Memoire Online - Le blanchiment de capitaux à l'épreuve des crypto-actifs.

33 - Contexte - La dématérialisation des modes opératoires conduit les services d'enquête à extraire et analyser une masse importante de données présentes sur différents supports dans le but de matérialiser l'infraction et rassembler les preuves numériques nécessaires à la poursuite des auteurs¹⁸⁷.

En ce qui concerne le blanchiment commis au moyen de crypto-actifs, la mission des enquêteurs consiste à analyser l'ensemble des transactions suspectes passées sur la blockchain. Leur objectif est de retracer les flux illicites à la recherche d'un intermédiaire auquel ils pourront adresser des réquisitions afin que ce dernier leur communique les informations qu'il détienne sur le suspect en application de ses obligations de connaissance client. Afin d'empêcher les enquêteurs de remonter les transactions, les blanchisseurs ont recours à divers procédés destinés à casser la chaîne de transmission des crypto-actifs. L'utilisation de ces techniques impacte les enquêtes pénales, allant parfois jusqu'à conduire à leur abandon.

34 - Les techniques d'anonymisation - Tout d'abord, les blanchisseurs ont recours à diverses techniques destinées à masquer leur identité numérique.

- Recours à des crypto-actifs dits anonymes - Bien que le bitcoin reste le crypto-actif privilégié des criminels¹⁸⁸, la blockchain bitcoin présente l'avantage (ou l'inconvénient) de permettre de remonter l'intégralité des transactions d'un utilisateur dès lors que sa clé publique est reliée à son identité. Les blanchisseurs ont donc tout intérêt à se tourner vers des blockchains spécialement conçues pour garantir l'anonymat de ses utilisateurs et rendre les transactions intraçables.

En ce sens, le 10 décembre 2019, Jarek Jakubcek, analyste près du Centre européenne de lutte contre la cybercriminalité, déclarait au cours d'un webinaire consacré aux crypto-actifs anonymes que, lors d'une enquête menée par ses services, l'utilisation combinée du crypto-actif Monero et du logiciel Tor¹⁸⁹ n'avait pas permis de retraçer les fonds, ni de déceler une quelconque adresse IP¹⁹⁰.

187 PUTIGNY Hervé, Ancien cyber-enquêteur à la section de recherches de Dijon, Directeur général et co-fondateur de la société WebDrone, entretien téléphonique mené par Alexandra Puertas, le 11 juin 2020

188 EUROPOL, Internet organised crime threat assessment 2019, 9 octobre 2019, 54 p.

190 L'adresse IP ou Internet Protocol Adresse, est l'adresse unique qui identifie tout matériel informatique connecté à internet.

Monero est un de ces crypto-actifs dits anonymes dont la blockchain rend les transactions intraçables par défaut (contraitement à Dash et Zcash). L'utilisation de trois technologies permet en effet de masquer l'expéditeur, le destinataire et le montant des transactions réalisées sur sa blockchain.

L'identité de l'expéditeur est dissimulée grâce à un procédé cryptographique appelé signature de cercle ou ring signatures qui a pour conséquence de faire apparaître toutes transactions émises sur la blockchain comme ayant été exécutées par un groupe de personnes, sans pouvoir déterminer l'identité du réel exécutant appartenant à ce groupe.

Ce procédé conduit à une anonymisation des transactions ; anonymisation renforcée par l'utilisation d'une technologie dites des adresses furtives ou stealth addresses, qui empêche d'associer les transactions effectuées par un utilisateur à sa clé publique en générant pour chaque transaction une nouvelle clé. Enfin, le montant des transactions effectuées sur la blockchain Monero¹⁹¹ est cachée grâce à une technologie dites des transactions confidentielles en anneau¹⁹² (Ring CT).

A titre comparatif, la blockchain du bitcoin est dite transparente en ce qu'elle affiche publiquement l'expéditeur, le destinataire et le montant de l'ensemble des transactions opérées en bitcoin.

191 Pour en savoir plus sur les technologies de confidentialité utilisées par Monero : MONERO, « FAQ : How is Monero's privacy different from other coins », sur Monero [en ligne], https://web.getmonero.org/get-started/faq/

Pour en savoir plus sur les signatures de cercle : MONERO, « Monero : Ring Confidential Transactions » [vidéo en ligne], Youtube, 21 août 2017 2017, [consultée le 9 juin 2020], https://www.youtube.com/watch?v=M3AHp9KgTkQ.

Pour en savoir plus sur les adresses furtives : MONERO, « Monero : Stealth Addresses » [vidéo en ligne], Youtube, 4 avril 2017, [consultée le 9 juin 2020], https://www.youtube.com/watch?v=bWst278J8NA.

Pour en savoir plus sur les transactions confidentielles en anneau : MONERO, « Monero : Ring Signatures » [vidéo en ligne], Youtube, 12 juin 2017, [consultée le 9 juin 2020], https://www.youtube.com/watch?v=zHN B H fCs

192 Les transactions confidentielles en anneau est un moyen de cacher le montant d'une transaction

Extrait des transactions effectuées sur la blockchain bitcoin par l'utilisateur détenant la clé publique :
3FkenCiXpSLqD8L79intRNXUgjRoH9sjXa

Explications : la blockchain bitcoin est dite transparente puisque, à partir du moment où l'enquêteur a connaissance de l'identité de la personne qui se cache derrière une clé publique, il peut remonter l'ensemble des transactions effectués sur la blockchain par cette dernière.

Par exemple, si l'enquêteur sait que la clé publique « bc1qjyOuk92É » est détenue par Monsieur Dupont et que la clé publique « 3FkenCiXpSLqD8L79intRNXUgjRoH9sjXa » est détenue par le site internet bitcoin.org ; il pourra en déduire que Mr Dupont a envoyé, le 26 mai 2020 à 2h04, 13,75 dollars américains au site internet bitcoin.org.

Avec une capitalisation boursière estimée à près de 277 milliards de dollars américains¹⁹³, Monero est le crypto-actif privé le plus populaire¹⁹⁴. Toutefois, son utilisation nuit gravement aux enquêtes pénales, pouvant conduire à leur abandon¹⁹⁵.

Au regard des risques blanchiment que font encourir ces crypto-actifs privés, des plateformes d'échange comme BitBay ont pris la décision d'exclure Monero de leurs plateformes¹⁹⁶.

- Utilisation du réseau Tor - Tor est un logiciel, et un réseau informatique ouvert, qui permet de réduire une certaine forme de surveillance sur Internet. Cette surveillance, dite analyse du trafic réseau, permet de déterminer la source et la destination des informations auxquelles une personne accède¹⁹⁷. Bien que son emploi soit licite, Tor est souvent utilisé par les blanchisseurs pour masquer leurs adresses IP dans le but d'empêcher leur identification par les services d'enquête.

Tor vient de l'acronyme The Onion Router, qui fonctionne sur la base du routage en oignon, développé au milieu des années 1990 par les informaticiens David Goldschlag et Georges Michael Reed et le mathématicien Paul Syverson du laboratoire de recherche des États-Unis. L'idée était de créer une connexion internet qui ne révèle pas l'adresse IP de l'utilisateur aux sites internet qu'il consulte¹⁹⁸.

L'adresse IP ou Internet Protocol Adresse, est l'adresse unique qui identifie tout matériel informatique connecté à internet¹⁹⁹. A partir de l'adresse IP d'un utilisateur, les autorités pourront identifier son fournisseur d'accès à internet, et potentiellement localiser le matériel informatique qu'il a utilisé.

193 COINMARKETCAP, All cryptocurrencies, sur coinmarketcap [en ligne], consulté le 9 juin 2020.

194 Ibid. Monero est classé 16^ème rang en termes de capitalisation boursière des crypto-actifs.

195 JAKUBCEK Jerek, Blockchain Alliance webinar on Privacy Coins [intervention], 10 décembre 2019.

196 BitBay est la première plateforme européenne à interdire un crypto-actif en raison de l'anonymat qu'il procure. BITBAY, « Ending Support for Monero (XMR) », sur Bitbay [en ligne], le 19 février 2020, [consulté le 9 juin 2020], https://bitbay.net/en/news/ending-support-for-moneroxmr-on-19022020.

Lorsqu'un utilisateur effectue une demande d'informations sur internet, le routage en oignon va permettre d'acheminer cette demande au sein d'un réseau distribué de relais, appelés également noeuds. Ces noeuds ne sont rien d'autres que les ordinateurs de bénévoles composant le réseau Tor. L'idée est qu'au lieu d'établir une connexion directe entre la source et la destination, les données suivent un circuit aléatoire à travers plusieurs relais.

Chaque noeud du réseau aura connaissance de l'adresse IP de son prédécesseur et de son successeur mais ne pourra ni prendre connaissance de l'identité de la personne à l'origine de la demande d'informations, ni percevoir le contenu des données échangées qui sont cryptées lorsqu'elles passent par les noeuds.

Le réseau Tor permet donc de protéger l'identité de l'utilisateur puisqu'il sera impossible d'associer son ordinateur aux opérations de blanchiment réalisées sur internet.

Source : « Bitcoin ATM MAP », sur CoinATMRadar [en ligne], https://coinatmradar.com/

- Utilisation d'un VPN - Outre l'utilisation de Tor, les blanchisseurs peuvent avoir recours à un VPN dans le but de masquer leur identité numérique. Un VPN (ou réseau privé virtuel) est un serveur qui sert d'intermédiaire entre l'utilisateur et internet. L'ordinateur est connecté au VPN, qui lui-même est connecté à internet. Ainsi, lorsque l'utilisateur souhaite consulter des informations en ligne, sa demande est traitée par le VPN qui effectuera les recherches sur internet et lui renverra les informations.

Le VPN permet donc de masquer l'adresse IP et la localisation du blanchisseur en « empruntant » l'adresse IP du serveur VPN qui peut être localisé à n'importe quel endroit sur le globe. Il devient alors impossible de connaître l'identité, la localisation et les opérations réalisées par l'utilisateur, seule sera visible sa connexion au VPN.

35 - Les techniques destinées à opacifier la traçabilité des fonds - Enfin, les blanchisseurs ont recours à des techniques destinées casser la chaîne de transmission des crypto-actifs afin d'empêcher les services d'enquête de remonter les transactions²⁰⁰.

- Mixer - Pour cela, la technique la plus utilisée par les blanchisseurs consistent à faire appel aux services de mixers ou tumblers. Ces derniers servent d'intermédiaire entre un portefeuille A et un portefeuille B afin d'empêcher l'établissement d'un quelconque lien entre ces derniers. Les services de mixage présentent l'intérêt de pouvoir faire transiter des fonds d'un portefeuille A à un portefeuille B, et ce, sans que les services d'enquête soit dans la capacité d'identifier le portefeuille B. Pour se faire, le mixer va demander au client A de lui envoyer les unités qu'il souhaite faire parvenir à B sur une clé publique lui appartenant (et sur laquelle tous les clients du mixer envoient des fonds). Le client pourra alors choisir différentes options assorties de coûts plus en moins élevés en fonction des techniques d'opacification qu'il souhaite utiliser. Ainsi, les crypto-actifs d'origine illicite de A seront mélangés aux unités propres appartenant à d'autres clients du mixer ou au mixer lui-même.

Pour comprendre en quoi les services de mixage empêchent les enquêteurs de tracer les crypto-actifs, il convient de s'intéresser au fonctionnement des outils d'analyses utilisés par ces derniers, à savoir les explorateurs de blockchain.

200 EUROPOL, Internet organised crime threat assessment 2019, 9 octobre 2019, 54 p.

En effet, les algorithmes de ces outils d'analyse sont programmés pour suivre les transactions réalisées en crypto-actifs sur la blockchain en fonction de leurs caractéristiques (montant de la transaction, date, heure, frais liés à la transaction etc.)

- Contre-valeur en euros : 100 € - Horodatage : 22/06/20 à 17h - Frais associés : 2 €

- Contre-valeur en euros : 20 € - Horodatage : 22/06/20 à 17h - Frais associés : 0,10 €

- Contre-valeur en euros : 100 € - Horodatage : 22/06/20 à 17h - Frais associés : 2 €

- Contre-valeur en euros : 100 € - Horodatage : 22/06/20 à 17h05 - Frais associés : 2 €

- Contre-valeur en euros : 10 € - Horodatage : 23/06/20 à 9h - Frais associés : 0,10 €

- Contre-valeur en euros : 100 € - Horodatage : 22/06/20 à 17h - Frais associés : 2 €

A partir de la transaction A, l'analyseur de blockchain va suivre la transaction B2 puisque ses caractéristiques correspondent à la transaction initiale. Toutefois, cette logique ne fonctionne plus lorsque le blanchisseur utilise un service de mixage puisque le mixer se chargera de diviser la transaction A en une multitude de transactions (par exemple 10 transactions de 10 €), qu'il renverra à

Par conséquent, le recours aux services de mixage empêche les enquêteurs de s'assurer que la transaction qu'ils suivent correspond, en réalité, à celle effectuée par le blanchisseur²⁰¹. La seule solution pour les services d'enquête consiste alors à localiser le mixer, puis prouver que le flux principal généré sur sa plateforme est d'origine illicite. Ainsi, il sera possible de faire fermer la plateforme et de saisir ses serveurs afin d'analyser les patterns, c'est-à-dire les habitudes de l'algorithme du mixer, pour espérer pouvoir reconstruire le chemin réel des fonds et identifier les blanchisseurs.

En mai 2019, le service néerlandais de renseignements et d'enquêtes fiscales, en étroite coopération avec Europol et les autorités luxembourgeoises, a procédé à la fermeture d'un des plus importants services de mixage de crypto-monnaies au monde, Bestmixer.io. Ouvert en mai 2018, le service aurait permis le blanchiment de fonds illicites pour un montant estimé à 200 millions de dollars américains. L'opération a notamment permis de saisir six serveurs aux Pays-Bas et au Luxembourg²⁰².

- Plateforme de conversion intra-crypto - Dans un même ordre d'idée, des plateformes de conversion intra-crypto telles que Changelly ou ShapeShift proposent à leurs clients de servir d'intermédiaire à l'image des mixers mais en incorporant, en plus, une opération de conversion intra-cryptos. Le recours à ces plateformes complexifie d'autant plus la traçabilité des fonds au regard d'opérations réalisés sur des blockchains différentes (donc indépendantes l'une de l'autre)²⁰³.

201 DUBOIS Kévin, Analyste criminel à l'Office Central de Lutte contre la Cybercriminalité (OCLCTIC), Expert en crypto-actifs, entretien téléphonique mené par Alexandra Puertas, le 27 juin 2020

202 EUROPOL, Internet organised crime threat assessment 2019, 9 octobre 2019, 54 p.

Représentation des opérations réalisées par des plateformes telles que Changelly ou Shapeshift

- Contre-valeur en euros : 100 € - Horodatage : 22/06/20 à 17h05 - Frais associés : 2 €

	TRANSACTION C
	Caractéristiques : - Contre-valeur en euros : 100 € - Horodatage : 22/06/20 à 17h08 - Frais associés : 1 €		Blockchain du bitcoin
PLATEFORME


		TRANSACTION B

		Caractéristiques : - Contre-valeur en euros : 100 € - Horodatage : 22/06/20 à 17h05 - Frais associés : 2 €		Blockchain de Monero

Explications : A souhaite envoyer 100 euros à B. Il envoie pour 100 € de bitcoins à la plateforme. Cette dernière se charge alors d'envoyer pour 100 euros d'un autre crypto-actif (ici Monero) à B. L'outil d'analyse utilisé par l'enquêteur suivra potentiellement la transaction C qui dispose des même caractéristiques que la transaction A.

Pour conclure, l'utilisation de techniques d'opacification par les blanchisseurs entravent la capacité des autorités compétentes à collecter les preuves nécessaires à leurs identifications, poursuites et condamnations. Ce constat doit conduire les pouvoirs publics à renforcer les capacités d'investigation des enquêteurs.

Ces dernières années, les autorités de police judiciaire se sont dotées de services d'enquête spécialisée ayant une compétence nationale, à l'image de la cellule d'enquête spécialisée en cybercriminalité financière de Tracfin, l'Office Central de la Lutte contre la Cybercriminalité liée aux Technologies de l'Information et de la Communication (OCLCTIC) relevant de la Direction Centrale de la Police Judiciaire, le Centre de Lutte contre les Criminalités Numériques relevant de la Gendarmerie Nationale ou encore la cyberdouane.

Pour mener à bien leurs missions, ces enquêteurs spécialisés sont dotés de puissants outils de crypto-traking, dénommés explorateurs de blockchain. Ces nouveaux outils offrent, en plus des fonctionnalités d'exploration, des programmes d'analyse et d'investigation spécialement destinés à l'identification de suspects, la traçabilité des transactions, l'estimation des flux financiers et l'identification d'activités suspectes²⁰⁴. Cependant, les solutions d'analyse les plus performantes nécessitent l'achat de licences annuelles qui engendrent des coûts financiers importants (30 000 € / an pour le logiciel utilisé par OCLCTIC). Pour ces raisons, les pouvoirs publiques réservent ces outils aux services centraux. Toutefois, cette logique de centralisation conduit à un manque de sensibilisation des équipes au niveau local, parfois aggravé par une stratégies négative de réductions des effectifs.

204 DIRECTION DES AFFAIRES CRIMINELLES ET DES GRACES, Fiche juridique et technique - Cryptoactifs, janvier 2019, 5 p.

Le blanchiment de capitaux à l'épreuve des crypto-actifs.

2. Les techniques d'opacification