Des bitcoins DarkSide bougent alors que REvil fait face à une action gouvernementale
Ce qu'est DarkSide et pourquoi l'attaque contre Colonial Pipeline compte
DarkSide opérait comme une plateforme de rançongiciel en tant que service (RaaS). Selon ce modèle, les développeurs du groupe créaient et maintenaient le logiciel malveillant tandis que des « affiliés » distincts se chargeaient de sélectionner les cibles, de pénétrer leurs systèmes et de négocier directement les rançons avec les organisations victimes. Les revenus étaient ensuite partagés entre le développeur et l'affilié, chaque partie contrôlant son propre portefeuille.
La rançon de Colonial Pipeline et le portefeuille du développeur
L'attaque DarkSide la plus marquante a frappé Colonial Pipeline, l'exploitant d'un axe majeur de distribution de carburant le long de la côte est des États-Unis. La perturbation a provoqué des pénuries de carburant généralisées et entraîné une déclaration d'état d'urgence fédéral. Colonial Pipeline a versé une rançon de 75 bitcoins. Sur ce total, 63,7 bitcoins représentaient la part de l'affilié ; les autorités américaines ont ensuite récupéré ces pièces. Les 11,3 bitcoins restants sont allés au portefeuille du développeur DarkSide, rejoignant les produits d'environ 50 autres victimes que le groupe avait attaquées avant de passer en sommeil.
L'arrêt du 13 mai et le premier mouvement de portefeuille
Le 13 mai, DarkSide a annoncé que son infrastructure, y compris le portefeuille contenant les produits côté développeur, avait été saisie par un tiers inconnu. Le même jour, 107,8 bitcoins (valorisés à environ 5,3 millions de dollars à l'époque) ont quitté ce portefeuille pour une nouvelle adresse Bitcoin. À partir de là, les fonds sont restés intacts pendant des mois, portant le total à environ 107,8 bitcoins, aujourd'hui valorisés à près de 7 millions de dollars compte tenu de l'appréciation du cours.
Le mouvement d'octobre : peel chains et dépôts en plateforme d'échange
À partir de 07h00 GMT le 21 octobre, les fonds dormants ont commencé à bouger. En quelques heures, ils ont été acheminés par une succession de nouvelles adresses de portefeuille, de petits montants étant séparés à chaque étape avant que le reste ne poursuive sa route. Les analystes de la blockchain appellent cela une peel chain, une technique de blanchiment d'argent bien établie. La logique est simple : en fractionnant une grosse somme en petits lots répartis sur plusieurs adresses, le blanchisseur complique le regroupement automatisé et crée des frictions pour toute tentative de traçage manuel. Chaque « épluchage » peut aussi envoyer un fragment vers une plateforme d'échange, le mélangeant au flux légitime de transactions.
Des dépôts en plateforme d'échange déjà détectés
Même au stade précoce du mouvement, de petites portions des fonds avaient déjà atteint des adresses associées à des plateformes d'échange de cryptoactifs connues. C'est le détail opérationnel critique pour les équipes de conformité : les fonds ne circulent pas simplement par des portefeuilles non hébergés. Ils entrent dans une infrastructure régulée. Toute plateforme d'échange ou institution financière qui reçoit un dépôt sans alerte d'analyse blockchain liée au groupe de portefeuilles DarkSide traite potentiellement, à cet instant, des produits sanctionnés ou d'origine criminelle.
Le lien avec REvil et pourquoi les deux groupes comptent ensemble
La coïncidence entre le mouvement DarkSide et l'opération gouvernementale contre REvil est significative au-delà du hasard. Des chercheurs en sécurité, notamment chez Elliptic, ont relevé des similitudes structurelles entre DarkSide et REvil : formatage comparable des notes de rançon et code qui se recoupe. Les deux groupes sont largement considérés comme liés, partageant peut-être des développeurs ou une infrastructure. Lorsqu'une action gouvernementale déstabilise un groupe, les acteurs affiliés accélèrent souvent la liquidation des produits dormants, soit pour devancer une saisie anticipée, soit parce que la perturbation fait s'effondrer la confiance qui maintenait les fonds inactifs.
Ce qu'une cyberattaque gouvernementale contre REvil signifie pour le blanchiment
Une cyberopération offensive de niveau étatique contre un groupe de rançongiciel constitue une escalade significative. Plutôt que d'attendre une arrestation ou une saisie traditionnelle par les forces de l'ordre, l'opération aurait directement mis REvil hors ligne. Pour les acteurs détenant des produits de rançongiciel dormants, ce type d'intervention est un signal crédible que l'attente n'est plus sûre. Le schéma que les équipes de conformité doivent intégrer : les cyberactions gouvernementales contre les groupes de rançongiciel ont tendance à déclencher des mouvements on-chain de fonds jusque-là dormants dans tout l'écosystème, pas seulement au sein du groupe visé.
Obligations LBC et de conformité pour les entreprises et les plateformes d'échange
En vertu du Bank Secrecy Act et des orientations de FinCEN, les institutions financières américaines et les entreprises de services monétaires (qui incluent la plupart des plateformes d'échange de cryptoactifs régulées) doivent maintenir des programmes LBC incluant une surveillance des transactions capable de détecter les activités suspectes. Lorsque des fonds dont la provenance liée à un rançongiciel est documentée atteignent une adresse de dépôt client, plusieurs obligations se déclenchent simultanément.
Filtrage et surveillance des transactions
Le filtrage par analyse blockchain doit couvrir non seulement le portefeuille DarkSide d'origine, mais tout le groupe en aval, y compris les adresses de peel chain. Une peel chain existe précisément pour créer une distance avec l'adresse d'origine ; un outil de filtrage qui ne vérifie que les expéditeurs directs manquera les fragments acheminés par deux ou trois sauts intermédiaires. Les équipes de conformité doivent confirmer que leur configuration de filtrage actuelle couvre les associations de portefeuilles au deuxième et au troisième degré pour les groupes de rançongiciel connus.
Considérations OFAC
L'Office of Foreign Assets Control (OFAC) du Trésor américain a déjà désigné des acteurs de rançongiciel et des portefeuilles associés. Tout dépôt qui remonte à un portefeuille désigné, même indirectement, crée une exposition potentielle aux sanctions. Les entreprises doivent vérifier les désignations OFAC en vigueur par rapport aux adresses de portefeuille figurant dans les rapports d'analyse blockchain à mesure que le mouvement DarkSide progresse. Le fait que les fonds bougent maintenant signifie que la liste des adresses désignées pourrait être mise à jour à court terme, les autorités suivant le nouveau groupe de portefeuilles.
Déclaration d'activité suspecte
Si un dépôt client est signalé comme potentiellement lié au groupe DarkSide, l'obligation standard de déclaration de soupçon (SAR) s'applique. Le détail pertinent à documenter n'est pas seulement le montant du dépôt, mais aussi les preuves issues de l'analyse blockchain : le chemin du portefeuille, le nombre de sauts depuis l'adresse DarkSide connue et toute adresse de plateforme d'échange identifiée comme étape intermédiaire. Une documentation rigoureuse protège l'entreprise lors de tout contrôle réglementaire ultérieur.
Implications pour les cabinets comptables et les directeurs financiers utilisant des logiciels de comptabilité crypto
Pour les cabinets comptables qui gèrent des portefeuilles d'actifs numériques ou des fonctions de trésorerie pour le compte de clients, et pour les directeurs financiers dont les organisations détiennent ou échangent des bitcoins, le mouvement DarkSide crée deux préoccupations distinctes mais liées.
Risque d'actifs entachés en comptabilité de portefeuille
Si le client d'un cabinet détient des bitcoins achetés sur une plateforme d'échange qui a reçu des dépôts liés à DarkSide, les pièces du client ne sont pas automatiquement entachées. La fongibilité du Bitcoin signifie que, dans la plupart des cas, les pièces mélangées sur une plateforme d'échange ne sont pas individuellement traçables jusqu'à une source criminelle. Toutefois, si un client a traité directement avec un portefeuille qui est ensuite identifié comme faisant partie du groupe de peel chain, le traitement comptable et l'obligation de déclaration réglementaire changent sensiblement. Un bon logiciel de comptabilité crypto doit signaler les actifs reçus d'adresses figurant sur les listes de sanctions, et les équipes de conformité doivent vérifier que leurs outils mettent à jour les données de désignation des portefeuilles quasi en temps réel, et non selon un cycle hebdomadaire ou mensuel.
Piste d'audit et normes de documentation
Les auditeurs qui examinent les avoirs en actifs numériques pour la période couvrant ce mouvement voudront voir la preuve que le filtrage LBC de l'entité était actif et contemporain. Une lacune dans les journaux de filtrage, ou une configuration de filtrage non mise à jour pour inclure le nouveau groupe de portefeuilles DarkSide, est une constatation d'audit qui attend de se produire. L'étape pratique est simple : extraire la configuration de filtrage dès maintenant, documenter la date et la portée, et conserver cette trace dans le dossier d'audit LBC. Si votre cabinet utilise un logiciel de comptabilité d'actifs numériques pour rapprocher les transactions on-chain, confirmez que le flux de données du logiciel inclut les résultats d'analyse blockchain, et pas seulement les données de prix et de quantité.
Pour plus de contexte sur la manière dont les outils d'analyse avancée sont utilisés pour détecter ces schémas, consultez notre article sur l'application de l'IA à la détection du blanchiment de bitcoins à grande échelle. Pour un cadre plus large sur les signaux d'alerte on-chain que les équipes de conformité doivent reconnaître, l'article sur les signaux d'alerte LBC à reconnaître après les piratages de ponts crypto couvre des typologies qui se recoupent.
Questions fréquentes
Qu'est-ce qu'une peel chain et pourquoi est-ce important pour le filtrage LBC ?
Une peel chain est une technique de superposition consistant à déplacer une grande quantité de cryptomonnaie par une séquence d'adresses de portefeuille, une petite portion étant « épluchée » à chaque étape. Il en résulte que la somme d'origine est fragmentée et que la distance entre l'adresse source et tout dépôt éventuel en plateforme d'échange augmente à chaque saut. Pour le filtrage LBC, cela signifie qu'un outil qui ne vérifie que l'expéditeur immédiat d'un dépôt manquera les fonds épluchés via des adresses intermédiaires. Un filtrage efficace exige l'analyse du graphe complet des transactions, pas seulement de l'adresse prédécesseur directe.
Les plateformes d'échange sont-elles légalement tenues de bloquer les dépôts issus de portefeuilles de rançongiciel ?
L'obligation dépend du statut réglementaire du portefeuille concerné. Si le portefeuille ou son propriétaire a été formellement désigné par l'OFAC, le traitement d'une transaction impliquant ce portefeuille, même indirectement, peut constituer une violation des sanctions en vertu de l'International Emergency Economic Powers Act. Au-delà des sanctions, les plateformes d'échange soumises au Bank Secrecy Act doivent déposer une SAR si elles ont des raisons de savoir qu'un dépôt est lié à une activité criminelle, même si le portefeuille n'est pas formellement désigné. Les deux obligations s'appliquent en parallèle, et non comme des alternatives.
À quelle vitesse une équipe de conformité doit-elle agir lorsque des fonds de rançongiciel dormants commencent à bouger ?
Immédiatement. Une peel chain peut acheminer des fonds vers une adresse de dépôt de plateforme d'échange en quelques heures après le mouvement initial, comme l'illustre le cas DarkSide. Les équipes de conformité doivent traiter un signalement crédible de mouvement de fonds de rançongiciel dormants comme un déclencheur pour examiner et, si nécessaire, mettre à jour leur configuration de filtrage par analyse blockchain le jour même. Attendre une mise à jour formelle des désignations OFAC avant d'agir crée une fenêtre d'exposition.
Détenir des bitcoins achetés sur une plateforme d'échange légitime crée-t-il une exposition au rançongiciel pour une trésorerie d'entreprise ?
Dans la plupart des cas, non. Les bitcoins acquis par le processus ordinaire de tenue de marché d'une plateforme d'échange régulée ne sont pas individuellement traçables jusqu'à une source criminelle après avoir été mélangés dans le pool de liquidité de la plateforme. Le risque est spécifique : si un portefeuille de trésorerie a reçu des bitcoins directement d'une adresse ensuite identifiée comme faisant partie d'un groupe de blanchiment de rançongiciel, cette détention justifie un examen. Les trésoriers d'entreprise doivent conserver les enregistrements de transactions et les rapports d'analyse blockchain pour démontrer la provenance des avoirs, en particulier pour les actifs acquis pendant des périodes d'activité intense de blanchiment de rançongiciel.
Que doit faire un cabinet comptable si l'audit des actifs numériques d'un client couvre la période de ce mouvement ?
Le cabinet doit documenter que le filtrage LBC du client était actif et correctement configuré pendant la période concernée, vérifier qu'aucun portefeuille client n'a reçu de dépôts traçables jusqu'au groupe DarkSide, et conserver les rapports d'analyse blockchain dans les dossiers de travail d'audit. Si une exposition est identifiée, le cabinet doit évaluer si une obligation de SAR est déclenchée et si les exigences de déclaration OFAC s'appliquent. L'opinion d'audit elle-même pourrait devoir mentionner le caractère adéquat des contrôles LBC du client sur les transactions d'actifs numériques en tant que question de continuité d'exploitation ou de contrôle interne.
Source : Elliptic
]]>