Lorsque les attaquants extorquent leurs victimes avec des ransomwares et reçoivent des paiements en bitcoins, ces transactions sont enregistrées sur la blockchain. Cependant, les portefeuilles recevant ces fonds illicites deviennent identifiés, ce qui pousse les cybercriminels à blanchir l’argent via diverses méthodes complexes pour réaliser des profits issus de scams en ligne, de vols et de cyberattaques. Le blanchiment des produits de la cybercriminalité implique des transferts et des conversions sophistiqués entre cryptomonnaies et monnaie légale. Suivre ces fonds représente un défi majeur pour les enquêteurs. Raúl Orduna, responsable de la sécurité numérique au centre technologique basque Vicomtech, souligne que cette activité crée une économie mondiale submergée, vaste et complexe. La question cruciale pour les attaquants après une cyberattaque est de savoir comment accéder à l’argent ainsi obtenu. Selon le Rapport sur la criminalité crypto 2024 de Chainalysis, en 2023, le blanchiment de fonds liés à des cryptomonnaies illicites a atteint environ 22, 2 milliards de dollars. Au cours de l’année, la valeur totale envoyée à des adresses blockchain illicites — comptes numériques pour les cryptomonnaies — s’élevait à 40, 9 milliards de dollars, avec un potentiel de hausse jusqu’à 51, 3 milliards. Les cybercriminels cherchent à convertir ces sommes illicites colossales en argent propre. George Smaragdakis, professeur en cybersécurité à l’Université Technique de Delft, explique que les attaquants reçoivent généralement des fonds en bitcoin ou autres cryptomonnaies, puis tentent d’y accéder anonymement via des mécanismes comme les exchanges ou les mixers. Les fonds circulent entre plusieurs adresses blockchain, certaines finissent par entrer dans l’économie réelle. Pour comprendre ce labyrinthe de blanchiment, certains concepts doivent être clarifiés. Smaragdakis et Orduna collaborent au projet Horizon, une initiative européenne regroupant entreprises, centres de recherche et forces de l’ordre, visant à renforcer la préparation face aux menaces cyber et à comprendre comment les criminels profitent de ces activités. Dans le monde des cryptomonnaies, un portefeuille contient plusieurs adresses blockchain utilisées pour envoyer ou recevoir des fonds. Bien que les transactions soient anonymes, leurs registres sont publics, permettant aux analystes de repérer des schémas de blanchiment sans pouvoir identifier les propriétaires, explique Orduna. Les enquêteurs se concentrent sur l’identification de services cryptographiques similaires à des banques mais fonctionnant anonymement. Ils prêtent une attention particulière aux systèmes blockchain comme les contrats intelligents d’entiercement (escrow), qui détiennent les fonds jusqu’à ce que les conditions soient remplies, et aux mixers, conçus pour augmenter l’anonymat des transactions en dissimulant l’origine des fonds et l’échange entre différents types de cryptomonnaies.

Orduna précise que ces mixers compliquent la traçabilité des sources de paiement. Smaragdakis ajoute que, même si la victime — la source du fonds — peut souvent être identifiée, après de nombreux transferts, la piste se perd. Les cybercriminels exploitent la facilité de créer des milliers d’adresses blockchain (contrairement aux comptes bancaires, qu’il est plus difficile d’ouvrir) pour brouiller la traçabilité. Auparavant, les criminels centralisaient les paiements des victimes sur une seule adresse, mais désormais ils attribuent des adresses uniques à chaque victime, et souvent plusieurs adresses pour une seule personne, explique Smaragdakis. Cette tactique fragmentent les fonds illicites en plus petites quantités dispersées sur de nombreuses adresses, compliquant le contrôle et le suivi. Ensuite, ils peuvent mélanger ces fonds avec d’autres sommes ou utiliser des casinos acceptant la crypto. En effectuant de nombreux micro-paris à faible risque et profit, ils « nettoient » efficacement l’argent, qui peut ensuite être retiré sous forme de monnaie légale, ajoute Orduna. Les plateformes d’échange comme Binance ou Coinbase représentent une autre voie de blanchiment, mais sont généralement hors de portée des criminels car ces plateformes appliquent des politiques strictes de lutte contre le blanchiment d’argent, exigeant des documents d’identité vérifiés et des selfies liés aux comptes utilisateurs. La police peut demander des informations sur les utilisateurs via une ordonnance judiciaire, ce qui dissuade toute activité illicite sur ces plateformes. Ainsi, les criminels se tournent vers des plateformes non régulées, imitant des exchanges. Orduna avertit que ces entités, bien que non enregistrées, présentent des schémas de transaction similaires à ceux des échanges légitimes. Les chercheurs de Vicomtech s’efforcent de détecter ces plateformes en analysant les patterns des transactions blockchain. En modélisant le comportement des échanges légitimes, les enquêteurs développent des modèles de comportement numérique pour repérer des activités illicites similaires à des échanges sur les réseaux blockchain. L’équipe de Vicomtech collabore étroitement avec les autorités pour recueillir des besoins et des exemples d’activités suspectes, générant des données synthétiques anonymisées afin de construire et tester des modèles de détection intelligents. Une fois validés, ces modèles assistent dans de véritables enquêtes menées par des autorités compétentes. Alors que la majorité des recherches en cybersécurité se concentrent sur la compréhension des attaques, l’amélioration des défenses et la réduction des brèches, un autre effort essentiel consiste à tracer la circulation de l’argent illicite. Ce travail est crucial pour freiner la capacité des criminels à tirer profit de leurs activités, réduisant ainsi leur incitation économique à commettre des crimes numériques.