Shelbit sanctionné pour blanchiment de 6,3 milliards $ en crypto

Douze constats issus de la désignation

• L’OFAC a sanctionné Shelbit, Siavash Kayvanpour et des véhicules corporatifs associés aux Émirats arabes unis, en Pologne et en Géorgie le 7 août 2026, parallèlement à une désignation séparée d’Aban Tether basé en Iran, pour exposition à l’IRGC et blanchiment de recettes de jeux d’argent.
• Entre mai 2024 et mars 2026, TRM a tracé plus de 6,3 milliards USD transitant par l’infrastructure blockchain de Shelbit — une opération crypto non licenciée enregistrée à Dubaï, dotée de contrôles de conformité factices.
• Les soldes résiduels des portefeuilles étaient effectivement nuls : les dépôts ressortaient immédiatement, les entrées et sorties étant équilibrées à 0,1 %, indiquant un conduit de relais plutôt qu’un intermédiaire conservant des fonds clients.
• TRON a transporté environ 88 % du volume total — soit environ 5,56 milliards USD — presque exclusivement en stablecoins USDT-TRC20, avec une moyenne de 54 500 USD par transfert.
• Les adresses de portefeuilles à fort volume étaient désactivées et remplacées tous les un à quatre mois sur deux ans, une stratégie délibérée de rotation fragmentant la continuité onchain.
• TRM a documenté 5,6 millions USD de transferts directs en 36 transactions vers des portefeuilles liés à l’IRGC entre juillet 2024 et juillet 2025.
• Quatre transferts le même jour en septembre 2025 ont livré environ 2 millions USD à un portefeuille désigné par le Bureau national israélien de lutte contre le financement du terrorisme comme infrastructure du Hamas ; ces quatre transferts représentaient 74 % des entrées à vie du portefeuille.
• L’exposition à l’infrastructure russe sous sanctions atteint environ 318 millions USD impliquant A7, avec d’autres flux vers Grinex, Rapira et d’autres services russes et d’Asie centrale désignés.
• TRM a identifié environ 72,6 millions USD répartis sur 55 plateformes de jeux d’argent en ligne, cohérents avec un règlement à grande échelle pour des opérations de paris.
• Le pic mensuel de volume a atteint environ 735 millions USD en novembre 2025 ; les volumes sont restés au-dessus de 600 millions USD pendant six mois consécutifs après un doublement en juillet 2025.
• La plateforme n’est plus opérationnelle et son site web est hors ligne, mais rien n’indique que les activités sous-jacentes d’évasion des sanctions et de financement du terrorisme aient cessé.
• VARA a émis un ordre de cessation le 24 juillet 2026, invoquant des violations liées au blanchiment d’argent et au financement du terrorisme et alertant sur des transactions transfrontalières menaçant l’intégrité du système financier des Émirats arabes unis.

{{horizontal-line}}

Portée et désignation du Trésor

L’action de l’OFAC du 7 août 2026 a ciblé Shelbit, une entité basée en Géorgie opérant Shelbit Exchange, ainsi que le fondateur Siavash Kayvanpour et des affiliés corporatifs : Shelbit General Trading LLC (Émirats), Shelbit Technologies Ltd, Crypto Home DMCC et NFT Home DMCC. Une désignation distincte selon le décret 13902 a sanctionné Aban Tether, un exchange iranien lié à d’autres plateformes iraniennes déjà sous sanctions. La désignation de Shelbit cite le décret 13224, mentionnant des transferts de cryptomonnaie vers des adresses contrôlées par l’IRGC, des flux depuis des portefeuilles sous contrôle Kayvanpour vers l’exchange Nobitex déjà sanctionné, et le rôle de la plateforme dans le service d’un réseau de jeux d’argent en persan.

L’analyse forensique indépendante de TRM, réalisée séparément de l’enquête du Trésor, révèle une empreinte opérationnelle bien plus vaste : plus de 6,3 milliards USD de flux vérifiés sur la blockchain entre mai 2024 et mars 2026. Ce chiffre dépasse largement les transferts spécifiques cités dans la désignation et met en lumière une infrastructure fonctionnant non comme un exchange agréé mais comme une colonne vertébrale de règlement pour l’économie illicite iranienne.

Un bureau à Deira et 6,3 milliards USD de volume tracé

Velorix Watches Trading LLC occupe trois pièces au quatrième étage d’un immeuble à Deira, accessibles via le hall d’un hôtel économique. Derrière une porte verrouillée équipée d’un interphone et d’une caméra : un bureau, une machine à compter l’argent et un petit présentoir de montres non destinées à la vente. Les registres dubaïotes montrent que Velorix partage son adresse d’enregistrement — et son propriétaire déclaré — avec Shelbit, la plateforme crypto par laquelle TRM a désormais tracé plus de 6,3 milliards USD.

Modèle opérationnel et identité corporative

Shelbit se présentait comme un exchange crypto enregistré à Dubaï, maintenant un site public à shelbit.com et acceptant les transactions sans licence d’actif virtuel. Le marketing était négligeable, le service client médiocre et les procédures KYC relevaient du théâtre. La plateforme donnait l’apparence d’un exchange mais sans la substance opérationnelle, et ses comportements onchain divergeaient totalement de ceux d’un intermédiaire de conservation. Les documents corporatifs identifient Siavash Kayvanpour, expatrié iranien, comme fondateur.

Le réseau de jeux d’argent en farsi

Parmi les principaux contreparties de Shelbit figurait un réseau de jeux d’argent en ligne en langue farsi couvrant plus de 2 000 sites web — selon TRM, l’une des opérations de jeux illégaux les plus vastes identifiées dans le monde, et de loin la plus importante tracée en Iran. Deux figures iraniennes des réseaux sociaux en sont les visages publics : Sasha Sobhani, fils d’un ancien haut diplomate et ministre iranien, postant depuis une villa à Madrid ; et Pooyan Mokhtari, influenceur et chanteur. Tous deux affichent ostensiblement leur richesse auprès de millions d’abonnés, avec des liens vers les sites de paris en haut de leurs profils.

Les jeux d’argent sont illégaux en République islamique, passibles d’emprisonnement et de flagellation ; depuis 2023, l’interdiction s’étend explicitement aux paris en ligne. Malgré cela, le réseau a accédé à l’infrastructure de paiement domestique iranienne, étroitement surveillée par la banque centrale d’Iran.

Un tribunal iranien a condamné en 2023 Sobhani, Mokhtari et Kayvanpour dans la même affaire de jeux illégaux, infligeant deux ans de prison par contumace aux promoteurs et trois mois à l’opérateur d’exchange pour complicité. Le tribunal a jugé les trois hommes partenaires.

Sobhani et Mokhtari nient toute malversation. Sobhani rejette catégoriquement toute implication dans le blanchiment d’argent, l’évasion des sanctions ou le financement du terrorisme, affirmant que son rôle se limitait à la publicité rémunérée. Mokhtari nie toute accusation à son encontre à Dubaï et dit n’avoir aucun lien avec l’IRGC. Les deux affirment ne pas connaître Kayvanpour ni Shelbit. Kayvanpour n’a pas répondu aux demandes de commentaires.

Action de VARA et répression élargie contre les exchanges iraniens

La Virtual Assets Regulatory Authority de Dubaï a ordonné à Shelbit de cesser toute activité non licenciée en actifs virtuels le 24 juillet 2026, invoquant des violations de blanchiment d’argent et de financement du terrorisme, et avertissant que l’exposition identifiée dépassait les préoccupations de protection du consommateur pour inclure des transactions transfrontalières menaçant l’intégrité du système financier des Émirats. Cette décision a suivi une sanction en 2025 pour activité sans licence.

L’action s’inscrit dans 18 mois de pression continue sur l’infrastructure crypto iranienne. L’OFAC a désigné Zedcex et Zedxion, enregistrés au Royaume-Uni, en janvier 2026 comme écrans pour l’IRGC. En juin, l’OFAC a sanctionné quatre exchanges iraniens — Nobitex, Bit Pin, Wallex et Ramzinex — qui représentaient collectivement environ 78 % du volume crypto attribué à l’Iran en 2025 selon TRM. Les volumes attribués à l’Iran restent d’environ 10 milliards USD annuellement.

Cette vague de répression n’a pas touché la couche de règlement inférieure. TRM a tracé plus de 6,3 milliards USD de flux vérifiés sur la blockchain via l’infrastructure Shelbit en 23 mois.

Portefeuilles à solde nul et comportement de relais

La conservation définit un exchange crypto : les clients déposent des actifs et les laissent sur la plateforme entre transactions, si bien que les portefeuilles de l’exchange affichent des soldes — souvent substantiels — visibles onchain.

Les portefeuilles Shelbit présentaient le schéma inverse. Sur chaque adresse à fort volume analysée par TRM, les flux entrants et sortants s’équilibraient à 0,1 %, avec un solde résiduel effectivement nul. Le portefeuille le plus actif a reçu environ 357,59 millions USD et envoyé environ 357,58 millions USD sur plus de 16 500 transactions, avec aucun solde significatif à la fin. Ce schéma se répète sur les quatre blockchains utilisées par l’opération.

À cette échelle, un solde résiduel de cette taille relève de l’arrondi. Ce comportement est incompatible avec l’intermédiation de transactions et cohérent avec le relais de paiements : la valeur acceptée d’un côté est livrée de l’autre, sans rien conserver en conservation.

Hégémonie TRON et règlement en stablecoin

Environ 88 % du volume tracé — soit environ 5,56 milliards USD — a circulé sur TRON. Ethereum représente environ 382 millions USD, Bitcoin environ 235 millions USD, et BNB Smart Chain environ 140 millions USD. Quatre autres réseaux ont transporté des montants négligeables.

L’actif circulant sur TRON est majoritairement l’USDT-TRC20, la version TRON-native de Tether. En tant que stablecoin indexé sur le dollar, il se règle en quelques secondes à coût négligeable et fonctionne comme un substitut du dollar contournant le système bancaire correspondant, attrayant pour les acteurs licites comme illicites recherchant l’efficacité de transfert.

Les transferts TRON affichaient une moyenne d’environ 54 500 USD ; les transferts Bitcoin environ 249 000 USD sur moins de 1 000 transactions — des chiffres incompatibles avec une activité de détail, bien plus conformes à du règlement interentreprises.

Rotation continue des portefeuilles

Shelbit désactivait et remplaçait ses adresses à fort volume selon un rythme d’environ un à quatre mois sur toute la durée de vie de l’opération, chaque portefeuille successeur traitant entre 100 et 350 millions USD avant d’être mis en sommeil. Parmi les adresses TRON attribuées à l’opération par TRM, seulement environ sept sur dix ont effectivement transigé, ce qui correspond à des portefeuilles provisionnés à l’avance et utilisés en séquence. Ce type de rotation fragmente la continuité nécessaire au suivi classique des flux financiers.

Un pic mensuel de 735 millions USD

Les volumes ont augmenté régulièrement en 2024 et au premier semestre 2025, partant de quelques millions à environ 230 millions USD par mois. En juillet 2025, le volume mensuel a plus que doublé, puis s’est maintenu entre 604 et 735 millions USD chaque mois jusqu’en décembre 2025 : un saut d’échelle plutôt qu’une croissance incrémentale.

Février 2026 a connu une chute marquée à environ 114 millions USD, coïncidant avec le déclenchement d’hostilités entre l’Iran, les États-Unis et Israël. Reuters a rapporté qu’à la même période, une frappe de drone est survenue à moins d’un kilomètre du bureau enregistré de Shelbit à Dubaï. L’activité a rebondi à environ 340 millions USD le mois suivant.

Exposition à l’IRGC et plateformes iraniennes sous sanctions

TRM a identifié environ 5,6 millions USD sur 36 transferts entre Shelbit et des portefeuilles liés à l’IRGC, de juillet 2024 à juillet 2025. L’IRGC est la branche de l’État iranien supervisant des entreprises commerciales valant des milliards de dollars et est classée organisation terroriste étrangère par les États-Unis.

Trente-six transferts répartis sur un an évoquent une relation durable plutôt qu’une activité isolée passant un contrôle de conformité. L’analyse onchain établit que les fonds ont circulé entre ces adresses ; elle n’établit ni la connaissance ni l’intention des parties à ces transferts.

L’exposition directe aux plateformes crypto iraniennes sous sanctions inclut environ 2,6 millions USD avec Aban Tether, 1,9 million USD avec Nobitex sur 101 transferts, 156 000 USD avec Ramzinex, et de plus petits montants avec Wallex, Bit Pin et Bit24. TRM a tracé environ 2,2 millions USD supplémentaires avec Zedcex, entité britannique désignée par l’OFAC en janvier 2026 comme écran IRGC.

L’exposition directe de Shelbit aux exchanges domestiques iraniens reste modeste au regard de l’échelle de l’opération. Mais, tracée via des portefeuilles intermédiaires, l’exposition à ces mêmes plateformes grimpe significativement — à environ 10,7 millions USD pour Nobitex, 5,8 millions USD pour Wallex et 4,3 millions USD pour Ramzinex. Cela suggère que Shelbit se situait généralement en aval de la couche exchange iranienne, recevant des valeurs déjà passées par un ou plusieurs intermédiaires, plutôt que de transiger directement avec ces plateformes.

Quatre transferts totalisant 2 millions USD vers un portefeuille désigné Hamas

Le 17 septembre 2025, Shelbit a envoyé environ 2 millions USD à un seul portefeuille via quatre transferts le même jour.

Le Bureau national israélien de lutte contre le financement du terrorisme a ensuite désigné ce portefeuille comme infrastructure du Hamas. Il n’avait aucune activité antérieure. Sur sa période d’activité, il a reçu environ 2,69 millions USD et envoyé l’équivalent, ce qui signifie que les quatre transferts de Shelbit représentent environ 74 % de tout ce que le portefeuille a reçu, livrés le jour de sa première activation.

L’analyse onchain établit que les fonds ont circulé entre ces adresses et que le destinataire a ensuite été désigné. Elle n’établit ni la connaissance ni l’intention des parties à ces transferts.

318 millions USD d’exposition à A7 et aux réseaux russes d’évasion des sanctions

L’Iran demeure le principal centre de l’opération : Shelbit est dirigé par des Iraniens, ses relations hors chaîne documentées sont iraniennes, et le réseau de jeux qu’il servait est iranien. Dans ce contexte, l’ampleur de l’exposition à l’infrastructure russe d’évasion des sanctions est un constat secondaire notable.

TRM a tracé environ 318 millions USD impliquant A7, un réseau de paiement russe sous sanctions — la plus grande exposition à un podsanctionné unique identifiée dans l’ensemble de données. Environ 16,3 millions USD supplémentaires concernent Grinex, successeur opérationnel de l’exchange russe saisi Garantex, avec une exposition à Rapira, TokenSpot et d’autres services russes et d’Asie centrale sous sanctions.

Une opération traitant à la fois des recettes de jeux iraniens et des valeurs liées à l’IRGC, tout en véhiculant des flux d’évasion russe via la même infrastructure, correspond davantage à un service de règlement multi-juridictions sous sanctions qu’à une plateforme spécialisée sur une seule économie.