Darkweb : l’argent circule, les chiffres brouillent la piste-Partie 3

Jean Langlois-Berthelot

Depuis plus de dix ans, je consulte le darkweb plusieurs fois par semaine, pour la veille en cybersécurité et pour des recherches exploitant ses données, notamment à des fins opérationnelles. Cette durée m’a appris à regarder ensemble les offres, les flux financiers et les effets des interventions. Trois transformations ressortent : une partie des paiements devient moins observable, les activités se répartissent entre davantage de services et les enquêtes produisent des effets longtemps après la fermeture d’une plateforme. Ces changements interdisent de raconter toute la décennie avec une courbe unique.

Bitcoin laisse des traces, Monero change le champ de vision

L’analyse de Chainalysis publiée le 16 mai 2025 porte explicitement sur des flux en bitcoin ; elle exclut Monero. Bitcoin dispose d’un registre public de transactions. Les adresses ne constituent pas directement des identités civiles, mais leurs échanges peuvent être examinés et rapprochés d’informations extérieures. Monero est conçu pour rendre beaucoup moins lisibles les liens entre expéditeurs, destinataires et montants. Le passage d’une monnaie à l’autre change donc aussi ce que l’observateur peut mesurer. Une baisse des flux visibles ne suffit pas à décrire toute l’activité économique.

Le Crypto Crime Report 2026 de TRM Labs apporte un indicateur concret de ce déplacement. Parmi les vingt et un nouveaux marchés recensés pour 2025, près de la moitié n’acceptent que Monero. Le rapport relève aussi environ soixante millions de dollars d’activité sur les marchés occidentaux utilisant des monnaies dont les registres restent visibles, un niveau globalement stable. Ces chiffres portent sur les segments observables. Ils ne permettent pas d’évaluer automatiquement les recettes des plateformes exclusivement alimentées en Monero.

Le moteur du changement est intelligible : les opérations policières et l’analyse des transactions rendent la traçabilité financière plus coûteuse pour les acteurs criminels. Certains cherchent alors à réduire ce qui peut être observé. Cela ne signifie pas qu’une monnaie garantisse l’impunité. Une enquête peut reposer sur des serveurs, des communications, des livraisons ou des erreurs d’administration. La transformation concerne une composante de l’exposition, pas la disparition de toutes les traces. Il faut distinguer la confidentialité recherchée de la sécurité effectivement obtenue.

Pour lire les tendances, je sépare désormais trois questions. Les flux augmentent-ils dans une série construite de manière constante ? La part des activités accessibles à cette mesure change-t-elle ? Les mêmes participants déplacent-ils leurs échanges vers d’autres canaux ? Les réponses peuvent diverger. Une série peut diminuer tandis que sa couverture se réduit. Elle peut aussi diminuer parce que des transactions ont réellement disparu. Le déplacement vers Monero est une explication à examiner, pas un argument permettant de déclarer toute baisse illusoire.

La spécialisation apparaît également dans les catégories financières. TRM distingue les places de marché des portefeuilles associés à des ventes indépendantes de substances interdites ou contrôlées. Pour 2025, ces derniers reçoivent environ 1,6 milliard de dollars, en recul de près de 45 % dans la série publiée. Une progression des plateformes peut donc coexister avec une baisse d’autres circuits suivis. Le total ne décrit pas nécessairement la trajectoire de chaque segment.

Cette lecture par circuits change les questions de recherche. Il faut examiner si les acheteurs privilégient davantage l’intermédiation d’une plateforme, si des boutiques indépendantes ferment ou si une partie des paiements devient moins observable. Les chiffres seuls ne départagent pas ces mécanismes. Ils localisent cependant le changement : l’évolution se situe dans la répartition des flux, pas uniquement dans leur somme. Pour une veille suivie sur plusieurs années, cette décomposition est plus informative qu’une succession de records annoncés.

Une nouvelle attribution peut modifier un chiffre ancien

Une autre difficulté apparaît dès que l’on distingue une transaction de son interprétation. Le registre conserve un transfert entre des adresses ; l’analyste cherche à déterminer à quels acteurs elles appartiennent. Si une adresse non identifiée est ensuite rattachée à une plateforme, les transferts qui la concernent deviennent interprétables. Le passé n’a pas changé ; sa connaissance s’est enrichie. Une rétrospective doit conserver la date et le périmètre de chaque estimation, puis rechercher une série avant de conclure à une croissance.

Cette distinction devient essentielle dans une rétrospective de dix ans. Aligner des chiffres extraits chaque année de rapports différents risque de produire une série incohérente. Il faut soit employer les valeurs révisées d’un même dispositif, soit signaler les ruptures. Une courbe dont les catégories changent silencieusement raconte autant l’histoire des outils d’analyse que celle du marché. Le problème apparaît aussi lorsqu’un service est reclassé : pharmacie en ligne, marché de drogues, boutique indépendante ou plateforme de fraude ne désignent pas des périmètres identiques.

Les annonces n’ont jamais été des ventes

Kyle Soska et Nicolas Christin, de Carnegie Mellon, établissaient déjà cette différence à USENIX Security en 2015. Leur étude de seize marchés sur la période 2013–2015 utilisait notamment les évaluations laissées après les achats pour estimer une borne basse des ventes. Sur Evolution, la recette quotidienne moyenne estimée par annonce passait de 85,14 dollars début juillet 2014 à 19,42 dollars en septembre. Le nombre d’annonces ne pouvait donc pas servir de multiplicateur stable pour calculer le chiffre d’affaires.

Les auteurs repéraient aussi des prix volontairement prohibitifs. Un vendeur pouvait augmenter temporairement le prix d’une annonce pour arrêter les commandes sans supprimer la fiche et les évaluations accumulées. Ces holding prices, ou prix de mise en attente, pouvaient atteindre des montants extravagants. Les traiter comme des prix réellement payés déformait les estimations. L’article décrit précisément le filtrage nécessaire. Ce détail rappelle qu’une page commerciale contient des décisions de gestion, pas seulement des informations destinées à mesurer une transaction.

Dix ans plus tard, cette leçon reste directement utile pour les données volées. Le prix affiché d’un lot est une demande du vendeur. Le nombre de lignes décrit un fichier. La quantité de comptes exploitables décrit autre chose. Les doublons, les comptes fermés, les mots de passe changés et les informations publiques ajoutées au lot modifient sa valeur. Une publication supplémentaire peut remettre en circulation un matériau ancien. L’augmentation des annonces mesure alors d’abord une activité de diffusion, pas nécessairement une multiplication des compromissions.

La comparaison doit porter sur le contenu, sa période et sa provenance, lorsqu’elles peuvent être établies. Une organisation mentionnée dans une annonce n’est pas automatiquement victime d’une intrusion nouvelle. Il faut distinguer la date des données, celle de leur première diffusion et celle de leur découverte par la veille. Ces trois dates orientent des réponses différentes. Une fuite ancienne récemment repérée peut justifier des vérifications, mais elle ne raconte pas le même événement qu’un accès encore actif à un système d’information.

Soixante-trois millions de pages ne font pas autant de marchés

Yazan Boshmaf, Isuranga Perera, Udesh Kumarasinghe, Sajitha Liyanage et Husam Al Jawaheri présentent Dizzy: Large-Scale Crawling and Analysis of Onion Services dans un préprint déposé en septembre 2022, révisé en mai 2023. Leur système, déployé en avril 2021, analyse plus de 63,3 millions de pages onion collectées. Les résultats soulignent l’instabilité des services et les similarités entre contenus. Le nombre impressionnant de pages ne constitue donc pas un décompte équivalent d’organisations, de boutiques indépendantes ou d’activités nouvelles.

Le changement de taille des corpus transforme néanmoins la recherche. On peut comparer davantage de périodes, repérer des répétitions et étudier les liens entre sites. Mais une collecte volumineuse conserve les propriétés de son accès au terrain. Des espaces fermés lui échappent ; des copies occupent plusieurs adresses ; des services répondent de manière intermittente. Un corpus plus grand permet des questions plus fines, à condition de distinguer les pages, les domaines, les opérateurs et les relations. La croissance documentaire ne fournit pas seule une mesure de croissance économique.

Les statistiques du réseau Tor répondent encore à une autre question. Tor Metrics estime les utilisateurs à partir de requêtes techniques adressées aux relais et distingue notamment les connexions directes de celles passant par des ponts. Les statistiques de trafic onion sont extrapolées à partir de données agrégées transmises par des relais. Elles mesurent l’utilisation d’une infrastructure. Elles ne classent pas les communications entre vente de drogue, lecture d’un média, échange privé ou consultation documentaire. On ne peut pas convertir une hausse de trafic en hausse équivalente de criminalité.

Les enquêtes continuent après la fermeture des sites

Monopoly Market était une place de marché de drogues. Son infrastructure est saisie par les autorités allemandes en décembre 2021. Le 2 mai 2023, Europol annonce les résultats de l’opération SpecTor : 288 suspects arrêtés dans neuf pays, après exploitation des éléments recueillis et coordination d’enquêtes nationales. Le rapport IOCTA 2024 décrit explicitement cette filiation. La date à laquelle le site cesse de fonctionner n’est donc pas celle à laquelle tous les effets de l’intervention deviennent visibles.

L’opération RapTor, annoncée le 22 mai 2025, prolonge cette logique. Europol fait état de 270 arrestations dans dix pays, dont vingt-neuf en France. Les investigations exploitent notamment des renseignements issus des démantèlements de Nemesis, Tor2Door, Bohemia et Kingdom, quatre places de marché clandestines. Le bilan comprend plus de deux tonnes de drogues et plus de 184 millions d’euros en espèces et cryptomonnaies. Ces chiffres décrivent une opération coordonnée ; ils ne mesurent pas la diminution globale du commerce sur le darkweb.

La grande tendance est ici le prolongement de l’action au-delà de la plateforme. La fermeture produit des matériaux d’enquête. Leur rapprochement permet d’identifier des personnes, des relations et des transactions, parfois dans plusieurs pays. Les participants qui changent de boutique n’effacent pas automatiquement leur activité antérieure. La reprise commerciale et la progression judiciaire peuvent donc se dérouler simultanément. Une analyse limitée au nombre de sites accessibles manquerait précisément cette accumulation d’informations et ses conséquences différées.

Ce décalage temporel change aussi la notion de résultat. La disparition des annonces constitue un effet immédiat. La saisie de fonds touche des ressources. L’identification de vendeurs modifie les possibilités d’enquête. Une condamnation intervient encore à une autre échéance. Ces résultats ne doivent pas être confondus avec la réduction durable de la demande de drogues ou de services criminels. Ils décrivent des leviers différents, dont les effets peuvent se cumuler sans suivre le même calendrier. La recherche opérationnelle doit précisément expliquer comment ils s’articulent et lesquels résistent au remplacement des acteurs.

Les priorités passent du volume à la capacité

Pour la recherche opérationnelle, je distingue trois délais après une perturbation. Le premier concerne l’accès : quand une boutique ou un service de remplacement devient-il disponible ? Le deuxième concerne les relations : quand les participants retrouvent-ils des interlocuteurs auxquels ils accordent leur confiance ? Le troisième concerne la capacité : quand les échanges effectifs retrouvent-ils un niveau comparable ? Ces délais correspondent à des phénomènes différents. Une interface reconstruite ne suffit pas à restaurer un stock, une clientèle ou une fonction d’arbitrage.

La même distinction guide la veille en cybersécurité. Devant une offre d’accès, la question prioritaire porte sur la capacité annoncée : accès ancien ou actuel, compte ordinaire ou privilégié, périmètre limité ou plusieurs systèmes. Les vérifications autorisées dans l’organisation permettent de confronter le signal externe à une exposition concrète. Une annonce très visible peut être périmée ; une offre discrète peut correspondre à un risque réel. Le nombre de messages et la notoriété d’un pseudonyme ne remplacent pas cette qualification.

L’histoire se lit par segments : drogues livrées physiquement, identifiants revendus, accès maintenus, services renouvelés. Leur coexistence explique pourquoi une hausse locale et une baisse ailleurs peuvent appartenir à la même période.

Après plus de dix ans, je vois moins un monde devenu uniformément plus grand qu’une économie plus différenciée. Les moyens de paiement changent la visibilité des flux ; les plateformes spécialisées distribuent autrement les fonctions ; les enquêtes prolongent leurs effets dans le temps. Les chiffres utiles sont ceux qui rendent ces transformations lisibles. Dire combien ne suffit plus. Il faut pouvoir dire de quoi, sur quelle période, dans quel circuit et avec quelles conséquences. C’est ainsi que la veille quitte l’inventaire des annonces pour éclairer une décision.