TRM Labs : l'écosystème crypto illicite sous la loupe

Malgré un recul prolongé des valorisations des cryptomonnaies depuis 2021, la valeur en dollars de la criminalité liée aux cryptos n'a pas suivi le même mouvement. Le rapport phare de TRM Labs sur l'écosystème crypto illicite, le premier à classer systématiquement plus de 40 typologies criminelles distinctes sur plus de 20 blockchains, met en évidence l'ampleur du problème : au moins 7,8 milliards USD ont alimenté des schémas de Ponzi et des pyramides, 1,5 milliard USD a été dépensé sur les marchés de drogues du darknet, et 3,7 milliards USD ont été dérobés via des piratages et exploits en une seule année. Pour les cabinets comptables, les auditeurs et les directeurs financiers qui gèrent des portefeuilles d'actifs numériques, ce rapport n'est pas une lecture de fond. C'est une référence en matière de conformité.

Pourquoi la baisse des prix n'a pas réduit les volumes illicites

L'attente intuitive est qu'un marché baissier réduit l'activité criminelle en même temps que le trading légitime. Les données de TRM Labs remettent directement cette hypothèse en question. Les criminels ne sont pas des détenteurs passifs ; ils déplacent rapidement les fonds, les convertissent entre chaînes et ciblent les faiblesses d'infrastructure qui existent indépendamment du prix. La résilience des volumes illicites en dollars renvoie à des facteurs structurels plutôt que spéculatifs.

Le basculement multi-chaînes comme amplificateur de risque

Le changement structurel le plus significatif documenté dans le rapport est l'effondrement de la domination du Bitcoin dans les flux illicites. En 2016, le Bitcoin représentait 97 % du volume crypto illicite. Sur la période couverte par le rapport, cette part était tombée à 19 %. Du côté des piratages, le basculement est encore plus marqué : le Bitcoin représentait deux tiers du volume des piratages en 2016, mais en 2022, il en représentait moins de 3 %. Ethereum a capté 68 % des produits des piratages, et Binance Smart Chain 19 %.

Le financement du terrorisme raconte une histoire parallèle. Le Bitcoin était le véhicule exclusif en 2016. En 2022, les actifs sur la blockchain TRON avaient pris le relais, représentant 92 % de cette catégorie. L'implication pratique pour les équipes de conformité est que surveiller une seule chaîne, ou même prioriser les adresses Bitcoin dans le filtrage des transactions, ne constitue plus une posture AML crédible.

Les ponts inter-chaînes comme principale surface d'attaque

Environ 2 milliards USD ont été dérobés via des ponts inter-chaînes au cours de l'année couverte par le rapport. Les ponts, qui permettent aux cryptomonnaies de passer d'un réseau blockchain à un autre, sont devenus une cible privilégiée précisément parce qu'ils concentrent la liquidité sur une seule couche protocolaire. Une fois les fonds extraits, les criminels utilisent le chain-hopping, en faisant circuler les actifs à travers plusieurs réseaux en succession rapide, pour obscurcir à la fois l'origine et la destination. Cette technique complique la traçabilité des transactions et met à rude épreuve la capacité analytique des outils AML conventionnels.

Pour une analyse technique plus approfondie de ce que cela implique pour la due diligence on-chain, consultez notre article sur les signaux d'alerte AML que les équipes de conformité doivent connaître à la suite des piratages de ponts crypto.

Typologies criminelles : ce que le rapport recense réellement

TRM Labs classe l'activité crypto illicite en deux grandes sections. La première couvre les activités qui génèrent directement des produits en crypto. La seconde couvre le blanchiment de ces produits, que le crime d'origine soit natif du crypto ou en monnaie fiduciaire. La taxonomie s'étend sur plus de 40 catégories, de l'espionnage et du SIM swapping aux schémas de pump-and-dump. Les sections les plus pertinentes pour la conformité institutionnelle se répartissent en quelques groupes.

Marchés du darknet et boutiques de vendeurs

Les marchés du darknet (DNM) restent le principal moteur du commerce illicite médié par les cryptos. Il s'agit de plateformes chiffrées multi-vendeurs sur le darknet où les drogues et les données personnelles sont les principaux biens. Les données de TRM Labs montrent que 1,49 milliard USD a été dépensé sur les DNM au cours de la période de référence. Plus de 80 % de ce volume est passé par des marchés russophones. Le plus grand DNM Bitcoin occidental au moment du rapport détenait moins de 10 % de la part de marché mondiale.

Il existe une divergence opérationnelle notable entre les DNM de l'Est et de l'Ouest. Les plateformes russophones utilisent principalement le Bitcoin uniquement, sans option de privacy coin. Les plateformes occidentales ont tendance à proposer Monero exclusivement, ou Monero aux côtés du Bitcoin, ce qui reflète un calcul de risque différent face aux démantèlements par les forces de l'ordre. Aux fins de la surveillance des transactions, cela signifie que les flux en Monero et les schémas inhabituels de regroupement Bitcoin présentent chacun des profils de signaux d'alerte distincts selon la géographie de la contrepartie.

À côté des DNM, les boutiques de vendeurs indépendants, vitrines à opérateur unique utilisant Tor, bots Telegram et courriel chiffré, ont reçu plus de 230 millions USD au cours de la même période. Ces plateformes présentent un risque plus élevé pour les clients car il n'existe aucun intermédiaire d'entiercement, mais du point de vue de la conformité, elles sont plus difficiles à identifier dans les données de transaction précisément parce qu'elles opèrent sans grappe d'adresses centralisée.

Les forums de cybercriminalité comme infrastructure financière

Les forums de cybercriminalité se situent en amont de nombreuses transactions illicites. Ils fonctionnent comme des places de marché pour les identifiants d'accès initiaux, les malwares, les vulnérabilités zero-day et les données personnelles volées, et tirent leurs revenus des frais d'inscription, des services d'entiercement et des mises à niveau de comptes à plusieurs niveaux. TRM Labs a examiné des exemples notables, dont un forum russophone de longue date axé sur le commerce d'exploits et une grande plateforme anglophone comptant des millions d'utilisateurs enregistrés. La cryptomonnaie est le moyen de paiement de choix partout. Pour un cabinet qui a accepté des clients ou des contreparties touchant à ces écosystèmes, les vérifications KYB standard sur la seule immatriculation ne suffiront pas à faire apparaître l'exposition.

Implications comptables et d'audit

Les conclusions du rapport ont des conséquences directes sur la manière dont les cabinets comptables et les directeurs financiers abordent les missions sur actifs numériques. La concentration du volume illicite dans des environnements multi-chaînes, et la vitesse à laquelle les fonds sont déplacés entre protocoles, signifient que la durée de vie utile de toute liste statique de filtrage de portefeuilles se mesure en heures, pas en mois.

Surveillance des transactions et intégrité du grand livre

Pour les cabinets utilisant des logiciels de comptabilité d'actifs numériques pour tenir les grands livres clients, la question est de savoir si les flux de données du logiciel intègrent des analyses multi-chaînes ou ne couvrent que les chaînes majeures. Un client dont la trésorerie détient simultanément des actifs sur Ethereum, TRON et BNB Chain nécessite une logique de filtrage couvrant les trois. Une lacune dans l'un des flux crée un angle mort qui pourrait exposer le cabinet à une censure réglementaire si une contrepartie est ultérieurement sanctionnée ou identifiée comme une adresse criminelle.

D'un point de vue comptable, l'activité de chain-hopping peut créer des distorsions apparentes du prix de revient. Chaque échange entre chaînes peut constituer un événement de cession dans la plupart des juridictions. Si l'équipe de trésorerie d'un client utilise des ponts inter-chaînes pour une gestion de trésorerie légitime et que ces ponts ont été exploités ou figurent sur une liste de surveillance à haut risque, le cabinet a besoin d'un protocole pour signaler et documenter ces transactions dans le dossier d'audit, séparément des enregistrements de cession normaux.

Acceptation des clients fondée sur le risque et surveillance continue

La taxonomie de TRM Labs donne aux responsables de la conformité un vocabulaire de travail pour mettre à jour leur approche fondée sur le risque. Les cabinets qui acceptent des clients dans le développement de protocoles DeFi, l'infrastructure de ponts ou les échanges pair-à-pair devraient désormais traiter l'exposition aux ponts comme une catégorie de risque spécifique dans les formulaires d'acceptation des clients, et non comme un sous-ensemble du « risque crypto » générique. De même, les clients ayant d'importantes positions de trésorerie en TRON justifient une vigilance renforcée compte tenu de la dominance documentée de TRON dans les flux de financement du terrorisme, indépendamment de l'objectif déclaré du client lui-même.

Les cabinets basés dans l'UE devraient recouper cela avec l'orientation au niveau législatif. Pour le contexte sur la manière dont les décideurs européens répondent précisément à ces risques, consultez notre article sur la manière dont les législateurs européens intègrent les cryptos dans la stratégie anti-corruption.

Produits des schémas de Ponzi et des pyramides : le défi de l'audit

7,8 milliards USD injectés dans des schémas de Ponzi et des pyramides n'est pas un chiffre abstrait. Une partie de ce capital aura transité par des plateformes légitimes, aura été convertie en stablecoins et aura fini dans les comptes de trésorerie ou les portefeuilles d'investissement de clients qui croyaient recevoir de véritables rendements d'investissement. Les auditeurs doivent poser des questions difficiles sur la provenance des avoirs crypto à rendement anormalement élevé et devraient demander une documentation de provenance on-chain plutôt que de se fier uniquement aux déclarations des contreparties. Si un client ne peut pas expliquer la source des fonds d'un important afflux de cryptos au niveau de l'adresse, c'est un signal d'alerte nécessitant une escalade au titre des normes professionnelles AML et d'audit.

Mesures pratiques pour les équipes conformité et finance

Le rapport de TRM Labs est descriptif, mais la réponse de conformité qu'il exige est opérationnelle. Les priorités suivantes s'appliquent aux cabinets comptables, aux directeurs financiers d'entreprise et aux missions d'audit :

Mettez à jour votre couverture de chaînes et votre périmètre de filtrage

Vérifiez si votre logiciel de comptabilité crypto actuel et vos outils de surveillance des transactions couvrent Ethereum, BNB Chain, TRON et les protocoles de ponts utilisés par vos clients. Si le filtrage AML de votre cabinet est par défaut centré sur le Bitcoin, il est désormais structurellement désaligné par rapport à l'endroit où le volume illicite se concentre réellement. Ce désalignement est une lacune documentée qu'un régulateur examinant votre programme AML constatera.

Classez explicitement les transactions de ponts

Les transactions de ponts inter-chaînes doivent être catégorisées comme un type de transaction distinct dans les grands livres clients, et non fusionnées avec de simples échanges de tokens. Chaque événement de pont nécessite un horodatage, la chaîne d'origine et la chaîne de réception, le nom du protocole de pont et une mention indiquant si ce protocole figure sur une liste de sanctions ou de surveillance à haut risque au moment de la transaction. Cet enregistrement sert à la fois le dossier d'audit et toute enquête réglementaire future.

Actualisez les déclarations d'appétence au risque

Les déclarations d'appétence au risque rédigées avant 2022 ne reflètent presque certainement pas l'exposition multi-chaînes, le risque de ponts ou les considérations spécifiques à TRON. Une actualisation intégrant le cadre typologique de TRM Labs, citant les catégories de crimes spécifiques et les distributions par blockchain documentées dans le rapport, renforcera à la fois la position de gouvernance interne et toute soumission réglementaire externe.

Formez le personnel aux signaux d'alerte du chain-hopping

Les réviseurs de transactions doivent reconnaître les séquences de chain-hopping dans les données clients. Un schéma de mouvements rapides de faible valeur à travers trois blockchains ou plus dans une fenêtre courte, en particulier lorsque la destination finale est un actif à confidentialité renforcée ou un portefeuille non hébergé, doit déclencher un examen renforcé. C'est désormais une typologie standard, pas un cas limite.

Source : TRM Labs

Questions fréquentes

Pourquoi les volumes de cryptos illicites sont-ils restés stables malgré la baisse des prix ?

Les données de TRM Labs suggèrent que l'activité criminelle dans les cryptos est motivée par des opportunités structurelles plutôt que par le prix des actifs. Les criminels déplacent rapidement les fonds entre les chaînes, exploitent les faiblesses des protocoles et opèrent sur un éventail croissant de blockchains, dont aucune n'est matériellement affectée par une baisse des prix du Bitcoin ou d'Ethereum.

Que signifie la baisse de la part du Bitcoin dans le volume illicite pour les programmes AML ?

Cela signifie qu'un filtrage centré sur le Bitcoin ne suffit plus. Ethereum, BNB Chain et TRON représentant désormais respectivement la majorité des produits de piratage et des flux de financement du terrorisme, les programmes AML ont besoin d'une couverture multi-chaînes comme base, et non comme amélioration.

Comment les cabinets comptables doivent-ils traiter les transactions de ponts inter-chaînes dans les grands livres clients ?

Chaque transaction de pont doit être enregistrée comme un événement distinct avec la chaîne d'origine, la chaîne de réception, le nom du protocole et une vérification du statut de sanction/surveillance au moment de la transaction. Dans la plupart des juridictions, un transfert par pont peut également constituer une cession à des fins fiscales, de sorte que les enregistrements du prix de revient doivent être mis à jour à chaque traversée.

Ce rapport change-t-il la manière dont les auditeurs doivent aborder l'acceptation des clients crypto ?

Oui. La taxonomie de plus de 40 typologies criminelles, et les distributions par blockchain documentées dans le rapport, donnent aux auditeurs un cadre de référence pour identifier les profils de clients à risque plus élevé au stade de l'acceptation. Les clients présentant une exposition importante à TRON, une implication dans des protocoles de ponts ou des rendements d'investissement crypto à haut rendement de provenance incertaine justifient désormais une vigilance renforcée explicite.

Qu'est-ce que le chain-hopping et pourquoi est-ce important pour la surveillance des transactions ?

Le chain-hopping est la pratique consistant à déplacer des fonds à travers plusieurs réseaux blockchain en séquence pour obscurcir la source d'origine et la destination finale. C'est une technique de blanchiment d'argent documentée. Du point de vue de la surveillance, cela signifie qu'une adresse propre sur une chaîne peut toujours être le destinataire en aval de fonds illicites si les chaînes intermédiaires ne sont pas couvertes dans le flux de travail de filtrage.