Ransomware REvil : comment les paiements crypto sont effectués et blanchis
Une étude de cas détaillée publiée par la société d'analyse blockchain Elliptic retrace une véritable attaque par ransomware REvil, depuis le moment de l'infection jusqu'à la négociation de la rançon, le paiement en Bitcoin et le blanchiment post-paiement. Pour les cabinets comptables, les auditeurs et les directeurs financiers qui gèrent ou conseillent sur l'exposition aux actifs numériques, les conclusions ont des implications directes en matière d'AML, de sanctions et de reporting financier qui ne peuvent être ignorées.
Ce qu'est REvil et pourquoi cela compte pour les utilisateurs de logiciels de comptabilité crypto
REvil, également connu sous le nom de Sodinokibi, est un groupe de ransomware lié à la Russie, responsable d'attaques contre des entreprises de multiples secteurs. Dans un incident très médiatisé, des centaines d'entreprises ont été compromises via une attaque par chaîne d'approvisionnement visant Kaseya, un fournisseur de logiciels de gestion informatique. Le groupe opère à grande échelle, gérant ce qui équivaut à une entreprise criminelle professionnelle avec son propre portail de victimes, son interface de négociation et son infrastructure de support technique.
Comprendre comment REvil collecte et déplace les cryptomonnaies n'est pas un exercice académique. Les entreprises qui utilisent un logiciel de comptabilité crypto pour enregistrer des transactions d'actifs numériques doivent comprendre que les fonds passant par des plateformes d'échange peuvent porter une contamination liée à un ransomware, et que cette contamination peut refaire surface lors d'une due diligence, d'un audit ou d'un examen réglementaire. Le cycle de vie documenté par Elliptic rend ce risque concret.
Au cœur de la négociation : de la demande en Monero au paiement en Bitcoin
L'affaire suivie par Elliptic a commencé par une infection REvil standard. Une fois le malware exécuté sur le système de la victime, il a chiffré les fichiers et laissé une note de rançon dirigeant la victime vers un portail hébergé sur Tor. Ce portail affichait la demande initiale : 50 000 $ payables en Monero (XMR), une cryptomonnaie axée sur la confidentialité conçue pour être extrêmement difficile à tracer sur la blockchain.
Le passage du Monero au Bitcoin
Le Monero est la devise préférée de nombreux groupes de ransomware précisément parce que son graphe de transactions est opaque par conception. Obtenir du XMR est également plus difficile pour la plupart des victimes, en particulier aux États-Unis où moins de plateformes le proposent. Les sociétés de réponse aux ransomwares qui négocient et paient au nom des victimes refusent fréquemment les paiements en Monero, en partie pour des raisons de conformité aux sanctions.
Dans ce cas, la victime a demandé à payer en Bitcoin à la place. REvil a accepté, mais a appliqué un supplément de 10 % sur le montant négocié. Cette prime est révélatrice : le groupe a explicitement intégré le risque supplémentaire qu'il accepte en recevant un actif traçable. Le registre public du Bitcoin signifie que les sociétés d'analyse blockchain peuvent suivre l'argent, et les opérateurs de REvil le savent.
La négociation en pratique
Le portail des victimes fonctionne comme une interface de service client commercial, avec un onglet de chat où la victime peut communiquer directement avec les opérateurs de REvil. L'échange documenté montre la victime ouvrant les négociations, demandant une preuve de capacité de déchiffrement (REvil a fourni des fichiers échantillons déchiffrés comme preuve), puis faisant baisser le prix de manière agressive. Une contre-offre initiale de 10 000 $ a été rejetée. Après d'autres allers-retours, les deux parties se sont entendues sur 25 000 $ en Bitcoin, soit environ la moitié de la demande initiale après prise en compte d'une remise de 20 % appliquée par REvil avant même le début des négociations.
Avant d'envoyer les fonds, la victime a demandé à REvil de confirmer l'adresse Bitcoin de destination. Cette prudence est opérationnellement importante : les paiements en cryptomonnaie sont irréversibles. Une fois diffusée sur le réseau, une transaction ne peut pas être rappelée. Vérifier l'adresse avant la transmission est une hygiène élémentaire, mais c'est une étape que les victimes sous pression oublient fréquemment.
Paiement confirmé : ce qui se passe sur la blockchain
Une fois que la victime a transféré 25 000 $ en Bitcoin, le portail REvil s'est mis à jour pour confirmer la réception et donner accès à l'outil de déchiffrement. Pour la victime, l'incident était effectivement terminé. Pour la conformité et les besoins médico-légaux, il ne faisait que commencer.
Empilement et fractionnement des portefeuilles
Le traçage blockchain d'Elliptic a montré que REvil a immédiatement commencé à blanchir les fonds reçus. La technique de blanchiment utilisée est connue sous le nom d'empilement : les bitcoins sont répartis sur plusieurs portefeuilles, combinés avec des fonds provenant d'autres paiements de rançon, et acheminés via des adresses intermédiaires pour obscurcir la source d'origine. Au moment de la publication, le processus de blanchiment était décrit comme toujours en cours, mais l'analyse blockchain avait déjà tracé des portions des fonds jusqu'à des plateformes d'échange.
Ces plateformes détiennent des dossiers de connaissance du client (KYC) pour les comptes ayant reçu les bitcoins contaminés. Ces données représentent des renseignements exploitables pour les forces de l'ordre, même si l'encaissement final n'a pas encore eu lieu. L'implication pratique pour les plateformes et les institutions financières est que le filtrage des dépôts entrants par rapport aux portefeuilles de ransomwares connus n'est pas facultatif ; c'est un contrôle AML de première ligne.
Pourquoi les plateformes d'échange sont le point de blocage
La plupart des plateformes qui convertissent le Bitcoin en monnaie fiduciaire utilisent des outils d'analyse blockchain pour filtrer les dépôts des clients. Les fonds contaminés identifiés à ce stade peuvent être gelés en attendant l'examen des forces de l'ordre. Les tentatives d'empilement de REvil sont en partie conçues pour passer ce filtre en brisant le lien direct entre le portefeuille de la rançon et le compte d'encaissement. Plus la chaîne d'empilement est longue et complexe, plus l'attribution est difficile, bien que l'étude de cas d'Elliptic montre que des analyses sophistiquées peuvent encore suivre le fil.
Pour un examen plus approfondi de la manière dont l'intelligence artificielle est désormais appliquée pour détecter ce type de comportement de blanchiment à grande échelle, consultez notre article sur comment l'IA est appliquée pour détecter le blanchiment d'argent Bitcoin à grande échelle.
Implications AML pour les cabinets comptables et les directeurs financiers
L'étude de cas REvil est une illustration pratique de la manière dont la criminalité financière liée aux cryptos atteint les bilans d'entreprises par ailleurs légitimes. Il existe plusieurs points de pression de conformité distincts pour les cabinets de services professionnels et les équipes de finance d'entreprise.
Paiements de rançon et risque de sanctions
Payer une rançon à une entité sanctionnée, ou à un groupe dont les membres sont soumis à des sanctions, peut en soi constituer une violation des sanctions, que le paiement ait été effectué sous la contrainte ou non. L'Office of Foreign Assets Control (OFAC) des États-Unis a précédemment publié des orientations précisant que les paiements de rançon à des acteurs sanctionnés comportent un risque réglementaire pour la victime et tout intermédiaire, y compris les conseillers et les sociétés de réponse aux incidents, impliqués dans la facilitation du paiement. Tout client victime d'une attaque par ransomware et ayant payé en cryptomonnaie doit voir ce paiement évalué pour l'exposition aux sanctions avant qu'il n'apparaisse dans un état financier.
Traitement comptable d'un paiement de rançon
D'un point de vue purement comptable, une rançon payée en cryptomonnaie implique au moins deux événements comptables distincts : la cession de la cryptomonnaie (qui peut déclencher une plus-value ou moins-value en capital imposable selon le coût d'acquisition des bitcoins utilisés) et la comptabilisation de la rançon en charge d'exploitation ou en perte. Si les bitcoins utilisés pour le paiement étaient détenus au bilan de l'entreprise, la cession doit être enregistrée à la juste valeur de marché au moment de la transaction. Les entreprises qui s'appuient sur un logiciel de comptabilité d'actifs numériques doivent vérifier que leurs systèmes capturent le coût de base des pièces cédées et génèrent automatiquement le calcul de plus ou moins-value approprié.
Entrées contaminées : le côté du destinataire
Les cabinets comptables qui fournissent des services de tenue de comptabilité externalisée ou de direction financière à des entreprises de cryptomonnaie font face à un risque différent : un client peut recevoir sans le savoir des fonds ayant transité par des portefeuilles de ransomwares lors de la chaîne de blanchiment. Si le compte d'échange d'un client reçoit des bitcoins qu'Elliptic ou un outil d'analyse comparable peut relier à un portefeuille REvil, la plateforme peut geler les fonds, déposer un rapport d'activité suspecte (SAR), ou les deux. Les entreprises utilisant un logiciel de comptabilité crypto doivent s'assurer que leur processus de rapprochement signale tout fonds ensuite gelé ou mis en quarantaine par une plateforme, et que les obligations de divulgation pertinentes sont comprises.
Ce risque n'est pas hypothétique. Comme nous l'avons déjà couvert, les signaux d'alerte AML que les équipes de conformité doivent connaître après les piratages de ponts crypto incluent exactement ce type de contamination en aval, où des fonds issus d'activités criminelles passent par de multiples sauts avant d'atterrir dans un compte apparemment propre.
Étapes pratiques pour les cabinets conseillant des clients actifs en crypto
L'étude de cas d'Elliptic est suffisamment détaillée pour étayer un ensemble de réponses opérationnelles concrètes pour les cabinets de services professionnels.
Préparation avant incident
Les cabinets doivent vérifier si leurs clients disposent d'un protocole de réponse aux ransomwares incluant une vérification des sanctions avant tout paiement. Si un client opère aux États-Unis, tout paiement touchant une personne ou entité sanctionnée comporte une exposition OFAC. Le plan de réponse aux incidents doit inclure une étape où un conseil juridique spécialisé en sanctions est engagé avant que les fonds ne bougent, et non après.
Revue comptable post-paiement
Si un paiement a déjà été effectué, l'équipe comptable doit reconstituer la transaction avec précision : la date, le montant en Bitcoin, l'équivalent en monnaie fiduciaire au moment du transfert, le coût de base des pièces utilisées et les adresses de portefeuille impliquées. Ces détails sont nécessaires à la fois pour les états financiers et pour toute coopération ultérieure avec les forces de l'ordre. Un logiciel de comptabilité d'actifs numériques robuste qui préserve une piste d'audit complète et horodatée n'est pas un luxe dans ce scénario ; c'est une condition préalable à un reporting défendable.
Filtrage continu des portefeuilles
Pour les cabinets qui gèrent des trésoreries crypto ou traitent des reçus crypto pour le compte de clients, le filtrage des portefeuilles par rapport aux listes de ransomwares et de sanctions connues doit être un contrôle opérationnel permanent, et non une vérification ponctuelle. Les capacités d'analyse blockchain sont désormais disponibles dans le commerce et sont de plus en plus attendues par les régulateurs dans le cadre d'un dispositif AML crédible. L'affaire REvil confirme que même les petites entreprises sont des cibles, et que les montants des rançons impliqués, bien que modestes par rapport aux attaques médiatisées, sont suffisamment importants pour causer un préjudice financier et réputationnel matériel.
Questions fréquentes
Une entreprise peut-elle légalement payer une rançon en cryptomonnaie ?
Cela dépend de qui reçoit le paiement. Aux États-Unis, payer une rançon à une personne ou un groupe désigné par l'OFAC comme partie sanctionnée peut constituer une violation des sanctions, même si le paiement a été effectué sous la contrainte. L'OFAC a publié des orientations spécifiques sur les paiements de rançon. Avant tout paiement de rançon, un conseil spécialisé en sanctions doit être engagé. Le fait que le paiement soit effectué en cryptomonnaie ne change pas l'analyse juridique.
Comment un paiement de rançon en Bitcoin doit-il être enregistré dans les comptes ?
Une rançon payée en Bitcoin implique la cession d'un actif en capital. La cession doit être enregistrée à la juste valeur de marché du Bitcoin au moment de la transaction. La différence entre cette valeur et le coût de base des bitcoins détenus constitue une plus-value ou moins-value en capital. La rançon elle-même est généralement enregistrée comme charge d'exploitation ou perte exceptionnelle, selon le référentiel comptable utilisé. Les deux événements doivent être saisis séparément dans votre logiciel de comptabilité d'actifs numériques.
Pourquoi les groupes de ransomware préfèrent-ils le Monero au Bitcoin ?
Le Monero utilise des techniques cryptographiques qui obscurcissent les adresses d'expéditeur, les adresses de destinataire et les montants des transactions au niveau du protocole. Contrairement au Bitcoin, où le graphe de transactions est publiquement visible sur la blockchain, les transactions Monero sont conçues pour être intraçables. Cela rend beaucoup plus difficile pour les sociétés d'analyse blockchain de suivre l'argent après un paiement de rançon. La volonté de REvil d'accepter du Bitcoin dans le cas documenté, avec une prime de 10 %, reflète le risque de traçabilité supplémentaire que le groupe assume en s'éloignant du Monero.
Qu'est-ce que l'empilement dans le contexte du blanchiment de cryptomonnaies ?
L'empilement est la deuxième étape du modèle classique de blanchiment d'argent en trois étapes : placement, empilement et intégration. Dans un contexte crypto, l'empilement consiste généralement à répartir les fonds sur de nombreux portefeuilles, à les mélanger avec des fonds d'autres sources et à les acheminer via de multiples adresses intermédiaires pour briser la piste des transactions. L'objectif est de rendre difficile pour les outils d'analyse blockchain la connexion entre le portefeuille criminel d'origine et le point d'encaissement final sur une plateforme d'échange.
Que doit faire un cabinet comptable si les fonds crypto d'un client sont gelés en raison d'une contamination par ransomware ?
La première étape est de comprendre la base du gel. Les plateformes d'échange gèlent généralement les fonds lorsque leurs outils de filtrage signalent une connexion à un portefeuille illicite connu. Le cabinet doit obtenir la documentation de la plateforme, évaluer si un SAR a été déposé et engager un conseil juridique expert en AML. D'un point de vue comptable, les fonds gelés peuvent devoir être reclassés en actif éventuel jusqu'à la résolution du gel, avec une information appropriée dans les états financiers. La situation ne doit pas être traitée comme un élément de rapprochement de routine.
Source : Elliptic