Lutte contre le blanchiment : collecter plus pour protéger moins ?

Une note de recherche de l'INBI sur le cadre européen anti-blanchiment

Dans une récente note de recherche, l'Institut National du Bitcoin (l'INBI) questionne la nécessité et la proportionnalité des collectes d'identités requises par le cadre européen anti-blanchiment.

Le rapport de l'INBI nous propose un éclairage inédit sur le lien entre les collectes d'identité qui s'agrègent dans des bases de données et la multiplication des attaques à l'encontre des détenteurs de cryptos.

Nous vous proposons une synthèse de ce rapport qui documente 8 éléments convergents que nous avons réunis en 6 catégories, pour avoir une compréhension globale de la situation.

🇪🇺 Le savez-vous ? - DAC8 et CARF : Ce que le fisc et les États savent vraiment de vos cryptos

1. La France concentre les agressions à l'encontre des détenteurs de cryptomonnaies

Depuis janvier 2025, la France enregistre un volume préoccupant de cas d'enlèvements et de séquestrations de détenteurs de cryptomonnaies. Les données de CertiK montrent que la France a enregistré 19 incidents vérifiés sur 72 recensés dans le monde.

Cette tendance s'est aggravée en 2026 puisque selon le tracker public de Jameson Lopp, depuis le début de l'année, la France concentre les deux tiers des attaques recensées.

Pour appuyer le lien entre les fuites de données et le ciblage, l'INBI cite 2 exemples :

• L'affaire Ghalia C. dans laquelle une agente des impôts est accusée d'avoir utilisé ses accès fiscaux pour rechercher des cibles.
• L'affaire Waltio lors de laquelle ce prestataire certifié a été victime d'une fuite de données.

Cela montre que la création d'un réservoir de données unique crée une cible privilégiée en raison de sa forte valeur ajoutée. Cela permet en effet aux assaillants de disposer d'informations précises : l'association d'identités civiles à des actifs de valeur physiquement localisés.

Recevez 20 USDC + 20 € en BTC pour un dépôt de 100 € sur Bybit EU

2. Les dégâts des fuites de données sont irréversibles

Afin d'appuyer ce point, le rapport s'appuie sur la violation de la base de données de Ledger en juin 2020. Ledger a annoncé l'exposition de près d'un million de courriels et 9 532 enregistrements détaillés. En décembre 2020, l'auteur de ce vol a revendiqué 272 000 enregistrements détaillés (noms, adresses postales et numéros de téléphones).

Ces informations permettent de supposer qu'une adresse de livraison revêt de fortes chances d'héberger un détenteur de cryptos.

Aujourd'hui, 5 ans après le délit, les données de Ledger continuent d'alimenter des campagnes de phishing. En effet, le seul moyen pour une victime de rendre ces informations inutiles est de changer de domicile.

Il est par ailleurs intéressant de noter qu'en 2025, 443 violations de données ont été rapportées chaque jour en Europe. C'est l'équivalent d'une atteinte signalée toutes les 3 à 4 minutes.

Le temps constitue ainsi un multiplicateur exponentiel de la surface d'attaque, permettant de recouper l'accumulation de données pour leur donner une signification plus riche.

☹️ Fuites de données en France - Les investisseurs sont-ils en danger ?

3. Les bénéfices inconnus des politiques anti-blanchiment

Sur ce point, la note de l'INBI cite les travaux de Ronald F. Pol selon lesquels le dispositif mondial anti-blanchiment n'intercepterait que moins de 0.1 % des flux financiers criminels.

Malgré la difficulté pour valider ces estimations, le 11 mars 2026, la Cour des comptes néerlandaise a publié un audit dans lequel les conclusions convergent avec les travaux de Ronald F. Pol.

Ce rapport montre que le coût de conformité est faramineux et que le nombre de signalements augmente, mais aucune institution nationale ne peut évaluer les résultats des mesures anti-blanchiments.

4. Des politiques anti-blanchiments manifestement disproportionnées

Selon le rapport 2025 de Chainalysis (données de 2024), seulement 0.14 % du volume on-chain est attribué à des adresses illicites identifiées. Sur l'année suivante, le volume est multiplié par 4 mais la part illicite reste inférieure à 1 % du volume total.

Il faut préciser que ces estimations sont des bornes basses précise le rapport. Il est difficile de discerner les activités licites de celles qui ne le sont pas. Il convient seulement de noter que l'ordre de grandeur montre que l'activité illicite représente un phénomène minoritaire.

Or, les collectes de données concernent actuellement toute personne sans suspicion d'infraction. Cela porte ainsi atteinte au droit à l'auto-détermination des détenteurs de cryptomonnaies.

Le point 3 et 4 montre ainsi une discordance avec certains de nos principes fondamentaux. Ces mesures s'inscrivent dans le cadre de la limitation des libertés d'un individu (droit à la vie privée et à la protection des données personnelles), selon la Charte des Droits Fondamentaux de l'UE et la Cour Européenne des Droits de l'Homme.

Ces 2 textes fondateurs exigent que l'atteinte aux libertés fondamentales doit non seulement être proportionnelle ou minimisée dans leur impact, mais que le besoin d'en connaître doit également être démontré.

🇫🇷 Dans l'actualité - La France annonce un « plan d’action crypto » pour protéger les détenteurs de cryptomonnaies

5. Formalisation du principe de proportionnalité par le GAFI

Le Groupe d'Action Financière (GAFI), fixe des recommandations pour les États de l'Union. Depuis février 2025, ce dernier a formalisé la proportionnalité comme principe dans le cadre de la lutte contre le blanchiment.

Ce dernier reconnaît par ailleurs qu'il n'est pas envisageable d'exclure systématiquement une catégorie de clients et que le risque doit être évalué au cas par cas.

Ainsi, pour justifier une collecte systématique des portefeuilles auto-hébergés (comme c'est le cas en France depuis avril 2026), l'autorité nationale réglementaire doit démontrer en quoi cette mesure est proportionnée au risque et expliquer pourquoi des moyens moins intrusifs sont insuffisants.

6. Une architecture d'incitations à la sur-collecte de données

Le régime actuel de contrôle impose aux prestataires de services sur cryptomonnaies de prendre des mesures adéquates pour apprécier la légitimité de leurs clients.

En imposant ces contrôles et procédures, l'autorité transfère une part de son évaluation opérationnelle des risques à des acteurs privés.

Il faut également noter que le coût d'une sous-évaluation de la part de cet acteur privé emporte de graves conséquences : sanction ou risque réputationnel. Alors qu'une sur-évaluation entraîne des coûts diffus et imputés à l'utilisateur : administratif, délais, refus de service, fuite de données...

Cette dynamique crée un cadre dans lequel la charge qui pèse sur les épaules des prestataires de services incite ces derniers à collecter plus de données « au cas ou ». Cela va donc à l'encontre du principe de proportionnalité et de minimisation du Règlement Européen sur la Protection des Données (RGPD).

Conclusion

Ainsi, l'activité illicite recensée sur les plateformes d'échange de cryptomonnaies apparaît comme un ordre de grandeur minoritaire. Par ailleurs, les politiques de lutte contre le blanchiment emportent avec elles des bénéfices inconnus et impliquent des atteintes disproportionnées aux libertés individuelles.

Cette absence de justification du principe de proportionnalité et de minimisation dans la collecte des données d'identification de l'utilisateur permet la création d'un réservoir de données à forte valeur ajoutée.

À la lumière des fuites de données récentes, le risque d'une mauvaise protection de ces bases de données constitue un risque trop élevé à la lumière du caractère irréversible et des atteintes à la sûreté physique des détenteurs de cryptos.

L'INBI souhaite pousser ces éléments aussi bien au niveau national qu'européen pour intégrer cette réflexion dans la mise en place d'un cadre réglementaire plus respectueux du consommateur européen et français.

Découvrir les portefeuilles Trezor pour sécuriser vos cryptos

Source : Note de recherche de l'INBI

Cyber-enthousiaste depuis toujours, j'ai nourri ma curiosité et ma passion avec le temps… est-ce que ça aurait dû être l'inverse ? Maximaliste convaincu, j'aurais pu faire partie des cypherpunks si j'étais né quelques années avant. Convaincu que l'information et la connaissance sont les armes ultimes de la liberté, je brandis ma plume comme une épée, défendant cette noble cause avec ferveur. Ne me croyez pas sur parole, vérifiez 🐰

Rabbitcoin

167 articles

Tous ses articles