Pendant des années, les plateformes d'échange centralisées se sont appuyées sur des systèmes de connaissance du client (Know Your Customer) pour vérifier qui est réellement un utilisateur, dissuader la fraude, et satisfaire aux exigences des régulateurs financiers. Ces systèmes ont été conçus pour freiner le blanchiment d'argent, les prises de contrôle de compte, et la cybercriminalité organisée. L'intelligence artificielle a considérablement changé la donne.
Les attaquants d'aujourd'hui ne se limitent plus aux mots de passe volés ou aux e-mails d'hameçonnage basiques. Des organisations criminelles font désormais fonctionner des systèmes de fraude d'identité pilotés par IA capables de générer des identités synthétiques, de déjouer la vérification faciale, de cloner des voix, de falsifier des documents, et d'automatiser l'infiltration de comptes à grande échelle. Les enquêteurs désignent de plus en plus ce phénomène sous le nom de Vol d'Identité 2.0, et les équipes de sécurité des grandes plateformes d'échange luttent contre des réseaux de bots coordonnés qui exploitent les failles des chaînes de KYC automatisées plus vite que les vérificateurs humains ne peuvent suivre.
Comment fonctionnent les systèmes KYC modernes
La plupart des plateformes d'échange s'appuient sur une vérification d'identité automatisée qui demande aux utilisateurs de soumettre une pièce d'identité officielle, un scan de vérification faciale, une vidéo selfie, un justificatif de domicile, ainsi que des signaux liés à l'appareil et au comportement. Les moteurs de détection de fraude évaluent ensuite la cohérence faciale, l'analyse du mouvement, les empreintes d'appareil, les schémas de frappe, la réputation de l'adresse IP, et l'historique de connexion. En théorie, cela devrait réduire fortement la fraude. En pratique, les attaquants apprennent à manipuler quasiment chacune de ces couches.
La montée des identités synthétiques
Plutôt que de voler une identité réelle complète, les attaquants combinent de plus en plus des fragments d'informations légitimes avec des données biométriques générées par IA pour construire des personas entièrement nouveaux, prêts à passer les vérifications d'une plateforme : photos de profil générées par IA, vidéos de vérification en deepfake, passeports falsifiés, factures de services fabriquées de toutes pièces, et appels de vérification en voix clonée. Certains groupes de fraude ont automatisé l'ensemble de la chaîne, générant des milliers de ces identités par jour pour le blanchiment d'argent, le trading frauduleux, l'encaissement d'actifs volés, et des opérations d'arnaque coordonnées.
Comment les bots IA contournent la vérification faciale
La vérification faciale a longtemps été considérée comme l'une des couches de sécurité les plus solides d'une plateforme d'échange. Cette hypothèse s'érode rapidement. Les systèmes de deepfake modernes peuvent générer des mouvements faciaux réalistes, suffisamment convaincants pour déjouer les contrôles de vivacité les plus faibles, grâce à l'échange de visage en temps réel, la simulation de mouvements de tête, la synchronisation vocale, et des superpositions webcam en deepfake. Certaines opérations de fraude vont plus loin encore et font tourner des « fermes de vérification », où des travailleurs humains assistent l'IA pendant les sessions KYC en direct, ce qui rend cette attaque hybride considérablement plus difficile à repérer.
Pourquoi les plateformes d'échange centralisées sont des cibles de choix
De vastes réserves d'actifs en dépôt, une forte liquidité, des passerelles vers la monnaie fiduciaire, des bases d'utilisateurs mondiales, et un onboarding automatisé font des grandes plateformes d'échange une cible efficace. Une fois qu'un attaquant contrôle un compte vérifié, qu'il soit nouvellement créé ou détourné, il peut blanchir des fonds, exécuter des retraits frauduleux, manipuler le trading pair à pair, abuser des programmes de parrainage, et déplacer des actifs rapidement d'une juridiction à l'autre. Les comptes frauduleux fonctionnent fréquemment pendant des semaines avant que quiconque ne s'en aperçoive.
Prises de contrôle de compte, pas seulement de nouveaux comptes
Les utilisateurs existants sont également ciblés, par des campagnes combinant l'échange frauduleux de carte SIM, des kits d'hameçonnage, des malwares, le bourrage d'identifiants, le détournement de session, et l'usurpation du support par deepfake. Certains attaquants font désormais tourner des appels de support client générés par IA qui se font passer de façon convaincante pour des représentants de la plateforme, manipulant les victimes pour qu'elles révèlent des codes de vérification, des identifiants API, ou des informations de récupération.
Signes indiquant que votre identité pourrait être compromise
- Des e-mails inattendus de vérification ou de réinitialisation de mot de passe
- Des alertes de connexion inconnues ou des approbations de nouveaux appareils
- Des tentatives de KYC échouées que vous n'avez pas initiées
- Des messages de compte verrouillé que vous ne pouvez pas expliquer
- Des demandes de support inhabituelles faisant référence à votre compte
Mesures immédiates en cas de suspicion d'usurpation d'identité
Sécurisez vos comptes sur les plateformes d'échange
Réinitialisez les mots de passe, renouvelez les identifiants de double authentification, supprimez les appareils inconnus, révoquez les clés API actives, et passez immédiatement en revue les autorisations de retrait.
Limitez votre exposition financière
Surveillez les comptes bancaires liés, les cartes de paiement, les plateformes pair à pair, et les portefeuilles connectés. Une réponse rapide limite les dommages secondaires.
Conservez les preuves
Sauvegardez les alertes de connexion, les échanges d'e-mails, les informations sur les appareils, les captures d'écran, les historiques de transactions, et les communications avec le support. Cette documentation devient centrale pour toute enquête.
Surveillez les autres plateformes
Le vol d'identité reste rarement cantonné à une seule plateforme. Les attaquants réutilisent régulièrement les données volées sur d'autres plateformes d'échange, des banques, des marketplaces NFT, et les réseaux sociaux.
Les victimes sont fréquemment ciblées une seconde fois par de faux agents de récupération se faisant passer pour des enquêteurs blockchain ou des spécialistes de la conformité, la plupart exigeant un paiement en cryptomonnaie à l'avance pour un service qui ne se concrétise jamais.
Bonnes pratiques à adopter
Traitez vos comptes sur les plateformes d'échange comme une infrastructure bancaire à forte valeur : utilisez une double authentification matérielle plutôt que par SMS, gardez des mots de passe uniques, surveillez attentivement les alertes de connexion, limitez la quantité d'informations personnelles exposées publiquement, évitez de publier des captures d'écran de KYC, utilisez une adresse e-mail dédiée pour vos comptes sur les plateformes d'échange, et vérifiez toute interaction avec le support de façon indépendante avant d'agir en conséquence.
En conclusion
La montée de la fraude d'identité générée par IA marque un tournant pour le secteur. Les attaquants ne se contentent plus de pirater des portefeuilles, ils arment l'intelligence artificielle pour usurper l'identité de personnes réelles et manipuler les systèmes de conformité conçus pour les arrêter. Protéger ses actifs crypto signifie désormais aussi protéger sa propre identité numérique.