Le registre ouvert est transparent : les montants, les heures de transaction et les adresses sont toujours visibles. Cependant, l’identité des responsables de ces transferts reste cachée.
Auparavant, ForkLog avait déjà discuté des mécanismes de suivi des pièces à l'aide d'un exemple. IDTX et modèles UTXO. Ce chemin peut être suivi manuellement en étudiant les données dans n'importe quel navigateur blockchain.
Mais il y a une limite à cette approche. La chaîne de blocs montre uniquement le mouvement des fonds, pas l'initiateur du transfert. C'est là que ça entre en scène OSINT — le renseignement open source. C'est cela qui permet de relier une adresse anonyme à une personne réelle.
Voyons quelles données le registre ouvre lui-même et quelles données doivent être obtenues de l'extérieur, comment l'enquête est construite étape par étape, sur quels outils elle est basée et où se situe la frontière entre l'analyse et la surveillance.
Au-delà de la blockchain
Le grand livre distribué ne cache rien. Chaque cluster de transfert et de portefeuille est visible par tout observateur. C'est l'essence de l'analyse en chaîne. Mais la méthode a une limite : la chaîne répond à la question « où », et non à la question « qui ».
Cette lacune est comblée par OSINT – renseignement open source. La discipline est plus ancienne que l’industrie de la cryptographie : la surveillance des émissions de radio publiques a été mise en place au Royaume-Uni et aux États-Unis pendant la Seconde Guerre mondiale.
L’essence de la méthode n’a pas changé depuis. Il s’agit d’une analyse d’informations accessibles au public et collectées sans briser les systèmes de sécurité. Dans l’espace blockchain, cela inclut presque tout : les messages du forum, les informations d’enregistrement de domaine, les anciennes captures d’écran et les fuites de bases de données.
Cette connexion fonctionne grâce au pseudonymat. Contrairement à l’anonymat absolu, dans le réseau Bitcoin et dans la plupart des autres blockchains, l’utilisateur est caché derrière une adresse alphanumérique, mais toutes ses actions restent à jamais dans le registre.
« L'identité n'est pas directement révélée, mais la trace qui en découle est perceptible et inchangée », explique OSINT Industries.
En pratique, l'analyse en chaîne et OSINT résolvent différents problèmes. La première restitue le parcours des pièces : qui a transféré combien à qui, par quelles adresses les fonds sont passés.
L'intelligence open source connecte une adresse à des données externes – un compte sur une plateforme d'échange, un profil sur un réseau social ou un enregistrement de domaine. Une seule erreur de l’utilisateur suffit à le désanonymiser.
Pourquoi « creuser » ?
Il y a cinq directions différentes derrière l’acronyme OSINT. Chacun d'eux a ses propres tâches et résultats.
Le premier est l’enquête sur le vol et la fraude. Des analystes indépendants publient des données qui permettent de geler rapidement les avoirs volés. Par exemple, dans le cas du vol de 243 millions de dollars chez le prêteur Genesis, une telle enquête a permis de bloquer plus de 9 millions de dollars.
Le deuxième est le contrôle de la conformité et des sanctions. Les transactions en crypto-monnaie s’étendent souvent sur plusieurs lieux et juridictions. Dans de telles conditions, il est important non seulement de suivre la traduction, mais aussi de la relier à une personne réelle.
Troisièmement, le renseignement sur les menaces. Il est utilisé pour suivre les flux de fonds associés aux paiements aux extorsionnistes et à l'exploitation de sites illégaux.
Quatrièmement – l'analyse du marché. De nombreux grands détenteurs et les portefeuilles qui leur sont associés sont depuis longtemps sous étroite surveillance. Les traders perçoivent le mouvement de leurs fonds comme un signal de vente imminente ou d'accumulation d'actifs.
Cinquièmement – le journalisme d'investigation. L'effondrement de la bourse FTX en 2022 a commencé avec une publication de CoinDesk : la publication a comparé les documents d'entreprise avec les données en chaîne et a découvert que l'activité était basée sur le jeton FTT illiquide.
Les cinq scénarios ont des mécanismes communs : d'une trace dans le registre aux données externes, et de celles-ci à un nom spécifique.
De l'adresse au nom
Une enquête commence rarement par un nom tout fait. Le plus souvent, au départ, il n'y a qu'une anomalie : un contrat piraté, une adresse issue d'une plainte d'une victime ou un portefeuille issu d'un stratagème douteux.
Les chercheurs divisent le processus lui-même en quatre étapes : direction, collecte de données, liaison d'adresse et vérification. Il n'y a pas d'ordre strict des actions, mais la logique reste inchangée : passer d'une trace numérique dans le registre à une personne réelle.
Crochet donne la direction. Le point de départ est l'incident lui-même, une adresse spécifique, un type de portefeuille (par exemple, hot, change) ou un contrat intelligent. La stratégie de recherche en dépend.
Collecte de données – OSINT dans sa forme la plus pure. L'analyste recherche tout lien entre l'adresse et l'off-chain : enregistrements de domaine, profils de réseaux sociaux, correspondance sur les forums et Discord, fuites de bases de données, anciennes captures d'écran. Chaque découverte devient un lien entre le pseudonyme et l'individu.
Attribution rassemble des faits disparates. Les adresses sont regroupées en clusters par contreparties, heure et montant des transferts, puis liées à un échange, un service ou une personne. Souvent, le résultat est décidé par une seule erreur : un portefeuille exposé publiquement ou un dépôt sur une plateforme avec KYC sont en mesure de révéler immédiatement le propriétaire.
Vérification laisse le dernier mot à l'analyste. À ce stade, les connexions sont revérifiées, les contradictions sont recherchées et la probabilité d'erreur est évaluée.
C’est la principale limite de la méthode. L’attribution est toujours probabiliste : elle ne dit pas « c’est définitivement lui », mais « très probablement c’est lui ».
Dans les enquêtes les plus complexes, l’analyse en chaîne est complétée par l’étude des appareils, de la RAM et du trafic réseau. Sauter l’une de ces couches est une raison de douter des conclusions.
Chacune des quatre étapes utilise son propre ensemble d'outils – des navigateurs blockchain aux systèmes de visualisation de connexion.
Analyses d'Arsenal
Lorsque les gens parlent d’outils médico-légaux, ils pensent généralement à quelques plateformes bien connues. Mais le véritable arsenal de l’analyste est bien plus large et, pour l’essentiel, gratuit.
Niveau de base – explorateurs de blockchain. Il s'agit respectivement d'Etherscan pour Ethereum, Blockchair et WalletExplorer pour Bitcoin, Solscan et TronScan pour Solana et TRON. Ils affichent les transactions, les soldes, l'historique des adresses.
Couche suivante – systèmes de visualisation. Ils affichent les flux de fonds sous forme de graphique. Arkham, Breadcrumbs et OXT entrent dans cette catégorie. Avec leur aide, l'analyste suit le mouvement des actifs et remarque rapidement les clusters associés.
Couche séparée – plateformes médico-légales commerciales comme Chainalysis, TRM Labs, Elliptic et Scorechain. Ils sont utilisés par les bourses, les banques et les organismes chargés de l'application des lois à des fins de conformité et d'évaluation des risques. L'accès à ceux-ci est généralement payant et est proposé aux entreprises clientes.
Responsable de la recherche de données hors chaîne OSINT classique. Maltego crée des graphiques de connexions entre les personnes et les comptes, SpiderFoot automatise la collecte d'informations provenant de centaines de sources et IntelligenceX recherche des données sur les archives et les fuites, y compris les adresses Bitcoin.
Cet ensemble comprend également géolocalisation par IP via MaxMind et Google Dorks – opérateurs de recherche spéciaux pour affiner les résultats. Par exemple, une requête avec le paramètre site: recherche les mentions d'un portefeuille sur un site spécifique.
Ils vous aident à naviguer dans la variété des logiciels catalogues. OSINT Framework est un arbre de catégories avec des outils pour n'importe quelle tâche. Il existe également des collections ouvertes sur GitHub, compilées spécifiquement pour les enquêtes blockchain.
Les barrières à l’entrée dans la profession sont faibles puisque la plupart des services sont ouverts à tous. C'est pourquoi il y a un débat en cours autour de l'OSINT sur la question de savoir où se termine une enquête légitime et où commence une atteinte à la vie privée.
Légal, mais pas certain
OSINT est de nature légale. Il fonctionne avec des données ouvertes et ne contourne pas les systèmes de sécurité. Les problèmes ne surviennent pas au stade de la recherche, mais lors de l'utilisation des résultats.
La première difficulté est juridique. Selon l'article 6 du RGPD, il doit exister une base juridique pour le traitement des données personnelles, même si ces informations sont accessibles au public.
La deuxième difficulté est le coût de l’erreur. L'attribution d'une adresse erronée crée des risques pour des personnes réelles : un outil permettant de rechercher des attaquants peut pointer vers une personne innocente. Dans le même temps, l’accusation publiée reste dans les résultats de recherche et dans les archives Web pendant des années.
OSINT a des opposants de principe. Une partie du secteur considère le secret financier comme un droit inhérent et non comme une faille pour les criminels.
Les pièces de confidentialité reflètent cette logique : Monero masque les montants et les adresses par défaut, tandis que Zcash propose des transactions protégées parmi lesquelles l'utilisateur peut choisir. Pour les partisans de cette approche, OSINT n’est pas un moyen de lutter contre la criminalité, mais un outil de surveillance totale.
Il n’y a pas de gagnant clair dans ce débat. La transparence des registres fonctionne dans les deux sens : elle aide les analystes, mais elle facilite également la surveillance.
Détectives autodidactes
De nombreux détectives de renom en chaîne ne possèdent ni diplôme spécialisé ni carte d'identité officielle.
Un chercheur sous le surnom de ZachXBT est arrivé dans l’industrie de la cryptographie à la suite de la fièvre des ICO de 2017 en tant qu’investisseur de détail ordinaire. Ayant perdu de l'argent dans des projets frauduleux, il a étudié de manière indépendante la criminalistique de la blockchain.
Des années plus tard, son enquête a permis de découvrir le vol de 243 millions de dollars. Il a identifié les auteurs grâce à des traces hors chaîne : un nom révélé accidentellement, des adresses en double et des géolocalisations sur les réseaux sociaux. En conséquence, le ministère américain de la Justice a porté plainte contre deux accusés.
Un autre exemple est Coffeezilla (Stephen Findeisen). Ingénieur chimiste de formation, il a été impliqué dans des révélations après que sa mère ait été trompée par des vendeurs de « médicaments miracles ». Il a rassemblé son audience sur YouTube.
L'une de ses œuvres les plus remarquables était une interview dans laquelle il a obtenu des aveux de Hayden Davis, une figure clé du scandale entourant le jeton LIBRA. Il a annoncé publiquement le montant de son propre bénéfice, qui s'élevait à environ 113 millions de dollars.
ZachXBT et Coffeezilla ne sont pas unis par un arsenal technique, mais par une approche : persévérance et travail compétent avec des données de base. Les barrières à l’entrée dans ce domaine sont bien plus faibles qu’on ne le croit généralement.
Le registre ouvert a fait de la désanonymisation un véritable métier. Des tâches qui étaient auparavant l'apanage des services de renseignement et des services de conformité sont désormais à la portée d'un passionné disposant d'un ordinateur portable.
La disponibilité des outils présente un inconvénient. Plus l’algorithme établit clairement des liens, plus la tentation d’y croire aveuglément est forte. Mais la coïncidence des adresses n’est qu’une hypothèse et non un verdict. L'outil affiche les données, la conclusion finale est faite par la personne.
Voir l’article original en russe
