Droit crypto/Niveau V · Créateurs et émetteurs/5.2 Les règles financières/Leçon 6

Tornado Cash : des sanctions sur du code

Comment les États-Unis ont sanctionné un ensemble de smart contracts, pourquoi la cinquième cour d'appel a estimé que le code immuable n'est pas une propriété susceptible d'être bloquée, et ce que cette décision laisse ouvert pour les développeurs.

Ceci est une ressource éducative et non un conseil juridique, fiscal ou en investissement. Le droit des crypto-actifs varie d'un pays à l'autre et d'un État à l'autre, et évolue souvent. Avant d'agir, vérifiez les règles en vigueur là où vous vivez auprès d'un avocat ou d'un conseiller fiscal qualifié.

La voie la plus légère

La voie la moins chère, la moins imposée, la plus simple et la plus discrète que permet la loi, de la meilleure à la moins bonne. Chaque étape indique la règle sur laquelle elle repose et la condition qui la maintient dans la légalité.

Lire, copier, publier et enseigner le code de Tornado Cash n'a jamais été interdit par les FAQ de l'OFAC de 2022. Partager du code en open source est libre et licite, à condition de ne pas transiger avec des parties sanctionnées.
Van Loon (5th Cir., 26 nov. 2024) a statué que les contrats immuables que personne ne possède ne sont pas une propriété bloquable. Cela lie uniquement le Texas, la Louisiane et le Mississippi, et Tornado Cash a été retiré de la liste le 21 mars 2025.
Les contrats modifiables, les clés d'administration, les interfaces frontales, les relais (relayers) et les entreprises peuvent toujours être sanctionnés ; si vous conservez l'un de ces éléments, effectuez un contrôle croisé avec la liste SDN. Des mélangeurs exploités par des opérateurs comme Blender.io et Sinbad ont été inscrits sur cette liste.
Si vous recevez du « dusting » depuis une adresse sanctionnée, signalez-le à l'OFAC. L'OFAC a déclaré qu'il ne prioriserait pas les poursuites contre des personnes américaines ayant reçu du dusting et signalant tardivement sans autre lien avec les sanctions ; signalez donc rapidement dans tous les cas.
Rendre un code immuable peut limiter la portée des sanctions, mais cela supprime aussi tout moyen d'empêcher un usage abusif, ce qu'un tribunal néerlandais a retenu contre Pertsev. Évaluez cet arbitrage avant de déployer.

MatérielCommuniqué de presse du Trésor américain jy0916, « U.S. Treasury Sanctions Notorious Virtual Currency Mixer Tornado Cash » (8 août 2022)Van Loon v. Department of the Treasury, No. 23-50669 (5th Cir. 26 novembre 2024)Le jugement final modifié dans l'affaire Van Loon, No. 1:23-CV-312-RP (W.D. Tex. 28 avril 2025)Déclaration du Trésor américain intitulée « Tornado Cash Delisting » (21 mars 2025)

Curiosité

Comment un gouvernement peut-il sanctionner un logiciel que personne n'exécute ?
Depuis Van Loon, un contrat intelligent peut-il encore être inscrit sur la liste SDN ?
A-t-il déjà été illégal de lire ou de publier le code de Tornado Cash ?

Explorer

Tornado Cash, créé en 2019, est un « mixer » sur Ethereum : les utilisateurs déposent des montants fixes dans des smart contracts de pool et retirent ensuite vers une adresse différente en présentant une preuve cryptographique, ce qui rompt le lien visible entre l'expéditeur et le destinataire. Selon la cinquième cour d'appel, les contrats de pool étaient initialement modifiables (« mutables »), mais en 2020 les développeurs les ont rendus irréversiblement « immuables », si bien que personne, y compris leurs créateurs, ne pouvait plus les modifier ou les supprimer. D'autres composants sont restés modifiables, notamment des contrats de gouvernance contrôlés par les détenteurs du jeton TORN et un registre de relayers, des tiers qui soumettent les retraits pour le compte des utilisateurs. Ce mélange de composants contrôlables et incontrôlables a façonné la bataille juridique.
Le 8 août 2022, l'OFAC a inscrit Tornado Cash sur la liste SDN en vertu du décret exécutif 13694, un ordre de sanctions ciblant le cybercrime. Le Trésor américain a déclaré que ce mixer avait servi à blanchir plus de 7 milliards de dollars depuis 2019, dont plus de 455 millions de dollars volés par le groupe Lazarus de la Corée du Nord, plus de 96 millions de dollars issus du piratage du pont Harmony en juin 2022 et au moins 7,8 millions de dollars provenant du piratage de Nomad en août 2022. L'inscription désignait les adresses Ethereum des smart contracts comme identifiants, si bien que toute personne américaine envoyant ou recevant des fonds depuis ces adresses risquait une violation. Le 8 novembre 2022, l'OFAC a redésigné Tornado Cash en y ajoutant des autorités liées à la Corée du Nord.
En septembre 2022, l'OFAC a publié quatre questions-réponses (FAQ) sur cette désignation. Elles indiquaient que les personnes américaines n'étaient pas interdites de copier le code en open source et de le publier en ligne, ni d'en discuter, d'enseigner à son sujet ou de l'inclure dans des publications telles que des manuels scolaires, sauf si d'autres faits s'y opposaient. Les utilisateurs ayant des transactions bloquées dans les pools pouvaient demander une licence spécifique pour les finaliser. Concernant le « dusting » (envoi de micro-montants non sollicités), lorsque quelqu'un envoie de petites sommes depuis Tornado Cash vers des adresses d'inconnus, l'OFAC a déclaré qu'il ne prioriserait pas les poursuites contre les personnes américaines qui signaleraient tardivement, s'il n'y avait aucun autre lien avec les sanctions. Les FAQ traçaient une ligne entre le code en tant qu'information et la transaction avec les contrats.
Six utilisateurs de Tornado Cash ont intenté un procès au Texas. Le tribunal de district a donné raison au Trésor, mais le 26 novembre 2024, la cinquième cour d'appel a infirmé cette décision dans l'affaire Van Loon v. Department of the Treasury. Écrivant au nom du panel, le juge Willett a statué que les smart contracts immuables ne sont pas la « propriété » d'un ressortissant ou d'une entité étrangère au sens de la loi sur les pouvoirs économiques internationaux en cas d'urgence (International Emergency Economic Powers Act), car la propriété désigne quelque chose susceptible d'être possédé, et qu'ils ne peuvent donc pas être bloqués et que l'OFAC a excédé ses prérogatives. La cour a suggéré que le Congrès pourrait mettre à jour cette loi de 1977 pour des technologies comme les mixers. Une action parallèle intentée par le groupe de défense Coin Center avait été rejetée par un tribunal de district en Floride et était en appel.
Le 21 mars 2025, le Trésor a retiré Tornado Cash de la liste SDN, déclarant avoir « exercé notre discrétion » après examen de nouvelles questions juridiques et politiques, tout en restant « profondément préoccupé » par les piratages et le blanchiment d'origine nord-coréenne. Le 28 avril 2025, le tribunal de district du Texas a rendu un jugement final modifié déclarant l'action de l'OFAC illégale, l'a annulée et a interdit définitivement au Trésor de la faire appliquer. En juillet 2025, la onzième cour d'appel, sur demande conjointe, a annulé le verdict de Floride et ordonné le rejet du dossier de Coin Center. La question des sanctions était réglée pour ces contrats ; les affaires pénales contre les développeurs se poursuivaient séparément (leçon 5.2.7).
Le principe retenu est étroit. Il concerne un code immuable que personne ne possède ni ne contrôle, et il lie uniquement les tribunaux fédéraux du Texas, de la Louisiane et du Mississippi. Les contrats modifiables avec des clés d'administration, les sites web frontaux, les relayers, les entreprises, les DAO qui exercent un contrôle et les personnes derrière elles peuvent toujours être sanctionnées, et l'OFAC avait déjà inscrit des mixers exploités par des opérateurs tels que Blender.io en mai 2022 et Sinbad en novembre 2023. Pour les développeurs, l'immutabilité peut limiter la portée des sanctions mais supprime aussi tout moyen d'empêcher un usage abusif, un point que le tribunal néerlandais a retenu contre Alexey Pertsev dans son affaire (leçon 5.2.7). Un contrôle pratique : énumérez chaque composant de votre système qu'une personne peut encore mettre à jour, mettre en pause ou désactiver.

Faits clés

L'OFAC a désigné Tornado Cash le 8 août 2022 en vertu du décret exécutif 13694.
Le Trésor américain a déclaré que Tornado Cash avait servi à blanchir plus de 7 milliards de dollars depuis 2019, dont plus de 455 millions de dollars volés par le groupe Lazarus.
Le 26 novembre 2024, la cinquième cour d'appel a statué dans l'affaire Van Loon v. Department of the Treasury que les smart contracts immuables de Tornado Cash ne constituent pas une propriété au sens de l'IEEPA.
Le Trésor américain a retiré Tornado Cash de la liste SDN le 21 mars 2025.
Le 28 avril 2025, le district fédéral du Texas a annulé l'action de l'OFAC concernant Tornado Cash et a prononcé une injonction permanente contre son application.
Les premières sanctions de l'OFAC visant un mixer de monnaie virtuelle ont ciblé Blender.io en mai 2022.

Exercice neuf, six, trois, un

9RassemblerÉnumérez jusqu'à 9 composants du système de smart contract que vous utilisez ou développez, tels que des contrats principaux, un proxy de mise à jour (upgrade proxy), une clé d'administration ou de pause, un jeton de gouvernance, un site web, un relayer ou un indexeur (certaines listes sont plus courtes).

6RegrouperClassez-les en 6 catégories : code immuable, code modifiable, clés détenues par une personne physique, clés détenues par une DAO, services hors chaîne opérés par quelqu'un, et des composants dont vous ne pouvez pas déterminer le contrôle.

3DistillerRéduisez ces 6 catégories à 3 groupes : les composants que le raisonnement de l'arrêt Van Loon peut couvrir, ceux qu'une personne possède ou contrôle, et ceux que vous devez investiguer.

1CristalliserRédigez une phrase expliquant ce que la décision Van Loon a tranché au sujet des smart contracts immuables et un point qu'elle n'a pas décidé.

Vérification des faits

Les dates, les chiffres et les affirmations ont été vérifiés à l’aide des sources publiées listées ci-dessous.

Ouvrir dans l'académie interactive →

EN PT ES ZH JA KO RU DE MS