Analyse on-chain

Lisible avec certitude: chaque transaction, son montant, son horodatage, les adresses concernées, le solde actuel de toute adresse et l'historique complet des deux. Aucune autorisation n'est nécessaire et aucun fournisseur ne peut les retenir. Pour un marché où une banque paierait normalement pour des données de positions sans même les obtenir, c'est une vraie différence.

Pas lisible du tout: l'identité derrière une adresse, le fait que deux adresses appartiennent ou non à une même partie, le fait qu'un transfert soit une vente ou un mouvement entre les propres wallets d'un détenteur, et le fait qu'une adresse qui détient un actif en soit propriétaire ou le conserve pour quelqu'un d'autre. Tout ce qu'une institution veut réellement affirmer, l'exposition à une contrepartie, les avoirs d'un client, la suffisance d'une réserve, se trouve sur cette seconde liste et doit être déduit.

Le clustering regroupe des adresses probablement contrôlées par la même partie, et deux heuristiques font l'essentiel du travail. La propriété commune des entrées pose que des adresses qui apparaissent ensemble comme entrées d'une même transaction sont en général contrôlées par la même partie, puisque celui qui dépense avait besoin des clés de toutes. La détection de l'adresse de rendu identifie la sortie qui renvoie le reliquat à l'expéditeur et rattache ainsi une nouvelle adresse à la même partie.

Le résultat est une hypothèse assortie d'un niveau de confiance et non un fait, et les deux directions d'erreur ont des conséquences différentes. Un clustering trop zélé fusionne des acteurs sans lien et place les transactions d'un client dans le dossier d'un autre; une adresse de rendu mal identifiée attache l'activité ultérieure d'un inconnu à un détenteur. Agir sur un faux regroupement peut fourvoyer une enquête ou signaler injustement un client, et un cluster doit donc être vérifié avec des éléments off-chain avant que quiconque agisse sur cette base.

Une étiquette est l'inférence suivante, posée sur un cluster: ce groupe d'adresses est une plateforme d'échange, un contrat de pont, un prestataire de paiement, une entité sanctionnée, un mixeur. Les étiquettes viennent de sources qui ne sont pas la chaîne. Une étude qui a mesuré un grand fournisseur face à des services saisis a jugé son attribution fiable comme borne inférieure, avec une exactitude par service allant d'environ 25 à 95 % et des faux positifs sous un demi pour cent. L'étiquette est la conclusion du fournisseur et non un fait de la chaîne. Les sources comprennent les transactions de test d'un fournisseur vers un service, les informations publiques, les éléments issus d'enquêtes et les signalements de clients ou de victimes, et la qualité de l'étiquette dépend donc du travail de recherche du fournisseur et non de son logiciel.

C'est pourquoi deux fournisseurs sérieux donnent des réponses différentes pour la même adresse, sans que l'un ou l'autre soit en défaut. Ils ont regroupé avec des seuils différents, étiqueté à partir de sources différentes et mis à jour à des moments différents. Pour une institution, les conséquences opérationnelles sont concrètes: la réponse d'un seul fournisseur est une opinion, une décision importante sur un client mérite une seconde source, et un chiffre déclaré à un superviseur doit indiquer le fournisseur et la date qui l'ont produit.

Ils sont quatre, et chacun hérite de l'erreur d'attribution de façon différente. Exposition aux contreparties: combien une entreprise doit recevoir d'une entité ou détient chez elle, en supposant des adresses complètes pour l'entité, car une adresse manquée sous-estime l'exposition. Notation du risque client: les fonds d'un client viennent-ils d'un service que l'entreprise refuse, le point où un faux positif coûte une relation client et un faux négatif un manquement de conformité.

Exposition aux sanctions: une position ou une contrepartie touche-t-elle une adresse listée, une obligation stricte et le cas où l'entreprise ne peut pas s'en remettre au seul jugement d'un fournisseur. Enfin, vérification des réserves: un émetteur ou une plateforme détient-il vraiment ce qu'il affirme, une question qui n'a de réponse que si les adresses appartiennent réellement à l'émetteur, et que la page sur la preuve de réserves présente. Dans chaque cas, la pratique honnête consiste à déclarer le chiffre avec sa méthode, car un nombre tiré d'une hypothèse n'est pas du même ordre que le relevé d'un conservateur.

Les méthodes se recoupent et les finalités non, et cela change ce qui est jugé suffisant. Le traçage forensique suit des fonds précis dans une affaire précise, en général après un vol ou pour les forces de l'ordre, et son résultat doit résister à une contestation dans une procédure; un analyste suit donc un seul chemin et documente chaque inférence.

L'analyse on-chain pour une société financière est un exercice sur une population: noter en continu chaque client et chaque contrepartie, avec une méthode cohérente et automatisée et sans qu'un humain relise chaque conclusion. Cette différence signifie qu'une conclusion de niveau traçage ne peut pas être produite à l'échelle de l'analytique, et qu'un score de niveau analytique ne doit pas être présenté comme un constat sur une personne. La page sur la forensique blockchain couvre le volet enquête, et celle sur le traçage des crypto-actifs le travail de récupération.

Les mixeurs et le CoinJoin cassent volontairement l'heuristique de propriété commune des entrées en construisant des transactions dont les entrées appartiennent à de nombreuses parties, et l'inférence qui produit l'essentiel du clustering donne alors par construction une mauvaise réponse. Les chaînes axées sur la confidentialité cachent les montants ou les parties au niveau du protocole et suppriment ainsi la matière première. Le coin control et une hygiène d'adresses délibérée chez un détenteur averti limitent le clustering sans aucun outil particulier.

Le chain hopping est la limite pratique qui touche le plus les cas ordinaires. Des fonds qui passent par un pont vers une autre chaîne, ou par une plateforme qui mutualise les dépôts de ses clients, brisent la piste, car ce qui arrive est un autre actif sur un autre registre, sans lien cryptographique avec ce qui est parti. Les fournisseurs reconnectent ces sauts avec des heuristiques sur le moment et le montant, et cette reconnexion est l'inférence la plus faible de la chaîne. Une entreprise devrait savoir lesquelles de ses conclusions en dépendent.

La précision de l'analyse on-chain dépend entièrement de la couche concernée, et les confondre est l'erreur la plus courante. Les données de transaction sont exactes. Le clustering sur une chaîne transparente à usage naïf est assez fiable pour agir. Les étiquettes d'entités varient selon le fournisseur et selon la qualité des recherches sur cette partie de l'écosystème. Reconstituer un chemin entre chaînes ou à travers un service de mutualisation est la couche la moins fiable. Une entreprise qui traite les quatre comme un seul chiffre, comme l'y invite un score de risque unique, n'a aucun moyen de savoir lesquelles de ses décisions reposent sur l'inférence la plus faible.

Le clustering est reproductible en interne; les étiquettes ne le sont pas. Avec l'ingénierie de données voulue, une entreprise peut construire un index et appliquer les heuristiques standard, comme l'explique la page sur l'indexation des données blockchain. Ce qu'elle ne peut pas construire seule, c'est le jeu d'étiquettes, car il naît d'une recherche continue sur les adresses de chaque service, le vrai produit d'un fournisseur d'analytique. La plupart des institutions achètent donc les étiquettes et le filtrage et gardent leur propre chaîne de traitement pour les avoirs et les expositions qu'elles déclarent, où la dérivation doit leur appartenir. Pour cette chaîne propre, une entreprise peut aussi acheter les enregistrements de la chaîne sous forme de tables prêtes: Dune vend des jeux de données sur les stablecoins, les transferts de jetons et les paiements et les livre par API ou dans l'entrepôt de données de l'entreprise.