Une blockchain publique montre chaque transaction mais n’identifie personne. Une adresse n’est qu’une suite de caractères jusqu’à ce que quelque chose la relie à d’autres adresses, ou à une identité réelle. Le clustering est l’ensemble des techniques que les enquêteurs utilisent pour franchir cette première étape, en regroupant les adresses appartenant le plus vraisemblablement à un même portefeuille, une même entité, ou un même acteur, même lorsque rien dans le registre ne l’indique explicitement.
L’heuristique de propriété commune des entrées
C’est la technique de clustering la plus ancienne et la plus largement utilisée, et elle part d’un fait technique simple : une transaction de type Bitcoin qui dépense depuis plusieurs adresses en entrée exige une signature de clé privée valide pour chacune de ces entrées. Puisque produire cette signature exige la clé privée, les adresses utilisées ensemble comme entrées d’une même transaction sont, dans l’écrasante majorité des cas, contrôlées par la même entité. Appliquée à un large historique de transactions, cette seule heuristique peut fusionner des milliers d’adresses jusque-là séparées en un petit nombre de clusters, chacun représentant probablement un portefeuille ou un service unique.
Détection de l’adresse de monnaie rendue
La plupart des transactions ne dépensent pas une entrée au centime près, de sorte que la différence retourne à l’expéditeur sous la forme d’une nouvelle adresse de « monnaie rendue », généralement générée automatiquement par le portefeuille de l’expéditeur lui-même. Identifier lequel des résultats d’une transaction correspond à la monnaie rendue, plutôt qu’au paiement effectif, permet à un enquêteur d’intégrer cette nouvelle adresse au même cluster que les adresses d’entrée. Plusieurs indices aident à distinguer la monnaie rendue du paiement : un résultat de monnaie rendue est souvent une adresse toute nouvelle, jamais observée auparavant dans le registre, alors que l’adresse de paiement peut déjà avoir un historique ; les portefeuilles génèrent fréquemment la monnaie rendue dans le même format d’adresse et le même type de script que leurs entrées, ce qui n’est pas forcément le cas d’une adresse de paiement externe ; et des montants plus ronds, à l’apparence plus nette, correspondent plus souvent au paiement voulu qu’à la monnaie rendue, qui tend à être un chiffre résiduel irrégulier.
Correspondance de schémas comportementaux
Au-delà de ces règles structurelles, les enquêteurs examinent également des comportements qui tendent à rester cohérents au fil du temps chez un même acteur : une stratégie de sélection des frais constante d’une transaction à l’autre, un schéma temporel reconnaissable tel qu’une activité concentrée sur certaines heures, des habitudes de réutilisation d’adresses, et l’empreinte que laisse la façon dont un logiciel de portefeuille particulier construit ses transactions. Aucun de ces signaux n’est concluant à lui seul, mais des empreintes comportementales cohérentes superposées à un clustering structurel renforcent sensiblement la confiance que des clusters distincts appartiennent en réalité au même acteur sous-jacent.
Aucune heuristique de clustering n’est infaillible, et considérer l’une d’elles isolément comme une preuve de propriété est une source documentée d’erreur d’investigation. Les transactions de type CoinJoin et les techniques de coordination similaires sont spécifiquement conçues pour violer l’hypothèse de propriété commune des entrées, et une plateforme d’échange custodiale regroupant les retraits de nombreux clients en une seule transaction peut faire apparaître à tort des utilisateurs sans lien comme faisant partie du même cluster.
Pourquoi cela se combine avec des preuves hors chaîne
Parce que chaque heuristique peut produire des faux positifs dans certaines conditions, un travail de clustering compétent est rarement présenté comme une conclusion autonome. Il est corroboré, chaque fois que possible, par des preuves hors chaîne : données de connaissance du client obtenues via une demande légale adressée à une plateforme d’échange, données d’IP ou d’appareil liées à un compte, ou incidents signalés de façon indépendante qui relient un cluster à une arnaque ou un vol connu. Le cluster réduit considérablement le champ des candidats possibles. C’est généralement la preuve corroborante qui transforme une forte probabilité en quelque chose sur lequel l’équipe de conformité d’une plateforme d’échange, ou un tribunal, acceptera réellement d’agir.