Lois mondiales contre le blanchiment d’argent et leur application aux plateformes crypto
Les plateformes crypto n’ont plus le charme gris des débuts, quand un simple courriel suffisait pour ouvrir un compte. Depuis 2020, Binance, Coinbase ou Kraken ont recruté des équipes conformité entières, parfois plus de 500 personnes, pour suivre les règles anti-blanchiment. Les régulateurs regardent aussi les services voisins, car les paiements, les portefeuilles et les jeux en ligne croisent les mêmes risques. Un dépôt de 20 euros suivi d’un retrait rapide suffit parfois à déclencher une alerte. Au Canada, les guides FINTRAC citent les machines à sous et le casino en ligne au quebec comme des jeux d’argent où la source des fonds doit être lisible. En France, les opérateurs agréés proposant un casino en ligne retrait instantané en France devront encore documenter leurs contrôles en 2026, surtout si des actifs numériques servent à alimenter le solde.
Ce que les lois AML demandent vraiment
Le socle est assez simple. Une plateforme doit connaître le client, repérer une opération étrange et garder des preuves. Rien de mystique.
Aux États-Unis, FinCEN traite les bourses crypto comme des money services businesses. Elles enregistrent leur activité, vérifient l’identité et signalent les mouvements suspects avec un SAR. Dans l’Union européenne, MiCA ajoute des règles de licence, tandis que le paquet AML impose la Travel Rule dès 1 000 euros dans certains cas. Le GAFI, lui, pousse la même logique dans plus de 200 juridictions.
Le détail fait mal. Un compte ouvert avec un passeport volé, une adresse IP au Nigeria et une carte bancaire française ne passe plus inaperçu. Les plateformes croisent listes de sanctions, score de risque, preuve de domicile et historique on-chain. Une erreur coûte cher. En 2023, Binance a accepté un accord américain de 4,3 milliards de dollars pour des manquements AML et sanctions.
L’application sur les plateformes crypto
Les contrôles commencent avant le premier dépôt. La vérification KYC lit la pièce d’identité, compare le visage et bloque les profils trop jeunes ou incohérents. Ce n’est pas glamour. C’est du tri.
Après l’inscription, la surveillance devient plus fine. Chainalysis, TRM Labs ou Elliptic attribuent des étiquettes aux adresses liées à des mixers, des marchés du darknet, des piratages ou des portefeuilles sanctionnés. Si 0,8 bitcoin arrive d’un hack connu, le compte se fige en quelques secondes.
Les retraits aussi parlent. Cinq petits envois vers la même adresse privée, juste sous un seuil interne, créent un motif. Un analyste demande alors des factures, un bulletin de salaire ou le contrat qui explique les fonds. Si la réponse sonne faux, un rapport part au régulateur.
Les grands blocs juridiques ne vont pas au même rythme
L’Europe avance par textes détaillés. MiCA encadre les prestataires, et la nouvelle autorité AMLA, basée à Francfort, surveillera directement certains acteurs à risque. Les règles sont lourdes, mais elles donnent une carte claire.
Les États-Unis fonctionnent davantage par poursuites. Le Trésor, l’OFAC, la SEC, la CFTC et le Department of Justice se partagent le terrain. Résultat: une plateforme peut respecter un point et recevoir une assignation sur un autre. Coinbase le sait. Kraken aussi.
À Singapour, la MAS exige une licence et teste la solidité des contrôles avant d’autoriser l’activité. À Dubaï, VARA impose des manuels de conformité précis. La Suisse demande l’identification du propriétaire réel du portefeuille externe dans plusieurs cas.
Le trou reste ailleurs. Une société immatriculée aux Seychelles, avec serveurs dispersés et dirigeants anonymes, force les enquêteurs à travailler lentement. Parfois trop lentement.
Les sanctions changent le comportement
Une amende ne sert pas seulement à punir. Elle donne un prix au laisser-faire. Après les dossiers BitMEX, Bittrex et Binance, les conseils d’administration ont compris une chose: la conformité n’est plus une ligne décorative dans un budget.
Les plateformes sérieuses bloquent maintenant des pays entiers, même quand la loi locale paraît floue. Elles refusent les clients liés à la Corée du Nord, à l’Iran ou à des entités russes sanctionnées. Elles gardent aussi des journaux techniques: adresse IP, appareil, heure de connexion, empreinte du navigateur.
Cela crée des frictions. Un utilisateur honnête peut attendre deux jours pour retirer 3 000 euros après un changement de téléphone. C’est pénible. Mais ce délai évite parfois qu’un compte volé serve à vider une carte ou à recycler le produit d’une arnaque romantique.
Les failles que les criminels exploitent encore
Les mixers restent le cas le plus visible. Tornado Cash a montré le conflit entre confidentialité et sanctions: du code open source, mais aussi des fonds liés au groupe Lazarus. Les ponts entre blockchains posent le même problème. Un actif passe d’Ethereum à Tron, puis vers une plateforme sans contrôle sérieux.
Les faux comptes d’entreprise coûtent plus cher. Une coquille à Hong Kong déclare vendre des cartes graphiques, reçoit des stablecoins, puis les convertit en euros. Sur le papier, tout semble propre.
Les criminels jouent aussi avec le temps. Ils laissent dormir les fonds six mois, fractionnent les montants, puis testent une petite transaction. Si elle passe, le reste suit. Les enquêteurs doivent donc lire des graphes, pas seulement des formulaires.
Ce que les plateformes devraient corriger demain
Le prochain chantier tient en trois gestes. Mieux partager les alertes entre plateformes, sans exposer les données privées. Former les agents support, car une mauvaise réponse ouvre parfois la porte. Tester les outils avec de vrais cas: rançongiciel, mule étudiante, don suspect. Une règle simple aide déjà: documenter avant de valider.
Commentaires Facebook