Un signal d’alerte pose une question, il ne rend pas un verdict
Un paiement en crypto peut circuler rapidement, traverser plusieurs services et provenir d’une adresse encore inconnue de l’entreprise. Les schémas de transaction facilitent donc le tri, mais ils peuvent aussi être mal interprétés. Un paiement fractionné peut résulter d’une limite du portefeuille. Une nouvelle adresse peut relever d’une pratique normale de trésorerie. Un transfert rapide peut répondre à une nécessité opérationnelle.
Le Groupe d’action financière le précise dans son rapport sur les indicateurs d’alerte liés aux actifs virtuels. Un seul indicateur ne signifie pas nécessairement qu’une activité est criminelle. La préoccupation devient plus forte lorsque plusieurs signaux se combinent, que la transaction n’a pas de finalité commerciale logique ou que l’explication contredit les éléments disponibles.
Les douze schémas suivants appellent donc un examen proportionné. Ils ne constituent pas une liste universelle et ne déterminent pas une obligation de déclaration. Vos responsabilités dépendent de votre rôle, de la juridiction, de la relation client et de votre politique interne.
12 schémas de transaction crypto à examiner de plus près
1. Un paiement est divisé en de nombreux petits transferts
Pourquoi c’est important : Des transferts répétés juste sous un seuil, ou une facture réglée par de nombreux petits montants sans raison pratique, peuvent évoquer un fractionnement délibéré. Le GAFI cite les transferts visant à éviter des seuils de conservation ou de déclaration parmi les signaux d’alerte.
À vérifier ensuite : Comparez la valeur totale avec la facture, les horaires, les adresses d’envoi, les limites de portefeuille invoquées et les paiements antérieurs. Documentez une explication opérationnelle crédible au lieu d’évaluer chaque transfert séparément.
2. Un portefeuille nouveau ou inactif devient soudain très actif
Pourquoi c’est important : Un premier transfert important ou une série d’opérations de forte valeur après une longue période d’inactivité peut ne pas correspondre au profil attendu. Il peut aussi s’agir d’une adresse de passage récemment préparée.
À vérifier ensuite : Déterminez la date de première activité, l’origine du financement, la cohérence du volume avec le client et la raison de l’utilisation de cette adresse à ce moment précis.
3. Les fonds repartent presque immédiatement après leur réception
Pourquoi c’est important : Un transfert immédiat à travers plusieurs portefeuilles ou services peut ajouter des couches entre la source et la destination. La rapidité seule n’est pas suspecte, notamment pour un processeur de paiement ou une trésorerie automatisée. C’est l’absence de justification économique qui soulève la question.
À vérifier ensuite : Retracez les premières étapes pertinentes, mesurez les délais, identifiez les contreparties connues et demandez quelle fonction commerciale remplit chaque mouvement.
4. De nombreux portefeuilles sans lien apparent alimentent une adresse avant consolidation
Pourquoi c’est important : Le GAFI relève les petits transferts entrants de nombreux portefeuilles non liés, suivis d’un envoi vers un autre portefeuille ou d’une conversion totale en monnaie officielle. Ce schéma peut aussi être légitime pour un compte de collecte marchand ou une plateforme.
À vérifier ensuite : Établissez si la fonction de collecte est documentée. Comparez les liens entre expéditeurs, les références de paiement, les montants et la destination finale avec le modèle économique déclaré.
5. Le parcours multiplie les conversions, les bridges ou les changements de réseau
Pourquoi c’est important : Des conversions répétées ou des mouvements entre réseaux qui ajoutent des frais sans but économique apparent peuvent rendre le trajet plus difficile à comprendre. Un bridge ou un swap n’est pas risqué en soi. La complexité inutile constitue le signal pertinent.
À vérifier ensuite : Reconstituez le parcours sur les réseaux pris en charge, notez les changements de traçabilité et demandez pourquoi cet actif et cette route étaient nécessaires au paiement.
6. Il existe une exposition significative à un mixeur ou à un service d’obscurcissement
Pourquoi c’est important : Le GAFI et l’avis du FinCEN sur les monnaies virtuelles convertibles décrivent le mixage comme un moyen de masquer le lien entre adresses d’envoi et de réception. La confidentialité peut avoir des usages légitimes, le contexte reste donc indispensable.
À vérifier ensuite : Distinguez l’utilisation directe d’une connexion indirecte éloignée. Examinez la valeur, le moment, la distance transactionnelle, l’explication sur l’origine des fonds et l’importance de l’exposition pour le paiement concerné.
7. Le portefeuille est lié à un service illicite ou restreint identifié
Pourquoi c’est important : Les liens directs avec une fraude, un vol, un rançongiciel, un marché du darknet ou une activité sanctionnée identifiés appellent une attention rapide. Une connexion indirecte à plusieurs étapes ne vaut pas réception directe depuis le service concerné.
À vérifier ensuite : Confirmez l’attribution, sa date et sa source, le sens des fonds, la distance d’exposition, le montant pertinent et le régime juridique applicable. Les contrôles AML et de sanctions peuvent mener à des actions différentes.
8. Le service ou la zone géographique ne correspond pas au récit du client
Pourquoi c’est important : Le recours à un prestataire ou à une juridiction sans lien avec le lieu de résidence ou d’activité du client peut accroître le risque, surtout lorsque la surveillance est faible. La géographie ne doit cependant pas servir à juger une nationalité.
À vérifier ensuite : Demandez la raison commerciale, identifiez le service, vérifiez son statut réglementaire actuel et comparez le parcours avec le profil client et la facture.
9. Le payeur change soudain de portefeuille, d’actif ou de réseau
Pourquoi c’est important : Une modification de dernière minute peut être anodine, mais elle peut aussi résulter d’une communication compromise, d’une substitution d’adresse ou d’une tentative de contourner un contrôle antérieur. Le FBI recommande une vérification indépendante lorsque des instructions de paiement changent.
À vérifier ensuite : Confirmez la modification par un second canal fiable. Vérifiez l’adresse complète, le contrat du jeton et le réseau, puis examinez la nouvelle source ou destination avant de poursuivre.
10. La transaction contredit l’origine des fonds déclarée
Pourquoi c’est important : Un reçu de plateforme, une facture ou une explication orale peut ne pas correspondre à l’historique du portefeuille, au montant, au moment ou au titulaire du compte. Une explication incomplète ou changeante devient plus préoccupante lorsque d’autres signaux existent.
À vérifier ensuite : Demandez une preuve reliant la personne, le compte, le portefeuille et la transaction précise. L’explication doit devenir vérifiable. Consultez aussi notre article sur l’importance de l’origine des fonds en crypto.
11. Un tiers semble contrôler ou financer le paiement
Pourquoi c’est important : Le client peut présenter un compte de plateforme, un compte bancaire ou un portefeuille appartenant à une autre personne sans relation claire. Il peut s’agir d’une mule financière, d’un bénéficiaire effectif dissimulé ou d’un paiement légitime par une société liée.
À vérifier ensuite : Identifiez le tiers, établissez la relation et son autorité, vérifiez si votre politique autorise ce type de paiement et examinez ensemble le contexte client et les éléments du portefeuille.
12. L’urgence, le secret ou la pression visent à contourner les contrôles
Pourquoi c’est important : Les fraudeurs créent souvent un sentiment d’urgence afin d’empêcher une vérification ou une intervention. La pression pour livrer, rembourser vers une autre adresse, ignorer une alerte ou décrire faussement un paiement fait partie des éléments du dossier.
À vérifier ensuite : Ralentissez le processus, conservez les messages, vérifiez les instructions séparément et suivez la procédure habituelle. L’alerte du FBI et de l’IC3 sur l’usurpation de plateformes montre comment l’urgence sert à voler des accès et des cryptoactifs.
Comment réagir lorsqu’un schéma apparaît
- Conservez les identifiants : Notez les adresses complètes, le réseau, l’actif, le montant, le hash, les horodatages, la référence client, les échanges et le motif exact de l’alerte.
- Examinez la bonne cible : Déterminez s’il faut étudier l’expéditeur, la destination, la transaction ou plusieurs adresses liées. Une adresse copiée sur le mauvais réseau peut invalider l’examen.
- Comparez preuve et contexte : Rapprochez les résultats du portefeuille des données KYC, de la facture, de l’activité attendue, des preuves d’origine des fonds et du comportement passé. KYC, KYT et AML répondent à des questions différentes.
- Évaluez l’importance réelle : Tenez compte du sens, de la valeur, de la récence, de la distance d’exposition, de la fiabilité de l’attribution et de la combinaison des indicateurs.
- Clarifiez avant de conclure : Posez une question ciblée ou demandez un document pertinent. Évitez de collecter des informations sans objectif défini.
- Décidez et documentez : Acceptez, suspendez, refusez ou escaladez selon la politique. Consignez les éléments examinés, le décideur et le motif. Après un paiement, suivez une procédure structurée pour la première heure suivant une alerte.
La place de Farona
Farona aide les équipes à examiner les signaux de risque liés aux portefeuilles et aux transactions dans un rapport structuré. Les éléments disponibles sur la blockchain sont traduits en score Farona, niveau Farona, conclusion lisible et détails que l’analyste peut comparer au contexte client et au paiement.
Farona n’identifie pas le propriétaire juridique de chaque portefeuille, ne prouve pas une intention criminelle et ne remplace pas un programme AML. Il aide à déterminer ce qui mérite l’attention et à documenter l’examen humain. Un signal plus fort peut justifier une investigation approfondie, mais il ne doit pas entraîner un refus automatique sans considération des preuves et des règles applicables.
Sources et lectures complémentaires
- GAFI : indicateurs d’alerte de blanchiment et de financement du terrorisme liés aux actifs virtuels
- FinCEN : activités illicites impliquant des monnaies virtuelles convertibles
- Autorité bancaire européenne : facteurs de risque pour les prestataires de services crypto
- FBI IC3 : cryptoactifs et compromission des messageries d’entreprise
Sources vérifiées le 31 août 2026. Cet article fournit des informations générales et ne constitue pas un conseil juridique. Les signaux, obligations de déclaration et mesures autorisées varient selon la juridiction et le modèle économique.
