Opération internationale : fermeture d'AudiA6 et Dark2Web
Eurojust allègue 336 millions d'euros de flux illicites et déclare que les enquêteurs ont trouvé plus de 6 000 dossiers KYC liés à des mules.
Une opération coordonnée s'étendant sur 11 pays a démantelé le service "mixer-as-a-service" AudiA6 et le forum de marché associé Dark2Web, ciblant l'infrastructure utilisée pour blanchir les produits liés aux rançongiciels. Les autorités allèguent qu'AudiA6 a traité plus de 336 millions d'euros de fonds illicites de 2022 à 2025 et ont saisi des domaines, des serveurs, des véhicules et environ 900 000 $ en cryptomonnaie.
Points clés
- Une opération conjointe de 11 pays coordonnée par Eurojust et Europol a fermé AudiA6 et le forum de marché associé Dark2Web.
- Les enquêteurs allèguent qu'AudiA6 a traité plus de 336 millions d'euros (environ 390 millions de dollars) de fonds illicites entre 2022 et 2025.
- Deux administrateurs présumés ont été arrêtés en Géorgie, accompagnés de saisies de 25 domaines, de plus de 30 serveurs et de 80 véhicules, ainsi qu'un gel d'environ 900 000 $ en cryptomonnaie.
- Plus de 6 000 dossiers KYC liés à des "comptes de mules à argent" ont été identifiés, liés à des identités volées ou achetées.
11 pays passent à l'action contre AudiA6 et Dark2Web
Une opération internationale de maintien de l'ordre impliquant les États-Unis, l'Australie, la France, la Pologne, la Géorgie, l'Islande, le Canada, l'Allemagne, le Japon, la Suisse et le Royaume-Uni a fermé AudiA6 et un forum connecté appelé Dark2Web.
La coordination s'est faite par Eurojust et Europol, pointant vers une affaire transfrontalière construite autour de l'infrastructure, et non d'un échange ou d'un rail de paiement d'une seule juridiction.
Les autorités ont arrêté deux administrateurs présumés en Géorgie décrits comme un ressortissant russe et un ressortissant ukrainien. Les enquêteurs ont également saisi 25 domaines et plus de 30 serveurs, ont pris 80 véhicules et ont gelé environ 900 000 $ encryptomonnaie. Les versions clearnet et dark web d'AudiA6 et Dark2Web ont été remplacées par des bannières de saisie.
La portée est importante pour la structure du marché car elle cible les infrastructures partagées. Détruire un « mixer-as-a-service » et le forum utilisé pour faire de la publicité pour des services illicites est une tentative de dégrader la pile de cash-out que plusieurs groupes criminels peuvent réutiliser, plutôt que de poursuivre une équipe de ransomware à la fois.
Ce qu'AudiA6 a vendu : un nettoyage d'une heure pour une commission de 3 % à 10 %
Eurojust a décrit AudiA6 comme un « mixer-as-a-service » qui offrait de « nettoyer » des cryptos en environ une heure pour une commission de 3 % à 10 %. En pratique, ce produit est axé sur la rapidité et la fiabilité.
Les opérateurs de ransomware et les courtiers ont besoin d'un turnover suffisamment rapide pour réduire le risque de saisie et suffisamment flexible pour être acheminé vers la prochaine étape, que ce soit un autre service, un intermédiaire OTC ou des comptes liés à des échanges.
Eurojust a également lié le même syndicat à Dark2Web, un forum de marché utilisé pour faire de la publicité pour des services illicites et connecter des cybercriminels dans le monde entier. Associer un service de blanchiment à un forum de distribution est un multiplicateur de force. Cela raccourcit le chemin de « besoin d'un cash-out » à « voici le vendeur », ce qui est exactement ce que l'application de la loi essaie de briser.
L'échelle sur la chaîne : 10 333 BTC acheminés via les portefeuilles AudiA6
Les autorités allèguent qu'AudiA6 a traité plus de 336 millions d'euros (environ 390 millions de dollars) de fonds illicites entre 2022 et 2025. Par ailleurs, Chainalysis a estimé que les portefeuilles AudiA6 avaient reçu environ 10 333 BTC depuis 2021, évalués à environ 389 millions de dollars au moment des transactions.
Ce débit positionne AudiA6 comme un lieu de blanchiment significatif, même si le gel immédiat des cryptos divulgué jusqu'à présent, d'environ 900 000 dollars, est faible par rapport au volume total allégué. Pour les traders et les équipes de conformité, le décalage est familier.
Les démantèlements d'infrastructure commencent souvent par une perturbation d'accès et une capture de preuves, tandis que des plus grandsactifla récupération peut prendre du retard ou ne jamais se matérialiser complètement.
Eurojust a déclaré que le blanchiment reposait sur des milliers de comptes frauduleux utilisant des identités volées ou achetées, avec plus de 6 000 enregistrements KYC liés à des « comptes de mules à argent ». Beaucoup étaient connectés à des intermédiaires russophones recrutés pour déplacer des produits par le biais d'échanges crypto.
Ce détail est le pont entre l'obfuscation on-chain et la liquidité off-chain, et c'est là que le risque d'échange a tendance à se manifester.
Signaux que les traders devraient suivre après une opération de mixer
Le premier signal est de savoir s'il y a des avis d'exécution ou des désignations de sanctions liés à l'infrastructure d'AudiA6 et de Dark2Web, y compris des clusters de portefeuilles supplémentaires, des domaines ou des rebranding de services. Les saisies initiales suggèrent que les enquêteurs avaient suffisamment d'accès pour cartographier les dépendances, ce qui peut étendre le rayon d'explosion au-delà des deux marques saisies.
Deuxièmement, surveillez les avis de conformité des échanges qui font référence à des modèles de mule-KYC ou à des indicateurs spécifiques liés aux plus de 6 000 enregistrements identifiés. Si des plateformes majeures opérationnalisent ces indicateurs, la friction se manifeste par un débit plus lent pour les flux suspects et une pression plus élevée de faux positifs pour les contreparties limites.
Troisièmement, la surveillance on-chain devrait se concentrer sur la question de savoir si les dépôts augmentent dans d'autres services de mixage ou des clusters nouvellement créés qui imitent la promesse de « nettoyage rapide » d'AudiA6. La perturbation a tendance à rediriger le volume avant de le réduire.
Enfin, les mises à jour d'Eurojust et d'Europol sur les accusations, les suspects nommés ou les totaux d'assets gelés élargis clarifieront s'il s'agit d'une perturbation ponctuelle ou du début d'une campagne plus large contre les rails de blanchiment.
Ce que ce modèle d'exécution signifie pour les routes de liquidité et le risque de conformité
Je considère cela comme une frappe d'infrastructure, pas comme une victoire accrocheuse contre une marque de ransomware. La combinaison d'une fermeture de mixer, d'une opération de forum et de plus de 6 000 enregistrements KYC liés à des mules indique que l'exécution s'oriente vers des rails de retrait partagés sur lesquels plusieurs groupes comptent.
Le seuil qui compte est de savoir si la suppression produit des effets durables de second ordre : un resserrement des règles d'échange autour des modèles de mules et un reroutage visible sur la chaîne vers un petit ensemble de services de remplacement.
Si la perturbation d'accès et les réponses de conformité persistent, la configuration commence à sembler structurelle plutôt que guidée par le récit, et c'est à ce moment-là que les routes de liquidité etle risque de contrepartiese revalorisent réellement.
