Signaux d'alerte AML en crypto : les indicateurs du GAFI

Les signaux d'alerte AML en crypto sont des indices qu'une transaction ou un client peut être lié au blanchiment de capitaux ou au financement du terrorisme : des dépôts fractionnés en petits montants pour rester sous les seuils de déclaration, des cryptos passées par des mixers, un nouveau compte qui déplace soudain des sommes importantes, ou des fonds liés à des juridictions à haut risque. La liste de référence est le rapport du GAFI sur les indicateurs d'alerte liés aux actifs virtuels, publié le 14 septembre 2020, qui les regroupe en six catégories.

Un signal d'alerte n'est pas la preuve d'un délit, seulement une raison d'y regarder de plus près. Ce guide passe en revue chaque catégorie du GAFI, explique ce que fait une plateforme d'échange lorsqu'une activité est signalée et répond à la question que se posent réellement les utilisateurs : pourquoi mon compte a-t-il été gelé ?

Que sont les signaux d'alerte AML ?

Les règles de lutte contre le blanchiment (AML, ou LCB-FT en France) imposent aux entreprises crypto régulées, que le GAFI appelle prestataires de services sur actifs virtuels (PSAV ou VASP), de surveiller les activités suspectes et de les déclarer. Les signaux d'alerte sont les schémas, tirés de cas réels soumis par les membres du GAFI, qui indiquent à un analyste où regarder.

Le GAFI est explicite sur la manière de les utiliser. Dans la conclusion du rapport, il précise que les indicateurs ne sont « ni exhaustifs ni applicables à toutes les situations » et qu'aucun indicateur ne doit être considéré isolément. La fiche du GAFI destinée aux VASP ajoute qu'une transaction présentant plusieurs indicateurs et peu ou pas de justification économique logique nécessite une surveillance accrue et, le cas échéant, une déclaration.

La vraie question est : « cette activité a-t-elle du sens pour ce client ? » C'est pourquoi les signaux d'alerte reposent sur le KYC et la vigilance à l'égard de la clientèle : l'entreprise ne peut juger de ce qui est inhabituel que si elle sait ce qui est normal pour vous.

Les six catégories de signaux d'alerte du GAFI

Le rapport du GAFI organise ses indicateurs en six groupes. Les exemples ci-dessous en sont tirés, légèrement reformulés.

1. Montant et fréquence des transactions

• Fractionnement (structuring) : découper des échanges ou des transferts crypto en petits montants, ou en montants inférieurs aux seuils de conservation ou de déclaration, la technique utilisée depuis longtemps avec les espèces.
• Plusieurs transactions de montant élevé en peu de temps, par exemple en 24 heures, ou selon un schéma échelonné et régulier suivi d'une longue période d'inactivité. Le GAFI note que ce dernier cas est particulièrement fréquent dans les affaires de ransomware.
• Transférer immédiatement des cryptos vers plusieurs VASP, en particulier dans d'autres juridictions sans lien avec le lieu de résidence ou de travail du client, ou dotées d'une réglementation AML faible.
• Déposer des cryptos puis les retirer immédiatement sans les échanger, ou les convertir en plusieurs autres cryptos sans raison claire. Selon le GAFI, cela « transforme de fait la plateforme/le VASP en mixer de blanchiment ».

2. Schémas de transactions

• Un nouvel utilisateur effectue un dépôt initial important, incohérent avec son profil.
• Un nouvel utilisateur dépose la totalité des fonds le premier jour puis les échange ou les retire en totalité le jour même ou le lendemain.
• Un nouvel utilisateur tente d'échanger l'intégralité de son solde, ou de tout envoyer hors de la plateforme.
• Des transactions impliquant plusieurs actifs virtuels ou comptes sans justification économique logique.

Les sociétés d'analyse blockchain ajoutent leur propre détection de schémas, comme les « peel chains », où un solde important transite par une longue série de wallets en étant légèrement amputé à chaque étape. Pour comprendre le fonctionnement de ces outils, consultez l'analyse blockchain expliquée.

3. Anonymat

• Utiliser plusieurs types de crypto-actifs malgré les frais supplémentaires, en particulier des cryptomonnaies à anonymat renforcé (privacy coins).
• Transférer des cryptos d'une blockchain publique transparente vers une plateforme centralisée et les échanger immédiatement contre un privacy coin.
• Des clients agissant comme un VASP non enregistré ou non agréé sur des plateformes peer-to-peer (P2P), traitant de gros volumes pour le compte de tiers moyennant des frais élevés.
• Des fonds envoyés à des services de mixage ou de « tumbling », ou reçus de ceux-ci, ou présentant une exposition directe ou indirecte aux marchés du darknet, aux ransomwares, à des sites de jeux douteux ou à des vols signalés.

Le GAFI souligne que ces caractéristiques ne sont pas toujours illicites et doivent être mises en regard du profil du client et de toute explication légitime.

4. Expéditeurs et destinataires

• À l'ouverture du compte : ouvrir plusieurs comptes sous des noms différents pour contourner les limites, se connecter depuis des adresses IP situées dans des juridictions sanctionnées ou déjà signalées, ou tenter à plusieurs reprises d'ouvrir des comptes depuis la même adresse IP.
• Pendant les contrôles de vigilance : informations KYC incomplètes, refus de répondre aux questions sur l'origine des fonds, réponses inexactes sur une transaction ou une contrepartie, ou documents d'identité falsifiés et modifiés.
• Incohérences de profil : identifiants partagés avec un autre compte, adresses IP qui ne correspondent pas au profil, ou adresse de wallet apparaissant sur des forums associés à des activités illégales.
• Mules financières ou victimes d'arnaques potentielles : un expéditeur peu familier avec la crypto, un client bien plus âgé que l'utilisateur type de la plateforme qui effectue de nombreuses transactions, ou des achats importants que le patrimoine connu du client ne justifie pas.
• Autres comportements inhabituels : changements fréquents d'adresse e-mail, d'IP ou de coordonnées financières (ce qui peut aussi indiquer une prise de contrôle du compte), ou champs de message faisant référence à des biens illicites.

5. Origine des fonds ou du patrimoine

• Effectuer des transactions avec des adresses ou des cartes bancaires liées à la fraude, à l'extorsion, aux ransomwares, à des adresses sanctionnées ou aux marchés du darknet.
• Des dépôts bien plus importants que d'habitude, d'origine inconnue, rapidement convertis en monnaie fiat, ce qui peut indiquer des fonds volés.
• Des fonds provenant directement de mixers ou de tumblers, ou un patrimoine constitué principalement de crypto, d'ICO ou de plateformes dépourvues de contrôles AML.

C'est là que les signaux d'alerte débouchent sur des demandes de justification de l'origine des fonds. Notre guide origine des fonds vs origine du patrimoine explique quels justificatifs permettent d'y répondre.

6. Risques géographiques

• Des fonds provenant d'une plateforme, ou envoyés vers une plateforme, non enregistrée dans la juridiction où se trouve le client ou la plateforme.
• Utiliser une plateforme d'échange ou un service de transfert d'argent situé dans une juridiction à haut risque dotée de règles AML faibles ou inexistantes pour la crypto.
• Envoyer des fonds à des VASP situés dans des juridictions sans réglementation crypto, ou une entreprise qui se relocalise dans de telles juridictions.

Comment les plateformes détectent les signaux d'alerte

La plupart des signaux d'alerte sont repérés par des logiciels. Un dispositif type comporte trois couches :

• Contrôles à l'entrée en relation : vérification du document et du selfie, filtrage sanctions et PEP, et signaux liés à l'appareil ou à l'IP qui repèrent les comptes en double et les localisations sanctionnées.
• Surveillance des transactions : des règles qui examinent les montants, la vélocité et les schémas sur l'historique d'un client, par exemple « total des dépôts sur 24 heures » ou « retrait dans l'heure suivant un dépôt sans échange ». Consultez notre guide sur la surveillance des transactions AML en crypto.
• Analyse blockchain (KYT) : filtrage des adresses vers lesquelles un client envoie et dont il reçoit des fonds, et notation de l'exposition aux mixers, aux marchés du darknet, aux wallets sanctionnés et aux fonds volés.

Les alertes alimentent une file de revue, où un analyste décide si l'activité a une explication innocente. Le logiciel de surveillance des transactions d'iDenfy, par exemple, combine des règles personnalisées et de vélocité avec le filtrage sanctions, PEP et médias défavorables, et achemine les alertes dans un circuit de revue à plusieurs niveaux qui aboutit à une déclaration de soupçon (SAR) exportable. Pour une comparaison plus large, consultez les meilleurs logiciels de surveillance des transactions crypto en 2026.

Que se passe-t-il lorsqu'une activité est signalée

Si la revue ne lève pas l'alerte, l'entreprise a l'obligation légale de la déclarer. Les modalités varient selon les pays :

• Union européenne. En vertu de l'article 33 de la directive anti-blanchiment (UE) 2015/849, les entités assujetties doivent informer sans délai la cellule de renseignement financier (CRF) nationale lorsqu'elles savent, soupçonnent ou ont de bonnes raisons de soupçonner que des fonds proviennent d'une activité criminelle, « quel que soit le montant concerné ». Les tentatives de transaction doivent également être déclarées. Le nouveau règlement AML (UE) 2024/1624 reprend cette obligation à son article 69 et s'applique à partir du 10 juillet 2027. Son article 71 impose aux entreprises de suspendre une transaction qu'elles jugent suspecte jusqu'à ce qu'elles l'aient déclarée ; elles peuvent l'exécuter si la CRF n'a pas donné d'instruction contraire dans un délai de trois jours ouvrables.
• États-Unis. Les orientations de 2019 du FinCEN confirment que les plateformes d'échange crypto sont en général des money transmitters, un type de money services business. Selon le 31 CFR 1022.320, un money services business doit déposer une déclaration d'activité suspecte (SAR) pour les transactions suspectes d'au moins 2 000 USD, au plus tard 30 jours calendaires après avoir constaté les faits pour la première fois. Le fractionnement visant à contourner les obligations fédérales de déclaration constitue en soi une infraction au titre du 31 U.S.C. 5324.

Il est également interdit aux entreprises de vous en informer. Le droit de l'UE interdit de révéler au client qu'une déclaration a été ou sera transmise, ou qu'une analyse est en cours (article 39 de la directive, article 73 de l'AMLR). Aux États-Unis, une SAR et toute information qui en révélerait l'existence sont confidentielles en vertu du 31 CFR 1022.320(d). Cette interdiction de divulgation (« tipping-off ») explique pourquoi les agents du support donnent souvent des réponses vagues sur un compte gelé.

« Pourquoi mon compte a-t-il été gelé ? »

Pour l'utilisateur, un signal d'alerte se traduit par un retrait en attente, un compte restreint ou une demande de documents. Déclencheurs innocents fréquents :

• Un premier dépôt bien supérieur aux revenus ou à la profession déclarés à l'inscription.
• Déposer et retirer rapidement sans échanger, souvent en déplaçant des cryptos entre plateformes.
• Recevoir des cryptos d'une adresse que les outils d'analyse relient, directement ou plusieurs sauts en amont, à un mixer, à une plateforme piratée ou à une entité sanctionnée.
• Envoyer de l'argent pour le compte de quelqu'un d'autre, ce qui ressemble en tout point à une activité de mule financière.

Que faire :

• Répondez via l'application officielle ou le portail de support de la plateforme, et répondez exactement à ce qui est demandé.
• Fournissez le parcours complet des fonds concernés : d'où vient l'argent, par quelles plateformes et quels wallets il est passé, avec les hashs de transaction et les relevés.
• N'ouvrez pas de second compte pour contourner la restriction. Créer des comptes distincts pour échapper aux limites fait partie des signaux d'alerte listés par le GAFI.
• Ignorez quiconque propose de « dégeler » votre compte contre rémunération. C'est une arnaque courante ; consultez les arnaques à la récupération de crypto.

Signaux d'alerte et DeFi

Les indicateurs du GAFI sont rédigés pour les VASP, les intermédiaires régulés. Les protocoles DeFi non custodiaux n'ont aucun compte à geler et n'effectuent généralement pas de KYC. Les applications DeFi de JewelSwap sont non custodiales et n'effectuent pas elles-mêmes de KYC ; consultez le KYC dans la DeFi expliqué. Mais toute plateforme régulée vers laquelle vous enverrez ensuite des fonds examinera votre historique on-chain, de sorte que les mêmes signaux d'alerte s'appliquent à ce moment-là.

Questions fréquentes

Que sont les signaux d'alerte AML en crypto ?

Ce sont des indices qu'une transaction crypto ou un client peut être lié au blanchiment de capitaux ou au financement du terrorisme, comme le fractionnement de dépôts sous les seuils, l'utilisation de mixers, des entrées et sorties de fonds sans échange, ou une activité qui ne correspond pas au profil du client.

Quels sont les indicateurs d'alerte du GAFI pour les actifs virtuels ?

Le rapport du GAFI de septembre 2020 les regroupe en six catégories : montant et fréquence des transactions, schémas de transactions, anonymat, expéditeurs ou destinataires, origine des fonds ou du patrimoine, et risques géographiques.

Un seul signal d'alerte signifie-t-il que ma transaction est illégale ?

Non. Le GAFI indique que les indicateurs ne sont pas exhaustifs, ne s'appliquent pas à toutes les situations et ne doivent pas être considérés isolément. Un signal d'alerte entraîne un examen plus approfondi, et de nombreuses alertes sont levées après revue.

Une plateforme me dira-t-elle si elle a déposé une déclaration de soupçon ?

Non. Les règles de l'UE et des États-Unis interdisent aux entreprises d'informer les clients qu'une déclaration d'activité suspecte a été ou sera déposée, si bien que les équipes de support ne peuvent souvent pas expliquer pourquoi un compte fait l'objet d'un examen.

Qu'est-ce que le fractionnement (structuring) en crypto ?

Le fractionnement consiste à diviser des transactions en montants plus petits pour rester sous les seuils de conservation ou de déclaration. Le GAFI le classe parmi les signaux d'alerte crypto, et aux États-Unis, le fractionnement visant à contourner les obligations fédérales de déclaration constitue en soi un délit.

Que faire si mon compte crypto est gelé pour des raisons AML ?

Répondez via les canaux officiels de la plateforme, fournissez des documents montrant d'où viennent les fonds et comment ils ont circulé, n'ouvrez pas d'autre compte pour contourner la restriction, et ignorez quiconque propose de le dégeler contre rémunération.

À lire aussi

• Origine des fonds vs origine du patrimoine
• L'analyse blockchain expliquée
• La surveillance des transactions AML en crypto
• Guide de conformité AML crypto pour les plateformes et les VASP
• Meilleurs logiciels de filtrage des sanctions pour les plateformes crypto

Cet article a une vocation pédagogique et ne constitue pas un conseil juridique ou financier. Les indicateurs d'alerte sont résumés à partir du rapport du GAFI Virtual Assets Red Flag Indicators of Money Laundering and Terrorist Financing (septembre 2020) et de la fiche du GAFI destinée aux VASP. Les références juridiques renvoient à la directive (UE) 2015/849, au règlement (UE) 2024/1624, au 31 CFR 1022.320, au 31 U.S.C. 5324 et aux orientations FinCEN FIN-2019-G001, toutes vérifiées le 8 octobre 2026. Les autres sources sont citées dans le texte.