Vos paiements en Bitcoin peuvent révéler plus que vous ne le voudriez
Du point de vue des entreprises, les transactions en Bitcoin présentent un problème majeur dont on parle rarement. Imaginons qu’une entreprise paie un fournisseur en BTC depuis une adresse de portefeuille réutilisée. Il est alors possible de voir bien plus que la facture.
En ce moment même, pendant que vous lisez ces lignes, un concurrent peut ouvrir un explorateur de blocs et voir à qui vous avez payé des bitcoins lors de votre dernière opération — combien, quand et à quelle contrepartie. Le traçage des transactions n’est pas un problème réservé aux personnes qui ont quelque chose à cacher. C’est un risque commercial permanent : les mouvements de trésorerie, les relations avec les partenaires et le flux des affaires sont accessibles à quiconque est prêt à consacrer un après-midi à remonter la piste.
On a tendance à supposer que cette exposition commence sur la blockchain, au moment où l’on signe une transaction. Ce n’est pas le cas. En juillet 2026, des chercheurs du groupe DistriNet de la KU Leuven ont testé 85 des portefeuilles sous forme d’extensions de navigateur les plus populaires et découvert que ces portefeuilles divulguent suffisamment d’informations pour identifier leurs utilisateurs et suivre leurs activités — avant même qu’une seule transaction soit signée.
Le portefeuille interroge un serveur externe pour afficher le solde, et cette requête transmet déjà l’adresse en clair. Aucune exploitation de faille n’est nécessaire ; les extensions fonctionnent exactement comme elles ont été conçues. Sur les 85 portefeuilles, la seule faiblesse liée à l’empreinte numérique concerne 36 d’entre eux, qui représentent environ 82 % des installations étudiées — c’est par rapport à ce sous-groupe que sont calculés tous les chiffres qui suivent dans cette section.
Et cela vaut même pour les honnêtes gens. Pendant dix ans, Andy Greenberg a été le chroniqueur le plus minutieux des crimes liés aux cryptomonnaies. Il a couvert les pirates informatiques, les revendeurs et les blanchisseurs qui considéraient la blockchain comme une cachette — et observé les enquêteurs les en déloger un à un. Il lui a fallu dix ans pour comprendre à quel point le bitcoin était loin d’être intraçable. Le registre censé les protéger était celui qui les a fait condamner.
La fausse confiance ne va que dans un sens : ceux qui pensent en avoir fait assez pour préserver leur vie privée sont généralement les seuls à n’avoir rien à cacher. Par exemple, un donateur dont l’historique complet des dons est désormais public, un journaliste dont les sources peuvent être déduites de la trace des paiements, ou la contrepartie B2B mentionnée plus haut.
Presque toutes les étapes de ce processus vous arrivent, plutôt que d’être causées par vous. Le reste de cet article détaille l’exposition dans son ensemble — et indique le seul maillon que vous avez jamais pu écrire vous-même.
Ce qu’un portefeuille révèle au-delà de la transaction elle-même
Un portefeuille crypto peut révéler des informations avant même que vous n’effectuiez une transaction. Pour afficher votre solde, un portefeuille de navigateur contacte généralement des serveurs externes et leur transmet l’adresse de votre portefeuille. Des chercheurs de la KU Leuven ont testé 85 portefeuilles populaires sous forme d’extensions de navigateur, représentant environ 35 millions d’installations depuis le Chrome Web Store. Ils ont découvert que 36 portefeuilles — couvrant environ 82 % des installations étudiées — pouvaient être identifiés et suivis de cette façon.
Dix-sept portefeuilles, représentant environ 23 millions d’installations, pourraient également révéler des liens entre différentes adresses appartenant au même utilisateur. Dans 22 des 36 portefeuilles concernés, les sites web pouvaient encore lire une adresse même après que l’utilisateur avait révoqué l’accès et redémarré le navigateur.
Il existe un autre problème. Les sites web peuvent souvent détecter les extensions de portefeuille installées par une personne sans que celle-ci connecte un portefeuille. Les chercheurs ont également découvert que 23 des 36 portefeuilles concernés pouvaient divulguer une adresse par l’intermédiaire de contenu chargé depuis un autre site web, sans que l’utilisateur ait à cliquer sur quoi que ce soit.
La plupart des fournisseurs de portefeuilles contactés par les chercheurs n’ont pas considéré qu’il s’agissait d’un problème grave. Coinbase Wallet, Coin98 et Hana ont apporté des modifications, contrairement à d’autres, dont MetaMask, Rabby et OKX. Les chercheurs ont également testé 30 applications décentralisées et constaté que seules 11 révoquaient correctement l’accès au portefeuille lorsque les utilisateurs cliquaient sur « déconnecter » ou se déconnectaient de leur compte.
Dès qu’une adresse devient visible, la blockchain publique fournit le reste du tableau.
Les sociétés d’analyse de la blockchain recherchent des schémas de transactions qui laissent penser que plusieurs adresses appartiennent à la même personne ou organisation.
Par exemple, si plusieurs portefeuilles s’envoient régulièrement des fonds ou interagissent de façon similaire, un logiciel peut les regrouper. Une adresse connue peut donc mener les analystes à en découvrir plusieurs autres.
Ce phénomène se produit à très grande échelle. À la mi-2026, Chainalysis déclarait avoir regroupé plus d’un milliard d’adresses blockchain en plus de 134 000 entités identifiées.
Transférer des fonds entre différentes blockchains ne rompt pas nécessairement la traçabilité. Les analystes peuvent suivre les actifs à travers les ponts entre réseaux. Utiliser une plateforme d’échange décentralisée ne permet pas automatiquement de dissimuler une transaction, car les échanges sont toujours enregistrés publiquement sur la blockchain.
Le constat est assez simple : une adresse de portefeuille peut ressembler à une suite de caractères aléatoires, mais dès qu’on parvient à relier suffisamment d’activités à cette adresse, elle peut révéler un profil financier détaillé.
Des exemples concrets montrent que cela fonctionne. Après l’attaque par rançongiciel contre Colonial Pipeline en 2021, les enquêteurs américains ont suivi des bitcoins à travers plusieurs portefeuilles et récupéré environ 2,3 millions de dollars sur la rançon de 4,4 millions de dollars.
Helix : le mécanisme qu’on ne peut pas tromper en essayant de se cacher
Au début de l’histoire du bitcoin, Helix était très populaire sur les marchés du darknet. Le service avait un seul objectif : rendre le bitcoin intraçable. Larry Dean Harmon l’a exploité comme service de mélange de 2014 à 2017, en mélangeant les pièces de ses clients pour masquer la provenance de leurs fonds et en présentant les bitcoins obtenus comme « propres ». Tout le modèle reposait sur la dissimulation. Le service n’avait pas d’autre raison d’être que de rompre le lien entre l’origine d’une pièce et sa destination.
Environ 354 468 BTC, soit quelque 311 millions de dollars à l’époque, y ont transité. Le mélange modifiait l’apparence de la piste, mais ne la supprimait pas. Chaque pièce laissait toujours une trace permanente sur la blockchain, impossible à modifier ou à effacer a posteriori.
Harmon prélevait une commission de 2,5 % sur chaque échange, et cette commission suivait le même chemin que toutes les autres pièces : elle était inscrite sur la blockchain, de façon permanente. La part qu’il prélevait pour faire fonctionner un service de dissimulation est devenue la trace qui a permis de remonter jusqu’à son exploitant. Le seul service conçu de toutes pièces pour effacer les traces a inscrit son propriétaire dans celles qu’il ne pouvait pas effacer.
Comment les traces d’un portefeuille sont reliées à une personne réelle
Helix montre que déplacer des bitcoins ne suffit pas nécessairement à effacer les traces. Mais suivre l’argent ne représente que la moitié du travail. Les analystes doivent encore relier ces adresses de portefeuille à une personne ou à une entreprise réelle.
Cela se produit généralement lorsque les fonds transitent par une plateforme d’échange réglementée. Les plateformes savent quelles adresses de dépôt appartiennent à leurs clients et conservent leurs données d’identité dans le cadre des contrôles KYC. Si les enquêteurs remontent jusqu’à l’une de ces adresses, ils peuvent demander les informations sur le compte par voie légale.
Ce seul lien peut révéler bien plus qu’une transaction. Si l’analyse de la blockchain a déjà établi que plusieurs adresses appartiennent probablement au même propriétaire, identifier l’une d’elles peut permettre de mettre un nom sur l’ensemble. La plateforme ne connaît peut-être que l’adresse qui a transité par ses services, mais l’analyse précédente peut la relier aux autres.
Parfois, aucune demande légale n’est nécessaire. Les particuliers et les entreprises publient régulièrement eux-mêmes leurs adresses de portefeuille — sur des sites web, des pages de dons, des discussions Telegram ou des profils publics. Dès qu’une adresse est publiquement associée à un nom, ses transactions passées sont également visibles.
Pour les entreprises, cela crée un problème fondamental de confidentialité. Le paiement d’un fournisseur peut révéler des paiements antérieurs, des mouvements de trésorerie et d’autres contreparties. Comme les transactions sur la blockchain sont permanentes et horodatées, l’identification d’un portefeuille peut faciliter la reconstitution de plusieurs années d’activité.
Les limites du traçage sur la blockchain
Cela ne signifie pas pour autant que l’analyse de la blockchain est toujours fiable.
Les systèmes utilisés pour relier les portefeuilles reposent largement sur des schémas et des probabilités. Ils peuvent générer des faux positifs et des faux négatifs : des activités innocentes peuvent être signalées, tandis que des activités suspectes peuvent passer inaperçues.
L’historique des transactions pose notamment problème. Les bitcoins peuvent passer entre les mains de nombreux propriétaires. Si des pièces ont transité auparavant par un mixeur ou un portefeuille considéré comme risqué, un propriétaire ultérieur peut hériter de ces soupçons, même s’il n’a rien à voir avec les activités antérieures.
Un acheteur P2P dont le cas a été documenté a vu son compte gelé parce que les bitcoins qu’il avait reçus étaient passés par un mixeur avant qu’il en devienne propriétaire.
Pour les plateformes d’échange et les autres entreprises réglementées, ces erreurs ont des conséquences concrètes. Une fausse alerte peut entraîner le gel des fonds d’un client légitime et créer des problèmes de conformité et d’assistance.
Les sociétés de traçage ont également une visibilité limitée. Les cryptomonnaies axées sur la confidentialité, comme Monero, restent beaucoup plus difficiles à suivre. Les enquêtes peuvent aussi s’arrêter lorsque les fonds arrivent sur des plateformes d’échange situées dans des juridictions qui refusent de coopérer.
Même les plus grandes entreprises d’analyse de la blockchain ont dû procéder à d’importantes corrections. Début 2025, Chainalysis a revu à la baisse son estimation des cryptomonnaies dérobées par la Corée du Nord au cours de l’année précédente, la faisant passer de 1 milliard à 660,5 millions de dollars — soit une correction de plus de 300 millions après la réévaluation de plusieurs piratages.
La fiabilité de ces systèmes a également été remise en question devant les tribunaux. Dans des affaires comme celles de Bitcoin Fog et de Tornado Cash, les équipes de la défense ont contesté le poids à accorder aux analyses produites par des logiciels propriétaires que les personnes extérieures ne peuvent pas examiner pleinement.
Cette surveillance est importante, car Chainalysis est également un important prestataire du gouvernement américain. Selon des informations indépendantes fondées sur des documents fédéraux, l’entreprise a reçu plus de 93,2 millions de dollars de marchés publics.
Les utilisateurs innocents sont les premiers exposés aux conséquences d’un résultat erroné. Un lien établi à tort peut entraîner le gel d’un compte. Dans les pays où les protections sont plus faibles, ces mêmes outils de traçage peuvent exposer des donateurs, des journalistes ou des personnes qui financent l’opposition politique. Le traçage de la blockchain peut révéler beaucoup de choses, mais ses résultats ne doivent jamais être considérés comme automatiquement exacts.
La seule partie du parcours que les utilisateurs peuvent encore contrôler
La plupart des risques d’exposition décrits ci-dessus échappent au contrôle de l’utilisateur. Les portefeuilles peuvent divulguer des adresses avant même qu’une transaction soit effectuée. L’analyse de la blockchain peut relier plusieurs adresses, et les plateformes d’échange réglementées peuvent associer ces portefeuilles à une identité réelle grâce aux données recueillies dans le cadre des procédures KYC.
La partie que les utilisateurs peuvent encore contrôler est le lien direct entre l’expéditeur et le destinataire. Lorsqu’un portefeuille en paie un autre, cette relation est inscrite de manière permanente sur la chaîne et peut ensuite révéler les contreparties, les mouvements de trésorerie et les relations commerciales.
ChangeNOW a lancé les Transferts privés pour supprimer ce lien direct. Cette fonctionnalité achemine un paiement via une adresse distincte à usage unique, de sorte que le destinataire ne reçoit pas directement les fonds de l’expéditeur. Elle rompt le lien visible entre l’expéditeur et le destinataire sans prétendre rendre anonyme l’ensemble de la transaction.
D’autres risques d’exposition subsistent. Les métadonnées du portefeuille peuvent toujours être divulguées, l’analyse de la blockchain peut toujours permettre de suivre les activités connexes, et les contrôles de lutte contre le blanchiment d’argent s’appliquent toujours aux étapes du dépôt, du transfert et du versement.
Pour les partenaires API, les Transferts privés sont une fonctionnalité facultative intégrée à l’infrastructure de transfert existante. Elle utilise la même clé API et le même modèle tarifaire, et ne nécessite ni produit ni intégration distincts. Son objectif est plus ciblé : supprimer le seul lien visible que les utilisateurs peuvent réellement choisir de ne pas créer.
Source : BeInCrypto