Elliptic utilise l'IA pour détecter le blanchiment de bitcoin à grande échelle

Un nouvel article d'Elliptic, corédigé avec des chercheurs du MIT-IBM Watson AI Lab, montre que les modèles d'apprentissage profond peuvent identifier le blanchiment de bitcoin à travers des chaînes de transactions bien plus précisément que les méthodes de filtrage traditionnelles seules. Le jeu de données qui sous-tend la recherche couvre près de 200 millions de transactions, ce qui en fait le plus grand ensemble de ce type rendu public, et les techniques alimentent déjà des produits de détection AML en production. Pour les équipes de conformité, les auditeurs et les entreprises qui s'appuient sur des logiciels de comptabilité crypto pour respecter leurs obligations AML, les implications sont immédiates et concrètes.

Ce que fait réellement la recherche

Les travaux antérieurs dans ce domaine, notamment un article de 2019 d'Elliptic et de la même équipe du MIT-IBM Watson AI Lab, entraînaient des modèles d'apprentissage automatique à signaler des transactions bitcoin individuelles associées à des acteurs illicites connus, tels que des groupes de rançongiciels ou des places de marché du darknet. Ce premier ensemble d'entraînement contenait environ 200 000 transactions et a depuis été cité près de 400 fois par des chercheurs du monde entier, signe de son caractère fondateur dans la littérature appliquée sur l'AML et l'apprentissage automatique.

Le nouvel article adopte une approche sensiblement différente. Plutôt que de noter des transactions individuelles, le modèle apprend à identifier des sous-graphes : des séquences de transactions connectées qui représentent ensemble un parcours de blanchiment. Ce changement compte parce que le blanchiment professionnel se produit rarement en un seul saut. Les criminels déplacent régulièrement des fonds via plusieurs adresses intermédiaires, services imbriqués ou étapes de superposition avant que les fonds n'atteignent un point de conversion en espèces. Un modèle entraîné sur des sous-graphes peut donc saisir le processus de blanchiment, et pas seulement le point final.

Comment fonctionne le réseau de neurones sur graphe

L'architecture sous-jacente est un réseau de neurones sur graphe (GNN), une classe de modèle d'apprentissage profond particulièrement adaptée aux données naturellement structurées en réseau de relations. L'historique des transactions bitcoin est exactement cela : un graphe orienté où les entrées et les sorties relient les adresses dans le temps. Les GNN peuvent apprendre de la forme et du motif de ces connexions, et pas seulement des attributs d'un nœud ou d'une arête en particulier.

Dans ce cas, le modèle a été entraîné sur des sous-graphes étiquetés, certains connus pour représenter du blanchiment de capitaux et d'autres bénins, extraits du jeu de données complet de près de 200 millions de transactions. Une fois entraîné, il peut prédire si une chaîne de transactions inédite correspond au schéma de blanchiment, même si aucune adresse individuelle de cette chaîne n'a été signalée auparavant.

Validation en conditions réelles avec une plateforme crypto

Les modèles académiques qui performent bien sur les données d'entraînement déçoivent souvent en production. Elliptic a répondu à cela en réalisant un test en direct avec une plateforme d'échange de cryptomonnaies. Le modèle a généré 52 sous-graphes qu'il prédisait être des parcours de blanchiment, chacun se terminant par un dépôt sur cette plateforme.

Un taux de réussite frappant

Sur ces 52 sous-graphes prédits, 14 se terminaient sur des comptes que la plateforme avait déjà signalés de manière indépendante comme liés au blanchiment de capitaux. Le contexte est crucial : le taux de signalement global de la plateforme pour ses comptes est inférieur à un sur 10 000. Obtenir 14 correspondances à partir de 52 prédictions du modèle est, statistiquement, bien meilleur que ce que le hasard produirait. Un tirage aléatoire de 52 comptes dans la population de la plateforme devrait en moyenne ne retourner aucun compte signalé.

Il y a une couche de signification supplémentaire. Les signalements de la plateforme reposaient sur des informations hors chaîne, des sources de données telles que des documents KYC, des relevés bancaires ou des signaux comportementaux que le modèle on-chain d'Elliptic ne peut pas voir. Le fait que les prédictions on-chain du modèle recoupent ces signalements off-chain suggère qu'il identifie une activité de blanchiment que des outils purement on-chain manqueraient avec des heuristiques conventionnelles.

De nouveaux schémas de blanchiment mis au jour par le modèle

L'un des résultats sous-estimés de la recherche est ce qu'elle révèle sur la manière dont le blanchiment se produit réellement. Certains schémas signalés par le modèle étaient déjà connus et détectables, comme les chaînes d'épluchage, où les fonds traversent une série rapide de portefeuilles transmettant chacun légèrement moins qu'ils n'ont reçu. Ceux-ci sont déjà filtrés par les outils existants d'analyse de blockchain.

Services imbriqués et comportements inédits

Plus important pour les équipes de conformité : l'identification par le modèle de schémas jusqu'alors non documentés, en particulier l'utilisation de « services imbriqués » intermédiaires selon des modalités structurelles spécifiques. Les services imbriqués sont des plateformes d'échange ou des courtiers opérant à l'intérieur de plateformes plus grandes ; ils peuvent être difficiles à identifier et ont historiquement constitué un angle mort pour les programmes AML. La recherche ne se contente pas de décrire ces schémas dans l'abstrait : les connaissances alimentent directement la logique de détection des produits de filtrage d'Elliptic, ce qui signifie que les praticiens utilisant ces outils gagnent une couverture qu'ils n'avaient pas auparavant.

Le modèle a également contribué à faire émerger des portefeuilles illicites jusqu'alors inconnus. Lorsqu'un sous-graphe est prédit comme parcours de blanchiment, l'implication est que les fonds d'origine provenaient d'une forme d'activité illicite. Les chercheurs peuvent alors enquêter sur les portefeuilles situés au début de cette chaîne. Grâce à cette méthode, Elliptic affirme avoir déjà identifié des portefeuilles liés à des systèmes de Ponzi et à des places de marché du darknet qui ne figuraient auparavant sur aucune liste de mauvais acteurs connus.

Le jeu de données ouvert et son importance pour l'ensemble du secteur

En parallèle de l'article, Elliptic a rendu public l'intégralité du jeu de données sous-jacent, baptisé « Elliptic2 ». Avec près de 200 millions de transactions, il s'agit du plus grand jeu de données public étiqueté pour la détection de cryptomonnaies illicites. Cette mise à disposition est importante pour plusieurs raisons au-delà de l'intérêt académique.

Élever le niveau de référence du secteur

La recherche AML dans la finance traditionnelle est contrainte par le cloisonnement des données : les banques ne peuvent pas partager leurs historiques de transactions entre elles ni avec des chercheurs, de sorte que les ensembles d'entraînement sont petits et souvent synthétiques. La blockchain bitcoin est publique, ce qui signifie qu'un jeu de données suffisamment étiqueté et structuré peut être partagé librement sans compromettre la vie privée des clients. Elliptic2 donne à toute équipe de recherche, autorité de régulation ou fournisseur de technologie la matière première pour entraîner, tester et évaluer ses propres modèles de détection selon un standard commun.

Cela présente une pertinence directe pour les fournisseurs de logiciels de comptabilité d'actifs numériques qui développent des modules AML. Un jeu de données de référence partagé signifie que les affirmations de détection peuvent être testées et comparées au lieu d'être prises sur parole. Cela signifie aussi que les régulateurs qui souhaitent évaluer la qualité de l'outillage AML d'une entreprise disposent d'un point de référence. Vous pouvez lire une enquête comparable pilotée par l'IA dans notre article sur comment l'IA a retracé le piratage de 387 M$ de Bitget jusqu'à la Corée du Nord, qui illustre à quoi ressemblent ces techniques lorsqu'elles sont appliquées à un incident précis et à grande vitesse.

Implications comptables et de conformité pour les entreprises

Pour les cabinets comptables au service de prestataires de services sur actifs virtuels (VASP), les auditeurs réalisant des audits AML et les directeurs financiers supervisant des programmes de conformité, cette recherche signale plusieurs éléments sur lesquels agir dès maintenant.

Les lacunes de couverture de la surveillance des transactions peuvent être réduites

La surveillance traditionnelle des transactions fondée sur des règles attrape ce pour quoi elle est configurée. Le blanchiment multi-sauts qui ne déclenche pas de seuil et ne correspond à aucun schéma connu peut passer inaperçu. L'approche par sous-graphes décrite ici est intrinsèquement mieux adaptée pour détecter un comportement de superposition qui se déploie sur de nombreux sauts, parce que le modèle apprend du parcours complet plutôt que d'évaluer chaque saut indépendamment. Si le fournisseur AML actuel de votre entreprise n'a pas encore intégré la détection par graphes ou par sous-graphes, il est raisonnable de lui demander quand il compte le faire et à quoi ressemblent ses données de référence.

Les exigences de piste d'audit deviennent plus lourdes

Lorsqu'un modèle signale un dépôt comme potentiellement lié au blanchiment sur la base d'une prédiction de sous-graphe, le dossier de conformité doit consigner non seulement le signalement mais aussi le raisonnement : quelles adresses figuraient dans la chaîne, quel schéma correspondait et pourquoi le modèle l'a noté ainsi. Un logiciel de comptabilité crypto qui enregistre la provenance des transactions au niveau de l'adresse facilite considérablement la reconstitution de cette piste lors d'un contrôle réglementaire ou d'un audit. Les entreprises qui agrègent les transactions au niveau d'un portefeuille ou d'une entité sans conserver le détail au niveau de l'adresse auront plus de mal à répondre aux régulateurs qui demandent les preuves on-chain derrière une déclaration de soupçon ou une transaction bloquée.

Les listes de mauvais acteurs connus ne suffisent plus à elles seules

L'une des conclusions explicites de cette recherche est que le modèle a identifié des portefeuilles illicites qui ne figuraient auparavant sur aucune liste connue. Cela remet en cause une hypothèse courante dans les programmes de conformité : celle selon laquelle le filtrage par rapport aux listes OFAC, aux flux des forces de l'ordre et aux bases de données commerciales d'attribution est suffisant. Ce n'est peut-être pas le cas. La recherche suggère que des approches de détection non supervisées ou semi-supervisées peuvent faire émerger des entités réellement illicites mais simplement pas encore identifiées. Les entreprises dont les programmes AML reposent exclusivement sur la correspondance avec des identifiants de mauvais acteurs connus devraient considérer cela comme une lacune à combler, en particulier si elles opèrent dans des segments à risque élevé comme les ponts DeFi, l'OTC ou les transferts transfrontaliers. Notre article sur les leçons AML tirées de l'infiltration du réseau de blanchiment Lazarus explore précisément comment des acteurs sophistiqués évitent la détection par les listes de mauvais acteurs connus.

Les attentes réglementaires vont dans cette direction

Le Groupe d'action financière (GAFI) et plusieurs régulateurs nationaux signalent depuis un certain temps qu'ils attendent des programmes AML qu'ils soient fondés sur le risque et technologiquement à jour, et pas simplement conformes à une liste de contrôle. Une recherche comme celle-ci, codéveloppée avec un grand laboratoire de recherche en IA et évaluée par les pairs, est susceptible de façonner ce que signifie « état de l'art » pour les programmes AML des VASP lors des prochains cycles de supervision. Les entreprises capables de démontrer une connaissance et un investissement dans la détection augmentée par l'IA sont mieux positionnées lors des examens que celles qui exploitent des systèmes purement fondés sur des règles. C'est un domaine où la qualité sous-jacente de la pile de logiciels de comptabilité crypto d'une entreprise compte : si les données de transaction sont propres, structurées et granulaires au niveau de l'adresse, elles peuvent alimenter directement ce type de pipelines de détection.

Questions fréquentes

Qu'est-ce qu'un sous-graphe dans le contexte de la détection du blanchiment de bitcoin ?

Un sous-graphe est une chaîne de transactions bitcoin connectées traitée comme une unité d'analyse unique. Plutôt que de demander si une transaction ou un portefeuille individuel est illicite, un modèle de sous-graphe demande si une séquence de transactions liées, prises ensemble, ressemble à un parcours de blanchiment connu. Cela rend l'approche mieux adaptée pour détecter un comportement de superposition qui se déploie sur de nombreux sauts.

Le jeu de données ouvert contient-il des informations identifiantes sur des personnes ?

Le jeu de données « Elliptic2 » rendu public contient des données de graphe de transactions issues de la blockchain bitcoin, qui est elle-même publique. Elliptic n'a pas indiqué que des informations personnelles identifiantes hors chaîne y soient incluses. La valeur du jeu de données réside dans l'étiquetage des sous-graphes comme licites ou illicites, et non dans l'exposition d'identités individuelles.

Comment cette recherche affecte-t-elle les obligations de filtrage AML existantes de notre entreprise ?

Elle ne change pas ce que les régulateurs exigent actuellement, mais elle relève le niveau de ce à quoi ressemble une technologie AML « raisonnable ». Si la détection fondée sur les graphes devient une bonne pratique reconnue, un programme reposant uniquement sur un filtrage par seuils fondé sur des règles et sur la correspondance avec des listes de mauvais acteurs connus pourra de plus en plus être considéré comme inférieur à la norme de diligence attendue d'un VASP régulé ou d'une institution financière traitant des actifs numériques.

Les sorties de réseaux de neurones sur graphe peuvent-elles servir de preuves dans une déclaration de soupçon ?

Une prédiction de modèle est une piste d'enquête, pas une preuve juridique en soi. Le processus standard demeure : le modèle signale un schéma suspect, un analyste de conformité examine les preuves on-chain et off-chain, et une déclaration de soupçon est déposée si l'analyste conclut qu'il existe des motifs. La sortie du modèle et la chaîne d'adresses qu'il a signalée doivent être documentées dans le dossier d'enquête pour étayer ce jugement.

Que doivent demander les directeurs financiers à leurs fournisseurs de technologie AML après cette recherche ?

Trois questions méritent d'être posées : si les modèles de détection du fournisseur évaluent des sous-graphes de transactions ou seulement des transactions et adresses individuelles ; quelles données d'entraînement étiquetées sous-tendent leurs modèles et comment elles sont mises à jour ; et si leur système peut faire émerger de nouveaux portefeuilles illicites qui ne figurent pas déjà sur des listes de mauvais acteurs connus. Si le fournisseur ne peut pas répondre clairement à ces questions, c'est en soi une information utile pour une évaluation des écarts.

Source : Elliptic