Pourquoi le filtrage générique échoue pour la conformité des stablecoins

Les stablecoins sont discrètement devenus le rail dominant du financement illicite on-chain, et les cadres de conformité dont disposent la plupart des entreprises n'ont pas été conçus pour eux. Un modèle de type « désigner puis filtrer », où un nom apparaît sur une liste de sanctions et vous filtrez en conséquence, est nécessaire mais structurellement trop lent pour la manière dont le risque lié aux stablecoins se déplace réellement. L'écart entre le moment où un acteur malveillant commence à utiliser un jeton et celui où il apparaît sur une liste peut se compter en jours, en semaines, voire davantage. C'est dans cette fenêtre que réside l'exposition, et c'est précisément là que les logiciels de comptabilité crypto génériques et la surveillance standard des transactions laissent les organisations aveugles.

Les stablecoins sont traçables, mais la menace se déplace vite

Chaque transaction en stablecoin est enregistrée on-chain. Le flux des fonds entre les blockchains peut être suivi, et chaque interaction de portefeuille peut être filtrée et évaluée pour des signaux de risque. Cette traçabilité constitue un avantage de conformité réel par rapport aux espèces ou même aux virements traditionnels. Le problème est que les acteurs illicites le savent et se sont adaptés.

Comment les acteurs illicites exploitent le décalage du filtrage

Les recherches d'Elliptic mettent en évidence deux schémas qui illustrent clairement le problème de timing. Premièrement, des flux liés au IRGC ont déplacé des centaines de millions en USDT via des plateformes d'échange avant que ces plateformes ou leurs contreparties n'apparaissent sur une liste de sanctions. Deuxièmement, le stablecoin adossé au rouble A7A5 de la Russie a construit ce qui équivalait à un système de règlement parallèle tout en opérant entièrement en dehors des listes désignées. Dans les deux cas, l'activité était traçable rétrospectivement. Mais les entreprises s'appuyant sur un filtrage par listes n'avaient aucune alerte précoce.

Les acteurs nord-coréens ajoutent une dimension de vitesse qui rend le problème encore plus aigu. Lorsque le groupe Lazarus ou des clusters affiliés volent des stablecoins, ils superposent les fonds via des services de mixage et des ponts inter-chaînes dans les heures suivant un piratage, bien avant que toute liste ne soit mise à jour. Au moment où une désignation est émise, les fonds ont déjà franchi plusieurs sauts et la piste nécessite un travail médico-légal important pour être reconstituée.

L'implication pratique pour les équipes de conformité est que le filtrage réactif, même lorsqu'il est bien configuré et bien maintenu, ne peut pas combler ce décalage temporel à lui seul. La détection doit remonter en amont, dans l'écosystème lui-même, avant qu'une contrepartie n'atteigne une liste de sanctions.

Pourquoi le profil de risque diffère selon le type d'institution

L'un des cadres les plus utiles de l'analyse d'Elliptic est l'observation selon laquelle les obligations de conformité relatives aux stablecoins sont très différentes selon le type d'organisation. Un émetteur de stablecoins, une banque et un échange font face chacun à des surfaces d'exposition distinctes, et une couche de conformité générique ne peut pas être réglée avec suffisamment de précision pour servir les trois.

Émetteurs de stablecoins : une visibilité à l'échelle de l'écosystème

Le défi de conformité d'un émetteur est structurel. Un stablecoin ne reste pas dans les portefeuilles auxquels il est initialement émis. Il est échangé sur les marchés secondaires, ponté vers d'autres blockchains, déposé dans des protocoles DeFi et transféré de pair à pair entre des milliers de portefeuilles que l'émetteur n'a jamais intégrés. Les régulateurs commencent néanmoins à attendre des émetteurs qu'ils aient une connaissance de ces indicateurs de risque à l'échelle de l'écosystème et qu'ils conçoivent des contrôles autour de ceux-ci.

Cette attente réglementaire est codifiée à la fois dans le GENIUS Act aux États-Unis et dans le règlement sur les marchés de crypto-actifs (MiCA) dans l'Union européenne, ainsi que dans les orientations du GAFI. Les émetteurs doivent être en mesure de geler les portefeuilles contrôlés par des parties sanctionnées, de déposer des déclarations d'activités suspectes avec des preuves on-chain à l'appui, et de réévaluer les relations avec les prestataires de services sur actifs virtuels dont l'activité en aval présente un risque inacceptable. Le filtrage standard des contreparties, qui ne examine que les portefeuilles que l'émetteur a lui-même intégrés, ne va pas aussi loin.

Une conformité efficace des émetteurs nécessite des tableaux de bord d'analyse d'actifs qui font apparaître les tendances d'exposition au risque spécifiques au réseau du jeton, ainsi qu'une couche d'alerte capable de signaler des transactions interdites ou à haut risque spécifiques au moment où elles se produisent, et non après une mise à jour de liste.

Banques et institutions financières : le problème de l'exposition indirecte

De nombreuses banques supposent que la conformité des stablecoins ne les concerne que si elles ont une stratégie crypto active. Cette hypothèse est de plus en plus erronée. Considérez trois scénarios qui n'exigent aucune activité crypto directe de la part de la banque : un client corporatif reçoit un paiement en dollars provenant d'USDT convertis via un échange ; un client fintech intègre le règlement en stablecoins dans son produit de paiement ; un client de banque correspondante fournit des services à des institutions qui interagissent avec l'infrastructure des stablecoins. Dans chaque cas, le risque est réel mais invisible pour la surveillance traditionnelle des transactions.

Les régulateurs réagissent déjà. En septembre 2025, le New York Department of Financial Services a publié des orientations à l'intention de toutes les organisations bancaires de New York engagées dans une activité de monnaie virtuelle ou envisageant de l'être. Ces orientations fixaient des attentes spécifiques couvrant le filtrage des portefeuilles, la vérification de l'origine des fonds et la surveillance de l'écosystème. D'autres juridictions vont dans la même direction.

Pour les banques servant directement des émetteurs de stablecoins, il existe une deuxième couche au-delà de leur propre filtrage client : l'écosystème de l'émetteur lui-même. Les capacités de diligence raisonnable des émetteurs (IDD) donnent aux banques une visibilité continue sur le comportement des portefeuilles d'un émetteur, le risque de contrepartie à travers le réseau de l'émetteur et les concentrations d'activité dans des juridictions à haut risque. Avec le GENIUS Act qui établit des obligations de surveillance continue pour les banques qui détiennent des réserves d'émetteurs ou fournissent des services bancaires aux émetteurs, ce type de visibilité continue devient une exigence opérationnelle, et non plus une simple bonne pratique.

Échanges : détecter des schémas comportementaux, pas seulement des noms

Les échanges font face à un ensemble différent de schémas spécifiques aux stablecoins que les outils de filtrage génériques n'ont pas été conçus pour détecter. Quatre méritent d'être signalés explicitement.

• Cycles rapides de mint-burn : de grands volumes de stablecoins sont frappés, déplacés via des portefeuilles intermédiaires et brûlés en quelques heures, exploitant l'écart entre la frappe et le filtrage des sanctions.
• Mouvements inter-chaînes : l'USDT est ponté d'Ethereum vers TRON puis vers un réseau moins surveillé, brisant la chaîne de traçage à chaque saut et rendant la reconstitution de la provenance plus difficile.
• Schémas de concentration : une part disproportionnée du volume d'un stablecoin transite par des portefeuilles situés dans des juridictions à faible application des règles AML.
• Chaînes de pelage : de grands soldes en stablecoins sont fragmentés en montants plus petits et répartis sur des dizaines de portefeuilles avant d'être consolidés à un point de sortie.

Chacun de ces schémas est conçu pour créer des ruptures dans la chaîne de traçage. Toute lacune dans la couverture inter-chaînes est une lacune dans le programme de conformité, et le blanchiment via stablecoins est délibérément structuré pour trouver et exploiter ces lacunes.

Implications comptables et fiscales pour les entreprises

Pour les cabinets comptables et les directeurs financiers

Les obligations de conformité décrites ci-dessus génèrent un travail comptable important. Les événements de gel, les dépôts de SAR et les réévaluations des relations avec les émetteurs nécessitent tous une documentation contemporaine, et cette documentation doit être prête pour l'audit. Les entreprises utilisant des logiciels de comptabilité crypto pour gérer des positions en actifs numériques doivent s'assurer que leur logiciel peut capturer la piste de preuves on-chain que les régulateurs et les auditeurs s'attendront à voir, et pas seulement les montants de règlement.

Pour les directeurs financiers des institutions exposées aux stablecoins, les scénarios d'exposition indirecte sont particulièrement pertinents. Si une trésorerie d'entreprise détient des stablecoins comme outil de liquidité ou accepte des règlements en stablecoins, le traitement comptable doit refléter non seulement la juste valeur de l'actif mais aussi le statut de filtrage AML des contreparties impliquées. Tout gel ou mesure d'exécution affectant une position en stablecoins nécessitera également une évaluation de la disclosure selon les normes de reporting financier applicables.

Les banques qui fournissent des services aux émetteurs de stablecoins devront documenter leurs processus d'IDD dans le cadre de leur propre cadre de contrôle interne. À mesure que les obligations du GENIUS Act se précisent, les auditeurs rechercheront des preuves que la surveillance continue des écosystèmes d'émetteurs est intégrée aux flux de travail opérationnels, et non traitée comme un exercice d'intégration ponctuel.

Pour les déclarants individuels et les petits opérateurs

Pour les contribuables individuels ou les petits opérateurs effectuant des transactions en stablecoins, le tableau de conformité est différent mais non dépourvu de pertinence. Si des fonds reçus en paiements de stablecoins transitent par des portefeuilles qui attirent ensuite l'attention des autorités, l'individu peut faire face à des questions sur l'origine des fonds de la part de son échange ou de sa banque. Tenir des registres propres de l'origine et de la destination des flux de stablecoins n'est pas seulement une bonne pratique pour la déclaration fiscale ; c'est de plus en plus une attente de base des contreparties réglementées.

D'un point de vue fiscal, les transactions en stablecoins qui ressemblent à de simples transferts peuvent tout de même déclencher des obligations de déclaration selon la juridiction et la structure. Aux États-Unis, l'IRS traite les conversions stablecoin-fiat et les échanges stablecoin-crypto comme des événements imposables. Toute position gelée par un émetteur agissant sous directive réglementaire crée une complexité supplémentaire : l'actif n'est ni réalisé ni librement disponible, et le traitement fiscal de ce statut n'est pas encore réglé dans la plupart des juridictions. Les déclarants dans cette situation devraient demander un avis spécifique plutôt que d'appliquer les règles de cession standard.

Ce qu'exige en pratique une AML robuste pour les stablecoins

Le tableau qui émerge de l'analyse d'Elliptic pointe vers un ensemble de capacités que tout programme sérieux de conformité des stablecoins doit posséder, quel que soit le type d'institution.

Détection des risques en amont

La surveillance doit se faire au niveau de l'écosystème, en identifiant les signaux de risque émergents avant qu'ils n'atteignent une échelle qui attire l'attention des autorités. Cela signifie une détection des schémas comportementaux, et pas seulement une correspondance avec des listes. Cela implique une surveillance continue des clusters de portefeuilles associés à des juridictions à haut risque, à des activités de mixage et à des mouvements inter-chaînes rapides, même lorsqu'aucun de ces portefeuilles n'a encore été désigné.

Provenance inter-chaînes

Toute rupture dans la chaîne de traçage est une rupture dans le programme de conformité. Une couverture efficace doit suivre les actifs lorsqu'ils traversent des ponts, des échanges décentralisés et des protocoles de wrapping, en maintenant une provenance complète à chaque saut. Une couverture de 64 blockchains ou plus est le type d'étendue qu'exigent les schémas de blanchiment via stablecoins ; une couverture plus étroite crée des angles morts exploitables.

Documentation prête pour l'audit

Les régulateurs et les auditeurs ne demandent pas seulement si le filtrage a eu lieu. Ils demandent s'il existe un chemin structuré et documenté entre l'identification du risque et la décision. Les flux de conformité doivent générer cette documentation automatiquement à chaque étape, depuis le signalement initial jusqu'à l'enquête et à la décision finale. C'est ce qui transforme une capacité de surveillance en une piste de preuves qui résiste à l'examen réglementaire.

Les entreprises qui traitent l'AML des stablecoins comme une extension de leur programme de conformité fiat existant constateront probablement que l'adéquation est mauvaise. Les décalages temporels, la complexité inter-chaînes et les obligations à l'échelle de l'écosystème que les régulateurs commencent à imposer pointent tous dans la même direction : la conformité des stablecoins nécessite des outils spécialement conçus et un cadre pensé autour du comportement réel du risque lié aux stablecoins, et non de la manière dont la criminalité financière traditionnelle était surveillée il y a une décennie.

Pour les cabinets comptables et les directeurs financiers conseillant des clients exposés aux stablecoins, le point de départ pratique est une analyse d'écart : cartographier les points de contact réels du client avec les stablecoins, y compris indirects, par rapport aux capacités de surveillance et de documentation actuellement en place. Les orientations du NYDFS de septembre 2025 et le cadre du GENIUS Act fournissent ensemble un référentiel utile pour ce que les régulateurs s'attendent à voir, même dans les juridictions où les règles spécifiques n'ont pas encore été finalisées.

Source : Elliptic

Foire aux questions

Pourquoi un modèle de type « désigner puis filtrer » est-il insuffisant pour la conformité des stablecoins ?

Le filtrage par listes ne détecte que les acteurs malveillants connus après qu'une désignation a été émise. Les menaces spécifiques aux stablecoins, telles que les flux d'échange liés au IRGC et les opérations de blanchiment nord-coréennes, traversent l'écosystème puis disparaissent dans des ponts et des mixeurs avant que toute liste ne soit mise à jour. Le décalage temporel entre l'activité illicite et la désignation est là où réside l'exposition.

Les banques ont-elles besoin de contrôles AML sur les stablecoins même sans stratégie crypto directe ?

Oui. L'exposition indirecte survient lorsque des clients corporatifs reçoivent des paiements provenant de stablecoins, lorsque des partenaires fintech intègrent le règlement en stablecoins, ou lorsque des clients de banques correspondantes servent des institutions connectées à l'infrastructure des stablecoins. Les orientations du NYDFS de septembre 2025 traitent spécifiquement des organisations bancaires engagées dans une activité de monnaie virtuelle ou envisageant de l'être, un champ qui englobe de nombreuses institutions qui ne se considèrent pas comme des entreprises crypto.

Que exige le GENIUS Act des banques servant des émetteurs de stablecoins ?

Le GENIUS Act établit des obligations de surveillance continue pour les banques détenant des réserves d'émetteurs ou fournissant des services bancaires aux émetteurs de stablecoins. Cela inclut une visibilité continue sur le comportement des portefeuilles de l'émetteur, le risque de contrepartie à travers le réseau de l'émetteur et les concentrations d'activité dans des juridictions à haut risque, et pas seulement une vérification ponctuelle à l'intégration.

Comment un directeur financier doit-il comptabiliser une position en stablecoins gelée par un émetteur ?

Un stablecoin gelé n'est ni réalisé ni librement disponible, ce qui crée une ambiguïté comptable. L'actif ne peut probablement pas être décomptabilisé tant que le gel n'est pas résolu, mais il peut aussi devoir être déprécié ou reclassé selon la durée et la probabilité de récupération. Le traitement fiscal est tout aussi incertain dans la plupart des juridictions. Les directeurs financiers confrontés à cette situation devraient demander un avis juridique et comptable spécifique plutôt que d'appliquer les règles de cession standard.

Quels schémas inter-chaînes les équipes de conformité doivent-elles signaler dans la surveillance des stablecoins ?

Quatre schémas méritent une attention particulière : les cycles rapides de mint-burn conçus pour exploiter les lacunes de filtrage ; le pontage inter-chaînes entre Ethereum, TRON et des réseaux moins surveillés pour briser la chaîne de traçage ; la concentration du volume via des portefeuilles dans des juridictions à faible application des règles AML ; et les chaînes de pelage où de grands soldes sont fragmentés sur des dizaines de portefeuilles avant consolidation à un point de sortie. Chacun est conçu pour créer des ruptures dans la provenance, et une surveillance efficace doit maintenir la continuité du traçage à chaque saut.