Le Bitcoin est souvent décrit comme anonyme, mais cette description est erronée sur un point important. Il est pseudonyme, ce qui signifie que chaque transaction est enregistrée de façon permanente sur un registre public, sous des adresses de portefeuille plutôt que des noms. Cette distinction constitue le fondement même de la manière dont un Bitcoin volé est retracé. Ce guide explique les mécanismes réels, en langage clair, sans simplifier à l'excès les aspects qui comptent.
Comprendre d'abord le modèle UTXO
Le Bitcoin ne fonctionne pas comme un compte bancaire avec un solde courant. Il utilise ce que l'on appelle le modèle de sortie de transaction non dépensée, ou modèle UTXO. Chaque bitcoin que vous possédez existe comme une sortie distincte issue d'une transaction précédente, restant non dépensée jusqu'à ce que vous la dépensiez. Lorsque vous effectuez un paiement, votre logiciel de portefeuille sélectionne un ou plusieurs de ces UTXO comme entrées, et la transaction crée de nouvelles sorties, l'une allant au destinataire, et souvent une seconde, appelée monnaie rendue, retournant vers une nouvelle adresse que vous contrôlez.
Cela compte pour le traçage, car chaque transaction laisse un lien visible et permanent entre ses entrées et ses sorties. Un Bitcoin volé ne disparaît pas dans une boîte noire : il passe d'un UTXO spécifique à de nouveaux UTXO spécifiques, et cette chaîne de possession est enregistrée pour toujours, que la personne impliquée le veuille ou non.
Il est utile de considérer chaque UTXO comme une pièce distincte et identifiable de façon unique, plutôt que comme un chiffre dans un solde de compte. Si un voleur dérobe 1,5 BTC qui existaient sous forme de trois UTXO distincts de 0,5 BTC chacun, situés sur trois adresses différentes en raison de la manière dont le portefeuille de la victime avait précédemment reçu des fonds, le traçage doit suivre ces trois unités distinctes, et non un solde abstrait unique. C'est un problème sensiblement différent du traçage d'un solde de compte bancaire, et c'est aussi ce qui rend le clustering, décrit ci-dessous, à la fois nécessaire et possible.
Le point de départ : la transaction du vol
Chaque traçage commence à partir de la transaction confirmée qui a fait sortir les fonds volés du portefeuille de la victime. Cette transaction possède un identifiant unique, et elle montre exactement vers quelle adresse les fonds se sont ensuite déplacés. À partir de là, un enquêteur se livre essentiellement à un jeu très rigoureux consistant à suivre l'argent, transaction par transaction, saut par saut.
Le clustering : transformer des adresses en entités
L'adresse sur laquelle atterrissent les fonds volés est rarement la fin de l'histoire, et c'est rarement la seule adresse contrôlée par cette personne ou ce service. C'est là qu'interviennent les heuristiques de clustering, des techniques qui regroupent plusieurs adresses comme appartenant très probablement à la même entité, même si rien dans la blockchain ne les désigne explicitement comme telles.
L'heuristique de dépense conjointe
La plus importante et la plus fiable de ces heuristiques est connue sous le nom d'heuristique de dépense conjointe, ou de propriété commune des entrées (co-spend). Lorsqu'une transaction comporte plusieurs entrées, c'est-à-dire qu'elle dépense plus d'un UTXO à la fois, toutes ces entrées doivent avoir été signées par celui qui contrôle les clés privées correspondantes. En pratique, cela signifie presque toujours que toutes ces adresses d'entrée sont contrôlées par le même portefeuille, et donc par la même personne ou le même service. Un voleur qui consolide des fonds provenant de plusieurs adresses dans une seule transaction, ce qui arrive constamment par commodité, révèle par inadvertance que toutes ces adresses lui appartiennent.
L'heuristique de l'adresse de monnaie rendue
La deuxième technique clé permet d'identifier laquelle des sorties d'une transaction correspond à la monnaie rendue à l'expéditeur, par opposition au paiement réel. Les sorties de monnaie rendue présentent généralement des caractéristiques identifiables, comme être une adresse nouvellement utilisée, ou avoir un montant qui ne correspond à aucun chiffre rond qu'un destinataire attendrait. Identifier correctement la sortie de monnaie rendue permet à un enquêteur de continuer à suivre les fonds du même acteur à travers ce qui ressemblerait autrement à une impasse, plutôt que de suivre par erreur l'argent jusqu'à un destinataire sans lien avec l'affaire.
Ensemble, ces heuristiques permettent à une seule adresse de départ de s'étendre en une grappe, parfois de dizaines ou de centaines d'adresses, pouvant être attribuée avec une grande confiance à un seul portefeuille ou service. Les plateformes commerciales de renseignement blockchain automatisent ce clustering sur l'ensemble de la blockchain, combiné à l'empreinte comportementale et à des libellés d'adresses connues, mais la logique sous-jacente reste celle décrite ci-dessus.
Les chaînes de pelage et l'empreinte comportementale
Les fonds volés sont fréquemment déplacés via ce que les enquêteurs appellent une chaîne de pelage, une séquence de transactions où un UTXO important est fractionné à répétition, envoyant un petit montant vers une adresse de destination tout en renvoyant le reste sous forme de monnaie rendue vers une nouvelle adresse contrôlée par le même acteur, encore et encore sur de nombreux sauts. Ce schéma est extrêmement courant dans les tentatives de blanchiment, car il ressemble superficiellement à une activité de portefeuille ordinaire, mais il possède une signature reconnaissable : une longue séquence de transactions comportant chacune deux sorties, un solde en diminution reporté sous forme de monnaie rendue, et de petits montants se détachant en cours de route. Reconnaître une chaîne de pelage permet à un enquêteur de suivre le solde principal à travers des dizaines de sauts sans se perdre dans les montants secondaires qui se détachent, dont la plupart finissent par aboutir à des destinations de dépense telles que des plateformes d'échange ou des commerçants.
Les enquêteurs s'appuient aussi sur l'empreinte comportementale, des schémas comme une régularité des horaires de transaction associée à un fuseau horaire particulier, une préférence pour des montants ronds, des taux de frais réutilisés, ou une tendance à consolider les fonds après un certain nombre de sauts. Aucun de ces signaux n'est concluant à lui seul, mais combinés aux heuristiques de dépense conjointe et de monnaie rendue, ils construisent une image probabiliste souvent suffisamment solide pour appuyer un signalement judiciaire.
Trouver le point d'étranglement
Retracer des adresses n'est utile que si cela mène finalement quelque part d'exploitable. Cet endroit est généralement un point d'étranglement, un point du flux de fonds où le monde anonyme de la blockchain touche un service qui conserve des dossiers liés à des identités réelles. Le point d'étranglement le plus courant est une plateforme d'échange centralisée, qui, en vertu de la réglementation, exige généralement une vérification d'identité de ses clients.
- Les plateformes d'échange centralisées, qui conservent généralement des dossiers de vérification d'identité pouvant être divulgués aux forces de l'ordre ou par une procédure légale valide
- Les prestataires de paiement et les services de conversion entre crypto et monnaie fiduciaire, qui portent souvent des obligations de conformité similaires
- Les fournisseurs de portefeuilles hébergés ou dépositaires, qui contrôlent les clés privées pour le compte d'un utilisateur et peuvent agir sur des demandes légales
- Les places de marché NFT et d'autres plateformes où des fonds blanchis sont parfois dépensés ou convertis
Une fois qu'une grappe d'adresses peut être rattachée à un dépôt sur l'un de ces services, un enquêteur peut préparer un rapport identifiant le dépôt, le moment où il a eu lieu, et le trajet de transaction le reliant au vol, prêt à appuyer une assignation, un signalement aux forces de l'ordre, ou une demande directe à l'équipe de conformité de la plateforme d'échange.
Selon des recherches publiées par la société de renseignement blockchain TRM Labs, les enquêtes de traçage structurées qui débutent à partir d'un vol confirmé atteignent un dépôt identifiable sur une plateforme d'échange dans une large majorité des cas, en environ quinze sauts de transaction, à condition que les fonds ne soient pas acheminés via des outils renforçant la confidentialité en cours de route.
Un exemple concret : suivre un vol étape par étape
Supposons que le portefeuille d'une victime soit vidé de 2 BTC en une seule transaction vers une adresse contrôlée par le voleur. Cette adresse détient les 2 BTC brièvement, puis le voleur les combine avec 0,3 BTC provenant d'une adresse sans rapport dans une nouvelle transaction, une action qui, selon l'heuristique de dépense conjointe, révèle que les deux adresses sont contrôlées par le même portefeuille. La transaction envoie 2,1 BTC vers une nouvelle adresse et renvoie 0,2 BTC en monnaie rendue vers une adresse fraîchement générée, identifiable comme monnaie rendue car elle n'a jamais été utilisée auparavant et reçoit un montant qui ne correspond à aucun chiffre rond qu'un destinataire attendrait.
À partir de là, les 2,1 BTC sont à nouveau fractionnés sur plusieurs sauts selon un schéma de chaîne de pelage, de petits montants se détachant à chaque étape tandis que l'essentiel du solde se poursuit. Finalement, le solde restant, désormais peut-être 1,6 BTC après plusieurs petits pelages, est déposé sur une adresse qu'une plateforme de renseignement blockchain a déjà identifiée comme appartenant à une plateforme d'échange centralisée connue, sur la base des schémas de dépôt et de retrait publiquement observés de cette plateforme. À ce stade, le traçage a atteint son point d'étranglement. Un enquêteur documente le trajet complet, la transaction de vol d'origine, chaque saut intermédiaire, la structure de la chaîne de pelage et le dépôt final, et cette documentation devient la base d'un rapport à la plateforme d'échange ou d'un signalement aux forces de l'ordre.
Idée reçue : les services de mélange rendraient les fonds totalement intraçables
Il convient d'aborder directement une croyance qui revient constamment dans les discussions en ligne sur le vol de crypto : celle selon laquelle faire transiter des fonds volés par un mélangeur les rendrait de façon permanente et totale intraçables. Cela surestime ce qu'un mélangeur fait réellement. Un service de mélange regroupe des fonds provenant de nombreux déposants et effectue des versements à partir de ce fonds commun, ce qui brise le lien simple, un pour un, entre un dépôt spécifique et un retrait spécifique, et c'est un véritable obstacle. Mais cela n'efface pas les transactions elles-mêmes de la blockchain, et cela ne garantit pas que l'analyse du moment, du montant et du comportement ne puisse plus relier un déposant à un retrait ultérieur avec une confiance significative, en particulier pour les mélangeurs disposant d'un plus petit bassin d'utilisateurs ou de schémas de versement prévisibles. Plusieurs services de mélange majeurs ont aussi été sanctionnés ou mis hors ligne par les forces de l'ordre ces dernières années, et des fonds y ayant transité avant leur fermeture ont, dans certains cas documentés, tout de même pu être reliés à leur destination grâce à des dossiers saisis lors de ces opérations.
Ce qui complique le traçage
Toutes les affaires ne se résolvent pas aussi proprement. Les voleurs recourent de plus en plus à des techniques spécifiquement conçues pour contourner ces heuristiques, notamment faire transiter les fonds par des services de mélange qui regroupent et redistribuent les pièces pour en obscurcir l'origine, les convertir en cryptomonnaies axées sur la confidentialité comme Monero, qui n'utilisent pas un registre transparent de la même manière, et transférer les fonds sur plusieurs blockchains via des ponts, ce que notre guide complémentaire sur la manière dont les enquêteurs retracent les fonds à travers plusieurs blockchains traite en profondeur. Chacune de ces techniques ajoute de la friction et du coût à un traçage sans le rendre impossible, mais elles réduisent sensiblement les chances d'atteindre un point d'étranglement net.
- Les transactions de type CoinJoin, qui combinent les entrées et sorties de plusieurs utilisateurs en une seule transaction spécifiquement pour obscurcir la correspondance entre chaque entrée et chaque sortie
- Le transfert inter-chaînes via des ponts, déplaçant les fonds vers une blockchain entièrement différente en cours de blanchiment, traité dans notre guide dédié au traçage inter-chaînes
- Le pelage en chaîne combiné à un fractionnement rapide et à fort volume sur des dizaines d'adresses dans une fenêtre de temps courte, conçu pour submerger l'examen manuel
- L'utilisation de services d'échange sans vérification d'identité et de places de marché de pair à pair qui n'exigent pas de contrôles de conformité avant de convertir les fonds
Pourquoi cela compte même sans récupération garantie
Il convient d'être direct : retracer un Bitcoin volé ne restitue pas, en soi, les fonds à leur propriétaire. Ce que cela produit, c'est un compte-rendu documenté et défendable de la destination des fonds, ce qui constitue le fondement nécessaire à tout effort de récupération par les canaux judiciaires ou des forces de l'ordre, traité plus en détail dans notre guide sur la possibilité de récupérer une cryptomonnaie volée. Sans cette piste documentée, il n'y a d'emblée aucun dossier à présenter à une plateforme d'échange ou à un tribunal.
Questions fréquentes
Non. Le Bitcoin est pseudonyme, ce qui signifie que les transactions sont rattachées à des adresses de portefeuille plutôt qu'à des noms, mais chaque transaction reste visible en permanence sur un registre public. Les techniques de clustering et les registres des plateformes d'échange peuvent souvent relier des adresses à des identités réelles, ce qui est l'opposé d'une véritable anonymat.
Oui, dans de nombreux cas. Convertir du Bitcoin en un autre actif, que ce soit via une plateforme d'échange ou un échange décentralisé, laisse généralement son propre registre, sur ou hors chaîne. Les enquêteurs suivent la piste à travers cette conversion à l'aide de techniques traitées dans notre guide de traçage inter-chaînes, bien que chaque conversion ajoute de la complexité à l'enquête.
Non. Le traçage repose entièrement sur le registre public et permanent des transactions sur la blockchain, et ne requiert aucune coopération de la personne qui a volé les fonds. Ce que le traçage ne peut pas faire à lui seul, c'est forcer la restitution des fonds ; cela nécessite d'atteindre un point d'étranglement comme une plateforme d'échange et d'engager une action légale.
Les enquêteurs professionnels utilisent généralement des plateformes commerciales de renseignement blockchain qui automatisent le clustering d'adresses, appliquent des libellés d'entités connues, et visualisent les flux de fonds à travers des millions de transactions, combinées à une analyse manuelle pour vérifier et documenter les conclusions à des fins judiciaires ou pour les forces de l'ordre.
Une chaîne de pelage est une séquence de transactions où un solde important est fractionné à répétition, envoyant un petit montant vers une destination tandis que le reste se poursuit sous forme de monnaie rendue sur de nombreux sauts. C'est un schéma de blanchiment courant, et le reconnaître permet aux enquêteurs de suivre le solde principal à travers de nombreuses transactions plutôt que de perdre la piste dans les petits montants qui se détachent.
Sources et lectures complémentaires
- The Fundamentals of Cryptocurrency Transaction Tracing · TRM Labs
- Analyzing Hack Subnetworks in the Bitcoin Transaction Graph · arXiv
- Cryptocurrency Crime Information · Internet Crime Complaint Center, Federal Bureau of Investigation