Piratages de ponts crypto : les signaux d'alerte LBC que les équipes de conformité doivent connaître
Les piratages de ponts inter-chaînes sont devenus l'un des vecteurs d'attaque les plus productifs de la criminalité crypto, et le blanchiment qui s'ensuit est suffisamment sophistiqué pour déjouer la surveillance des transactions standard si les équipes de conformité n'y sont pas spécifiquement préparées. Pour toute entreprise utilisant un logiciel de comptabilité crypto pour suivre les flux d'actifs numériques, comprendre comment les fonds volés d'un pont circulent à travers les DEX et les mixeurs n'est plus optionnel. C'est une compétence LBC de base.
Pourquoi les ponts sont des cibles de choix
Les ponts inter-chaînes permettent aux utilisateurs de déplacer des cryptoactifs entre différents réseaux blockchain. Un pont reliant Ethereum, Binance Smart Chain et Harmony, par exemple, doit détenir d'importantes concentrations de jetons verrouillés à tout moment pour faciliter ces transferts. Cette mise en commun de liquidité est exactement ce qui rend les ponts attrayants pour les attaquants : un seul exploit réussi peut rapporter des butins à neuf chiffres.
L'ampleur du problème
L'attaque du pont Harmony Horizon, qui a entraîné le vol d'environ 100 millions de dollars de cryptoactifs, était loin d'être un incident isolé. À la mi-2022, les vols criminels cumulés visant des ponts pour cette seule année atteignaient déjà plusieurs milliards, les attaques de ponts représentant deux des trois plus grands vols de crypto enregistrés à l'époque. Le schéma s'est poursuivi depuis. Chaque piratage réussi dépose un nouveau pool de fonds illicites dans le pipeline de blanchiment.
Le manuel de blanchiment : étape par étape
Une fois que les attaquants contrôlent les actifs volés, leur objectif est de les convertir en monnaie fiduciaire via des plateformes réglementées et des institutions financières. Pour atteindre ce point de sortie, ils doivent d'abord dissimuler l'origine des fonds. Deux techniques dominent le manuel : l'échange rapide de jetons via des exchanges décentralisés et l'obfuscation via des mixeurs crypto.
Première étape : échanges rapides de jetons sur les DEX
La rapidité est cruciale pour deux raisons. Premièrement, certains émetteurs de jetons, en particulier les opérateurs de stablecoins, conservent la capacité technique de geler ou d'annuler des transactions. Les hackers qui ne échangent pas rapidement leurs stablecoins volés risquent de voir ces transactions annulées avant de pouvoir convertir la valeur. Le piratage de KuCoin en 2020 l'a démontré de manière éclatante : parce que les attaquants n'avaient pas échangé leurs jetons assez rapidement, l'exchange a pu récupérer la majorité de plus de 280 millions de dollars d'actifs volés grâce à des annulations de transactions au niveau de l'émetteur. Cette leçon a été retenue. Les attaquants privilégient désormais la conversion quasi instantanée des jetons comme première action.
Deuxièmement, l'échange de jetons rompt le lien direct on-chain entre l'adresse du piratage et les transferts ultérieurs. Les exchanges décentralisés sont un véhicule naturel pour cela car ils exécutent les échanges via des contrats intelligents, n'exigent aucune vérification KYC, ne prennent pas la garde des fonds des utilisateurs et offrent généralement une large liquidité de jetons. Malgré les orientations du Groupe d'action financière indiquant que les pays devraient appliquer les obligations LBC aux services DEX, la plupart des plateformes ne réalisent toujours pas de surveillance LBC en pratique. Cette lacune réglementaire constitue un risque matériel pour les équipes de conformité des exchanges centralisés en aval et des institutions financières.
Ce qu'il est important de comprendre du point de vue de la conformité, c'est que les échanges sur DEX n'effacent pas les preuves. Parce que chaque échange est exécuté par un contrat intelligent et enregistré sur la blockchain, l'historique complet des transactions, y compris le portefeuille d'origine avant l'échange, reste visible publiquement. Les outils d'analyse blockchain peuvent retracer un jeton « propre » reçu d'un DEX à travers l'enregistrement de l'échange jusqu'à sa source originale dans un portefeuille de piratage de pont. L'attaque du pont Axie Infinity Ronin l'a clairement illustré : les attaquants ont déplacé des USDC volés vers leurs propres portefeuilles, ont acheminé une partie via des adresses intermédiaires, l'ont échangée contre de l'Ethereum sur un DEX, puis ont envoyé des portions de cet Ethereum vers des exchanges centralisés. Chaque étape de ce parcours était reconstructible on-chain.
Deuxième étape : le mixage pour rompre la piste
Après l'échange sur DEX, ou parfois comme alternative, les hackers de ponts acheminent les fonds via des mixeurs crypto. Un mixeur regroupe des cryptoactifs de plusieurs utilisateurs et redistribue différents jetons de valeur équivalente, de sorte que la sortie ne peut pas être directement liée à l'entrée. Une fois les fonds passés par un mixeur, une équipe de conformité qui reçoit ces fonds dans un VASP ou une institution financière en aval ne verra généralement que leur origine depuis un service de mixage, et non qu'ils proviennent d'un piratage spécifique.
Dans les jours suivant l'attaque Harmony Horizon, par exemple, les auteurs ont commencé à acheminer les actifs volés via un mixeur Ethereum de premier plan. C'est devenu un comportement standard : les hackers de ponts utilisent des mixeurs spécifiquement parce que l'obfuscation est fiable et que la plupart des filtrages de transactions standard ne signalent pas les fonds d'origine mixeur avec une sensibilité adéquate.
L'analyse blockchain offre encore une défense partielle ici. Bien que le mixage interrompe la capacité de tracer les fonds jusqu'à un événement de vol spécifique, il ne rend pas l'origine mixeur elle-même invisible. Une équipe de conformité peut identifier qu'un client a reçu des fonds d'un service de mixage et, lorsque cette réception se produit peu après un piratage de pont majeur, la traiter comme un signal d'alerte important justifiant une vigilance renforcée et, le cas échéant, une déclaration d'activité suspecte.
Signaux d'alerte LBC : ce que les équipes de conformité doivent filtrer
Les schémas de blanchiment décrits ci-dessus se traduisent en paramètres de filtrage concrets. Les équipes de conformité des prestataires de services sur actifs virtuels et des institutions financières devraient tester leurs configurations de surveillance des transactions par rapport aux indicateurs de risque suivants.
Flux de fonds d'origine DEX près d'un événement de piratage connu
Un dépôt client qui remonte à travers un ou plusieurs échanges sur DEX jusqu'à un portefeuille signalé en lien avec un exploit de pont est une alerte hautement prioritaire. L'essentiel est que l'analyse blockchain doit être configurée pour regarder au-delà du saut immédiatement précédent : un dépôt qui semble provenir d'une adresse DEX n'est pas nécessairement propre. Le DEX peut simplement être une couche dans une chaîne de blanchiment multi-sauts provenant d'un portefeuille de pont compromis.
Dépôts d'origine mixeur sans explication plausible
Les transferts entrants inexpliqués, de grande valeur ou fréquents depuis des services de mixage connus représentent un signal d'alerte dans tout contexte. Le risque est accru lorsque le moment coïncide avec un piratage de pont récemment médiatisé. Les politiques de conformité doivent spécifier un seuil de révision et un délai. Un client qui reçoit un transfert important d'origine mixeur dans les jours ou semaines suivant un événement de piratage significatif justifie une enquête, qu'un lien direct on-chain avec le piratage puisse être établi ou non.
Échanges séquentiels rapides sur plusieurs jetons
Les utilisateurs légitimes ont rarement besoin d'échanger les mêmes fonds à travers trois ou quatre jetons différents en succession rapide sur plusieurs DEX. Un schéma d'échanges rapides multi-sauts est un indicateur de blanchiment en soi, en particulier lorsque le jeton final est un actif à large liquidité de sortie fiat comme l'Ethereum ou l'USDC.
La complexité des jetons enveloppés comme mécanisme d'obscurcissement délibéré
Les piratages de ponts impliquent fréquemment des jetons enveloppés, qui sont des représentations d'actifs natifs sur une autre chaîne. Les équipes de conformité doivent s'assurer que leurs outils de filtrage peuvent tracer les flux de jetons enveloppés et ne traitent pas un enveloppement de jeton comme un point final de transaction. Un actif enveloppé reste la même valeur sous-jacente, et sa provenance doit être évaluée en conséquence.
Implications pratiques pour les équipes comptables et d'audit
La dimension conformité s'étend au-delà de la seule surveillance des transactions. Les équipes comptables des entreprises traitant des actifs numériques doivent examiner comment les flux liés aux piratages de ponts affectent leurs propres enregistrements et obligations d'audit.
Pour les entreprises B2B : exposition comptable et d'audit
Toute entreprise dont la garde ou l'activité de négociation d'actifs numériques recoupe des fonds qui s'avèrent ultérieurement être des produits d'un piratage de pont risque un gel ou une saisie d'actifs. Du point de vue comptable, la question clé est de savoir si votre logiciel de comptabilité crypto peut signaler la provenance des actifs entrants au moment de la réception. Si un client enregistre la réception d'un actif numérique et que cet actif s'avère ensuite lié à un exploit, l'entreprise peut devoir annuler l'écriture, déclarer la transaction ou coopérer avec une ordonnance de gel des forces de l'ordre. Les pistes d'audit doivent être suffisamment détaillées pour reconstituer l'historique complet des transactions sur demande.
Les directeurs financiers des fonctions de trésorerie détenant des actifs numériques devraient également revoir leurs politiques sur l'acceptation de jetons enveloppés et de fonds provenant de DEX. Une politique qui traite tout transfert d'origine DEX comme automatiquement acceptable sans filtrage de provenance est difficile à défendre dans un cadre LBC fondé sur le risque. Les entreprises opérant sous MiCA dans l'UE, ou sous des régimes VASP équivalents dans le monde, doivent vérifier que leurs outils de filtrage des transactions sont calibrés pour détecter les schémas multi-sauts décrits ci-dessus.
Pour les déclarants individuels : ce qu'il faut savoir si vous utilisez des ponts
Si vous utilisez légitimement des ponts inter-chaînes pour déplacer vos propres actifs, le risque pratique pour un déclarant individuel n'est pas que vous soyez soupçonné de blanchiment. Le risque est que vous puissiez recevoir ou échanger par inadvertance via un portefeuille contaminé par des fonds liés à un piratage quelque part en amont dans le pool. Si un exchange centralisé que vous utilisez ensuite signale votre dépôt comme lié à un mixeur ou à un DEX, vous pourriez faire face à une suspension de compte ou à une demande de vérification renforcée. Conserver des enregistrements détaillés de chaque transaction de pont, y compris la chaîne d'origine, la chaîne de destination, les types de jetons et les horodatages, est la meilleure protection. Un bon logiciel de comptabilité d'actifs numériques qui enregistre ces événements au moment de la transaction est bien plus fiable que de reconstituer la piste des mois plus tard pour une déclaration fiscale ou une demande de conformité.
Ce que les entreprises doivent faire maintenant
Les étapes pratiques sont simples à énoncer mais nécessitent une mise en œuvre délibérée.
Revoir votre configuration de filtrage des transactions
Les ensembles de règles standard ne remontent souvent pas plus d'un ou deux sauts dans une chaîne de transactions. Le blanchiment de piratages de ponts implique généralement trois à cinq sauts à travers des DEX, des portefeuilles intermédiaires et des mixeurs. Travaillez avec votre fournisseur d'analyse blockchain pour vous assurer que votre moteur de notation des risques remonte suffisamment loin et que les fonds d'origine mixeur déclenchent des alertes à des seuils appropriés.
Mettre à jour vos déclencheurs de déclaration de soupçon
Les dépôts d'origine mixeur proches de la date d'un piratage de pont connu devraient être considérés comme un motif de déclaration de soupçon, même lorsqu'un lien causal direct ne peut être établi. Documentez votre raisonnement dans tous les cas. Les régulateurs s'attendent à une décision fondée sur le risque, pas simplement à l'absence de correspondance.
Croiser les bases de données publiques de piratages
Plusieurs fournisseurs d'analyse blockchain et dépôts open source tiennent des listes d'adresses de portefeuilles associées à des piratages de ponts connus. Intégrer ces listes d'adresses dans votre flux de filtrage garantit que les contacts directs avec des portefeuilles de piratage connus sont détectés immédiatement, avant que le pipeline de blanchiment ne puisse davantage obscurcir l'origine.
Former votre équipe de conformité aux typologies spécifiques à la DeFi
Les échanges sur DEX et les flux de jetons enveloppés ne sont pas couverts par les modules de formation LBC traditionnels construits autour des virements bancaires et des transactions en espèces. Le personnel de conformité doit être capable de lire un graphique de transactions de base et de comprendre à quoi ressemble une chaîne de blanchiment multi-sauts sur DEX. Cette littératie est désormais une exigence fonctionnelle, pas un complément spécialisé.
Source : Elliptic
Foire aux questions
Qu'est-ce qui rend les ponts inter-chaînes particulièrement vulnérables aux piratages ?
Les ponts doivent détenir d'importants pools de cryptoactifs verrouillés pour fonctionner. Cette concentration de valeur dans un seul contrat intelligent ou un ensemble de contrats en fait des cibles à fort rendement. Un seul exploit peut rapporter bien plus que l'attaque de plusieurs portefeuilles individuels, c'est pourquoi les groupes criminels ont systématiquement ciblé les ponts.
Pourquoi les hackers utilisent-ils les DEX immédiatement après une attaque de pont ?
Deux raisons : éviter les gels des émetteurs de stablecoins, qui peuvent annuler des transactions si l'attaquant détient encore le jeton d'origine, et rompre le lien on-chain entre le portefeuille de piratage et les transferts ultérieurs. Les DEX n'exigent pas de KYC, détiennent une liquidité abondante sur de nombreuses paires de jetons et exécutent les échanges automatiquement. Ils sont un outil d'obfuscation de première étape pratique.
L'analyse blockchain peut-elle vraiment tracer les fonds à travers un échange sur DEX ?
Oui. Les échanges sur DEX sont exécutés par des contrats intelligents qui inscrivent l'intégralité de l'enregistrement de la transaction sur la blockchain. Cela signifie que l'adresse d'origine avant l'échange et la destination après l'échange sont toutes deux visibles. Les outils d'analyse blockchain peuvent reconstruire le lien entre un jeton « propre » reçu d'un DEX et son origine avant l'échange dans un portefeuille de piratage.
Que doit faire une équipe de conformité si un client reçoit des fonds d'origine mixeur peu après un piratage de pont majeur ?
Traitez cela comme un signal d'alerte nécessitant une enquête. Bien que le mixage empêche l'attribution directe à un piratage spécifique, l'origine mixeur elle-même est détectable. L'équipe de conformité doit évaluer l'activité globale du client, demander des informations supplémentaires le cas échéant, et déterminer si une déclaration d'activité suspecte est justifiée. La décision et sa justification doivent être documentées quel que soit le résultat.
Comment cela affecte-t-il les entreprises qui choisissent un logiciel de comptabilité crypto ?
Les entreprises évaluant un logiciel de comptabilité crypto doivent confirmer qu'il peut enregistrer les métadonnées complètes de provenance des actifs numériques entrants, pas seulement le montant et l'horodatage. Si une réception s'avère ultérieurement liée à un piratage, l'entreprise a besoin d'une piste d'audit complète. Un logiciel qui ne capture que le transfert de premier niveau sans enregistrer la chaîne d'origine, les sauts intermédiaires ou l'implication d'un DEX laissera des lacunes difficiles et coûteuses à combler rétrospectivement.