Il y a un gros problème avec les transactions Bitcoin du point de vue de l’entreprise dont on ne parle souvent pas. Prenons un exemple : une entreprise paie un fournisseur en BTC à partir d’une adresse de portefeuille réutilisée. En réalité, elle peut aller au-delà de la facture.
En ce moment, pendant que vous lisez ceci, un concurrent peut ouvrir un explorateur de blocs et voir à qui vous avez payé en Bitcoin pour votre dernier contrat — le montant, le moment, et à quel contrepartie. La traçabilité des transactions n’est pas un problème pour ceux qui ont quelque chose à cacher. C’est un risque commercial permanent : les mouvements de trésorerie, les relations avec les partenaires et le flux des transactions sont accessibles à toute personne prête à passer un après-midi à suivre la piste.
Reflexe : supposer que cette exposition commence on-chain, au moment où vous signez une transaction. Non. En juillet 2026, des chercheurs du groupe DistriNet de KU Leuven ont testé 85 des portefeuilles sous forme d’extensions de navigateur les plus populaires et ont constaté que les portefeuilles eux-mêmes fuyaient suffisamment d’informations pour permettre l’identification et le suivi de leurs utilisateurs — avant même qu’une seule transaction ne soit jamais signée.
Le portefeuille interroge un serveur externe pour afficher un solde, et cette demande emporte déjà l’adresse en clair. Aucune faille n’est en cause ; les extensions se comportent exactement comme elles ont été conçues. Sur l’ensemble des 85, cette faiblesse de l’identification à elle seule touche 36 portefeuilles, soit environ 82 % des installations étudiées — le sous-groupe auquel correspond chaque chiffre ultérieur dans cette section.
Et cela vaut même pour les personnes honnêtes. Andy Greenberg a passé une décennie à couvrir avec le plus grand soin la criminalité liée aux cryptos, en racontant les hackers, les revendeurs et les blanchisseurs qui ont utilisé la blockchain comme cachette — tout en observant les enquêteurs les en sortir un à un. Il lui a fallu dix ans pour comprendre à quel point le Bitcoin était en réalité loin d’être intraceable. Le registre censé les protéger était le dossier qui les a condamnés.
La confiance excessive ne va que dans un seul sens — les personnes qui pensent qu’elles ont fait assez pour rester privées sont surtout celles qui n’avaient rien à cacher : un donateur dont toute l’historique de dons est désormais public, un journaliste dont les sources peuvent être déduites d’une piste de paiements, la contrepartie B2B mentionnée au-dessus.
Presque toutes les couches de ce phénomène vous arrivent dessus, pas parce que vous l’avez fait. Le reste de ce papier cartographie l’exposition en détail — et met en évidence le seul lien qui n’a jamais été le vôtre et qu’il fallait écrire.
Ce qui fuit d’un portefeuille au-delà de la transaction elle-même
Un portefeuille crypto peut révéler des informations avant même que vous fassiez une transaction. Pour afficher votre solde, un portefeuille de navigateur contacte généralement des serveurs externes et leur envoie votre adresse de portefeuille. Des chercheurs de KU Leuven ont testé 85 portefeuilles populaires sous forme d’extensions de navigateur, représentant environ 35 millions d’installations depuis le Chrome Web Store. Ils ont constaté que 36 portefeuilles — couvrant environ 82 % des installations étudiées — pouvaient être identifiés et suivis de cette manière.
Dix-sept portefeuilles, couvrant environ 23 millions d’installations, pouvaient aussi exposer des liens entre différentes adresses appartenant au même utilisateur. Dans 22 des 36 portefeuilles concernés, des sites web pouvaient encore lire une adresse même après que l’utilisateur avait révoqué l’accès et redémarré le navigateur.
Il y a un autre problème. Les sites web peuvent souvent détecter quelles extensions de portefeuille quelqu’un a installées, même sans que l’utilisateur connecte un portefeuille. Les chercheurs ont aussi constaté que 23 des 36 portefeuilles concernés pouvaient divulguer une adresse via du contenu chargé depuis un autre site web, sans que l’utilisateur clique sur quoi que ce soit.
La plupart des fournisseurs de portefeuilles contactés par les chercheurs n’ont pas traité cela comme un bug sérieux. Coinbase Wallet, Coin98 et Hana ont effectué des changements, tandis que d’autres, dont MetaMask, Rabby et OKX, ne l’ont pas fait. Les chercheurs ont aussi testé 30 applications décentralisées et ont constaté que seules 11 révoquaient correctement l’accès au portefeuille quand les utilisateurs cliquaient sur « disconnect » (déconnecter) ou se déconnectaient.
Dès qu’une adresse devient visible, la blockchain publique fournit le reste de l’image.
Les sociétés d’analyse de la blockchain cherchent des schémas de transactions qui suggèrent que plusieurs adresses appartiennent à la même personne ou à la même organisation.
Par exemple, si plusieurs portefeuilles envoient à répétition des fonds entre eux ou interagissent de manière similaire, un logiciel peut les regrouper. Une seule adresse connue peut donc conduire les analystes vers plusieurs autres.
Cela se produit à une échelle énorme. À la mi-2026, Chainalysis a déclaré avoir regroupé plus d’un milliard d’adresses de blockchain en plus de 134 000 entités identifiées.
Déplacer des fonds entre blockchains ne casse pas forcément non plus la piste. Les analystes peuvent suivre les actifs via des ponts entre réseaux. Utiliser un échange décentralisé ne cache pas automatiquement la transaction, car les échanges sont toujours enregistrés publiquement sur la blockchain.
Le résultat est assez simple : une adresse de portefeuille peut sembler n’être qu’une suite aléatoire de caractères, mais dès qu’on relie suffisamment d’activités autour, elle peut devenir un profil financier détaillé.
Il existe de vrais exemples où cela fonctionne. Après l’attaque par ransomware du Colonial Pipeline en 2021, des enquêteurs américains ont suivi le Bitcoin à travers plusieurs portefeuilles et récupéré environ 2,3 millions de dollars sur les 4,4 millions de la rançon.
Helix : le mécanisme que l’on ne peut pas tromper en essayant de le cacher
Au début de Bitcoin, Helix était très populaire dans les marchés du dark web. Il a été conçu pour ne faire qu’une chose : rendre le Bitcoin intraceable. Larry Dean Harmon l’a exploité comme un tumbler de 2014 à 2017, en mélangeant les coins de ses clients pour obscurcir l’origine de leurs fonds, et il a commercialisé la sortie comme du « bitcoin propre ». Le modèle entier reposait sur la dissimulation. Rien d’autre que cela n’existait dans le service : briser le lien entre l’origine d’un coin et sa destination.
Environ 354 468 BTC, soit quelque 311 M$ à l’époque, y ont transité. Le mélange a modifié ce à quoi ressemblait la piste, mais ne l’a pas supprimée. Chaque coin a laissé une trace permanente sur la blockchain, une trace qu’on ne pouvait ni altérer ni effacer une fois les faits établis.
Harmon a prélevé une commission de 2,5 % sur chaque échange, et cette commission est allée là où tous les autres coins ont fini : sur la chaîne, de façon permanente. La part qu’il a gardée pour faire tourner un service de dissimulation est devenue la trace qui a mené jusqu’à l’opérateur. Le seul service conçu de toutes pièces pour effacer la piste a inscrit son propriétaire dans la trace qu’il ne pouvait pas effacer.
Comment une piste de portefeuille se rattache à une personne réelle
Helix montre que déplacer du Bitcoin ne supprime pas nécessairement la piste. Mais suivre l’argent n’est qu’une moitié du travail. Les analystes doivent encore relier ces adresses de portefeuille à une personne ou une entreprise réelle.
Cela arrive généralement lorsque des fonds touchent une plateforme d’échange réglementée. Les échanges savent quelles adresses de dépôt appartiennent à leurs clients et conservent des registres d’identité grâce à des vérifications KYC. Si des enquêteurs retracent le Bitcoin jusqu’à l’une de ces adresses, ils peuvent demander les informations du compte via une procédure judiciaire.
Cette seule connexion peut révéler bien plus qu’une transaction. Si l’analyse de la blockchain a déjà relié plusieurs adresses à l’hypothèse qu’elles appartiennent au même propriétaire, identifier l’une d’elles peut attribuer un nom à tout le groupe. L’échange ne connaît peut-être que l’adresse qui a touché sa plateforme, mais l’analyse antérieure peut la relier au reste.
Parfois, aucune demande judiciaire n’est nécessaire. Des personnes et des entreprises publient régulièrement elles-mêmes des adresses de portefeuille — sur des sites web, des pages de dons, dans des discussions Telegram ou dans des profils publics. Une fois qu’une adresse est explicitement reliée à un nom, ses transactions passées sont également visibles.
Pour les entreprises, cela crée un problème de confidentialité de base. Un paiement à un fournisseur peut révéler des paiements antérieurs, des mouvements de trésorerie et d’autres contreparties. Comme les transactions blockchain sont permanentes et horodatées, un seul portefeuille identifié peut rendre plus facile la reconstitution de plusieurs années d’activité.
Où l’analyse de la blockchain peut se tromper
Cela ne signifie pas pour autant que l’analyse de blockchain est toujours correcte.
Les systèmes utilisés pour relier des portefeuilles reposent fortement sur des schémas et des probabilités. Ils peuvent produire des faux positifs et des faux négatifs : une activité innocente peut être signalée, tandis qu’une activité suspecte peut être manquée.
Un problème, c’est l’historique des transactions. Le Bitcoin peut passer par beaucoup de propriétaires. Si des coins ont été précédemment mélangés via un mixer ou associés à un portefeuille jugé risqué, un propriétaire ultérieur peut hériter de la suspicion malgré le fait qu’il n’ait rien à voir avec l’activité antérieure.
Un acheteur P2P documenté a vu son compte gelé parce que le Bitcoin qu’il avait reçu avait transité par un mélangeur avant qu’il ne le possède.
Pour les échanges et autres entreprises réglementées, ces erreurs ont des coûts concrets. Une fausse alerte peut geler les fonds d’un client légitime et créer un problème de conformité et de support.
Il existe aussi des limites à ce que les sociétés de traçage peuvent voir. Les cryptomonnaies centrées sur la confidentialité, comme Monero, restent beaucoup plus difficiles à suivre. Les enquêtes peuvent aussi s’arrêter quand les fonds arrivent sur des échanges dans des juridictions qui refusent de coopérer.
Même les plus grandes entreprises d’analyse de blockchain ont dû faire de grosses corrections. Au début de 2025, Chainalysis a réduit son estimation du crypto volé par la Corée du Nord l’année précédente, de 1 milliard de dollars à 660,5 millions — une correction de plus de 300 millions après réévaluation de plusieurs piratages.
La fiabilité de ces systèmes a aussi été contestée devant les tribunaux. Dans des affaires incluant Bitcoin Fog et Tornado Cash, des équipes de défense ont remis en question le poids qu’il fallait accorder à l’analyse produite par un logiciel propriétaire que des tiers ne peuvent pas inspecter entièrement.
Cet examen compte aussi parce que Chainalysis est également un important prestataire du gouvernement américain. Un reportage indépendant fondé sur des documents fédéraux a révélé qu’elle avait reçu plus de 93,2 millions de dollars en subventions gouvernementales.
Le plus grand risque d’un résultat erroné retombe sur des utilisateurs innocents. Un lien incorrect peut geler un compte. Dans des pays où les protections sont plus faibles, les mêmes outils de traçage peuvent exposer des donateurs, des journalistes ou des personnes finançant une opposition politique. Le traçage de blockchain peut révéler beaucoup, mais le résultat ne devrait jamais être considéré comme automatiquement correct.
La seule partie de la piste que les utilisateurs peuvent encore contrôler
La plupart des expositions décrites plus haut se produisent en dehors du contrôle de l’utilisateur. Les portefeuilles peuvent fuir des adresses avant même qu’une transaction ne soit effectuée. L’analyse de blockchain peut relier plusieurs adresses, et les échanges réglementés peuvent relier ces portefeuilles à une identité réelle via des registres KYC.
La partie que les utilisateurs peuvent encore contrôler, c’est le lien direct entre l’expéditeur et le destinataire. Quand un portefeuille paie un autre, cette connexion est inscrite de façon permanente sur la chaîne, et peut plus tard révéler des contreparties, des mouvements de trésorerie et des relations commerciales.
ChangeNOW a introduit Private Transfers pour supprimer cette connexion directe. La fonctionnalité fait transiter un paiement via une adresse séparée à usage unique, de sorte que le destinataire ne reçoit pas directement les fonds de l’expéditeur. Elle rompt le chemin visible expéditeur-destinataire sans prétendre rendre la transaction plus large anonyme.
Il reste toutefois d’autres risques. Les métadonnées du portefeuille peuvent encore fuiter, l’analyse de la blockchain peut encore suivre l’activité autour, et les contrôles AML restent applicables aux étapes de dépôt, de transfert et de versement.
Pour les partenaires API, Private Transfers est une fonctionnalité optionnelle au sein de l’infrastructure de transfert existante. Elle utilise la même clé API et le même modèle de frais, et ne nécessite pas de produit ou d’intégration distinct. Son objectif est plus limité : supprimer le seul lien visible que les utilisateurs peuvent réellement choisir de ne pas créer.
Conclusion
Revenons à l’origine. Andy Greenberg a passé des années à croire que la blockchain cachait les personnes qui l’utilisaient, et il est arrivé à l’inverse : « il m’a fallu une décennie pour réaliser à quel point le Bitcoin “intraceable” était en réalité loin de l’être. » C’est le terrain sur lequel tout cet article repose. L’intraceabilité, en tant que propriété totale, n’existe pas. Les fuites du portefeuille, les enregistrements de la chaîne, et le regroupement finissent par se traduire par un nom.
Voilà la position qu’il vaut la peine d’avoir en tant que partenaire. Pas l’anonymat — que, selon les monnaies retracées, une décennie de coins identifiés transforme en récit plutôt qu’en propriété — mais une description claire de la couche qui se ferme et de celle qui reste ouverte. Private Transfers supprime le seul lien que l’utilisateur pouvait créer.