Darknet : 354 arrestations et 234 millions de dollars saisis par l’opération TorNado, sans part crypto connue

L’opération TorNado, un coup de filet contre les vendeurs et les acheteurs de drogue du darknet mené par les polices de 14 pays, a abouti à 354 arrestations, ont annoncé le département américain de la Justice et Europol le jeudi 12 novembre. Le communiqué américain, publié par la DEA pour l’équipe JCODE du département de la Justice, chiffre les saisies à plus de 234 millions de dollars « en espèces et en monnaies virtuelles », auxquels s’ajoutent environ 5,7 tonnes de drogues, 38 presses à comprimés et 209 armes à feu. Europol présente le même butin comme plus de 210 millions d’euros d’avoirs criminels.

Aucun des deux communiqués ne dit quelle part de cet argent était en cryptomonnaies. Ils ne distinguent pas les espèces du bitcoin, du monero ou de toute autre crypto, et n’indiquent aucun montant par actif. Pour une opération fondée sur le traçage des paiements, c’est le chiffre que les lecteurs crypto voudraient le plus voir, et blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il n’est pas public.

L’opération s’est déroulée de mai 2025 à octobre 2026. Les autorités américaines y voient le plus grand démantèlement de l’histoire de JCODE, la Joint Criminal Opioid and Darknet Enforcement team créée en 2018, et la sixième action internationale de ce type. Le directeur du FBI, Kash Patel, l’a décrite comme « le plus grand coup de filet interagences contre les vendeurs et acheteurs de drogue du dark web à ce jour ». Ces superlatifs sont ceux des responsables eux-mêmes.

Arrestations sur le darknet : 132 aux États-Unis, 59 au Royaume-Uni

L’annonce d’Europol et le communiqué de la DEA donnent le même total et le même chiffre pour tous les pays sauf un. La DEA compte deux arrestations en Australie, le tableau d’Europol une seule. Seuls les chiffres de la DEA font bien 354 (ceux d’Europol donnent 353), c’est donc eux que reprend le tableau. Le Monténégro n’a procédé à aucune arrestation : sa police a mené un « knock and talk », une visite à domicile pour interroger les personnes qui y vivent.

Selon Europol, les cibles étaient des vendeurs et des acheteurs, actifs sur les grandes places de marché mais aussi sur des forums, des boutiques de vendeur unique et des messageries chiffrées. La DEA affirme qu’ils ont réalisé des dizaines de milliers de ventes aux États-Unis, en Europe, en Australie et en Nouvelle-Zélande.

Plus de 60 millions d’euros saisis en Europe, 166 millions de dollars aux États-Unis

Europol ventile les saisies par région, ce qui aide à lire les deux totaux des titres. En Europe, les polices ont pris 950 kilogrammes de drogues, 57 armes à feu et « plus de 60 millions d’euros en espèces et en cryptomonnaies ». Les plus grosses saisies de drogue sont 150 kilogrammes d’amphétamines en Allemagne, 150 kilogrammes de kétamine au Royaume-Uni, 40 kilogrammes de MDMA aux Pays-Bas et 50 kilogrammes de cannabis en France, auxquels s’ajoutent plus d’un million de comprimés de médicaments sur ordonnance.

Aux États-Unis, l’agence compte plus de 4,8 tonnes de drogues, 152 armes à feu et plus de 150 millions d’euros, qu’elle convertit en 166 millions de dollars, là encore en espèces et en cryptomonnaies. En additionnant les deux régions, on retrouve les 209 armes à feu, les quelque 5,7 tonnes de drogues et les 210 millions d’euros des titres. Les 234 millions de dollars du communiqué de la DEA semblent correspondre aux mêmes saisies comptées en dollars et arrondies autrement, et non à une seconde cagnotte.

Quelle part des 234 millions de dollars est en crypto ?

Les communiqués ne la donnent pas, et leur formulation ne permet pas de la déduire. La DEA écrit « espèces et monnaies virtuelles ». Europol écrit « espèces et cryptomonnaies », région par région. La déclaration de Patel parle de « 234 millions de dollars en cryptomonnaies et en espèces », dans cet ordre, sans répartition non plus.

Ce n’est pas une première. Les communiqués d’Europol sur Dark HunTor (2021), SpecTor (2023) et RapTor (2025) donnent eux aussi un chiffre unique pour les espèces et les monnaies virtuelles réunies. Des montants crypto distincts n’apparaissent dans ces pages que pour des fermetures de places de marché : 3,6 millions d’euros en cryptomonnaies lorsque la police italienne a fermé les marchés DeepSea et Berlusconi en 2021, et 23 millions d’euros en cryptomonnaies saisis par les autorités allemandes à la fermeture de Hydra en avril 2022.

Les communiqués ne disent pas non plus quelles cryptos ont été prises, si du monero a été saisi, ni quelle part a été convertie ou reste dans des portefeuilles publics. Les règles de saisie des cryptos détenues à l’étranger évoluent d’ailleurs : en octobre, l’Union européenne et huit États ont signé un traité du Conseil de l’Europe pour saisir les cryptos criminelles par-delà les frontières. Tant que les pièces de procédure de chaque affaire n’auront pas été lues une à une, la part crypto de TorNado restera une question ouverte.

Cinq marchés étaient déjà fermés : TorNado a visé leurs utilisateurs

TorNado n’a pas annoncé la fermeture d’un nouveau marché. L’opération prolonge la saisie de cinq d’entre eux : Archetyp, Bohemia, Nemesis, Kingdom et Tor2Door. Quand la police saisit l’infrastructure d’un marché, elle récupère ses données. Lors des précédents coups de filet, Europol en a tiré ce qu’elle appelle des paquets de renseignement, que les polices nationales ont ensuite utilisés pour ouvrir leurs propres enquêtes.

Le modèle est explicite dans les documents d’Europol. Son communiqué sur RapTor de mai 2025 décrivait la fermeture d’un marché comme « le début des enquêtes de suivi » plutôt que la fin de l’histoire. Pour TorNado, Europol indique que ses équipes d’analyse criminalistique et blockchain ont « tracé des transactions illicites », tandis que les autorités nationales menaient leurs propres enquêtes et recoupaient les données via SIENA, le réseau sécurisé d’échange d’informations de l’agence.

Côté américain, des comptes de vendeurs ont été « identifiés et attribués à de vraies personnes » sur des marchés dont DrugHub et Archetyp, selon la DEA. Un pseudonyme de vendeur du darknet ne sert à rien à un procureur tant qu’il n’est pas relié à une personne dotée d’une adresse.

Comment l’argent a été suivi dans l’affaire BarbaraWhite

L’exemple public le plus clair de la méthode vient de l’un des dossiers que la DEA range désormais sous TorNado. Le 28 août, le département de la Justice a annoncé l’arrestation en Floride de deux frères, Stanislav Chernyshov, 30 ans, de nationalité russe, et Vladislav Chernyshov, 35 ans, citoyen américain naturalisé. Selon l’accusation, ils géraient « BarbaraWhite », un vendeur de fausses pilules d’oxycodone M30 coupées avec des nitazènes, des opioïdes de synthèse qui peuvent être aussi puissants que le fentanyl, voire davantage. Ils sont poursuivis dans le district Est de la Virginie et encourent chacun jusqu’à 20 ans de prison en cas de condamnation.

Le 8 septembre, la société d’analyse blockchain Chainalysis a publié le détail du traçage des cryptos, à partir de l’affidavit du FBI. Les enquêteurs ont d’abord trouvé, dans les données d’une autre enquête, les adresses bitcoin que BarbaraWhite aurait utilisées pour retirer ses gains du marché. L’affidavit comprend un graphe réalisé avec Chainalysis Reactor, le logiciel de traçage de la société, qui montre des fonds circulant entre ces portefeuilles et des adresses liées à de probables acheteurs et à d’autres vendeurs.

Le lien avec une personne est venu des bords du graphe. Selon Chainalysis, les portefeuilles du vendeur avaient des « interactions communes » avec des portefeuilles remontant jusqu’au compte de paiement mobile de Stanislav. Les enquêteurs ont combiné cet indice avec des données de marché, des relevés postaux, des filatures et des achats sous couverture.

Les chiffres de l’affidavit, tels que Chainalysis les rapporte, sont modestes à côté du total de TorNado. Le groupe de portefeuilles a reçu environ 220 000 $ des marchés du darknet et en a envoyé environ 230 000 $, dont des paiements à un service postal, à un autre vendeur de drogue et environ 7 210 $ à un fournisseur chinois de produits chimiques de recherche qui, selon les enquêteurs, a fourni les nitazènes. Les registres de trois marchés, Nemesis, Bohemia et Abacus, font état de plus de 95 000 fausses pilules vendues, et le vendeur est lié à au moins 12 surdoses, dont trois décès. Il s’agit d’allégations : rien de tout cela n’a été prouvé devant un tribunal.

Le bitcoin laisse une trace publique, les marchés 100 % Monero non

L’affaire montre pourquoi le bitcoin est un mauvais outil pour rester caché. Chaque transaction bitcoin est inscrite sur un registre public que n’importe qui peut lire pour toujours. Les adresses ne portent aucun nom, mais la piste entre elles est ouverte, et il suffit d’une adresse rattachée à un compte identifié, sur une plateforme d’échange ou une application de paiement qui vérifie l’identité, pour mettre un nom sur tout un groupe. Notre fiche du glossaire sur le KYC (Know Your Customer) explique pourquoi ces contrôles d’identité comptent autant pour les enquêteurs.

Certains marchés ont répondu en refusant le bitcoin. La DEA décrit DrugHub comme un marché « uniquement Monero ». Le Monero (XMR) masque par défaut les expéditeurs, les destinataires et les montants, si bien que l’analyse de portefeuille à portefeuille employée contre BarbaraWhite ne fonctionne pas de la même façon. Un dossier de TorNado se situe là : Alexander Green, 32 ans, arrêté en juin et poursuivi dans le district Sud de l’Ohio, est accusé d’avoir vendu du fentanyl et d’autres drogues sur DrugHub sous le nom STARLABS, une activité que le parquet relie à deux décès par surdose.

Le communiqué ne dit pas comment Green a été identifié, et affirmer que la piste Monero a été percée relèverait de la conjecture. Ce que le dossier montre, c’est que les monnaies de confidentialité protègent la chaîne, pas le reste. Quand un service d’échange de Monero a vu ses registres fuiter le mois dernier, la chaîne est restée privée, mais pas la base de données. Les étiquettes d’expédition, les serveurs saisis et le moment où les coins sont échangés contre de l’argent dépensable restent des points faibles.

Quatre coups de filet depuis 2021, de 150 à 354 arrestations

Europol présente TorNado comme le dernier d’une série ouverte par DisrupTor en 2020 (179 arrestations). Les chiffres ci-dessous viennent des communiqués d’Europol sur Dark HunTor, SpecTor, RapTor et TorNado. Chaque ligne de saisies mélange espèces et monnaies virtuelles.

Les arrestations ont plus que doublé entre 2021 et 2026, et les sommes saisies ont été multipliées par environ huit en euros. La comparaison a ses limites. Chaque coup de filet a suivi des fermetures de marchés différentes, s’est étalé sur une période différente et a mobilisé un ensemble de pays différent : la tendance en dit autant sur la taille des bases de données saisies que sur celle du trafic.

SpecTor a aussi livré un détail sur la façon dont les opérateurs de marchés blanchissent leurs cryptos. Europol a indiqué que l’opérateur présumé de Monopoly Market, extradé d’Autriche vers les États-Unis en juin 2023, avait utilisé au moins deux services d’échange de cryptos pour déplacer ses gains d’une blockchain à l’autre avant de revendre les coins à des négociants en Serbie contre du liquide.

23 arrestations en France, l’Italie hors de TorNado

En France, la Gendarmerie nationale a participé à l’opération et procédé à 23 arrestations, avec 50 kilogrammes de cannabis parmi les saisies européennes. C’est moins que les 29 arrestations françaises de RapTor en 2025, mais bien plus que les cinq de SpecTor en 2023. Europol ne donne aucun chiffre français pour les cryptos. La France se place ainsi au cinquième rang du tableau, derrière les États-Unis, le Royaume-Uni, la Hongrie et l’Allemagne.

L’Italie ne figure pas parmi les 14 pays de TorNado, et aucune agence italienne n’apparaît dans l’une ou l’autre liste de participants. Elle avait pris part à Dark HunTor en 2021, avec quatre arrestations et les fermetures de DeepSea et de Berlusconi. En Europe, les plus gros contingents de cette édition viennent du Royaume-Uni (59), de la Hongrie (45) et de l’Allemagne (41).

Ce que les lecteurs doivent retenir de l’opération TorNado

Pour quiconque pense qu’un achat sur le darknet payé en bitcoin est anonyme, le bilan de ces coups de filet dit le contraire. Les acheteurs ont été visés autant que les vendeurs, et Europol avait averti après SpecTor que l’accès aux listes d’acheteurs des vendeurs exposait des milliers de clients à des poursuites. L’avertissement d’Europol de 2021 reste d’actualité : utiliser le dark web à des fins criminelles peut mener en prison dans plusieurs pays. Les pilules portent leur propre risque : les pilules « FENT FREE » de BarbaraWhite contenaient souvent des nitazènes, selon Chainalysis.

Pour les détenteurs de crypto ordinaires, TorNado rappelle surtout à quel point les blockchains publiques sont traçables. La même analyse qui cartographie les portefeuilles d’un vendeur de drogue peut cartographier ceux de n’importe qui, dès qu’une adresse est reliée à un nom. Jarod Koopman, le responsable d’IRS Criminal Investigation, a résumé la logique des enquêteurs : les réseaux criminels « ne peuvent pas fonctionner sans argent ».

Les enquêtes se poursuivent dans plus de 20 districts américains

La DEA indique que TorNado a mené à des dizaines de poursuites fédérales, conduites dans plus de 20 districts, du district Central de Californie au district Ouest du Wisconsin, et que plusieurs enquêtes cherchent encore à identifier les personnes derrière des comptes du darknet. Les prévenus cités sont inculpés, non condamnés, et présumés innocents.

Europol s’attend à ce que le trafic se déplace plutôt qu’il ne s’arrête. Son évaluation 2026 de la menace de la criminalité organisée sur Internet, citée dans le communiqué sur TorNado, évoque l’éclatement des marchés en plateformes spécialisées, le mélange de forums et de messageries chiffrées, et le remplacement rapide de tout marché fermé. La DEA renvoie vers les pièces de procédure des dossiers américains depuis son communiqué ; tout détail sur les cryptos de TorNado au niveau des portefeuilles devrait venir de documents de ce type.