Cette adresse crypto est-elle sûre ? Comment la vérifier

Le 21 février 2025, des pirates ont vidé environ 1,5 milliard de dollars en Ethereum de la plateforme d'échange Bybit, le plus grand vol de cryptomonnaies jamais enregistré. Le FBI l'a attribué au groupe Lazarus de Corée du Nord en quelques jours, et a publié 51 adresses Ethereum liées au blanchiment. L'argent volé a circulé vite : en 48 heures, une grande partie avait déjà été lavée à travers des portefeuilles fraîchement créés et convertie d'une chaîne à l'autre. Chacune de ces adresses de destination ressemblait, au premier coup d'œil, à un portefeuille tout à fait normal : une suite de caractères, sans nom, sans historique que vous remarqueriez à moins d'aller chercher.

C'est là tout le problème des adresses crypto. Elles n'arrivent pas avec une réputation attachée. Le portefeuille d'un mixeur sous sanctions et celui de votre nouveau client, ce sont les mêmes 42 caractères hexadécimaux. Si vous envoyez de l'argent au mauvais, ou si vous acceptez un paiement qui remonte à un mixeur ou à un cluster de fonds volés, vous ne pouvez pas le récupérer. Alors avant que l'argent bouge, ça vaut le coup de vraiment regarder. Voici comment je m'y prends, ce qui est gratuit, et là où un outil gagne sa place.

Commencez par les signaux d'alerte qui comptent vraiment

Tous les portefeuilles « inconnus » ne sont pas dangereux. La plupart sont simplement nouveaux. Les signaux qui méritent votre attention sont précis.

Correspondances avec les sanctions. C'est celui qui a des dents juridiques. L'OFAC du Trésor américain publie une liste de ressortissants spécialement désignés (Specially Designated Nationals), et depuis 2018 cette liste inclut des adresses crypto précises. Prenez Sinbad, un mixeur de Bitcoin qui a blanchi de l'argent pour le groupe Lazarus, y compris une partie des 100 millions de dollars volés aux utilisateurs d'Atomic Wallet en juin 2023. L'OFAC l'a sanctionné le 29 novembre 2023, avec des adresses nommées sur la liste SDN, et le FBI ainsi que le FIOD néerlandais ont saisi son site le jour même. Si une adresse figure sur cette liste, y toucher n'est pas un jugement de risque. C'est une violation de conformité, et l'OFAC l'applique sur la base d'une responsabilité stricte, ce qui signifie que l'intention ne vous sauve pas.

Exposition aux mixeurs. Les mixeurs regroupent les fonds de nombreux utilisateurs pour brouiller la piste. Tornado Cash est le plus célèbre. Son histoire s'est compliquée : l'OFAC l'a sanctionné en août 2022, la cour d'appel du cinquième circuit a jugé en novembre 2024 que le Trésor avait outrepassé ses pouvoirs en sanctionnant des contrats intelligents immuables, et l'OFAC l'a formellement retiré de la liste le 21 mars 2025. Le protocole lui-même n'est donc plus sous sanctions. Mais l'argent qui sort directement d'un mixeur reste un signal d'alarme pour toute plateforme d'échange et toute contrepartie, parce que vous ne pouvez pas voir où il se trouvait avant. Et la levée des sanctions n'a pas blanchi les personnes : le 6 août 2025, un jury a reconnu le cofondateur Roman Storm coupable de complot en vue d'exploiter une activité de transmission d'argent sans licence. Retiré de la liste ne veut pas dire propre.

Portefeuilles jetables fraîchement approvisionnés. Un portefeuille créé hier, approvisionné une seule fois, sans autre historique, qui vous demande d'envoyer en premier : c'est le plus vieux schéma du monde. Les blanchisseurs en fabriquent par milliers. En soi, ce n'est la preuve de rien, mais combiné à une pression pour aller vite, cela devrait vous arrêter.

Adresses connues d'arnaques et de drainers. Les drainers de portefeuille, ces contrats malveillants qui vident un portefeuille dès que vous les approuvez, ont pris environ 494 millions de dollars à quelque 332 000 adresses en 2024, selon Scam Sniffer. Globalement, les revenus d'arnaques on-chain ont atteint au moins 14 milliards de dollars en 2025, et Chainalysis s'attend à ce que ce chiffre dépasse les 17 milliards à mesure que davantage d'adresses seront identifiées. Beaucoup de ces portefeuilles sont déjà étiquetés. Il suffit de vérifier.

Les vérifications gratuites que tout le monde peut faire

On peut aller étonnamment loin sans rien payer.

• Un explorateur de blocs. Pour Ethereum et la plupart des chaînes EVM, Etherscan est la référence ; Bitcoin a Blockstream et Mempool.space ; Solana a Solscan. Collez l'adresse et lisez. Quel âge a-t-elle ? Combien de transactions ? Le solde et les flux ressemblent-ils à ceux d'une vraie personne ou à un simple point de passage ? Etherscan et ses homologues appliquent aussi des étiquettes publiques. Les adresses prises dans des arnaques reçoivent une étiquette bien visible « Fake_Phishing » directement sur la page, plus des avertissements sur les contrats connus comme malveillants. Si vous voyez cette bannière, c'est réglé. Passez votre chemin.
• La liste SDN de l'OFAC. Elle est consultable gratuitement sur sanctionssearch.ofac.treas.gov, et elle inclut des adresses crypto. Pour une vérification ponctuelle avant un gros paiement, ça prend une minute.
• Les sites d'étiquetage communautaire. Chainabuse et d'autres bases de signalements d'arnaques vous permettent de rechercher une adresse parmi les signalements de fraude soumis par les utilisateurs. Pas faisant autorité, mais une correspondance est un signal fort.

Le hic avec la voie manuelle : c'est lent, c'est chaîne par chaîne, et ça ne repère que ce qui est déjà étiqueté et évident. Ça ne vous dira pas qu'une adresse est à deux sauts d'un mixeur, ni qu'elle a reçu des fonds d'un cluster de fonds volés la semaine dernière. Bien lire un explorateur de blocs demande de la pratique, et la plupart des gens qui acceptent un paiement n'ont pas dix minutes pour tracer un graphe de transactions à la main.

Là où un outil de screening fait gagner du temps

Un outil de screening fait en une seule requête ce qui vous prendrait un après-midi : il vérifie l'adresse au regard des listes de sanctions sur toutes les grandes chaînes à la fois, mesure à quel point elle est proche de mixeurs, de clusters d'arnaques, de marchés du darknet et de fonds volés, et renvoie un score de risque avec les raisons. La valeur n'est pas magique. C'est la couverture et la vitesse. Vous obtenez l'exposition indirecte qu'une vérification manuelle rate, et vous l'obtenez en quelques secondes plutôt qu'en une série d'onglets.

Cela compte davantage dans l'UE aujourd'hui, pas moins. En vertu du règlement révisé sur les transferts de fonds (Transfer of Funds Regulation), qui s'applique aux côtés de MiCA depuis le 30 décembre 2024, les prestataires de crypto doivent joindre aux transferts des informations vérifiées sur l'expéditeur et le destinataire, et pour les transferts de plus de 1 000 € vers ou depuis un portefeuille auto-hébergé, vérifier qui le contrôle. La fenêtre transitoire pour les prestataires existants se ferme le 1er juillet 2026. Même si vous êtes freelance et non un prestataire réglementé, la direction est claire : « Je ne savais pas à qui appartenait le portefeuille » n'est plus une bonne réponse.

Si vous facturez des clients, la version la plus propre de tout cela, c'est un screening intégré au flux de paiement, de sorte que le portefeuille du payeur soit vérifié automatiquement avant que l'argent n'arrive et que vous n'ayez jamais à penser à le faire. C'est toute l'idée derrière la vérification de risque d'adresse de Constatum : collez un portefeuille, ou faites-la tourner sur le payeur derrière une facture, et obtenez une réponse claire avant de vous être engagé.

Ce qu'il faut honnêtement en retenir

Le screening n'est pas une garantie. Un résultat propre aujourd'hui peut mal tourner demain si ce portefeuille fait une bêtise la semaine prochaine, et un résultat signalé signifie parfois seulement que l'adresse a touché quelque chose de risqué trois sauts en arrière, sans que son propriétaire n'y soit pour rien. Traitez le score comme un élément de preuve, pas comme un verdict. Mais étant donné que de l'argent volé a transité par des portefeuilles fraîchement créés en moins de deux jours après Bybit, et étant donné qu'une correspondance avec les sanctions est un problème juridique et pas seulement une mauvaise impression, les trente secondes que ça prend de regarder sont l'assurance la moins chère de la crypto. Regardez avant d'envoyer. Regardez avant d'accepter. L'adresse ne vous le dira pas d'elle-même.