Suivre l'argent : comment les cryptos volées disparaissent on-chain

L'appel a lieu à quatre heures du matin et la personne à l'autre bout du fil respire comme si elle n'avait pas expiré depuis neuf heures. Six heures plus tôt, un portefeuille multi-signatures appartenant à une plateforme d'échange de taille moyenne s'est fait dérober environ quatre millions de dollars en USDT, et l'individu qui a signé les transactions frauduleuses — appelons-le M — se trouve actuellement dans un appartement de location, fenêtres closes, observant son propre méfait se dérouler sur un explorateur de blocs. Toute personne munie d'un navigateur peut voir chaque transaction, chaque transfert et chaque décimale. Sa petite amie pourrait l'auditer, son barbier pourrait faire de même et, plus inquiétant encore, un détective d'Internet opérant sous pseudonyme qui a déjà fait tomber des équipes bien plus professionnelles que la sienne pourrait en faire autant.

M n'est pas stupide, voyez-vous. Il comprenait le smart contract qu'il a exploité, il savait quel hot wallet disposait de permissions excessives, et il a synchronisé le retrait pour qu'il coïncide avec un moment où l'équipe de surveillance de l'exchange fonctionnait probablement en effectif réduit. Ce qu'il n'avait pas anticipé — une réalité que presque tous les voleurs débutants ignorent —, c'est que dérober l'argent était en fait la partie facile. Entre les sept adresses qu'il a utilisées et le retour à une vie normale s'interpose un système conçu dans le seul but de garantir que les gens comme lui ne réussissent jamais.

La première mention de l'incident apparaît sur les réseaux sociaux en l'espace de quatre-vingt-dix minutes ; elle n'émane pas de la plateforme d'échange — encore occupée à préparer son communiqué d'excuses —, mais provient plutôt d'un enquêteur on-chain très suivi qui, semble-t-il, n'a jamais besoin de dormir. Cette personne fournit les étiquettes d'adresses, effectue une analyse temporelle et avance une explication plausible de l'attaque. M la relit à deux reprises et entrevoit avec lucidité ce que lui réserve l'avenir. Il n'a aucun contact parmi les banquiers et ne pourrait pas s'envoler pour Dubaï avec un téléphone contenant des hot wallets. Tout ce dont il a besoin, c'est d'un spécialiste, et dès l'aube, il en a contacté un.

L'élément de ce fil qui perturbe M bien plus que l'analyse elle-même est le fait que l'enquêteur n'a pas seulement mentionné l'exchange, mais a également inclus les adresses elles-mêmes en guise de conclusion. Jadis, lors d'un braquage de banque, des semaines s'écoulaient avant la publication d'un portrait-robot. Dans le cas présent, le portrait a été diffusé avant même que la porte du coffre-fort n'ait fini de se refermer. La plateforme étant en proie à la panique et soucieuse de son image publique, elle va très probablement annoncer une récompense — une prime prélevée sur les fonds récupérés, versée à quiconque fournira des informations permettant de geler les avoirs. Après son piratage d'un milliard de dollars, Bybit a procédé exactement ainsi, proposant dix pour cent de prime, ce qui a transformé Internet tout entier en une gigantesque brigade de surveillance citoyenne. Désormais, chaque chasseur de primes armé d'un ordinateur portable a un intérêt financier direct à identifier les fonds de M avant que celui-ci ne puisse les dépenser. Ses millions volés n'ont pas seulement fait de lui un fugitif, ils l'ont transformé en la cible d'une chasse à l'homme ouverte et autofinancée, dont l'avis de recherche s'actualise en temps réel.

Le spécialiste — c'est-à-dire le facilitateur — ne procède à aucun piratage, et c'est précisément ce qui fait sa valeur. Ce qu'il produit n'est pas le vol, mais l'oubli. Il s'engage à faire sortir l'argent de l'économie visible de la blockchain, puis à le faire réapparaître sous une forme anodine : de la monnaie fiduciaire dans une juridiction hors de tout contrôle, une facture de conseil ou une entreprise dégageant des revenus d'apparence légitime. Ses honoraires démarrent à dix pour cent et augmentent à mesure que la situation se complexifie. Et bien que M ait jugé ces dix pour cent exorbitants, il réalisera bien vite qu'il ne s'agit là que du tarif plancher de ce qui l'attend.

La blockchain de verre

Le paradoxe qui rend la nuit de M si interminable est le suivant : les cryptos ont été présentées au monde comme une technologie de confidentialité, alors qu'elles constituent en réalité la forme d'argent la moins privée jamais inventée. L'argent liquide ne laisse presque aucune trace — lorsqu'un billet passe de main en main, il oublie tous ceux avec qui il est entré en contact. Une blockchain, en revanche, se souvient de tout et conserve une trace indélébile de chaque intervenant, horodatages inclus, pour toujours. Le pseudonymat n'est pas l'anonymat ; c'est un anonymat à compte à rebours, guettant la moindre imprudence pour démasquer son utilisateur.

Les enquêteurs exploitent un petit ensemble de failles structurelles inhérentes, et il est essentiel de les comprendre, car elles expliquent pourquoi le blanchiment d'argent se révèle si complexe. Si deux adresses sont financées dans le cadre d'une même transaction, elles appartiennent très probablement au même gestionnaire — c'est ce qu'on appelle l'heuristique de co-dépense (co-spend), de loin la règle la plus redoutable de l'analyse forensique on-chain. Les schémas observés dans les adresses de rendu de monnaie trahissent des habitudes : un portefeuille qui divise systématiquement ses sorties selon les mêmes ratios atypiques signe de fait son comportement. Le fait d'effectuer des dépôts sur un exchange à 3 heures du matin, heure locale, révèle le fuseau horaire d'une personne de la même manière que des empreintes indiquent un modèle de chaussure. Tout cela s'accomplit sans qu'aucun mandat ne soit requis ; seule la patience compte, puisque le registre consigne la moindre transaction.

C'est pourquoi le facilitateur ne peut pas se contenter de transférer l'argent vers un nouveau portefeuille pour s'estimer quitte. Une nouvelle adresse est comparable à un déguisement, non à une nouvelle identité. Les fonds doivent briser l'ensemble des chaînes d'inférence — celles reliant le vol au premier saut, celles liant les sauts entre eux, et celles connectant les sauts aux individus. Chacune de ces ruptures implique du coût, du temps, ou les deux, et tout le savoir-faire du facilitateur consiste à déterminer quelles ruptures sont structurellement indispensables.

M néglige également la dimension humaine du problème. La blockchain n'est pas uniquement surveillée par les autorités judiciaires, mais aussi par des passionnés, des journalistes, des collectifs de victimes et des chasseurs de primes, chacun animé par des critères éthiques variés. De fait, les plus réputés d'entre eux ont bâti leur carrière et forgé un capital de crédibilité estimé à des millions de dollars en mettant au grand jour précisément le genre de dispositifs que M tente actuellement d'acquérir. Le facilitateur en a pleinement conscience ; une partie de sa commission est justifiée par le fait qu'il est lui aussi épié et que sa propre sécurité opérationnelle doit résister à l'examen de personnes qui, en toute franchise, maîtrisent le sujet bien mieux que son client.

Les soixante-douze premières heures

Le timing s'avère primordial dans ce jeu, car le compte à rebours est impitoyable. Le lendemain d'un vol de grande envergure constitue la période la plus périlleuse pour les capitaux, car ils doivent impérativement entrer en contact avec le monde réel à un moment donné. Les exchanges représentent les principaux points de vulnérabilité : lorsque des fonds dérobés sont déposés sur une plateforme centralisée, ils atterrissent au sein d'une structure où cohabitent des responsables de la conformité, le spectre d'injonctions judiciaires et une volonté farouche de coopérer, puisqu'il est bien moins coûteux de venir en aide à la victime que de se retrouver associé au crime. Les émetteurs de stablecoins disposent d'un levier encore plus direct : une fonctionnalité de gel intégrée directement dans le smart contract du jeton. Tether a ainsi gelé des centaines de millions de dollars d'USDT suspects au fil des ans, bloquant parfois les fonds quelques heures seulement après le signalement d'un piratage.

Dès le départ, l'objectif du blanchisseur est d'évacuer la zone sous contrôle avant que les ordonnances de gel ne soient appliquées. La toute première étape consiste à traiter en priorité toute adresse contenant des dollars tokenisés, l'émetteur disposant d'une fonction à distance capable de les neutraliser — nul besoin de décision de justice ni de négociation, une simple transaction suffit à geler le solde où qu'il se trouve. La priorité suivante est de quitter les blockchains les plus surveillées par les analystes pour s'orienter vers celles enregistrant un fort volume de transactions, puis de cibler des juridictions où les contreparties locales considèrent la paperasse administrative comme un précepte réservé aux autres. Plus le délai s'allonge, plus les portes de sortie se réduisent.

C'est dans ce contexte que se dessine l'approche industrielle du métier, l'exemple le plus récent étant le plus grand braquage crypto jamais répertorié. En février 2025, des assaillants associés au groupe nord-coréen Lazarus ont dérobé environ 1,5 milliard de dollars sur la plateforme Bybit — une somme qui, sitôt captée, a cessé d'être un simple larcin pour devenir une véritable opération logistique. Les fonds ont été ventilés entre des milliers de nouvelles adresses en quelques heures, convertis d'Ethereum vers Bitcoin via des services cross-chain, acheminés à travers des plateformes d'échange instantanées sans KYC dont les propriétaires ont ensuite déclaré n'avoir traité que des montants marginaux, puis transmis à des courtiers de gré à gré (OTC) dont tout le modèle économique repose sur l'absence totale de questions. Les enquêteurs, y compris ceux sous pseudonyme, ont pisté l'argent en temps réel, tweet après tweet, et la manœuvre a malgré tout fonctionné — pour l'essentiel. Le mécanisme de gel de Tether a neutralisé une partie non négligeable des fonds, divers exchanges ont saisi des montants ici et là, l'un des services de conversion intermédiaire s'est effondré sous le coup de l'atteinte à sa réputation avant de fermer, mais le gros des capitaux s'est volatilisé dans la masse monétaire mondiale conventionnelle, confirmant une dure vérité : face à une équipe bien financée, patiente et insensible aux frais, la vitesse prévaut sur la surveillance. L'opération n'a d'ailleurs marqué aucun temps d'arrêt pour des formalités administratives ; elle a fonctionné en continu, y compris les week-ends et les jours fériés — parce que l'appareil d'État qu'elle cherchait à contourner ne travaille, lui, qu'aux heures de bureau.

L'observation des méthodes amateurs délivre un enseignement limpide. Le couple accusé d'avoir blanchi l'argent dérobé lors du piratage de Bitfinex en 2016 a conservé une majeure partie des Bitcoin volés durant des années, les faisant transiter par des mixeurs et des comptes du darknet sans jamais parvenir à s'en détacher véritablement. En revanche, lorsque les agents fédéraux ont perquisitionné leur domicile en 2022, l'État a pu saisir des milliards de dollars de cryptomonnaies par de simples actes de procédure. Même blockchain, même niveau de transparence, et pourtant des dénouements opposés. Le problème ne venait pas des outils, mais de leur discipline et, disons-le, de leur patience. Lazarus aborde le blanchiment comme une chaîne logistique intégrée ; les protagonistes de Bitfinex l'ont envisagé comme un simple stockage. Or, le stockage est la voie directe qui mène à l'arrestation.

La stratégie appliquée par le facilitateur pour le compte de M est une version allégée de cette même séquence, et il convient de la détailler clairement, chaque étape ayant pour but de court-circuiter une méthode d'investigation spécifique :

1. Fractionner les fonds volés entre des dizaines d'adresses, en veillant à ce qu'il n'existe aucun lien de financement entre elles, afin de déjouer les heuristiques de co-dépense et de regroupement. 2. Recourir à un mixeur ou à un dispositif reposant sur CoinJoin, ou faire usage d'une solution moderne impliquant un swap cross-chain expressément conçu pour brouiller la trace. 3. Transférer les actifs blockchain au moyen de bridges et de plateformes de conversion instantanée, contraignant l'enquêteur à repartir de zéro pour reconstituer le contexte dans un nouvel écosystème soumis à d'autres outils d'analyse. 4. Utiliser Bitcoin pour la profondeur de marché et les stablecoins pour la rapidité, tout en conservant la valeur pendant une période calquée sur la durée du cycle médiatique. 5. Exploiter les circuits aux exigences de conformité réduites — tels que les bureaux OTC, les courtiers privés et les règlements en espèces dans des pays où les contreparties locales ne sont affiliées à aucun organisme de régulation.

Chaque étape engendre des frais, des délais et un risque de fuite d'informations, ce qui explique les montants exigés par le facilitateur. Les peel chains — cette méthode historique consistant à faire transiter les fonds par des centaines d'adresses successives en prélevant une commission infime à chaque palier — sont quasiment gratuites, mais génèrent les graphiques forensiques les plus évidents du milieu. Bien que les mixeurs procurent une confusion réelle, ils sont devenus des zones hautement illicites sur le plan légal ; les concepteurs d'un mixeur Bitcoin réputé ont été arrêtés en 2024, et Tornado Cash a fait l'objet de sanctions américaines prolongées avant que les tribunaux n'imposent un revirement partiel en 2025. Les outils changent d'appellation, mais l'économie sous-jacente demeure. L'anonymat est une marchandise qui a un prix, et ce prix grimpe à chaque nouvelle sanction gouvernementale.

Les détectives et la charge de la preuve

Dans le même temps, de l'autre côté de la vitre, l'effervescence d'un secteur tout entier se fait entendre. Les entreprises proposant des logiciels de traçage sont capables de reconstituer ces chaînes de façon automatisée, regroupant des millions d'adresses sous des entités identifiées. Ces sociétés s'adressent à une clientèle diversifiée : les exchanges, soucieux de repousser les fonds corrompus ; les régulateurs, en quête de statistiques ; et les services répressifs, à la recherche de suspects. On trouve également des profils indépendants — comme ZachXBT, qui a démantelé des réseaux de fraudeurs portant sur des centaines de millions de dollars, œuvrant bénévolement la plupart du temps, pour s'imposer de fait comme détective privé et conscience publique de l'écosystème. Leur force de frappe ne relève pas de l'autorité légale, mais de l'impact médiatique : un dossier solidement documenté peut conduire au gel du compte d'une mule sur une plateforme avant même qu'un procureur n'ait engagé la moindre action.

Cette asymétrie influence chaque pan de la situation. Si les analystes peuvent suivre les flux financiers quasiment en temps réel, l'appareil judiciaire n'en prend connaissance que plus tard, et de manière indirecte. Pour que les forces de l'ordre puissent agir — par exemple pour saisir des comptes bancaires, des biens immobiliers ou priver quelqu'un de sa liberté —, un simple rapport de traçage ne saurait suffire. D'autres preuves s'imposent : des dossiers KYC reliant une adresse à un passeport, des journaux de serveurs associant ce passeport à un ordinateur portable, et des dépositions établissant le lien entre cet ordinateur et une décision délibérée. L'attribution doit répondre aux exigences d'une cour de justice, et la transition entre les constatations on-chain et des preuves formelles recevables s'avère longue, variable d'une juridiction à l'autre et fastidieuse. Un analyste peut cartographier l'intégralité du réseau du facilitateur en une semaine ; un procureur, à l'inverse, peut mettre une année entière à exploiter cette cartographie, laps de temps suffisant pour que les intermédiaires aient changé de matériel.

Le facilitateur maîtrise tout aussi bien ce calendrier procédural qu'un avocat d'affaires. L'exécution des traités d'entraide judiciaire s'opère à un rythme d'une lenteur géologique. Les ordonnances de saisie ne frappent que ce qui se trouve à portée de main, et les éléments à portée de main se résument à ce qui est logé au sein d'un exchange coopératif à l'instant où l'injonction est signifiée. Sa stratégie ne vise donc pas à prendre de vitesse la blockchain — nul n'y parviendrait —, mais à devancer la bureaucratie en maintenant ses capitaux dans les interstices juridictionnels jusqu'à ce que l'attention des autorités se porte sur une autre cible. Dans cette configuration, le délit ne consiste pas d'abord à enfreindre les règles, mais plutôt à tirer parti de leurs plus lentes faiblesses.

Une dimension psychologique apparaît rarement dans les rapports institutionnels. Les traqueurs sont mus par une force supérieure au salaire : une obsession authentique, souvent ancrée dans une rancœur vis-à-vis des escrocs liée à un traumatisme, doublée parfois de l'ivresse d'avoir été le premier à repérer l'anomalie. Les blanchisseurs, en revanche, obéissent à un moteur plus insidieux que la simple cupidité : ils se laissent porter par la routine mécanique de leur activité professionnelle. La plupart des facilitateurs ne se perçoivent pas plus comme des criminels que le commun des mortels ne s'imagine gestionnaire de caisse de retraite ; ils se contentent de transférer de la valeur, la responsabilité morale inhérente à ces fonds incombant à autrui. Cette posture — se décrire comme un intervenant neutre, technique et respectable — constitue le pilier fondamental de toute l'économie du blanchiment. C'est précisément cet angle que les magistrats attaquent désormais de front, en engageant des poursuites contre les créateurs de mixeurs et les opérateurs de plateformes plutôt que contre les ombres détenant les clés privées.

Pourquoi la machine ne s'arrête jamais

Avec le recul, l'histoire de M n'apparaît pas tant comme un scénario criminel isolé que comme le métabolisme d'un écosystème global. Chaque renforcement de la sécurité complexifie le vol, ce qui élève le niveau de compétence exigé des pirates, accroît en retour les standards demandés aux facilitateurs, impose ensuite des outils analytiques plus pointus, lesquels incitent à un blanchiment plus sophistiqué, et la dynamique se perpétue. La Corée du Nord a fait sienne cette mécanique pour la hisser au rang de politique d'État, finançant son régime précisément grâce aux moyens de paiement plébiscités par la sphère internationale. Les équipes d'amateurs continuent de prouver que les failles humaines — l'impatience, l'avidité et l'envie de consommer — constituent la surface d'attaque la plus vulnérable. Par ailleurs, les technologies de confidentialité d'une décennie deviennent les cibles des régimes de sanctions de la suivante.

TRON occupe une place à part dans cette mécanique : le réseau hébergeant davantage d'USDT que tout autre écosystème, il concentre à la fois les volumes d'échanges légitimes les plus intenses et certaines des opérations de blanchiment les plus massives de la planète. Dans la mesure où exécuter des milliers de transferts d'USDT sur le réseau s'avère coûteux s'il faut brûler du TRX à chaque transaction, les opérateurs réalisant des volumes d'envergure — tels que les plateformes, les processeurs de paiement et, de fait, les blanchisseurs exploitant des peel chains — ont tous adopté la même parade : ils louent de l'Energy TRON. Louer de l'Energy TRON ne coûtant qu'une fraction infime du montant nécessaire pour brûler du TRX, ou en recourant à de l'Energy TRON déléguée pendant une heure le temps de traiter quelques centaines d'opérations, le procédé relève d'une saine optimisation technique pour les acteurs légitimes. Mais c'est précisément cette Energy TRON à bas coût qui rend abordable un montage de blanchiment impliquant une centaine d'adresses, raison pour laquelle les prestataires d'Energy sérieux contrôlent scrupuleusement l'identité de leurs clients. C'est ici que Netts trace une frontière que le reste du marché de la location ignore : à l'aide de sa propre infrastructure d'analyse TRON, la plateforme a mis en place un périmètre de conformité bloquant plus de 28 millions d'adresses — entités sous sanctions, infrastructures de phishing et portefeuilles associés à des piratages et des fonds dérobés —, chaque demande de délégation d'Energy étant confrontée à cette liste en temps réel, complétée par un module Elliptic indépendant opérant en arrière-plan de sa surveillance. La motivation est évidente : les ressources alimentant l'économie du blanchiment ne doivent pas émaner d'infrastructures feignant d'ignorer la nature de ces flux.

Pour tous ceux qui se situent du bon côté de cette frontière — traders, plateformes d'échange et services de paiement —, la conclusion pratique s'impose d'elle-même : pour transférer des USDT sur TRON sans devoir brûler de TRX, le Netts TRON Energy Market rassemble l'ensemble des acteurs de la location en temps réel et indique systématiquement le taux le plus compétitif du marché. Il permet ainsi de louer de l'Energy au meilleur tarif disponible, via une infrastructure capable d'ores et déjà de distinguer les flux d'un trader actif de ceux d'une peel chain en pleine action.