Sanctions OFAC contre Sinbad : ce que les cabinets comptables et les directeurs financiers doivent faire maintenant
L'Office of Foreign Assets Control du Trésor américain a ajouté le mélangeur de bitcoins Sinbad à sa liste de sanctions, le désignant comme un outil principal de blanchiment d'argent pour le groupe Lazarus de la Corée du Nord. Pour les cabinets comptables, les auditeurs et les directeurs financiers ayant une exposition aux actifs numériques, cette désignation n'est pas un titre géopolitique lointain. C'est un déclencheur de conformité qui exige un examen immédiat des procédures de filtrage des clients, des flux de travail de surveillance des transactions et des capacités de tout logiciel de comptabilité crypto présent dans votre pile technologique.
Ce qu'est Sinbad et pourquoi l'OFAC a agi
Sinbad, lancé en octobre 2022, fonctionne comme un service de mélange de bitcoins en chaîne. Comme d'autres mélangeurs, il accepte la cryptomonnaie des utilisateurs, regroupe ces pièces avec des fonds d'autres utilisateurs et restitue un montant équivalent, rompant délibérément la trace de transaction que les analyses de chaîne de blocs auraient autrement suivie. La désignation du Trésor décrit Sinbad comme ayant traité des millions de dollars en monnaie virtuelle liée aux opérations du groupe Lazarus, citant spécifiquement les produits des piratages de Horizon Bridge et Axie Infinity.
La connexion au groupe Lazarus
L'action de l'OFAC est cohérente avec un schéma bien documenté. Après que Tornado Cash, un mélangeur basé sur Ethereum, a été sanctionné en août 2022 et que ChipMixer a été démantelé par les forces de l'ordre début 2023, les analyses en chaîne ont suivi les acteurs nord-coréens migrant vers Sinbad. Les fonds de plusieurs grands piratages de 2023, y compris ceux de Harmony Bridge, Atomic Wallet, Alphapo, Coinspaid, Stake et Ronin Bridge, ont transité par Sinbad dans le cadre de chaînes de blanchiment en plusieurs étapes.
Une séquence documentée illustre la complexité du layering. Les fonds du piratage de Harmony Bridge sont d'abord restés dormants après avoir transité par Tornado Cash à la mi-2022. Ils ont ensuite circulé par plusieurs services intermédiaires avant d'être déchargés vers des courtiers de gré à gré apparents, blanchis via Sinbad, transférés sur le réseau TRON via Avalanche Bridge, et enfin convertis en USDT. Cette chaîne traverse au moins quatre environnements de chaîne de blocs distincts et trois points de conversion, chacun présentant un défi différent pour les systèmes de surveillance des transactions.
Échelle et position sur le marché
Les données en chaîne de TRM Labs, qui sous-tendent l'action du Trésor, montrent que Sinbad se classait comme le deuxième plus grand mélangeur en volume en 2023, recevant près d'un cinquième de tous les fonds envoyés aux mélangeurs cette année-là. Les pics de volume vers Sinbad étaient directement corrélés aux périodes où les fonds volés lors de grands piratages circulaient dans l'écosystème. Cette corrélation est précisément le type de schéma de drapeau rouge qu'un logiciel de comptabilité et de surveillance des actifs numériques robuste devrait être conçu pour détecter.
La règle proposée par FinCEN : une piste réglementaire parallèle
La désignation de l'OFAC est intervenue environ un mois après que le Financial Crimes Enforcement Network a publié une règle proposée qui exigerait formellement des institutions financières américaines, y compris les entreprises de cryptomonnaie, de surveiller et de signaler les transactions impliquant des services de mélange. Dans la règle proposée, FinCEN nomme explicitement Sinbad dans le contexte du piratage d'Atomic Wallet en juin 2023, décrivant comment les acteurs de la cybermenace représentent une part substantielle des fonds illicites circulant vers les mélangeurs.
Ce que la règle proposée signifie pour les équipes de conformité
Si la proposition de FinCEN est finalisée, elle créerait une obligation de signalement spécifique et codifiée autour des transactions liées aux mélangeurs, en plus des exigences existantes de déclaration de transactions suspectes en vertu de la loi sur le secret bancaire. Les entreprises qui disposent déjà d'un logiciel de comptabilité crypto adéquat et d'une intégration d'analyse de chaîne de blocs seront mieux placées pour respecter ce seuil. Celles qui s'appuient sur des processus manuels ou des flux de travail AML génériques font face à une lacune matérielle.
La conclusion pratique est que la désignation de l'OFAC et la réglementation de FinCEN sont des signaux convergents. Attendre que la règle de FinCEN soit finalisée avant d'agir n'est pas une posture défendable lorsqu'une désignation OFAC active crée déjà une responsabilité stricte pour les transactions avec Sinbad.
Implications comptables et AML pour les entreprises et les directeurs financiers
Filtrage des sanctions et responsabilité stricte de l'OFAC
Les sanctions de l'OFAC entraînent une responsabilité stricte. Cela signifie qu'une personne américaine, ou toute entité soumise à la juridiction américaine, peut faire face à des sanctions civiles pour avoir traité une transaction touchant une adresse sanctionnée, même si le contact était involontaire. Pour les cabinets comptables gérant des portefeuilles crypto de clients, payant des salaires en actifs numériques ou rapprochant des reçus d'échange, la désignation de Sinbad signifie que toute adresse ayant interagi avec l'empreinte en chaîne connue de Sinbad est désormais potentiellement toxique. Votre logiciel de comptabilité crypto doit être capable de signaler ces adresses au point du rapprochement, pas après coup.
Surveillance des transactions et examen de la chaîne de possession
Les séquences de blanchiment à plusieurs sauts documentées dans le cas Sinbad, couvrant Bitcoin, Ethereum, Avalanche Bridge, TRON et USDT, mettent en évidence un défi structurel. La surveillance standard des transactions qui ne vérifie que les contreparties directes manquera une exposition au deuxième et au troisième degré. Les entreprises devraient confirmer que leur couverture d'analyse de chaîne de blocs s'étend aux flux indirects et que les alertes sont calibrées pour les heuristiques liées aux mélangeurs. Ce n'est pas une amélioration théorique ; c'est désormais une attente minimale signalée à la fois par l'OFAC et FinCEN.
Due diligence des clients et examens d'intégration
Les cabinets comptables conseillant des clients natifs de la crypto ou prenant de nouveaux mandats d'actifs numériques devraient considérer cette désignation comme une incitation à réexécuter une due diligence renforcée sur les portefeuilles existants des clients. Demandez aux clients de divulguer toute interaction historique avec des services de mélange. Si un client ne peut pas fournir une provenance de transaction propre, c'est un risque d'intégration matériel qui affecte à la fois votre propre exposition réglementaire et l'intégrité de tout état financier que vous êtes chargé de certifier ou d'auditer.
Le schéma de piratage et de blanchiment parrainé par l'État nord-coréen est bien établi et continu. Au cours des cinq années précédant cette désignation, les pirates nord-coréens ont volé plus de 2 milliards USD en cryptomonnaies lors de plus de 30 attaques, selon les données de TRM Labs citées dans l'action du Trésor. Le groupe Lazarus n'est pas un acteur marginal ; c'est un adversaire persistant et sophistiqué dont les produits entrent régulièrement dans les échanges, les bureaux de gré à gré et les protocoles DeFi utilisés par les participants légitimes du marché.
Considérations comptables et relatives aux états financiers
D'un point de vue comptable, les actifs numériques reçus de, ou traités par, une entité sanctionnée ne peuvent pas être légitimement reconnus comme revenus ou stocks. Si de tels actifs apparaissent dans les livres d'un client, ils peuvent devoir être divulgués comme passifs éventuels en attendant une résolution réglementaire, et tout gain accumulé serait irréalisable en vertu de la législation actuelle sur les sanctions. Les auditeurs examinant des entités détenant des crypto-monnaies devraient désormais inclure une vérification spécifique de l'adresse liée à Sinbad dans leurs procédures d'évaluation de la continuité d'exploitation et des risques.
Pour les directeurs financiers d'entreprises qui acceptent des paiements en cryptomonnaie ou détiennent des actifs numériques au bilan, la désignation soulève également des questions de divulgation. Si votre entreprise a une exposition indirecte par l'intermédiaire de contreparties ayant utilisé Sinbad, cette exposition peut devoir être évaluée et divulguée en vertu des obligations existantes de rapport financier, même si la probabilité d'une action régressive est faible. La divulgation proactive est presque toujours préférable à une correction rétroactive.
Prochaines étapes pratiques pour les équipes de conformité et de finance
Actions immédiates
Premièrement, récupérez les adresses Sinbad publiées par l'OFAC et chargez-les dans vos listes de filtrage des sanctions aujourd'hui. Deuxièmement, effectuez un écran rétroactif de toutes les transactions crypto traitées en 2023 par rapport à ces adresses. Troisièmement, informez votre responsable AML et votre conseiller juridique de la règle proposée par FinCEN afin que votre entreprise puisse soumettre un commentaire ou au minimum suivre le calendrier de finalisation. Quatrièmement, examinez vos questionnaires d'intégration des clients pour ajouter des questions explicites sur l'historique d'utilisation des mélangeurs.
Examen des flux de travail et de la technologie
Si votre logiciel de comptabilité crypto actuel ne s'intègre pas à un fournisseur d'analyse de chaîne de blocs capable de détecter l'exposition aux mélangeurs, cette lacune devrait être remontée à une décision d'approvisionnement technologique maintenant plutôt que reportée au prochain cycle budgétaire. La convergence d'une désignation OFAC et d'une règle proposée par FinCEN signale que les obligations de conformité liées aux mélangeurs passent de meilleures pratiques à une exigence légale. Les entreprises qui sont déjà en avance sur les rapports de conformité crypto passeront beaucoup moins de temps et d'argent en remédiation que celles qui n'agissent que lorsque l'application arrive.
Il vaut également la peine d'examiner comment votre entreprise gère la complexité juridictionnelle. L'affaire Sinbad implique la législation américaine sur les sanctions, mais les piratages et les chaînes de blanchiment sous-jacents sont mondiaux. Les entreprises ayant des clients dans plusieurs juridictions devraient vérifier si les réglementations AML locales imposent des obligations parallèles aux désignations américaines. L'approche de la FSA du Japon en matière de prévention de la fraude, par exemple, reflète une posture similaire concernant le risque de mélangeur, comme couvert dans notre analyse de les mesures de prévention de la fraude crypto de la FSA du Japon. De même, les tendances plus larges de la criminalité en col blanc identifiées dans le rapport BDO Worldwatch, discutées dans notre article sur comment les conclusions de BDO Worldwatch sur la criminalité en col blanc affectent les programmes de conformité crypto, signalent que les régulateurs mondiaux resserrent les attentes concernant exactement ce type d'exposition à la finance illicite.
Questions fréquemment posées
La désignation OFAC de Sinbad s'applique-t-elle aux entreprises non américaines ?
Les sanctions de l'OFAC s'appliquent aux personnes américaines et aux entités soumises à la juridiction américaine. Cependant, les entreprises non américaines qui traitent des règlements en dollars américains, utilisent des banques correspondantes américaines ou ont des clients basés aux États-Unis font face à des risques d'exposition secondaires. De nombreux régulateurs non américains répondent également aux désignations de l'OFAC en mettant à jour leurs propres listes de surveillance, donc la portée pratique est plus large que la portée légale formelle.
Qu'est-ce que la responsabilité stricte dans le contexte de l'OFAC ?
La responsabilité stricte signifie que l'intention est sans pertinence pour l'exposition à des sanctions civiles. Une entreprise qui traite involontairement une transaction touchant une adresse liée à Sinbad peut toujours faire face à une sanction civile, même si elle n'avait pas connaissance du lien avec les sanctions. C'est pourquoi le filtrage proactif des adresses est essentiel, et non optionnel.
Comment la règle proposée par FinCEN interagit-elle avec les obligations SAR existantes ?
Les obligations existantes de la loi sur le secret bancaire exigent déjà des rapports de transactions suspectes pour les transactions qui suggèrent un blanchiment d'argent. La règle proposée par FinCEN créerait une catégorie de signalement spécifique et supplémentaire pour les transactions liées aux mélangeurs, abaissant potentiellement le seuil de ce qui doit être signalé et clarifiant que l'interaction avec un mélangeur seule peut être un déclencheur.
Que doit faire un auditeur si le portefeuille d'un client a une exposition indirecte à Sinbad ?
L'auditeur doit documenter la constatation, évaluer l'importance relative de l'exposition, consulter un conseiller juridique pour savoir si un SAR est requis, et considérer si l'exposition affecte l'évaluation de la continuité d'exploitation ou nécessite une note dans les états financiers. Le client devrait également être conseillé de demander son propre avis juridique sur l'auto-divulgation à l'OFAC.
Les actifs numériques qui sont passés par Sinbad peuvent-ils être légalement détenus ou vendus ?
Les actifs directement traçables vers une adresse sanctionnée ne peuvent pas être vendus ou transférés sans une licence de l'OFAC. Les actifs avec seulement une proximité indirecte ou lointaine de la chaîne de possession nécessitent une évaluation juridique des faits spécifiques. Les entreprises ne devraient pas prendre cette détermination sans conseil qualifié en matière de sanctions.
Source : TRM Labs