Transferts de cryptoactifs JSON

Faux schémas de transfert d'actifs numériques recourant à des « fichiers tokenisés »

IFB International Finance Bank – Avis de prévention de la fraude

International Finance Bank (« IFB ») a constaté une multiplication des approches frauduleuses faisant état de transferts d'actifs numériques de grande valeur qui seraient exécutés par l'intermédiaire de « fichiers JSON tokenisés », de « récepteurs hôtes de cryptomonnaies », de « points de terminaison bancaires », de « protocoles d'activation de portefeuille » ou d'une terminologie improvisée similaire.

Ces schémas ne concernent pas uniquement l'USDT. Le même schéma de fraude peut porter sur le Bitcoin, l'Ethereum, les stablecoins, les actifs tokenisés, des prétendues monnaies numériques de banque centrale, des cryptomonnaies de blockchains privées, des actifs enveloppés (wrapped assets), de prétendus jetons adossés à l'or ou des instruments numériques fictifs présentés comme « de qualité bancaire » ou « institutionnels ».

La terminologie change. L'architecture de la fraude reste la même.

Un fichier, un certificat, un code, une capture d'écran, un affichage de portefeuille, un message API ou un « hôte » privé ne peut à lui seul prouver la propriété d'actifs numériques ni les transférer. Un transfert légitime d'actifs numériques exige le contrôle du portefeuille concerné, une signature cryptographique valide, la diffusion sur la blockchain ou le réseau de règlement concerné, ainsi qu'une vérification indépendante.

La déclaration trompeuse centrale

Les fraudeurs affirment fréquemment que des actifs numériques peuvent être transférés en envoyant, en téléversant ou en « hébergeant » un fichier. Ce fichier peut être présenté comme étant au format JSON ou XML, chiffré, tokenisé, codé, adossé à un registre, doté de contrats intelligents ou certifié par une banque.

Cette affirmation est techniquement inexacte.

Un fichier de données peut contenir des informations. Il peut comporter des adresses, des métadonnées, des modèles de transaction, des captures d'écran, des soldes falsifiés ou des affirmations arbitraires. Il ne constitue pas, en soi, un portefeuille, un compte de conservation, un instrument bancaire ni un mécanisme de règlement.

Les actifs numériques ne se déplacent pas parce qu'un fichier l'indique. Ils ne se déplacent que lorsqu'une transaction valide est autorisée par la partie qui contrôle les actifs et acceptée par le réseau concerné.

Fonctionnement des transferts d'actifs numériques légitimes

Dans un règlement authentique d'actifs numériques, la preuve déterminante n'est ni un document ni une promesse, mais un contrôle vérifiable et une exécution vérifiable.

L'expéditeur doit contrôler le portefeuille ou le compte de conservation concerné. Toute transaction doit être dûment autorisée. Sur une blockchain publique, il s'agit généralement d'une transaction signée cryptographiquement et diffusée sur le réseau. Une fois acceptée, la transaction peut être examinée de manière indépendante au moyen de l'explorateur de blockchain approprié ou du registre de conservation de l'établissement.

Pour l'activité institutionnelle, cette couche technique n'est qu'un début. Une exécution adéquate exige également la vérification de l'identité, le filtrage des sanctions, l'analyse de l'origine des fonds, l'examen de l'origine du patrimoine, la surveillance des transactions, le contrôle de la capacité juridique et l'approbation de la conformité. La rapidité, l'urgence ou une terminologie impressionnante ne sauraient légitimer des transactions de montant élevé.

Signaux d'alerte courants

Ces démarches recourent souvent à un vocabulaire fabriqué de toutes pièces, tel que « bank crypto host », « host receiver », « endpoint wallet », « tokenised file », « wallet release code », « gas tranche », « ledger activation », « private blockchain encashment » ou « beneficiary wallet registration ».

De tels termes sont généralement employés pour dissimuler l'absence de véritable conservation d'actifs, de réel contrôle des portefeuilles et de mécanismes de règlement effectifs.

Autre signal d'alerte fréquent : la demande d'informations sur l'infrastructure bancaire, d'adresses IP, de points de terminaison de serveurs, d'accès à des portefeuilles ou de données techniques privées. Ces éléments ne sont pas nécessaires pour recevoir un virement blockchain ordinaire. Des demandes de cette nature peuvent révéler de l'ingénierie sociale, de l'hameçonnage, de la reconnaissance informatique ou une tentative d'accès non autorisé.

Les fraudeurs invoquent également couramment des montants de transaction exceptionnels, souvent de plusieurs centaines de millions, voire de milliards. Ils créent ensuite une urgence artificielle, en promettant que l'opération peut être menée à terme en quelques heures si le destinataire fournit des détails techniques, paie des frais ou signe des documents d'acceptation. Il s'agit d'une architecture de pression classique.

Un autre indice est le recours à une économie de commissions irrationnelle. Les véritables détenteurs d'actifs ne cèdent pas des pourcentages extraordinaires à des intermédiaires inconnus pour simplement déplacer des actifs numériques liquides. Lorsqu'une proposition promet des commissions démesurées pour un travail minime, la logique commerciale est généralement frauduleuse.

Risque lié aux avances de frais

Nombre de ces schémas aboutissent finalement à une demande de paiement. Celui-ci peut être présenté sous les intitulés suivants : frais de gas, coût d'activation, frais de conformité, frais d'enregistrement, frais de validation, apurement fiscal, frais de libération, garantie d'assurance, approvisionnement de portefeuille, transaction miroir ou preuve de liquidité.

Ces qualificatifs ne changent rien au fond. La victime est invitée à verser des fonds avant que tout transfert d'actif vérifiable de manière indépendante n'ait eu lieu.

Aucune institution prudente ne devrait verser de frais à l'avance à des contreparties inconnues en échange d'un prétendu accès à des actifs numériques qui n'ont pas été vérifiés par les procédures reconnues de conservation d'actifs, de banque ou de blockchain.

Les documents ne valent pas règlement

Les parties frauduleuses fournissent souvent des actes de cession, des lettres de banque, des captures d’écran, des certificats, des codes, des échéanciers d’opérations, des relevés de portefeuille électronique ou de prétendus formulaires de conformité.

Ces documents peuvent être falsifiés, dénués de pertinence ou sans valeur commerciale.

Un document peut étayer une transaction, mais il ne peut se substituer au règlement. Un document juridique ne prouve ni qu'un actif numérique existe, ni que l'expéditeur en a le contrôle, ni qu'il est libre de toute charge, ni que son origine est licite, ni qu'il peut être transféré.

S'agissant des actifs numériques, le seuil minimal est la vérification indépendante de l'actif, du portefeuille ou du compte de conservation, de la partie qui en a le contrôle, de l'historique des transactions et de l'origine licite des fonds.

Position d'IFB

IFB considère comme présentant un risque élevé toute proposition non sollicitée portant sur des « fichiers tokenisés », des « hôtes crypto », des « points d'accès bancaires », une « activation de portefeuille », un « encaissement privé » ou des structures similaires, sauf vérification indépendante par les canaux juridiques, bancaires, de conservation d'actifs et blockchain reconnus.

IFB n'accepte pas les propositions relatives aux actifs numériques fondées sur des fichiers non vérifiables, des captures d'écran, des codes privés, des points d'accès de serveurs ou des assurances informelles d'intermédiaires.

IFB ne fournira pas de données relatives à l'infrastructure de banque privée, de données de points d'accès de serveurs, d'identifiants de portefeuille, de clés privées, de phrases de récupération (seed phrases), de paiements anticipés ni de confirmations institutionnelles pour des transactions qui ne peuvent être vérifiées de manière indépendante.

Mesures de protection

Les clients et contreparties devraient appliquer une règle simple : si les actifs sont réels, ils peuvent être vérifiés au moyen d'enregistrements de conservation légitimes ou de preuves sur la blockchain. Si l'expéditeur les contrôle, il peut prouver ce contrôle. Si l'opération est licite, l'expéditeur peut fournir une documentation complète sur son identité, l'origine des fonds et la conformité.

Tout refus de fournir de telles preuves doit être considéré comme un signal d'alerte majeur.

Toute approche suspecte doit être remontée aux équipes de conformité, juridique et de cybersécurité avant la poursuite de tout échange. Aucune donnée opérationnelle, aucun paiement, aucune signature ni aucun accès à un portefeuille ne doit être fourni tant que l'opération n'a pas été formellement vérifiée.

En bref

La fraude aux actifs numériques repose de plus en plus sur une mise en scène technique. Les fraudeurs recourent à un langage complexe, à des fonctions bancaires inventées et à des procédures documentaires fabriquées de toutes pièces pour donner l'apparence de la sophistication.

Les fondamentaux demeurent simples. Un fichier n'est pas un portefeuille. Une capture d'écran n'est pas un justificatif de fonds. Un point d'accès serveur n'est pas un circuit de règlement. Un document n'est pas une transaction sur blockchain. La promesse d'une commission extraordinaire n'est pas un gage de légitimité commerciale.

Les transferts légitimes d'actifs numériques sont vérifiables, autorisés, conformes et auditables. Toute proposition qui s'affranchit de ces exigences doit être rejetée.

Un fichier JSON peut légitimement servir de support d'instructions au sein de l'infrastructure interne d'actifs numériques d'une banque, mais uniquement dans des conditions strictement contrôlées. Dans ce cas, le fichier JSON ne contient ni ne transfère lui-même de cryptomonnaie. Il se borne à véhiculer des instructions de transaction structurées, interprétées par les systèmes internes autorisés d'IFB.

Par exemple, si un client d'IFB dispose déjà auprès de la Banque d'une conservation d'actifs numériques vérifiée, un message JSON peut contenir des données telles que :

• identifiant du compte client
• réseau blockchain
• adresse du portefeuille du destinataire
• type de jeton
• montant de la transaction
• références de conformité
• signatures cryptographiques
• Données d'authentification de l'API

Dès réception, les systèmes internes d'IFB valideraient :

• authentification du client
• titularité du portefeuille de cryptoactifs
• soldes des comptes
• Conformité AML/KYC
• filtrage des sanctions
• limites de la politique de transactions
• droits d'autorisation internes

Si tous les contrôles sont satisfaisants, l'infrastructure de conservation d'actifs ou le système de portefeuilles de trésorerie d'IFB peut alors générer une véritable transaction sur la blockchain à l'aide des clés privées sécurisées de la banque ou de son environnement de conservation. Le transfert effectif n'intervient que lorsque l'infrastructure de signature autorisée d'IFB signe cryptographiquement la transaction et la diffuse sur le réseau blockchain.

La distinction essentielle est la suivante :

le fichier JSON ne réalise pas lui-même de transfert de cryptoactifs.

La banque transfère les crypto-actifs après avoir validé de manière indépendante l'instruction et exécuté une véritable transaction sur la blockchain à partir d'actifs déjà détenus en conservation.

Ce mécanisme est comparable à la messagerie SWIFT dans la banque traditionnelle. Un message SWIFT MT103 ne contient pas de fonds en lui-même. Il s'agit d'une instruction authentifiée qui conduit les systèmes bancaires à déplacer des fonds au moyen d'une infrastructure de règlement réglementée. Le format JSON, dans les systèmes d'actifs numériques institutionnels, peut remplir une fonction d'orchestration similaire, mais jamais celle d'un instrument au porteur autonome.