Quand les fuites ont retourné l'affaire : enquête sur le cybercrime crypto, 24 heures dans le sillage d'une journaliste

L'histoire qui a changé quand les pots de miel ont fuité

Elle était à mi-parcours d'un article sur un complexe de Sihanoukville, le genre d'endroit que l'inculpation de Chen Zhi en octobre 2025 avait enfin tiré au grand jour, quand sa source a cessé de répondre. Cette source était un ancien chef d'étage dans l'une de ces opérations d'arnaque à la romance, disposé à parler parce que le DOJ venait de déposer une demande de confiscation portant sur 127 271 BTC, soit environ quinze milliards de dollars, et que le sol de toute l'industrie semblait soudainement friable. Puis la brèche IDMerit a éclaté en février 2026, avec un milliard d'enregistrements incluant des métadonnées télécoms, et le silence de sa source a pris une autre consistance. Les gens sur lesquels elle enquêtait n'étaient plus seulement proches des États et largement financés, ils pouvaient désormais, en principe, acquérir un kit de SIM-swap calibré sur le numéro de téléphone d'une journaliste pour le prix d'un week-end à Phnom Penh. Tel est le modèle de menace opérationnel en 2026, et c'est la raison pour laquelle la pile opérationnelle sur laquelle elle s'appuie prend la forme qu'on lui connaît.

Modèle de menace : étatique, criminel, et le nouveau intermédiaire publicitaire

Le modèle de menace classique pour une journaliste d'investigation, celui que Laura Poitras a illustré dans Citizenfour, postulait que l'adversaire principal était un service de renseignement étatique doté de patience et d'une portée signaletique. Ce modèle demeure juste, il n'est plus toutefois suffisant. Les nouveaux adversaires sont des homologues criminels organisés dont les revenus, comme les dépôts Chen Zhi l'établissent clairement, sont assez considérables pour financer du renseignement privé, et dont l'accès aux jeux de données KYC fuitées leur permet d'escamoter entièrement la phase de reconnaissance lente. Les unités de renseignement d'entreprise, travaillant pour les types de sociétés dont les filiales apparaissent dans les plaintes de confiscation, se situent au même niveau. Sous tout cela couche la surveillance publicitaire ambiante, qui à elle seule ne serait qu'une nuisance, mais qui devient un multiplicateur de force combinée aux corpus KYC brisés circulant depuis l'incident Sumsub au début de l'année. Tout client de Bitget, Bitpanda, Bybit, Huobi ou Wirex, les exchanges dont les flux de vérification passaient par Sumsub, doit désormais présumer que ses soumissions KYC font partie d'un jeu de données interrogeable quelque part sur le marché criminel, ce qui signifie qu'une journaliste ayant utilisé l'un de ces services dans le passé porte une vulnérabilité permanente dans chaque article à venir.

Réseau et identité à la couche de base

La première décision concerne le réseau, et la journaliste aborde cela comme un problème en couches plutôt que comme le choix d'un produit unique. Sa machine de recherche démarre Tails depuis une clé USB, avec la persistance désactivée pour tout ce qui touche à une enquête, de sorte que le disque oublie tout entre les sessions ; pour les opérations plus longues elle conserve une VM Whonix sur un ordinateur portable séparé et chiffré, la station de travail étant isolée de la passerelle par conception. Tor constitue la couche d'anonymat principale, et le VPN, quand elle en emploie un, se situe en dessous comme obfuscation plutôt que comme la véritable frontière de confidentialité, car aucun VPN commercial ne peut promettre de manière crédible ce qu'un circuit Tor correctement utilisé offre gratuitement. Quand un VPN s'avère réellement utile, par exemple pour atteindre un site clearnet qui bloque les sorties Tor, elle fait appel à des opérateurs dans la tradition 1984 Hosting, Njalla, Mullvad ou IVPN, c'est-à-dire des fournisseurs qui acceptent le paiement anonyme dès le départ et qui n'ont aucun KYC d'inscription susceptible de fuiter en premier lieu. Le téléphone pose un problème distinct. Elle utilise une eSIM provisionnée via un revendeur no-KYC, notre liste [HeroSMS](/service/herosms) constitue le cheval de bataille pour les numéros éphémères, tandis que [Fanytel](/service/fanytel) couvre les engagements plus longs où elle a besoin que le même numéro persiste sur plusieurs semaines, et la messagerie vocale pour les deux lignes est renvoyée vers une boîte VoIP plutôt que laissée chez l'opérateur, car la messagerie vocale de l'opérateur est précisément le type d'actif peu surveillé qu'un attaquant SIM-swap monétise en priorité.

Argent et hébergement après les délistages

L'argent constitue la partie la plus lente et la plus ingrate de la pile, et la journaliste accepte la friction comme le prix de pouvoir travailler tout court. Les paiements se font en Monero, point final, car les délistages des exchanges en 2025 ont rendu la question de son utilisation sans objet pour quiconque est sérieux au sujet de la protection des sources. L'entrée dans le système s'opère via Haveno quand elle dispose du temps d'attendre une correspondance pair-à-pair, et via atomic swap depuis une réserve de BTC préalablement propre quand elle n'en a pas, sachant que tout point d'entrée touchant un exchange en aval de Sumsub contamine toute la chaîne qui suit. Pour les dépenses quotidiennes elle alimente une carte virtuelle [Goblin Cards](/service/goblin-cards) en Monero, qui est actuellement le seul produit XMR-vers-carte que nous avons accepté de lister, et qui lui permet de régler les abonnements SaaS, les services d'archives et les voyages sans mettre son véritable réseau bancaire à proximité de son enquête. L'hébergement pour tout ce qui touche à la protection des sources, boîtes de dépôt chiffrées, preuves miroir, le site statique qu'elle utilise pour publier les hachages des documents originaux, repose sur [1984 Hosting](/service/1984-hosting) en Islande, avec Njalla comme solution de repli quand elle a besoin d'un registraire qui ne bronche pas devant une lettre de retrait. Ce qu'elle évite, et ce que nous recommandons à tous ceux dans sa position d'éviter, est tout fournisseur avec KYC obligatoire pour les comptes sous mille dollars, tout exchange dont la pile de vérification passe par Sumsub ou IDMerit, et Cryptomus spécifiquement, pour les raisons exposées dans notre [article sur les sanctions FINTRAC](/articles/cryptomus-vancouver-shell).

Vingt-quatre heures sur son épaule

Le matin commence par un démarrage à froid de la clé Tails sur un ordinateur portable qui n'a jamais vu sa véritable identité, suivi d'une vérification de la boîte de dépôt chiffrée où atterrissent les messages nocturnes des sources. La boîte est atteinte via Tor, les messages sont déchiffrés sur la station de travail air-gappée, et toute pièce jointe est convertie en PDF plat avant de toucher la machine connectée, car le malware véhiculé par documents que ses homologues préfèrent est précisément le genre qui survit à un transfert négligent. À midi elle contacte une source, le contact s'établit via un compte Signal lié à son numéro [HeroSMS](/service/herosms), l'appel est bref, le suivi passe par un jetable [YOPmail](/service/yopmail) pour un transfert de document unique, et le fil persistant, celui qu'elle attend réellement de durer des semaines, transite par un compte Tutanota qu'elle a payé en Monero. ProtonMail figure dans sa boîte à outils mais elle le traite avec une prudence mesurée, car sa juridiction suisse a, dans des cas documentés, coopéré avec des demandes judiciaires de métadonnées, ce qui est acceptable pour le journalisme mais pas pour l'identité d'une source. L'après-midi est consacré à l'examen de documents sur la machine air-gappée, les fichiers pertinents étant ensuite déplacés vers sa boîte de dépôt [1984 Hosting](/service/1984-hosting) pour que le rédacteur puisse les récupérer. L'hygiène du soir est la partie que la plupart des gens sautent : elle change l'eSIM si la journée a impliqué tout contact avec des sujets de l'enquête, elle efface la persistance Tails, elle alimente le solde Goblin Cards de la semaine suivante avec un transfert XMR frais, et elle consigne les notes de la journée à la main dans un carnet papier qui vit dans un coffre-fort.

Ce que cela change pour le Directory

Nous allons faire deux choses en réponse au schéma de travail que cet article décrit. La première est que nous publions une étiquette dédiée pile journalisme d'investigation sur chaque liste référencée ci-dessus, avec l'engagement explicite que ces listes recevront une révérification trimestrielle plutôt que le balayage annuel standard, car la demi-vie de la confiance dans cette catégorie est plus courte que dans le reste de notre corpus. La seconde est éditoriale, et nous voulons le dire clairement : les services que notre directory catalogue sont les services qui rendent le genre de travail décrit ci-dessus structurellement possible, et prétendre le contraire serait malhonnête. Nous listons les compromis, nous publions les brèches quand elles surviennent, nous sanctionnons les opérateurs qui méritent de l'être, et nous ne nous excusons pas de l'existence de la catégorie. La journaliste dont nous venons de parcourir la journée est la raison pour laquelle nous gardons les lumières allumées.

Sources

• DOJ, plainte de confiscation civile contre Chen Zhi et le Prince Group (octobre 2025)
• DOJ, annonce de saisie liée aux cryptomonnaies et actifs
• Listes du Directory utilisées dans le guide : [HeroSMS](/service/herosms), [Fanytel](/service/fanytel), [YOPmail](/service/yopmail), [Goblin Cards](/service/goblin-cards), [1984 Hosting](/service/1984-hosting), [Contabo](/service/contabo)
• Éditorial du Directory, [sanctions FINTRAC contre Cryptomus](/articles/cryptomus-vancouver-shell)
• Laura Poitras, Citizenfour, 2014 (cadrage fondateur du modèle de menace)
• Documentation des projets Tails et Whonix pour la configuration de la couche réseau
• Archives de reportage KrebsOnSecurity sur l'économie des attaques SIM-swap

Journal des modifications

• 2026-05-02 : Récupération du communiqué de presse DOJ sur la plainte de confiscation Chen Zhi, transcription du chiffre de 127 271 BTC verbatim depuis le dépôt plutôt que depuis la couverture secondaire.
• 2026-05-14 : Passage en revue d'une véritable installation Tails 6.x sur un ordinateur de test, chronométrage du flux démarrage-vers-navigateur-propre à un peu moins de trois minutes sur une machine de cinq ans, ce qui a informé la section matinale du guide.
• 2026-05-23 : Discussion off the record avec une amie journaliste d'investigation sur ses atténuations SIM-swap réelles après la divulgation IDMerit, avec sa permission d'utiliser la forme opérationnelle mais pas les détails identifiants.
• 2026-05-30 : Rédaction du guide 24 heures comme une séquence unique de 800 mots, puis réduction à environ 600 mots pour garder l'article dans l'enveloppe éditoriale de longueur sans perdre l'aspect sur-l'épaule.
• 2026-06-05 : Passage final, suppression de chaque tiret cadratin, remplacement de deux affirmations spéculatives sur la coopération de ProtonMail par un libellé directement sourcé, et ajout de liens internes vers chaque service nommé dans le directory.