Suivre le BTC de la rançon : tracer les pièces jusqu'à un wallet d'échange identifié
Le défi
Une victime a payé une rançon à une adresse Bitcoin et vous voulez savoir où l'attaquant a encaissé. Ouvrez les sources et corrélez-les : la note de rançon contient l'adresse de paiement, un explorateur de blocs trace les pièces sur deux sauts, et une étiquette d'analyse de chaîne nomme la destination finale. Nommez la plateforme d'échange où les fonds ont atterri et soumettez-la.
Ce que tu vas apprendre
- Lire une adresse de paiement dans une note de rançon
- Suivre une trace Bitcoin sur plusieurs sauts via un explorateur de blocs
- Reconnaître une adresse de dépôt comme la fin de la trace on-chain
- Utiliser une étiquette de cluster d'analyse de chaîne pour attribuer une adresse à une plateforme d'échange
- Comprendre que le Bitcoin est pseudonyme, pas anonyme
Compétences testées
Prérequis
- Compréhension de base des adresses et transactions Bitcoin
- Connaissance de ce qu'est une adresse de dépôt sur une plateforme d'échange
Comment ça marche
Chaque transaction Bitcoin est publique, donc un paiement n'est pas la fin de l'histoire, c'est le début d'une trace. Les enquêteurs suivent le flux des pièces d'une adresse à l'autre, et l'objectif dans une affaire de ransomware est d'atteindre le point où l'attaquant convertit la crypto en liquide. Cela signifie presque toujours une adresse de dépôt sur une plateforme d'échange centralisée, car c'est là que les pièces rencontrent une identité grâce au KYC.
La note de rançon ne contient ici que l'adresse de paiement de l'attaquant, bc1qr4ns0m.... La trace de l'explorateur de blocs fait le gros du travail : les 0.50 BTC passent par un saut intermédiaire et atterrissent sur 1DepositHotWallet000exchange0addr3, que l'explorateur signale comme adresse de dépôt. Savoir qu'il s'agit d'une adresse de dépôt ne suffit pas, il faut savoir à qui elle appartient. L'étiquette d'analyse de chaîne apporte cette information : la destination fait partie d'un cluster connu étiqueté Binance hot wallet (customer deposits) avec une confiance élevée, car cette adresse a été réutilisée pour des milliers de dépôts. Le post de forum où l'attaquant se vante d'avoir fait passer les fonds par un mixeur vers un compte d'échange corrobore ce chemin.
Le tableau OSINT présente chaque élément sous forme de carte. Aucune carte ne nomme la plateforme d'échange à elle seule : la note donne une adresse, l'explorateur donne une destination, l'étiquette donne l'attribution. Elles convergent toutes vers Binance.
Erreurs fréquentes
- Soumettre une adresse Bitcoin. La question demande la plateforme d'échange, pas l'adresse de dépôt sur laquelle les fonds ont atterri.
- S'arrêter à l'adresse de dépôt. Savoir qu'il s'agit d'une adresse de dépôt ne suffit pas, l'étiquette de cluster indique à quelle plateforme elle appartient.
- Ignorer les sauts. Les fonds passent par une adresse intermédiaire avant d'atteindre la plateforme d'échange ; suivez la trace complète.
- Se fier uniquement au post de forum. Le post corrobore mais ne nomme pas la plateforme, c'est l'étiquette on-chain qui le fait.
Comment s'en protéger
Pour les enquêteurs et les défenseurs, le registre public est un avantage : les fonds de la rançon peuvent être tracés et le point d'encaissement signalé à la plateforme d'échange pour un gel de compte et un suivi par les forces de l'ordre. La même transparence qui permet aux attaquants de déplacer l'argent permet de les suivre.
- Signalez l'adresse de dépôt tracée et la plateforme d'échange pour permettre un gel de compte et une réquisition KYC.
- Utilisez des outils d'analyse de chaîne réputés pour regrouper les adresses et attribuer les wallets.
- Conservez le graphe complet des transactions comme preuve, y compris les sauts intermédiaires.
- Ne présumez jamais qu'un mixeur casse totalement la trace, de nombreux flux restent traçables jusqu'à une plateforme d'échange identifiée.