Vérification AML crypto : comment fonctionne le filtrage des adresses de portefeuille et pourquoi les plateformes le font

Une vérification AML crypto est une évaluation des risques portant sur une adresse de portefeuille ou une transaction blockchain. Elle examine par où les fonds sont passés et signale les liens avec des parties sanctionnées, de la fraude, des marchés du darknet ou des services de mixage. Les plateformes crypto réglementées effectuent systématiquement ces contrôles sur les dépôts et les retraits, et chacun peut en comprendre les bases avant d'envoyer ou d'accepter des crypto-actifs.

Ce guide explique ce qu'est le filtrage des portefeuilles, les règles qui l'imposent dans l'UE, ce qu'un score de risque peut et ne peut pas vous dire, et pourquoi un transfert que vous pensiez banal peut faire l'objet d'un examen.

L'essentiel

• « Vérification AML », « filtrage de portefeuille » (wallet screening) et « KYT » (know your transaction, connaissance de la transaction) sont des termes du secteur qui désignent la même idée : évaluer le risque attaché à une adresse ou à une transaction.
• Dans l'UE, les prestataires de services sur crypto-actifs doivent surveiller les transactions, et les orientations de l'EBA prévoient qu'ils utilisent des outils d'analyse avancée selon une approche fondée sur les risques, en particulier pour les adresses auto-hébergées.
• La règle du voyage (travel rule) de l'UE (règlement (UE) 2023/1113) s'applique depuis le 30 décembre 2024 et exige que les informations sur l'expéditeur et le destinataire accompagnent les transferts de crypto-actifs, quel que soit le montant.
• Un résultat sans alerte ne rend ni une adresse sûre ni une contrepartie digne de confiance. Un résultat signalé ne prouve pas un acte répréhensible.
• Les émetteurs de stablecoins peuvent bloquer des adresses ; pour l'USDT et l'USDC, l'historique d'une adresse peut donc compter autant que l'actif.

Qu'est-ce qu'une vérification AML crypto ?

Les blockchains publiques enregistrent chaque transfert entre adresses. Il est donc possible de remonter l'historique d'un coin et de voir s'il est passé par des adresses déjà liées à une activité illicite. Une vérification AML crypto prend une adresse ou un hash de transaction, suit ces liens et renvoie une forme de notation du risque, généralement accompagnée des catégories qui la justifient.

Les signaux de risque typiques comprennent :

• une exposition directe ou indirecte à des adresses figurant sur une liste de sanctions ;
• des fonds passés par un mixeur, un tumbler ou un autre service conçu pour brouiller la piste ;
• des liens avec des marchés du darknet, des arnaques, des rançongiciels ou des fonds volés ;
• des transferts via des plateformes d'échange non réglementées ou des plateformes aux contrôles insuffisants ;
• des schémas qui ne correspondent pas à l'activité attendue du client.

Les adresses étant pseudonymes, le filtrage ne dit rien de l'identité du propriétaire d'une adresse. Il indique avec quoi l'adresse a été en relation.

Filtrage de portefeuille et KYT

Les termes se recoupent, mais ils servent à deux tâches.

Le filtrage de portefeuille vérifie une adresse avant une relation ou un transfert : cette destination, ou cette source, est-elle liée à un risque connu ?

Le KYT (know your transaction) est la surveillance continue des transactions. Chaque transfert entrant et sortant est noté au fil de l'eau, et les alertes sont transmises à une équipe de conformité pour examen.

Aucun de ces termes n'est défini en droit de l'UE. Les obligations légales s'expriment en termes de vigilance à l'égard de la clientèle, de surveillance des transactions et de règle du voyage. Les outils sont le moyen par lequel les plateformes s'y conforment.

Pourquoi les plateformes vérifient les adresses de portefeuille

La surveillance des transactions selon les orientations de l'UE

L'Autorité bancaire européenne a étendu ses orientations sur les facteurs de risque de blanchiment de capitaux et de financement du terrorisme aux prestataires de services sur crypto-actifs. Elles s'appliquent depuis le 30 décembre 2024. Parmi les facteurs de risque qu'elles énumèrent figurent les transferts vers ou depuis des plateformes de mixage et de tumbling, les crypto-actifs associés au darknet ou à des activités illégales, et les résultats d'outils d'analyse avancée indiquant un niveau de risque accru.

Les orientations prévoient que les prestataires appliquent des outils d'analyse avancée aux transactions selon une approche fondée sur les risques, en complément de la surveillance standard, et en particulier pour les transactions impliquant des adresses auto-hébergées, car ces outils permettent au prestataire de retracer l'historique des transactions et d'identifier d'éventuels liens avec des activités criminelles. C'est le fondement réglementaire du filtrage de portefeuille que vous rencontrez en pratique.

La règle du voyage

Le règlement (UE) 2023/1113, la refonte du règlement sur les transferts de fonds, s'applique depuis le 30 décembre 2024. Il impose au prestataire de la personne qui envoie des crypto-actifs de veiller à ce que le transfert soit accompagné du nom de l'expéditeur, de son adresse de portefeuille et de son numéro de compte, de son adresse postale accompagnée d'un document officiel ou d'un numéro de client (ou de sa date et de son lieu de naissance), ainsi que du nom et de l'adresse de portefeuille du destinataire. Ses considérants précisent que les transferts de crypto-actifs devraient être soumis aux mêmes exigences quel que soit le montant, car les crypto-actifs peuvent facilement être répartis entre de nombreuses adresses.

Si les informations sont manquantes, le prestataire destinataire doit, selon une approche fondée sur les risques et sans retard injustifié, soit rejeter ou renvoyer le transfert, soit demander les informations avant de mettre les crypto-actifs à disposition. Les prestataires qui omettent de manière répétée de transmettre les données requises peuvent faire l'objet d'avertissements, de délais et, en dernier ressort, d'une restriction ou d'une cessation de la relation.

Pour les portefeuilles auto-hébergés, les règles ajoutent un seuil. Lorsque plus de 1 000 EUR sont envoyés vers une adresse auto-hébergée ou reçus de celle-ci pour le compte d'un client, le prestataire devrait vérifier que l'adresse appartient effectivement à ce client ou est contrôlée par lui. Notre article sur la règle du voyage entre davantage dans le détail.

Les sanctions

Les sanctions s'appliquent à la crypto comme à l'argent. Aux États-Unis, l'Office of Foreign Assets Control (OFAC) du Trésor peut ajouter des adresses de monnaie numérique à sa liste de sanctions pour alerter le public, tout en précisant que ces inscriptions ne sont probablement pas exhaustives. Les outils de filtrage s'appuient sur ces listes, puis étendent le tableau aux adresses qui y sont liées.

Comment vérifier vous-même une adresse de portefeuille crypto

Une vérification rapide du risque d'une adresse de portefeuille avant d'envoyer ou d'accepter des crypto-actifs ne nécessite pas d'outil commercial. Quelques réflexes permettent de repérer la plupart des problèmes.

1. Consultez-la dans un explorateur de blocs. Vérifiez si l'adresse a un historique, depuis quand elle existe, et si le transfert dont on vous a parlé existe réellement.
2. Demandez d'où viennent les fonds. Si quelqu'un veut vous payer en crypto, une plateforme d'échange réglementée ou un portefeuille à l'historique simple est meilleur signe qu'une adresse alimentée par une chaîne de transferts successifs vers des adresses toutes neuves.
3. Méfiez-vous des mixeurs et des ponts (bridges). Des fonds récemment passés par des services d'obscurcissement sont le déclencheur classique d'un examen.
4. Utilisez un service de filtrage lorsqu'il est disponible, et lisez les catégories, pas seulement le score.
5. Ne transférez pas des dépôts inattendus. Des crypto-actifs entrants inconnus peuvent être le début d'une arnaque ou un transfert erroné ; demandez conseil au support du prestataire avant de les déplacer.

Une vérification du risque est un instantané. Des adresses peuvent être liées à de nouveaux incidents après votre vérification, et les outils de différents fournisseurs peuvent aboutir à des conclusions différentes.

Les vérifications AML pour le bitcoin et l'USDT

Une vérification AML sur le bitcoin fonctionne selon le même principe que toute autre : retracer les entrées et les sorties et noter l'exposition. Le modèle de transaction de Bitcoin, dans lequel une transaction peut combiner de nombreuses entrées, fait qu'un paiement peut porter une petite part d'historique à risque provenant d'un transfert antérieur.

Les stablecoins ajoutent un second niveau. Les conditions de Tether lui permettent de mettre sur liste noire des adresses détenant ses jetons lorsqu'il soupçonne une utilisation interdite ou sur instruction d'un gouvernement, et les conditions de l'USDC de Circle réservent le droit de bloquer certaines adresses USDC. Une vérification AML sur l'USDT ne relève donc pas seulement de la conformité : des jetons détenus à une adresse bloquée par l'émetteur peuvent devenir inutilisables. Notez aussi qu'un même jeton peut exister sur plusieurs réseaux ; filtrez l'adresse sur le réseau que le paiement utilisera réellement.

Ce qu'une vérification AML crypto ne peut pas vous dire

• Qu'une adresse est sûre. La formulation de Quppy elle-même résume bien la chose : une vérification AML est une évaluation des risques et ne garantit pas qu'une adresse, une transaction ou un actif soit sûr, licite ou sans risque.
• Qui possède l'adresse. Le filtrage décrit des liens, pas une identité.
• Qu'un transfert sera accepté. Le prestataire destinataire applique sa propre politique, et les données de la règle du voyage doivent aussi être complètes.
• Qu'un score élevé signifie un acte répréhensible. Des utilisateurs innocents reçoivent des fonds « contaminés ». Un examen est une question, pas une accusation.

Vérifications de portefeuille et examens dans Quppy

Quppy propose AML Quppy Bot, un service distinct d'évaluation des risques pour les adresses de portefeuille et les transactions blockchain prises en charge, que vous pouvez utiliser avant d'envoyer ou d'accepter des crypto-actifs. Comme tout outil de ce type, son résultat est une évaluation des risques, et non une garantie.

Pour les transferts eux-mêmes, Quppy ou le prestataire de services crypto concerné peut vous interroger sur un portefeuille externe : s'il vous appartient ou appartient à quelqu'un d'autre, le nom légal de l'expéditeur ou du destinataire, la plateforme externe, l'objet du transfert et, dans certains cas, une preuve de propriété ou de contrôle. Les raisons indiquées dans les pages de conformité de Quppy sont la règle du voyage, les sanctions et le risque de blanchiment et de financement du terrorisme (AML/CFT), ainsi que la confirmation que l'actif et le réseau sont pris en charge.

Un dépôt entrant peut faire l'objet d'un examen lorsque, par exemple, les informations de la règle du voyage sont manquantes, que l'adresse présente des indicateurs de risque, ou que le transfert provient d'un mixeur, d'un service de renforcement de la confidentialité, d'une source sanctionnée ou d'une plateforme à haut risque. Une confirmation sur la blockchain ne supprime pas ces contrôles, et une transaction peut en conséquence être retardée, renvoyée ou rejetée. Quppy ne publie pas de délai d'examen garanti et peut ne pas être en mesure de divulguer chaque indicateur de risque. Lisez pourquoi une transaction peut être retardée ou rejetée et pourquoi on peut vous interroger sur un portefeuille externe pour avoir le tableau complet.

Aucune vérification légitime n'a besoin de votre clé privée ou de votre phrase de récupération. Ne les communiquez jamais.