L'analyse blockchain, c'est ce qui transforme un flux de transactions publiques en un rapport avec un score de risque et des étiquettes de source. La blockchain elle-même ne contient rien de tout cela: elle a des adresses, des montants, des horodatages et l'ordre des opérations, mais ni noms ni objet du paiement. Tout le reste est construit par-dessus. Voyons de quoi se compose cette surcouche et à quelle étape le jugement humain y entre.
Qu'est-ce que l'analyse blockchain
Les plateformes d'échange et les bureaux de change s'en servent pour décider d'accepter un dépôt; les banques, pour comprendre d'où vient l'argent d'un client; les autorités, pour suivre des fonds volés; les particuliers, pour vérifier une adresse avant une transaction.
Il importe de savoir à quelle question elle répond. Non pas «qui possède cette adresse», mais «à quoi ressemble le comportement de ces fonds et à quoi sont-ils liés». Ce sont deux choses différentes, et toute la mécanique découle de cet écart.
L'analyse est bâtie en trois couches superposées. Plus la couche est haute, moins elle contient de fait vérifiable et plus elle contient d'interprétation.
Couche 1. Ce qui est réellement visible dans la blockchain
Le registre contient les adresses de l'expéditeur et du destinataire, le montant, l'heure, les frais, le numéro de bloc, les entrées et les sorties de la transaction. Cela suffit à reconstituer le mouvement des fonds d'adresse en adresse, à n'importe quelle profondeur.
Ce que le registre ne contient pas: noms, pièces d'identité, raisons sociales, objet du paiement, accords entre les parties. Un enregistrement d'un transfert de 500 USDT a exactement la même allure qu'il s'agisse d'une prestation freelance ou d'une part issue d'une fraude.
C'est la seule couche pleinement objective. Tout ce qui est au-dessus relève de la reconstruction.
Couche 2. Clustering: comment les adresses sont regroupées en un portefeuille
Une personne ou un service a rarement une seule adresse. Le travail de la deuxième couche consiste à déterminer quelles adresses appartiennent au même propriétaire. Il n'existe pas de preuve directe: la blockchain ne stocke pas le lien «cette adresse et celle-là sont de la même personne». On utilise donc des signaux indirects, les heuristiques.
Concrètement:
Plusieurs entrées dans une transaction. Anna détient 0.3, 0.25 et 0.2 BTC sur trois adresses. Elle paie 0.7 BTC: le portefeuille rassemble le montant depuis les trois adresses et les signe dans une seule transaction. Seul celui qui détient les trois clés privées peut signer les trois. L'analyse regroupe les adresses en un cluster.
L'adresse de change. Anna dépense 0.7 BTC à partir d'une entrée de 1 BTC. Les 0.3 restants partent vers une adresse nouvelle, jamais apparue sur le réseau. C'est la monnaie rendue: elle est revenue à l'expéditrice. Le cluster gagne une adresse de plus.
Les adresses de dépôt d'un service. La plateforme attribue à chaque client une adresse personnelle d'approvisionnement puis, une fois par jour, balaie les soldes vers un portefeuille chaud commun. Des milliers d'adresses différentes envoient régulièrement des fonds vers la même: l'analyse en déduit qu'elles appartiennent toutes à une seule plateforme.
Les techniques fonctionnent différemment selon l'architecture du réseau:
| Réseaux UTXO (BTC, LTC) | Réseaux à comptes (ETH, TRON) | |
|---|---|---|
| Comment les fonds sont détenus | comme un ensemble de «sorties non dépensées» | comme un solde sur une adresse |
| Technique principale | entrées communes et adresse de change | réutilisation des adresses de dépôt |
| Signaux complémentaires | empreintes du logiciel de portefeuille, ordre des sorties | comportement, horaires, interactions avec les contrats |
| Précision du regroupement | historiquement plus élevée | plus faible: les entrées ne se combinent pas, il y a peu à regrouper |
Couche 3. Attribution: d'où viennent physiquement les étiquettes
Un cluster est en soi anonyme: c'est un groupe d'adresses qui partagent probablement un propriétaire. Le nom et la catégorie sont attribués à la troisième couche, et c'est là qu'intervient l'humain.
Les sources d'attribution sont au nombre de quatre, et leur fiabilité diffère.
La vérification du service par le prestataire lui-même. Un analyste s'inscrit sur un bureau de change, dépose une petite somme et note l'adresse fournie. C'est désormais un point d'entrée confirmé, et le clustering y rattache le reste de l'infrastructure de la plateforme.
Les documents officiels. Une autorité publie une liste de sanctions avec des adresses crypto précises, ou les adresses figurent dans des pièces judiciaires et des communiqués. L'étiquette apparaît immédiatement chez les prestataires, sur la base d'une publication officielle.
Les signalements de victimes et les données des plateformes. Plusieurs personnes déclarent avoir envoyé des fonds à la même adresse dans le cadre d'une «transaction garantie». L'adresse reçoit une étiquette d'arnaque, sur la base de déclarations et non d'une décision de justice.
Les sources ouvertes. L'adresse figure sur le site d'un service, dans l'annonce d'un bureau de change, dans un fil de forum ou dans un rapport de chercheurs.
Comment les trois couches deviennent un score de risque
Les couches se combinent ensuite en un seul chiffre. L'analyse regarde à quels clusters étiquetés vos fonds sont liés, quelle part du solde l'est et combien de transferts vous séparent de la source. Un lien direct avec une adresse sanctionnée et 0.5% des fonds à cinq transferts donnent des résultats radicalement différents, même si la catégorie porte le même nom dans le rapport.
Bas, moyen, élevé: comment fonctionne l'évaluation des risques AML des portefeuilles cryptoEn savoir plus
Un cas concret: comment une étiquette atteint quelqu'un qui n'a rien enfreint
Maintenant que la mécanique est claire, voyons comment elle se manifeste dans la vie réelle.
Maxime a acheté 500 USDT sur une plateforme P2P: il a envoyé l'argent au vendeur et reçu les coins sur son portefeuille. Une semaine plus tard, il les a déposés sur une plateforme d'échange - et le dépôt a été mis en attente avec une demande d'origine des fonds. Le rapport sur son adresse porte une étiquette: lien avec une arnaque P2P, 12% des fonds, profondeur de deux transferts. Il n'avait jamais vu le vendeur et ne savait rien de son historique.
Ce qui s'est passé, couche par couche:
- 1. Quelqu'un a sorti des fonds d'une fraude: cette adresse est déjà signalée sur la base de signalements de victimes (troisième couche, source: déclarations de personnes).
- 2. Les fonds sont passés par un portefeuille intermédiaire sans étiquette et sont arrivés chez le vendeur P2P.
- 3. Les adresses du vendeur ont été fusionnées en un cluster par réutilisation d'adresse (deuxième couche), et une partie de son solde s'est trouvée liée à l'adresse signalée.
- 4. Maxime lui a acheté des USDT et a reçu une partie de ces mêmes fonds.
- 5. Résultat: 12% de son solde présentent un lien avec une catégorie à risque à une profondeur de deux transferts.
Ce que la méthode donne en pratique: deux affaires publiques
L'efficacité se voit le mieux dans les affaires dont les documents sont publics.
La rançon de Colonial Pipeline. Après une attaque par rançongiciel, l'entreprise a payé environ 75 BTC. Les autorités ont suivi le mouvement des fonds et saisi 63.7 BTC, soit environ $2.3M au cours de l'époque. Le communiqué du département de la Justice des États-Unis indique explicitement que les transferts ont été suivis en examinant le registre public du bitcoin.
Le piratage de Bitfinex en 2016. 119,754 BTC sont sortis de la plateforme. Les fonds ont circulé par fragments pendant des années, sont passés par des mixeurs, ont sauté d'un réseau à l'autre et ont été convertis en d'autres actifs - et l'affaire s'est tout de même conclue par une condamnation: l'organisateur a écopé de cinq ans en novembre 2024.
Qu'est-ce que le KYT dans les cryptomonnaies et comment fonctionne la surveillance des transactionsEn savoir plus
Ce que l'analyse blockchain ne voit pas
Les limites de la méthode expliquent pourquoi un rapport ne se lit pas comme un verdict.
Un transfert interne à la plateforme. Vous avez envoyé des USDT à un autre client de la même plateforme. Rien n'est apparu dans la blockchain: la plateforme a modifié deux nombres dans sa base. Pour l'analyse, cette opération n'existe pas.
Les espèces. Le vendeur vous a remis des USDT et vous lui avez remis des espèces en main propre. Le réseau ne montre qu'un transfert - et il ressemble à un cadeau.
Le passage entre réseaux. Les fonds sont sortis d'un réseau et réapparus dans un autre. Le lien se reconstitue par des signaux indirects - montant, horaire, contrat - et pas toujours sans ambiguïté.
S'y ajoutent les cryptomonnaies de confidentialité et les protocoles où la chaîne est rompue délibérément.
Mixeurs crypto: comment ils sont construits et ce que signifie leur trace dans l'historique d'un portefeuille9 mars 2026En savoir plus
D'où la règle: l'absence d'étiquette ne signifie pas «propre», et sa présence ne signifie pas «criminel».
Les erreurs d'attribution et leur coût
Conclusion pratique: il faut lire non pas le chiffre final, mais la ventilation - catégorie de la source, part des fonds, profondeur du lien et date de l'étiquette. Un score sans ventilation ne dit presque rien.
Pourquoi les prestataires donnent des résultats différents
Une même adresse produit facilement trois images différentes. Le premier prestataire signale un bureau de change comme plateforme sans vérification et lui donne un poids élevé. Le deuxième le connaît comme un service de change ordinaire et lui donne un poids moyen. Le troisième ne voit pas l'adresse du tout, car sa couverture de ce réseau est faible.
La raison: les bases d'étiquettes, les règles de fusion des clusters et les poids des catégories sont propres à chacun. C'est précisément pour cela que nous affichons l'évaluation de plusieurs prestataires à la fois - Crystal Intelligence, VALEGA Chain Analytics et BitOK - avec les écarts entre eux. Un écart n'est pas un dysfonctionnement mais une information: il montre qu'une conclusion repose sur l'étiquetage d'une seule source.
Que faire de tout cela
Vérifier une adresse
Le rapport d'adresse montre non seulement l'évaluation finale, mais la ventilation par source: quelles catégories ont été détectées, quelle part des fonds y est liée et à quelle profondeur. Vérifier une adresse prend moins d'une minute.
Vérifier une adresse gratuitement
Visiter le sitePas à elle seule. Les noms n'existent pas dans une blockchain. L'identité est reliée à une adresse là où vous l'avez vous-même révélée: lors d'une vérification sur une plateforme, dans un virement bancaire, dans une annonce publique.
