Lutte contre le blanchiment et crypto-actifs : comment renforcer la traçabilité des transactions ?

Sommaire

Mieux contrôler les activités des prestataires de services
LCB-FT et crypto : MiCA et TFR jouent la complémentarité
Traçabilité des transactions : des progrès sur fond d’incertitudes
Le pseudonymat et l’anonymat : la difficile réconciliation avec l’identité des clients
Les portefeuilles auto-hébergés : un trou dans la raquette ?
La Finance Décentralisée (DeFi) : innovante, mais…
Quelles solutions technologiques ?

Adopté en 2023 et entré en vigueur en décembre 2024, le règlement européen MiCA (Markets in Crypto-Assets) encadre les émissions et les services liés aux crypto-actifs qui échappent aux réglementations existantes sur les instruments et produits financiers. 

Mieux contrôler les activités des prestataires de services

MiCA couvre l’émission, l’offre au public et l’admission à la négociation de crypto-actifs, ainsi que la fourniture de services corrélés. Il établit des exigences de transparence et d’information, des règles d’agrément et de surveillance pour les PSCA (prestataires de services sur crypto-actifs), ainsi que des mesures pour prévenir les abus de marché (opérations d’initiés, manipulations). Le règlement MiCA édicte plusieurs obligations pour les prestataires de services sur crypto-actifs, notamment en matière de garanties prudentielles (disposer de fonds propres suffisants) et de gouvernance (revue des processus opérationnels, gestion des risques, stockage de l’information, continuité d’activités…).  Si MiCA ne couvre pas directement la lutte contre le blanchiment et le financement du terrorisme (LCB-FT), il établit néanmoins les bases de la surveillance des acteurs, condition indispensable à une LCB-FT efficace. C’est pourquoi le règlement TFR (Transfer of Funds Regulation) vient compléter MiCA, en garantissant la traçabilité des transactions en crypto-monnaies. 

LCB-FT et crypto : MiCA et TFR jouent la complémentarité 

La TFR, en vigueur depuis fin 2024, étend la « règle du voyage » (Travel Rule) du GAFI (Groupe d’action financière) aux transferts de crypto-actifs effectués par les PSCA. Cette règle vise à éliminer l’anonymat des mouvements de capitaux en imposant aux intermédiaires financiers (notamment les PSCA) de s’assurer que les informations clés sur le donneur d’ordre et le bénéficiaire accompagnent la transaction.  

La TFR met une pression significative sur les PSCA, qui doivent adapter leurs systèmes de conformité, avec plusieurs mesures contraignantes : 

– Vérifier les caractéristiques de clients (KYC) 

Le PSCA de l’émetteur est responsable de la vérification de l’identité de son client (émetteur) grâce à des procédures de KYC (Know Your Customer) pour identifier et vérifier l’identité clients (nom, adresse, numéro de compte ou adresse de portefeuille, etc.), avant d’exécuter des transferts ou de mettre des crypto-actifs à disposition lorsque le montant du transfert dépasse un certain seuil. 

– Contrôler les informations 

Pour chaque transaction de crypto-actifs, le PSCA du bénéficiaire est tenu de vérifier la réception et le caractère complet et exact des informations transmises par le PSCA de l’émetteur. 

– Gérer les informations manquantes ou incomplètes 

Si le PSCA du bénéficiaire reçoit un transfert avec des informations manquantes ou incomplètes, il doit mettre en place des procédures de gestion des risques. Il peut être contraint de rejeter la transaction ou de geler les actifs en attendant d’obtenir les informations nécessaires, surtout lorsque le montant transféré est significatif. 

– Conserver les données  

Les PSCA sont tenus de conserver les informations collectées pendant une période définie et de les mettre à disposition des autorités en cas d’enquête. Ces obligations renforcent le dispositif de LCB-FT, en alignant les exigences pour les crypto-actifs sur celles déjà applicables aux transferts de fonds traditionnels. 

Traçabilité des transactions : des progrès sur fond d’incertitudes 

Malgré l’ambition de MiCA et de la TFR, la nature même de la blockchain et des crypto-actifs pose des défis majeurs pour la traçabilité et la conformité à la LCB-FT. L’univers crypto se distingue par l’anonymat des transactions (de plus en plus encadré), l’essor de la finance décentralisée et la présence de portefeuilles auto-hébergés, échappant au contrôle direct des prestataires de services sur crypto-actifs (PSCA). 

Le pseudonymat et l’anonymat : la difficile réconciliation avec l’identité des clients 

Si la Blockchain est par nature transparente (toutes les transactions sont publiques), les adresses de portefeuille sont « pseudonymisées ». Les PSCA doivent donc établir le lien entre ces adresses et l’identité réelle du client (KYC), une tâche rendue complexe par l’existence de mécanismes d’anonymisation (comme les mixers ou tumblers) et de certains crypto-actifs conçus pour la confidentialité (privacy coins). Certes, l’ACPR rappelle que « le pseudonymat n’est pas l’anonymat : il permet une certaine traçabilité des transactions, ce qui conduit à des formes d’auto-régulation sur les Blockchains. » Toutefois, ajoute l’autorité de régulation, « l’absence d’identification des utilisateurs est susceptible d’affaiblir la lutte contre le blanchiment de capitaux et de financement du terrorisme. » 

Les portefeuilles auto-hébergés : un trou dans la raquette ? 

L’interaction avec des portefeuilles auto-hébergés (self-hosted wallets), donc hors du contrôle direct des PSCA, rend difficile l’application de la Travel Rule et l’obtention des informations sur l’expéditeur ou le bénéficiaire. En effet, ce sont des portefeuilles que l’utilisateur contrôle directement sans l’intervention d’un PSCA. Problème : la TFR ne s’applique pas aux transferts effectués exclusivement entre particuliers utilisant leurs propres portefeuilles. 

La Finance Décentralisée (DeFi) : innovante, mais… 

La DeFi opère via des contrats intelligents autonomes sans intermédiaire central. Elle se définit, selon l’APCR, comme « un ensemble de services sur crypto-actifs, comparables à des services financiers et effectués sans l’intervention d’un intermédiaire, via des automates exécuteurs de clauses (ou smart contracts) et la Blockchain qui permettent de se passer du tiers de confiance que représentent les institutions financières. » Ainsi, contrairement aux systèmes financiers traditionnels, les transactions DeFi ne sont pas régulées. En cas de fraude ou de litige, il n’existe ainsi pas d’autorité centrale pour intervenir. En outre, se pose le problème de la cyber-protection des plateformes spécialisées à l’instar de la plateforme Balancer victime, fin 2025, d’un piratage avec des pertes estimées à 129 millions de dollars en crypto-monnaies. Entre 2020 et 2024, les piratages de DeFi ont représenté des pertes estimées à 59 milliards de dollars. 

Quelles solutions technologiques ? 

Pour répondre aux exigences de MiCA et de la TFR, les PSCA doivent s’appuyer sur des solutions technologiques pour automatiser les processus qui concourent à garantir la conformité aux législations : 

– Les outils d’analyse de la Blockchain 

Des plateformes spécialisées (par exemple Chainalysis, CipherTrace, etc.) analysent les transactions sur la Blockchain pour identifier l’origine et la destination des fonds, détecter des schémas suspects et évaluer les risques associés à une adresse ou une transaction (par exemple, si elle est liée à des activités illicites, à des fonds provenant de « mixers », ou à des pays à haut risque). 

– Les solutions de Travel Rule  

Des solutions logicielles dédiées permettent aux PSCA d’échanger de manière sécurisée et conforme les informations requises sur l’émetteur et le bénéficiaire (données personnelles) pour chaque transaction en crypto-actif, dans le respect des contraintes de la règlementation Travel Rule et des exigences de protection des données. 

– L’Onboarding numérique (KYC/KYB) 

Dans le domaine des crypto-actifs, relier l’identité réelle des clients à leur activité est un enjeu clé pour la conformité à la LCB-FT. Les plateformes d’onboarding digital pour le KYC (Know Your Customer) et le KYB (Know Your Business) se révèlent particulièrement efficaces pour automatiser et sécuriser la collecte, la vérification et la conservation des données d’identité. 

Certaines solutions, comme celles proposées par AP Solutions IO, vont encore plus loin en offrant l’automatisation complète du processus de détection et de remédiation des données, la mise à jour quotidienne des listes et le criblage exhaustif des bases clients, un moteur d’intelligence augmentée capable d’identifier, de noter et de scorer le niveau de risque de chaque client. 

– La surveillance des transactions en temps réel  

Les systèmes de Transaction Monitoring avancés évaluent en continu le risque des transactions, en se basant sur une multitude de critères (montant, fréquence, contreparties, utilisation de mixers, etc.), et génèrent automatiquement des alertes pour les déclarations de soupçon. La solution AP Monitoring répond à ce besoin, avec une identification en temps réel des opérations suspectes, grâce à un moteur d’intelligence artificielle augmentée, et un paramétrage des scénarios en fonction de l’activité et du contexte.