TokenSpot nommée société écran de l'échange russe sanctionné Grinex

La société d'intelligence blockchain TRM Labs a évalué avec un haut degré de confiance que TokenSpot, un échange de cryptomonnaies enregistré au Kirghizistan, fonctionne comme une société écran de Grinex, un échange russe sanctionné par les États-Unis, le Royaume-Uni et l'Union européenne. Les deux entités partagent des adresses de dépôt, une adresse de collecte de frais sur le réseau TRON, et un dirigeant également lié à une société de paiement dont l'infrastructure technique recoupe l'écosystème du token A7A5. Pour les cabinets comptables, les auditeurs et les directeurs financiers qui ont enregistré ou traité un flux touchant TokenSpot, les implications de conformité sont immédiates et sérieuses.

Contexte : comment Grinex est devenu une entité sanctionnée

Pour comprendre ce que signifie la découverte concernant TokenSpot, il est utile de retracer la chronologie réglementaire. Garantex, un échange basé en Russie largement utilisé pour blanchir les produits de rançongiciels et d'autres activités illicites, a été désigné par le Royaume-Uni le 4 mai 2022. Les forces de l'ordre ont ensuite démantelé l'infrastructure de Garantex en mars 2025. Dans les mois qui ont suivi, Grinex est apparu comme son successeur opérationnel. L'Office of Foreign Assets Control (OFAC) du Trésor américain a désigné Grinex le 14 août 2025, et le Royaume-Uni a suivi six jours plus tard, le 20 août 2025. La désignation de l'UE est intervenue au cours de la même période. TRM Labs a déjà documenté les liens entre Grinex, le réseau A7 au sens large et le token A7A5.

Ce que le lien avec le réseau A7 ajoute

A7 est la plus grande contrepartie externe de TokenSpot. TokenSpot a envoyé 679,5 millions USD à A7 et reçu 48,5 millions USD de sa part sur la période analysée par TRM. TokenSpot a également envoyé 26,5 millions USD au token A7A5 et reçu 7,7 millions USD. Grinex et Garantex représentent ensemble deux des trois plus grandes contreparties externes suivantes de TokenSpot, totalisant 30 % de son volume sortant et 10 % de son volume entrant. Cette concentration est frappante : aucun échange légitime opérant à distance des entités sanctionnées ne routerait une part aussi importante de ses flux via des parties désignées ou étroitement liées.

Les preuves onchain identifiées par TRM Labs

Le premier enregistrement par TRM de l'activité onchain de TokenSpot remonte au 8 décembre 2023. Jusqu'au 27 septembre 2026, ses adresses TRON ont reçu 3,54 milliards USD et envoyé 3,14 milliards USD. L'ampleur seule en fait un événement de conformité significatif. L'analyse de la société repose sur trois catégories distinctes de preuves blockchain.

Adresses de dépôt et d'agrégation partagées

Les échanges attribuent généralement à chaque client une adresse de dépôt unique, puis balaient les fonds collectés vers une adresse d'agrégation centrale. Après une cyberattaque le 16 avril 2026, Grinex a publié une liste d'adresses qu'il disait affectées. L'une de ces adresses, TA8vyBg93KXaiQXV22WWXTB9hz3caN81DE, était active du 5 février au 29 juillet 2026 et a reçu 268,9 millions USD au total. Sur ce montant, 146,3 millions USD provenaient directement de 126 adresses de dépôt TokenSpot. Au moins deux de ces adresses de dépôt TokenSpot avaient été activées par une adresse que TRM a vérifiée indépendamment comme appartenant à TokenSpot, et tous leurs fonds avaient été préalablement balayés vers cette même adresse attribuée à TokenSpot. 116,3 millions USD supplémentaires sont arrivés de trois adresses attribuées simultanément aux deux échanges. Les adresses attribuées uniquement à Grinex ont contribué à hauteur de 1,9 million USD.

L'effet pratique est que les fonds retirés de TokenSpot via cet agrégateur ont été mélangés à des fonds provenant d'un échange sanctionné par les États-Unis, le Royaume-Uni et l'UE. Tout destinataire en aval de ces fonds, et toute entreprise qui a enregistré ces recettes, peut avoir une exposition indirecte dans le cadre de la responsabilité stricte de l'OFAC.

Adresse de collecte de frais partagée

Chaque transaction sur TRON nécessite le paiement de frais en TRX, le token natif du réseau. Les services préfinancent généralement leurs adresses de dépôt en TRX, puis balaient les soldes inutilisés vers une adresse réservoir unique. TRM a identifié TWqeMbv3EJtJhmKYUTodT7BmG9fcQRjwor comme ayant reçu des TRX résiduels d'adresses TokenSpot et Grinex entre le 23 avril et le 8 juillet 2026. Au total, 711 adresses TokenSpot et 58 adresses Grinex ont envoyé leurs TRX résiduels à cette adresse unique, qui a collecté environ 25 000 USD sur 1 126 transferts, soit une moyenne d'environ 22 USD par transfert. TRM a envisagé la possibilité qu'un tiers ait vidé les deux échanges vers une seule adresse, mais les montants en jeu correspondent à une gestion routinière des frais et sont bien trop faibles pour représenter un vol au détriment de deux échanges ayant déplacé des centaines de millions de dollars. L'évaluation est qu'un opérateur commun contrôle ce réservoir.

Pannes techniques simultanées lors de l'attaque d'avril 2026

Le 15 avril 2026, à 13h02 UTC, Grinex a annoncé une « pause technique », informant ses clients que les dépôts, les retraits et son site web étaient temporairement indisponibles. Vingt-cinq minutes plus tard, à 13h27 UTC, TokenSpot a publié sa propre notification invoquant des « travaux techniques » et avertissant que les dépôts et retraits pourraient être instables. Le lendemain, Grinex a confirmé une cyberattaque et publié sa liste d'adresses affectées, qui incluait deux adresses que TRM attribue à TokenSpot. Aucun autre échange n'apparaît dans cette divulgation. TRM estime que la coïncidence de ces deux annonces, combinée à l'inclusion d'adresses attribuées à TokenSpot dans la propre divulgation de piratage de Grinex, est cohérente avec un contrôle opérationnel commun.

Le lien au niveau du dirigeant et le chevauchement d'infrastructure

Le lien s'étend au-delà des données onchain. Un reportage de juin 2024, citant des documents du ministère kirghize de la Justice, a identifié Melis Batyrbekovich Umarhodjaev comme directeur à la fois de TokenSpot et de Tsunami Payments, une société de paiement kirghize. En septembre 2026, le registre concerné ne le mentionnait plus à ce poste. Les enregistrements DNS publics sur dnsdumpster.com montrent que le domaine de Tsunami Payments et celui du token A7A5 partagent un ensemble identique de sous-domaines de staging : account-api-stage, account-stage, internal-stage et kyc-stage. Le partage d'une infrastructure de staging entre des sociétés a priori sans lien est un fort indicateur d'un développement technique commun ou de systèmes backend partagés, et il relie l'ancien dirigeant de TokenSpot au réseau A7 plus large que les régulateurs et les analystes blockchain suivent depuis des mois.

Totaux des flux sanctionnés : ce que montrent les chiffres

L'analyse de TRM capture les flux totaux entre TokenSpot et ses contreparties sanctionnées sur les périodes où chaque désignation était en vigueur.

Les chiffres post-désignation sont les plus importants juridiquement. TokenSpot a envoyé 109,7 millions USD à Garantex après la désignation de cet échange, et il a envoyé et reçu des sommes substantielles avec Grinex après août 2025. Selon la norme de responsabilité stricte de l'OFAC, une partie n'a pas besoin de savoir qu'une transaction était interdite par les sanctions pour encourir une responsabilité civile. La connaissance est pertinente pour l'atténuation des pénalités, non pour la violation sous-jacente elle-même.

Implications comptables et de conformité pour les entreprises

Pour les cabinets comptables et les auditeurs

Tout client dont les transactions d'actifs numériques ont touché TokenSpot, directement ou via un intermédiaire, doit désormais être traité comme un dossier d'exposition potentielle aux sanctions jusqu'à ce qu'un exercice de traçage complet l'exclue. Le mélange des fonds de TokenSpot et de Grinex dans un agrégateur partagé signifie que même un client qui croyait traiter uniquement avec un échange kirghize peut avoir reçu ou envoyé des fonds passés par un agrégateur contenant des produits d'entités désignées.

D'un point de vue comptable, les fonds reçus d'une source sanctionnée peuvent devoir être classés différemment des recettes de trading ordinaires. Selon la juridiction, ils peuvent être soumis à des obligations de blocage, ce qui signifie qu'ils ne peuvent pas simplement être comptabilisés comme revenus et utilisés librement. Un logiciel de comptabilité crypto robuste avec filtrage des sanctions en temps réel au niveau de la transaction, et pas seulement à l'entrée en relation, est essentiel pour détecter précisément ce type d'exposition indirecte. Si votre logiciel de comptabilité d'actifs numériques actuel ne signale pas le statut de sanction de la contrepartie au niveau de la transaction, l'affaire TokenSpot illustre précisément pourquoi cette lacune est dangereuse.

Les auditeurs qui examinent les états financiers pour les périodes couvrant décembre 2023 et au-delà doivent demander si les clients détenaient des comptes sur TokenSpot et si ces positions ont été évaluées pour le risque de sanctions. La réponse affectera la façon dont les soldes sont présentés et si des passifs éventuels doivent être divulgués. Pour des indications sur la façon dont les désignations de Garantex ont déjà façonné la pratique, consultez notre couverture précédente de l'impact des sanctions contre Garantex sur les entreprises crypto et leurs comptes.

Pour les directeurs financiers et les fonctions trésorerie

Les directeurs financiers des entreprises qui ont accepté des paiements via TokenSpot ou l'ont utilisé pour des opérations de trésorerie font face à un problème en deux parties : une responsabilité civile potentielle au titre de l'OFAC et un risque sur les états financiers. La norme de responsabilité stricte signifie que l'intention de l'entreprise n'est pas pertinente pour déterminer si une violation a eu lieu. Ce qui compte maintenant, c'est la qualité et la rapidité de la réponse.

Une auto-déclaration volontaire à l'OFAC, effectuée rapidement et accompagnée d'une enquête interne approfondie, est l'un des facteurs atténuants les plus importants que l'agence prend en compte lors de la fixation des pénalités civiles. Le même principe s'applique au Royaume-Uni sous l'Office of Financial Sanctions Implementation (OFSI) et dans les États membres de l'UE sous leurs autorités nationales de sanctions respectives. Les entreprises doivent également revoir leurs systèmes de surveillance des transactions AML : si TokenSpot n'était pas signalé comme contrepartie à haut risque avant la conclusion de TRM, il s'agit d'une lacune dans l'approche fondée sur les risques de l'entreprise qui doit être corrigée et documentée.

Pour le contexte politique plus large sur la façon dont les régulateurs de l'UE traitent la criminalité financière liée aux cryptos, notre analyse des règles anti-corruption de l'UE et de ce qu'elles signifient pour les équipes de conformité des actifs numériques expose la direction à suivre.

Prochaines étapes pratiques pour les équipes de conformité et de finance

La conclusion de TRM Labs n'oblige pas les entreprises à attendre une action réglementaire formelle avant d'agir. Les preuves blockchain sont publiques, les désignations sont en vigueur et le mélange des fonds est documenté. Les équipes doivent agir rapidement sur les points suivants :

• Effectuer un contrôle rétrospectif de toutes les relations clients ou contreparties impliquant TokenSpot, couvrant l'activité de décembre 2023 à aujourd'hui.
• Cartographier tout flux passé par l'adresse d'agrégation partagée ou l'adresse de collecte de frais partagée identifiées dans le rapport TRM.
• Évaluer si des obligations de blocage s'appliquent au titre de l'OFAC, de l'OFSI ou des règlements de sanctions de l'UE pour les fonds reçus.
• Consulter un conseil spécialisé en sanctions sur l'opportunité d'une auto-déclaration volontaire avant qu'une enquête réglementaire ne survienne.
• Mettre à jour les notations de risque internes pour les échanges kirghizes et tout échange du réseau A7, dans l'attente d'une enquête plus approfondie.
• Revoir votre logiciel de comptabilité crypto et votre dispositif de surveillance des transactions pour garantir que le filtrage des sanctions s'exécute au niveau de la transaction, et pas seulement lors de l'entrée en relation client.

Source : TRM Labs

Questions fréquentes

Qu'est-ce qui fait de TokenSpot une société écran plutôt qu'une simple contrepartie de Grinex ?

TRM Labs identifie trois catégories de preuves pointant vers un contrôle opérationnel partagé plutôt qu'une simple relation d'affaires : des adresses de dépôt et d'agrégation partagées sur TRON (dont une adresse que Grinex revendiquait comme la sienne mais qui collectait les dépôts des clients de TokenSpot), une adresse unique de collecte de frais ayant reçu des TRX résiduels de centaines d'adresses des deux échanges, et des annonces de panne technique quasi simultanées lors de la cyberattaque d'avril 2026 qui ciblait spécifiquement Grinex. La combinaison du partage d'infrastructure et des liens au niveau du dirigeant avec l'écosystème A7A5 sous-tend l'évaluation à haut degré de confiance.

Traiter avec TokenSpot signifie-t-il automatiquement qu'une entreprise a violé les sanctions ?

Pas automatiquement, mais cela crée un risque significatif qui doit être évalué. Selon la norme de responsabilité stricte de l'OFAC, une violation des sanctions peut se produire sans connaissance ni intention. Les questions critiques sont de savoir si l'entreprise a traité avec TokenSpot après l'entrée en vigueur des désignations pertinentes de Grinex ou Garantex, et si les fonds en question sont passés par un agrégateur mixte contenant des produits d'entités désignées. Un conseil juridique et un exercice détaillé de traçage blockchain sont nécessaires pour déterminer l'exposition réelle.

Comment les fonds déjà reçus de TokenSpot doivent-ils être traités dans les comptes ?

Si une obligation de blocage s'applique au titre de l'OFAC, de l'OFSI ou des règlements de sanctions de l'UE, les fonds concernés ne peuvent pas simplement être comptabilisés comme revenus ordinaires et utilisés librement. Ils peuvent devoir être isolés et déclarés à l'autorité de sanctions compétente. La classification dans les états financiers dépendra de la juridiction et des faits spécifiques. Les auditeurs doivent signaler ces recettes comme un passif éventuel potentiel dans l'attente d'un avis juridique et réglementaire.

Quelle est l'importance des sous-domaines de staging partagés entre Tsunami Payments et A7A5 ?

Les sous-domaines de staging font partie de l'infrastructure de développement et de test qu'une équipe logicielle construit et maintient. Des noms de sous-domaines de staging identiques entre deux entreprises a priori sans lien, lorsqu'ils sont confirmés par des enregistrements DNS publics, suggèrent qu'elles partagent le même backend technique ou la même équipe de développement. Combiné au chevauchement au niveau du dirigeant entre TokenSpot et Tsunami Payments, ce lien d'infrastructure étend le réseau d'entités connectées bien au-delà de ce que les structures d'entreprise publiquement enregistrées indiqueraient.

Quels régulateurs sont les plus pertinents pour les entreprises hors des États-Unis ayant traité des transactions TokenSpot ?

Les entreprises britanniques doivent évaluer leur exposition au titre de l'OFSI, qui administre les sanctions financières britanniques et peut imposer des pénalités civiles sur une base de responsabilité stricte depuis l'Economic Crime (Transparency and Enforcement) Act 2022. Les entreprises de l'UE doivent examiner leurs obligations au titre des règlements de sanctions de l'UE pertinents et de leur législation nationale de mise en œuvre. Le Kirghizistan lui-même est le domicile de TokenSpot, mais le droit kirghize ne régit pas les obligations de sanctions des entreprises américaines, britanniques ou de l'UE. Toute entreprise détenant une licence dans une juridiction membre du Financial Action Task Force (FATF) risque également que son superviseur national AML n'examine les défaillances de surveillance des transactions révélées par cette affaire.