines de milliards de points de données collectés au cours de la dernière décennie. En conséquence, les flux de fonds peuvent être tracés en continu, même lorsqu'ils changent de type d'actif ou sautent entre les chaînes.
Trois capacités clés
Elliptic décrit trois fonctions spécifiques qui relèvent de l'égide de Holistic Screening :
Le contrôle multi-actifs analyse toutes les transactions associées à un portefeuille, quel que soit le crypto-actif utilisé, plutôt que de contrôler chaque actif séparément. Un portefeuille qui a reçu du Bitcoin, a échangé contre de l'Ether, puis a transféré vers un stablecoin est évalué comme un profil de risque unique, et non comme trois profils distincts.
Le traçage transversal des actifs suit les flux de fonds même lorsqu'un échange d'actifs a lieu sur la même blockchain, par exemple lorsqu'un utilisateur convertit un jeton en un autre via une bourse décentralisée. Auparavant, ce type de swap en chaîne pouvait interrompre un traçage automatisé, nécessitant une poursuite manuelle.
Le traçage inter-chaînes étend cette logique aux mouvements entre blockchains entièrement différentes, comme un transfert de pont d'Ethereum vers une couche 2 ou une chaîne complètement différente. Le traçage se poursuit automatiquement au lieu de s'arrêter au pont.
Toutes ces fonctions fonctionnent via des appels API, ce qui signifie qu'elles peuvent être intégrées dans les flux de travail de conformité existants et exécutées à grande échelle, plutôt que d'être réservées à des enquêtes manuelles prioritaires.
Implications pour les cabinets comptables et leurs clients en actifs numériques
Le lancement d'un outil de contrôle plus performant n'est pas simplement une annonce de fournisseur. Il a des conséquences pratiques sur la manière dont les obligations de conformité sont comprises et documentées.
Relever le niveau de ce qu'est un contrôle LAB adéquat
Les régulateurs et les normalisateurs dans des juridictions allant de l'UE avec MiCA au GAFI au niveau mondial ont constamment déclaré que les prestataires de services sur actifs virtuels (PSAV) et les entités manipulant des actifs numériques doivent appliquer des contrôles fondés sur le risque proportionnés aux risques réels auxquels ils sont confrontés. La criminalité inter-chaînes est désormais une catégorie de risque documentée et quantifiée, et non plus théorique. Lorsqu'un outil existe pour traiter automatiquement ce risque à grande échelle, l'argument selon lequel un contrôle manuel ou cloisonné est suffisant devient plus difficile à soutenir lors d'un examen réglementaire ou d'un audit.
Les cabinets comptables qui conseillent les bourses de crypto, les dépositaires, les protocoles DeFi ou toute autre entreprise d'actifs virtuels devraient demander à leurs clients si leur pile de contrôle actuelle peut tracer les fonds à travers les chaînes et les actifs. Si ce n'est pas le cas, cette lacune doit être documentée, évaluée en termes de risque, puis soit corrigée, soit explicitement acceptée par la haute direction avec une justification claire. Cette justification devra résister à l'examen.
Les cabinets qui fournissent des évaluations de logiciels de comptabilité crypto ou une diligence raisonnable technologique dans le cadre de leur offre de conseil devraient également mettre à jour leurs cadres d'évaluation pour inclure le traçage inter-chaînes et multi-actifs comme critères d'évaluation, et non comme des options facultatives.
Exigences de piste d'audit et de documentation
D'un point de vue d'audit, l'évolution vers des scores de risque inter-chaînes automatisés a des implications documentaires dans les deux sens. Côté positif, les scores générés par API créent une piste d'audit horodatée et reproductible, beaucoup plus facile à présenter à un examinateur qu'un ensemble de notes d'enquête manuelles. Le score de risque est généré automatiquement et peut être journalisé par rapport à la transaction ou au dossier client concerné sans erreurs de transcription humaine.
Le contrepoint est que les outils automatisés intègrent des hypothèses sur les blockchains et les actifs couverts, la pondération des catégories de risque et la fréquence de rafraîchissement des données sous-jacentes. Les cabinets qui valident les contrôles LAB doivent comprendre ces hypothèses, et non simplement accepter la sortie comme une boîte noire. Les auditeurs devraient demander la documentation sur la couverture de l'outil, la méthodologie de notation et la fréquence de mise à jour des données comme procédure standard lors de l'examen du programme de conformité des actifs numériques d'un client. L'émergence d'une génération d'outils plus performants rend cette documentation plus importante, pas moins, car les régulateurs s'attendront de plus en plus à ce que les entreprises soient conscientes de ce que signifie le meilleur de sa catégorie.
Contrôle des sanctions et problème inter-chaînes
La conformité aux sanctions est un domaine spécifique où la capacité inter-chaînes compte. Si un acteur sanctionné utilise un pont ou une bourse décentralisée pour stratifier les fonds avant qu'ils n'atteignent un portefeuille qu'une bourse s'apprête à créditer, un contrôle sur une seule chaîne peut renvoyer un résultat propre. Un traçage inter-chaînes partant du même point final pourrait faire apparaître l'origine sanctionnée. Les cabinets comptables qui conseillent des clients sur le risque de sanctions devraient considérer cela comme une préoccupation concrète, en particulier compte tenu de l'utilisation documentée de l'infrastructure inter-chaînes par des acteurs liés à la Corée du Nord et aux services de blanchiment basés en Russie, comme le cite la recherche d'Elliptic.
Pour plus de contexte sur l'évolution des menaces liées à l'IA parallèlement aux techniques de blanchiment, voir notre analyse précédente sur l'IA dans la criminalité crypto et ce que cela signifie pour les équipes de conformité LAB. Le problème inter-chaînes et le problème d'évasion assistée par l'IA convergent, et les programmes de conformité doivent tenir compte des deux.
Ce que les directeurs financiers doivent évaluer maintenant
Les directeurs financiers des entreprises qui détiennent, négocient ou conservent des actifs numériques sont confrontés à une question opérationnelle plus immédiate : la pile technologique de conformité actuelle reflète-t-elle l'environnement de risque réel ?
Examen de la pile technologique
Le point de départ pratique est une analyse des écarts. Cartographiez les blockchains et les actifs que votre entreprise touche par rapport à la couverture de votre outil de contrôle actuel. Identifiez les actifs ou chaînes qui échappent à la couverture automatisée et évaluez comment ces lacunes sont actuellement gérées. Si la réponse est une enquête manuelle, quantifiez le coût en ressources et le délai, et demandez-vous si cela est proportionné compte tenu des volumes concernés.
Lors de l'évaluation de l'adoption de logiciels de comptabilité crypto ou d'outils de conformité plus performants, la couverture de contrôle inter-chaînes et multi-actifs devrait désormais figurer aux côtés des critères standard tels que l'étendue de la couverture des chaînes, l'intégration avec les systèmes ERP ou comptables existants et les résultats de reporting réglementaire. Le moteur d'analyse sous-jacent compte, pas seulement l'interface.
Mises à jour des politiques et de la gouvernance
Si une analyse des écarts révèle que l'outillage actuel ne peut pas tracer les flux inter-chaînes, cette constatation doit être remontée au conseil d'administration ou au comité d'audit avec un calendrier de remédiation proposé. Elle doit également être reflétée dans l'évaluation des risques LAB de l'entreprise. Laisser une lacune de capacité connue sans traitement et sans décision d'acceptation documentée crée une exposition réglementaire et réputationnelle.
Les politiques régissant la diligence raisonnable à l'égard de la clientèle et la surveillance des transactions doivent être examinées pour confirmer qu'elles tiennent explicitement compte de l'activité inter-chaînes, en particulier lorsque les clients sont actifs dans la DeFi ou utilisent des ponts inter-chaînes dans le cadre de leurs opérations normales. Pour un contexte plus large sur la façon dont les orientations évolutives du GAFI sur la DeFi recoupent ces contrôles, voir notre couverture de comment le rapport du GAFI sur la DeFi remodèle les obligations des PSAV.
Le contexte plus large pour les normes de conformité crypto
Le lancement d'Elliptic est un signal sur la direction que prend le marché des technologies de conformité, et non une mise à jour ponctuelle de produit. L'industrie a passé une décennie à construire des outils de première génération conçus pour un monde à chaîne unique. L'infrastructure sous-jacente à la crypto a bien dépassé cela, et l'outillage de conformité rattrape maintenant son retard. Les entreprises qui ont fixé leurs références LAB en fonction de ce qui était disponible en 2020 doivent revoir ces références maintenant.
Les régulateurs du monde entier surveillent de près la criminalité inter-chaînes. Le GAFI a signalé les ponts inter-chaînes et les bourses décentralisées comme des typologies à haut risque. Le cadre MiCA de l'UE et les règles associées sur le transfert de fonds créent des obligations qui supposent que le contrôle peut suivre le rythme des actifs déplacés. À mesure que le traçage inter-chaînes automatisé devient la norme de l'industrie plutôt que la pointe de la technologie, l'attente selon laquelle les entités réglementées l'utiliseront se durcira en conséquence.
Pour les cabinets comptables, la conclusion pratique est que les examens LAB des clients, les audits de conformité annuels et les missions de diligence raisonnable technologique doivent tous appliquer une perspective inter-chaînes à l'avenir. Les outils existent. Les risques documentés existent. L'attente réglementaire se forme. Attendre des mandats réglementaires explicites avant de mettre à jour les contrôles est la position la moins défendable.
Questions fréquemment posées
Qu'est-ce que la criminalité inter-chaînes et pourquoi est-elle importante pour la conformité LAB ?
La criminalité inter-chaînes fait référence à l'utilisation de ponts inter-chaînes, de bourses décentralisées et d'infrastructures similaires pour déplacer des fonds illicites entre différentes blockchains et types d'actifs, brisant délibérément la piste de transaction. Elle est importante pour la conformité LAB car les outils de contrôle de première génération analysent généralement chaque blockchain de manière isolée, ce qui signifie qu'un flux de fonds qui saute de chaîne peut ne pas être signalé. Les régulateurs, dont le GAFI, ont identifié cela comme une typologie à haut risque documentée.
Comment le traçage inter-chaînes automatisé change-t-il ce à quoi ressemble un programme LAB défendable ?
Une fois que le traçage inter-chaînes automatisé est disponible à grande échelle, les régulateurs et les auditeurs peuvent raisonnablement s'attendre à ce que les entités réglementées l'utilisent ou documentent explicitement pourquoi elles ne l'ont pas fait. Un programme qui repose sur une enquête manuelle pour combler les lacunes inter-chaînes peut encore être défendable dans certains contextes, mais il doit être évalué en termes de risque et approuvé au niveau supérieur avec une justification claire, plutôt que simplement laissé sans traitement.
Quelle documentation les auditeurs devraient-ils demander lors de l'examen des outils d'analyse de la blockchain d'un client ?
Les auditeurs devraient demander la documentation de couverture indiquant quelles blockchains et types d'actifs l'outil contrôle, la méthodologie utilisée pour générer les scores de risque, la fréquence de rafraîchissement des données sous-jacentes et si le traçage inter-chaînes et multi-actifs est inclus. Pour les outils automatisés, il est également utile de confirmer comment les résultats de notation sont journalisés et conservés à des fins de piste d'audit.
Le contrôle inter-chaînes affecte-t-il spécifiquement la conformité aux sanctions ?
Oui. Un acteur sanctionné qui stratifie des fonds via un pont ou un swap DEX avant de déposer sur une bourse peut passer un contrôle sur une seule chaîne tout en échouant à un traçage inter-chaînes. Cela rend la capacité inter-chaînes particulièrement pertinente pour le contrôle des sanctions, pas seulement pour la surveillance générale des transactions LAB.
Que devrait faire un directeur financier en premier si son outil de contrôle actuel ne prend pas en charge le traçage inter-chaînes ?
La première étape est une analyse des écarts : cartographiez les actifs et les blockchains que votre entreprise touche par rapport à la couverture de votre outil actuel, quantifiez comment les lacunes inter-chaînes sont actuellement gérées et documentez la constatation. Cette constatation doit être remontée au conseil d'administration ou au comité d'audit avec un calendrier de remédiation proposé et reflétée dans l'évaluation des risques LAB de l'entreprise. Laisser une lacune connue sans documentation est l'approche la plus risquée.
Source : Elliptic