Auteur : BlockSec
Compilation : Deep Tide TechFlow
Introduction de Deep Tide : La société de sécurité blockchain BlockSec a effectué un suivi complet des fonds sur la chaîne d'une plateforme de Ponzi déguisée en entreprise de santé technologique de Hong Kong, VerilyHK. En 16 mois, la plateforme a traité environ 1,6 milliard de dollars USDT via le réseau TRON, utilisant 8 portefeuilles chauds de réception, 79 adresses de transit et 3 générations de canaux de retrait appariés, construisant une infrastructure industrielle de routage des fonds qui a finalement convergé vers le même exchange centralisé. Le flux de fonds implique également le groupe cambodgien Huione, sanctionné par le FinCEN.
Découverte principale : Une plateforme se faisant passer pour un groupe de santé technologique de Hong Kong a fait transiter environ 1,6 milliard de dollars USDT via le réseau TRON en 16 mois. Il s'agit d'un chiffre plafond incluant des cycles de fonds internes potentiels. L'analyse sur la chaîne révèle une infrastructure industrielle de routage des fonds : 8 générations de portefeuilles chauds de réception, 79 adresses de transition intermédiaires, 3 générations de canaux de retrait appariés (avec commutation en quelques secondes), et une sortie d'exchange partagée alimentée par des dizaines de milliers d'adresses de dépôt suspectes. Cet article reconstitue entièrement la topologie du chemin complet, du dépôt des victimes à la sortie vers l'exchange.
Contexte
VerilyHK se présente publiquement comme une plateforme d'investissement légitime en santé technologique basée à Hong Kong. Le nom lui-même est suspect : d'une part, Verily Life Sciences, une entreprise de santé de précision appartenant à Alphabet, axée sur les soins de santé et les dispositifs médicaux pilotés par l'IA ; d'autre part, une entreprise d'ingénierie environnementale cotée sur le marché A (code action : 300190), sans aucun lien avec la santé technologique ou les cryptomonnaies. Le texte du site web de VerilyHK prétend être spécialisé dans la santé IA, l'analyse de big data et les dispositifs médicaux, copiant presque mot pour mot le positionnement public du véritable Verily. Son discours marketing a également constamment évolué – du traitement par cellules immunitaires, des dispositifs portables d'électrocardiogramme, à la santé IA, au système de crédit santé, à la tokenisation des actifs de données, allant même jusqu'à affirmer avoir obtenu les licences de type 4 (conseil en valeurs mobilières) et de type 9 (gestion d'actifs) de la Securities and Futures Commission (SFC) de Hong Kong.
Légende : Capture d'écran de verilyhk.com sur Wayback Machine, montrant la page "À propos de nous" de la plateforme, affirmant fournir des solutions de gestion de la santé via l'IA, le big data et les dispositifs médicaux.
En avril 2025, le gouvernement du district de Heshan a publié un avertissement de risque, indiquant clairement que le projet présentait des "caractéristiques évidentes de vente pyramidale et de collecte illégale de fonds" et dépendait des "transactions en cryptomonnaies à l'étranger". Fin avril 2025, plusieurs plateformes de surveillance anti-fraude ont émis des alertes d'effondrement. La plateforme a cessé ses activités en février 2026.
Sur la base d'un volume de transactions sur la chaîne d'environ 1,6 milliard de dollars, l'ampleur de VerilyHK dépasse largement celle d'autres escroqueries de Ponzi en crypto déjà poursuivies par les régulateurs, y compris Forsage (300 millions de dollars, poursuivi par la SEC) et NovaTech (650 millions de dollars, poursuite de la SEC). Mais jusqu'à présent, aucune analyse publique sur la chaîne n'avait disséqué cette opération criminelle cryptographique.
Cet article ne s'appuie pas sur les avertissements publics mentionnés ci-dessus pour tirer des conclusions. Tout ce qui suit est basé sur l'analyse des données sur la chaîne du flux de fonds en stablecoin USDT sur TRON associé à cette plateforme, reconstituant couche par couche la véritable nature de son infrastructure interne.
Point de départ
L'enquête a commencé avec deux adresses TRON fournies par une victime : une adresse de dépôt et une adresse de retrait. Retracer le lien entre les deux a révélé non pas un chemin unique, mais tout un réseau de routage de fonds multi-niveaux et multi-générations.
Couche de réception : 8 générations de portefeuilles chauds en rotation sur 16 mois
VerilyHK ne dépendait pas d'une adresse de réception fixe. Il a utilisé au moins 15 adresses, organisées en 8 générations distinctes, tournées dans un ordre chronologique strict sur une période de 16 mois, d'octobre 2024 à février 2026.
Ces adresses ne fonctionnaient pas en parallèle. Elles formaient une chaîne de relais : la date de fin de chaque génération coïncidait exactement avec la date de début de la génération suivante. Ce modèle de transition au jour près s'est répété lors des 8 changements. Outre le timing de la transition, les générations adjacentes partageaient la plupart du réseau d'adresses de dépôt, avec un taux de chevauchement supérieur à 65 %, confirmant qu'elles étaient exploitées par la même entité, mais avec de nouveaux portefeuilles en rotation.
Le volume de transactions traité par chaque génération a augmenté de façon spectaculaire au fil du temps. Les premières générations traitaient des dizaines de millions de dollars par mois, mais à la sixième génération, le volume avait atteint des centaines de millions de dollars. La dernière génération a traité plus de 906 millions de dollars en moins de 4 mois. Le volume total cumulé de toutes les générations est d'environ 1,6 milliard de dollars.
Mais ces chiffres doivent être considérés comme des références plafond, et non comme le montant net des dépôts des utilisateurs. Ils proviennent de l'agrégation complète du graphe, incluant des transferts internes potentiels. Dans une structure de Ponzi, les "revenus" payés aux utilisateurs peuvent être réinvestis, entraînant le comptage multiple des mêmes fonds dans la couche de réception. L'explosion du volume de transactions vers la fin reflète probablement à la fois une croissance réelle et un cycle de fonds internes de plus en plus important.
Légende : Chronologie de la couche de réception, montrant le volume de transactions des 8 générations de portefeuilles chauds passant de 3 millions de dollars à 906 millions de dollars.
Couche intermédiaire : 79 adresses de transit convergent vers des hubs connus
Les fonds quittant les portefeuilles chauds de réception n'allaient pas directement vers la couche de retrait. Ils transitaient par 79 adresses de transition intermédiaires, chacune ayant très peu de sources entrantes, plusieurs destinations sortantes et un solde net proche de zéro. Plus de 80 % des fonds transitant ont finalement convergé vers quelques hubs de canaux de retrait identifiés.
Légende : Flux de fonds de la couche intermédiaire : des portefeuilles chauds de réception via des adresses de transit convergent vers des hubs de retrait identifiés.
La plupart de ces fonds étaient dirigés vers la couche de retrait, mais un nœud se distingue particulièrement. Un hub transgénérationnel a reçu des fonds de 75 % des adresses intermédiaires, couvrant 6 des 8 générations de réception, pour un total d'environ 240 millions de dollars. Mais sa structure en aval était clairement différente des canaux de retrait identifiés.
Le suivi sur la chaîne a révélé un lien financier direct entre ce hub et plusieurs adresses de portefeuille du groupe Huione. Huione est un groupe financier cambodgien, inscrit sur la liste du FinCEN américain l'interdisant d'accès au système financier américain. Côté entrées, au moins 4 portefeuilles chauds du groupe Huione ont transféré environ 4,6 millions de dollars au hub via une série d'adresses intermédiaires (minimum 5 sauts). Côté sorties, le hub a directement transféré des fonds à au moins 2 adresses de dépôt du groupe Huione, pour des montants de 4200 dollars et 1,5 million de dollars respectivement.
Ce flux de fonds entre le hub transgénérationnel et Huione indique que l'infrastructure de routage des fonds de VerilyHK a probablement utilisé le réseau de Huione comme canal de blanchiment d'argent. Ceci est cohérent avec la désignation du FinCEN : Huione est un "nœud clé du blanchiment d'argent pour les escroqueries d'investissement en monnaie virtuelle".
Légende : Flux de fonds entre le hub transgénérationnel et les portefeuilles chauds et adresses de dépôt du groupe Huione sanctionné.
Couche de retrait : Des canaux appariés à la sortie d'exchange partagée
La structure générationnelle côté retrait est identique à celle côté réception. Trois générations d'adresses de retrait ont été identifiées, avec un volume total de retrait d'environ 1,1 milliard de dollars. Comme pour la couche de réception, la transition entre les générations était précise à la seconde : les horodatages sur la chaîne montrent que l'arrêt du canal de deuxième génération et le démarrage du canal de troisième génération se sont produits au même moment. Ce modèle est difficile à expliquer par autre chose qu'un plan de commutation prédéfini par la même équipe opérationnelle.
Au sein de chaque génération, l'architecture suivait un modèle cohérent : une adresse de pont dédiée agrégeait d'abord les fonds de la couche intermédiaire, puis les transférait à une paire de canaux de retrait parallèles – une ligne principale et une ligne secondaire. Le temps de démarrage de chaque paire de canaux différait de quelques minutes, le temps d'arrêt de quelques secondes, mais le volume traité par l'un était toujours significativement plus élevé que l'autre. Cette structure "pont → retrait apparié" s'est répétée dans les trois générations, prouvant qu'il s'agissait d'une infrastructure conçue, et non de portefeuilles créés de manière ad hoc.
Légende : Couche de retrait montrant 3 générations de canaux appariés, chacun avec son propre réseau en aval largement indépendant, convergeant finalement vers une sortie d'exchange partagée.
En examinant de plus près la paire de canaux de troisième génération, on peut voir plus clairement ce degré de séparation. Le volume traité par un canal était environ 2,6 fois supérieur à l'autre. En comparant leurs 100 plus grosses contreparties de transaction en aval, le taux de chevauchement était de zéro. Bien qu'alimentés par les mêmes sources en amont et fonctionnant simultanément, ils opéraient des réseaux de distribution en aval complètement indépendants.
Ce que les deux lignes partageaient vraiment, c'était la sortie finale. Dans leurs petits transferts en aval, les deux lignes présentaient le même modèle : les fonds transitaient par des dizaines de milliers d'adresses à usage unique (chacune avec presque une seule entrée et une seule sortie), convergeant finalement vers le même portefeuille chaud d'un exchange centralisé (CEX) majeur. Mais même ici, les intermédiaires des adresses de dépôt des deux groupes étaient presque totalement indépendants – seulement 9 adresses partagées sur environ 60 000, comme deux tuyaux distincts se déversant dans le même exchange. Les données sur la chaîne confirment que les fonds sont entrés dans le pipeline de traitement de l'exchange, mais ne peuvent pas identifier les comptes utilisateur spécifiques derrière ces dépôts.
Vue d'ensemble : Un entonnoir à quatre couches
En résumant toutes les découvertes, l'architecture de routage des fonds sur la chaîne de VerilyHK formait un entonnoir clair en quatre étapes : extrêmement dispersé en frontal, hautement concentré au milieu, à nouveau dispersé au niveau du retrait, et finalement sorti via l'exchange.
Légende : Architecture à quatre couches de VerilyHK – Couche de dépôt, Couche de réception, Couche intermédiaire, Couche de pont, Retrait double ligne, Sortie d'exchange.
Le plus frappant est l'énorme volume de transactions (environ 1,6 milliard de dollars de flux de fonds sur la chaîne cumulés) et le degré de sophistication de l'infrastructure sous-jacente : des transitions de génération précises au jour près, des canaux de retrait appariés avec des réseaux en aval largement indépendants, des dizaines de milliers d'adresses de dépôt à usage unique convergeant vers une sortie d'exchange partagée.
Pour les équipes de conformité des exchanges, les caractéristiques structurelles documentées ici constituent des indicateurs heuristiques de détection actionnables, en particulier le modèle de dizaines de milliers d'adresses de dépôt à usage unique convergeant vers le même portefeuille chaud. Pour les enquêteurs et les autorités de régulation, cette architecture en couches explique pourquoi le suivi des fonds illégaux nécessite de dépasser une transaction unique pour reconstruire la topologie complète du réseau.
Toute l'analyse sur la chaîne de cet article a été réalisée à l'aide de l'outil d'analyse sur la chaîne MetaSleuth, qui fait partie de la suite anti-blanchiment et conformité de BlockSec. L'analyse suit la méthodologie du chemin à plus haute valeur, toutes les conclusions sont annotées avec la force des preuves et les limites applicables.
