Quand un protocole perd cent millions d’euros un mardi matin, deux mondes se r\u00e9veillent en m\u00eame temps. Le premier est celui des auditeurs qui avaient relu le code: ils rouvrent leur rapport, v\u00e9rifient le p\u00e9rim\u00e8tre exact de leur mission et pr\u00e9parent une explication. Le second est beaucoup plus discret, et pourtant c’est lui qui fait la une dans l’heure qui suit: les cabinets d’enqu\u00eate on-chain. Chainalysis, TRM Labs, Elliptic, mais aussi des enqu\u00eateurs ind\u00e9pendants comme ZachXBT ou des plateformes ouvertes comme Arkham se mettent \u00e0 suivre l’argent bloc par bloc, \u00e0 \u00e9tiqueter les adresses et \u00e0 nommer le coupable pendant que les fonds sont encore en mouvement.<\/p>
C’est le paradoxe de la s\u00e9curit\u00e9 crypto en 2026. L’attribution n’a jamais \u00e9t\u00e9 aussi rapide: lors du vol de 1,5 milliard de dollars (environ 1,3 milliard d’euros) subi par Bybit en f\u00e9vrier 2025, l’analyste ZachXBT avait transmis \u00e0 Arkham des preuves reliant le groupe nord-cor\u00e9en Lazarus au casse en quelques heures, bien avant la confirmation du FBI, selon The Block<\/a>. Et pourtant, la r\u00e9cup\u00e9ration, elle, s’est effondr\u00e9e. Sur les 224 incidents recens\u00e9s au premier semestre 2026, seuls 16 ont donn\u00e9 lieu \u00e0 une restitution, soit 7,1 %, pour \u00e0 peine 10,86 % de la valeur vol\u00e9e, d’apr\u00e8s le cabinet Global Ledger<\/a>. Pendant que le taux de retour s’\u00e9croule, l’industrie de la traque, elle, prosp\u00e8re: TRM Labs est devenue une licorne en f\u00e9vrier et Elliptic a lev\u00e9 120 millions de dollars \u00e0 une valorisation de 670 millions.<\/p> Cet article passe en revue ces cabinets, comme HOGE Wire a d\u00e9j\u00e0 pass\u00e9 en revue les auditeurs de smart contracts. La diff\u00e9rence tient en une phrase, qui sert de fil rouge \u00e0 tout ce qui suit: tracer n’est pas r\u00e9cup\u00e9rer.<\/p> Un audit de smart contract est une promesse de pr\u00e9vention: il examine le code avant le d\u00e9ploiement et rend un rapport, pas un remboursement. L’enqu\u00eate on-chain est l’exact miroir: elle intervient apr\u00e8s, quand le vol a eu lieu, et son produit n’est pas une garantie mais une carte, celle du chemin emprunt\u00e9 par les fonds. Ces deux m\u00e9tiers r\u00e9pondent \u00e0 la m\u00eame question (qui prot\u00e8ge la DeFi ?) \u00e0 deux moments oppos\u00e9s du cycle de vie d’un exploit.<\/p> Or la forme des pertes en 2026 explique pourquoi le second m\u00e9tier a pris tant d’importance. Selon les donn\u00e9es de Global Ledger<\/a>, les exploits de contrats repr\u00e9sentent 150 des 224 incidents du premier semestre (67 %), mais une perte moyenne de 3,52 millions de dollars par cas. Les compromissions de cl\u00e9s priv\u00e9es, elles, ne comptent que 29 incidents, pour une moyenne de 15,52 millions de dollars, la plus \u00e9lev\u00e9e de toutes les cat\u00e9gories. Autrement dit, l’audit couvre le vecteur le plus fr\u00e9quent, rarement le plus co\u00fbteux. Le fondateur de CertiK, Ronghui Gu, r\u00e9sume la bascule sans d\u00e9tour dans Forbes<\/a>: selon lui, les attaquants obtiennent aujourd’hui un meilleur rendement en s’en prenant \u00e0 la gestion des cl\u00e9s, \u00e0 la gouvernance des multisig et \u00e0 l’infrastructure op\u00e9rationnelle qu’en cherchant des bugs dans le code.<\/p> Quand le vol passe par les cl\u00e9s et les humains plut\u00f4t que par une faille de code, l’auditeur n’a rien manqu\u00e9 au sens strict: le contrat s’est comport\u00e9 comme \u00e9crit. C’est justement l\u00e0 que la relance change de mains. L’auditeur ferme son dossier; le cabinet d’enqu\u00eate ouvre le sien. Reste \u00e0 savoir ce que ce dernier peut r\u00e9ellement faire, et ce qu’il ne pourra jamais promettre.<\/p> Le mat\u00e9riau de base de la forensique blockchain est une \u00e9vidence trop souvent oubli\u00e9e: une blockchain publique est pseudonyme, pas anonyme. Chaque transaction reste inscrite pour toujours, consultable par tous. Le travail du cabinet consiste \u00e0 transformer ce registre brut en renseignement exploitable. Trois techniques forment le c\u0153ur du m\u00e9tier.<\/p> La premi\u00e8re est le clustering d’adresses: regrouper des centaines d’adresses apparemment sans lien sous une m\u00eame entit\u00e9, gr\u00e2ce \u00e0 des heuristiques comme la propri\u00e9t\u00e9 commune des entr\u00e9es d’une transaction. La deuxi\u00e8me est l’\u00e9tiquetage (attribution): relier un cluster \u00e0 un acteur du monde r\u00e9el, exchange, mixeur, pont, protocole sanctionn\u00e9, en croisant fuites de donn\u00e9es, dossiers judiciaires et signaux publics. La troisi\u00e8me est l’analyse de graphes: suivre le flux \u00e0 travers des swaps, des ponts inter-cha\u00eenes et des services d’obscurcissement pour retrouver, au bout de la cha\u00eene, un point de sortie o\u00f9 les fonds redeviennent des euros ou des dollars.<\/p> Il faut distinguer deux usages qui se ressemblent mais n’ont pas la m\u00eame finalit\u00e9. Le screening (ou KYT, know your transaction) est pr\u00e9ventif: il alerte un exchange en temps r\u00e9el quand une adresse \u00e0 risque tente un d\u00e9p\u00f4t. L’investigation est r\u00e9trospective: elle reconstitue le parcours d’un vol d\u00e9j\u00e0 commis pour geler, saisir, ou t\u00e9moigner devant un tribunal. Les grands cabinets font les deux, mais c’est le second usage, plus spectaculaire, qui les rend c\u00e9l\u00e8bres \u00e0 chaque casse \u00e0 neuf chiffres.<\/p> Fond\u00e9e en 2014 \u00e0 New York, Chainalysis est le nom que citent en premier les procureurs, les agences et les tribunaux. La soci\u00e9t\u00e9 revendique plus de 1 500 organisations clientes et s’est impos\u00e9e comme la r\u00e9f\u00e9rence pour le tra\u00e7age inter-cha\u00eenes et le t\u00e9moignage judiciaire. Son rapport annuel, le Crypto Crime Report, est devenu la statistique de r\u00e9f\u00e9rence du secteur.<\/p> L’\u00e9dition 2026<\/a> chiffre \u00e0 3,4 milliards de dollars (environ 2,9 milliards d’euros) les fonds vol\u00e9s par piratage entre janvier et d\u00e9but d\u00e9cembre 2025, un montant d\u00e9pass\u00e9 seulement par l’ann\u00e9e 2022. Les trois plus gros casses concentrent \u00e0 eux seuls 69 % du total. Les hackers nord-cor\u00e9ens y auraient d\u00e9rob\u00e9 2,02 milliards de dollars sur la seule ann\u00e9e 2025, en hausse de 51 % sur un an, portant leur cumul historique \u00e0 6,75 milliards. Au-del\u00e0 du vol direct, Chainalysis estime \u00e0 17 milliards de dollars les pertes li\u00e9es aux arnaques, et rappelle que les adresses illicites ont re\u00e7u au moins 154 milliards de dollars en 2025, chiffres qui donnent la mesure du terrain de jeu des enqu\u00eateurs (Finance Magnates<\/a>).<\/p> Le mod\u00e8le \u00e9conomique de Chainalysis penche de plus en plus vers le secteur public: agences de renseignement, forces de l’ordre, r\u00e9gulateurs. Apr\u00e8s deux vagues de licenciements en 2023 et une valorisation revenue de ses sommets, la soci\u00e9t\u00e9 a rachet\u00e9 plusieurs acteurs, dont Alterya dans la d\u00e9tection de fraude, pour \u00e9largir son offre au-del\u00e0 de la seule conformit\u00e9. Sa force reste son bilan devant les cours: quand un dossier de blanchiment arrive au p\u00e9nal, c’est souvent une analyse Chainalysis qui sert de pi\u00e8ce \u00e0 conviction. Sa faiblesse est le revers de la m\u00eame m\u00e9daille: ses heuristiques propri\u00e9taires sont parfois contest\u00e9es par la d\u00e9fense, faute d’un standard public opposable.<\/p> Fond\u00e9e en 2018, TRM Labs est la grande histoire financi\u00e8re du secteur cette ann\u00e9e. En f\u00e9vrier 2026, la soci\u00e9t\u00e9 a boucl\u00e9 une s\u00e9rie C de 70 millions de dollars \u00e0 une valorisation de 1 milliard de dollars (environ 855 millions d’euros), d\u00e9crochant le statut de licorne avec la participation de Goldman Sachs et de Galaxy Ventures, et portant le total lev\u00e9 \u00e0 quelque 220 millions de dollars, selon CoinDesk<\/a>. La plateforme sert des clients dans plus de 50 pays, dont Circle, Coinbase et Stripe, et affiche une croissance de revenus sup\u00e9rieure \u00e0 150 % par an sur cinq ans.<\/p> La signature technique de TRM est son r\u00e9seau Beacon: quand un enqu\u00eateur signale une adresse contr\u00f4l\u00e9e par un attaquant, le syst\u00e8me trace automatiquement les fonds et diffuse une alerte \u00e0 plus de 30 plateformes membres en quasi temps r\u00e9el. L’id\u00e9e est de r\u00e9duire l’\u00e9cart entre l’attribution et l’action, de faire passer un d\u00e9lai de r\u00e9action compt\u00e9 en jours \u00e0 un signal compt\u00e9 en minutes. C’est la seule fa\u00e7on d’esp\u00e9rer geler des fonds avant qu’ils ne franchissent un pont ou un mixeur.<\/p> TRM est aussi la voix la plus \u00e9cout\u00e9e sur la menace nord-cor\u00e9enne. Le cabinet attribue 76 % de la valeur vol\u00e9e par piratage en 2026 aux groupes de la RPDC, l’essentiel provenant de deux attaques seulement, et estime \u00e0 plus de 6 milliards de dollars leur butin cumul\u00e9 depuis 2017 (The Block<\/a>). Son responsable des politiques publiques, Ari Redbord, insiste sur le tournant de l’IA offensive: dans Dark Reading<\/a>, il explique que les op\u00e9rateurs nord-cor\u00e9ens ont toujours \u00e9t\u00e9 de bons ing\u00e9nieurs sociaux, mais que l’IA fait tomber les contraintes qui limitaient historiquement leur pr\u00e9cision: barri\u00e8res linguistiques, temps n\u00e9cessaire pour b\u00e2tir des personnages cr\u00e9dibles, difficult\u00e9 de personnaliser les attaques \u00e0 grande \u00e9chelle. Il d\u00e9crit m\u00eame, \u00e0 propos du vol de 285 millions de dollars subi par Drift, des interm\u00e9diaires nord-cor\u00e9ens assis en face d’employ\u00e9s de protocole pendant des mois, un sc\u00e9nario qu’il juge in\u00e9dit dans la campagne de piratage de Pyongyang (CoinDesk<\/a>).<\/p> Elliptic est le plus ancien des trois grands. Fond\u00e9e \u00e0 Londres en 2013 par Tom Robinson, Adam Joyce et James Smith, la soci\u00e9t\u00e9 a invent\u00e9 l’analyse de blockchain \u00e0 une \u00e9poque o\u00f9 Bitcoin passait encore pour intra\u00e7able. En mai 2026, elle a lev\u00e9 120 millions de dollars (environ 103 millions d’euros) en s\u00e9rie D \u00e0 une valorisation de 670 millions, un tour men\u00e9 par One Peak avec Nasdaq Ventures, Deutsche Bank et la British Business Bank, d’apr\u00e8s FinTech Global<\/a>.<\/p> Sur le plan de la couverture, Elliptic met en avant des chiffres impressionnants: plus de 65 blockchains suivies, plus de 700 clients dans 30 pays et plus d’un milliard de transactions pass\u00e9es au crible chaque semaine, selon son communiqu\u00e9 officiel<\/a>. La soci\u00e9t\u00e9 revendique la couverture on-chain la plus large du secteur priv\u00e9. Son ADN reste la conformit\u00e9 et les sanctions: c’est souvent Elliptic qui, la premi\u00e8re, relie un service de blanchiment ou un mixeur \u00e0 un acteur sous sanctions, un travail moins m\u00e9diatique que l’attribution d’un casse, mais central pour couper les rampes de sortie de l’argent vol\u00e9.<\/p> La pr\u00e9sence au capital de la Deutsche Bank et de Nasdaq Ventures dit quelque chose de la trajectoire du secteur: la finance traditionnelle ach\u00e8te d\u00e9sormais la forensique blockchain comme un service d’infrastructure, au m\u00eame titre que la conformit\u00e9 anti-blanchiment classique. Le renseignement on-chain n’est plus un gadget crypto-natif, c’est un fournisseur de la banque.<\/p> Sous le trio de t\u00eate, un deuxi\u00e8me rang de sp\u00e9cialistes d\u00e9mocratise l’enqu\u00eate on-chain. Merkle Science, bas\u00e9e \u00e0 Singapour et fond\u00e9e en 2018 par Mriganka Pattnaik, mise sur un moteur de r\u00e8gles comportementales pour d\u00e9passer les simples listes noires; sa gamme r\u00e9unit la surveillance transactionnelle (Compass), le tra\u00e7age d’actifs (Tracker) et la due diligence (KYBB), avec une sp\u00e9cialit\u00e9 reconnue sur les cha\u00eenes multiples et les pools de liquidit\u00e9 (Tracxn<\/a>).<\/p> Global Ledger, de son c\u00f4t\u00e9, s’est fait un nom en publiant des recherches ouvertes sur la vitesse du blanchiment et les taux de r\u00e9cup\u00e9ration, une donn\u00e9e que les grands cabinets gardent souvent pour leurs clients. C’est son rapport du premier semestre 2026 qui fournit le chiffre le plus d\u00e9rangeant de tout ce dossier, celui du foss\u00e9 entre tra\u00e7age et restitution, que nous d\u00e9taillons plus bas. Cette floraison de challengers a une cons\u00e9quence pratique: l’attribution n’est plus le monopole de quelques soci\u00e9t\u00e9s, et un protocole victime peut aujourd’hui obtenir une premi\u00e8re piste en quelques heures, parfois gratuitement, via des enqu\u00eateurs qui n’existaient pas il y a cinq ans.<\/p> Le tableau ci-dessous r\u00e9sume les principaux acteurs institutionnels et leur positionnement. Les valorisations sont issues des tours de table les plus r\u00e9cents; elles ne mesurent pas la qualit\u00e9 d’une enqu\u00eate, mais elles disent o\u00f9 vont les capitaux.<\/p>Quand l’audit \u00e9choue, la traque commence<\/h2>
Ce que fait vraiment un cabinet d’enqu\u00eate on-chain<\/h2>
Chainalysis : le m\u00e8tre-\u00e9talon judiciaire<\/h2>
TRM Labs : la licorne qui trace en temps r\u00e9el<\/h2>
Elliptic : le pionnier britannique qui couvre 65 cha\u00eenes<\/h2>
Merkle Science, Global Ledger et la vague des challengers<\/h2>
Comparatif 2026 des cabinets d’enqu\u00eate on-chain<\/h2>