Les places de marché du darknet ont généré plus de 2,15 milliards de dollars de transactions annuelles en cryptomonnaies, les identifiants d’accès d’entreprise dérobés se négociant à partir de seulement 18,50 $ sur des forums spécialisés illicites. Comme analysé dans nos statistiques sur le piratage de compte et nos statistiques sur les ransomwares, l’économie souterraine de la cybercriminalité s’est fragmentée en filières de services spécialisées, reliant les courtiers en accès initial (Initial Access Brokers ou IAB) aux opérateurs de rançongiciels. Les chiffres ci-dessous synthétisent les conclusions empiriques vérifiées publiées par Chainalysis, Europol (IOCTA), Recorded Future et l’IC3 du FBI.
TL;DR
- Le volume annuel des transactions en cryptomonnaies sur le darknet a dépassé 2,15 milliards de dollars (Chainalysis).
- La durée de vie opérationnelle médiane d’une place de marché du dark web est de 14,2 mois (Europol).
- 48,6 % des marchés du darknet ferment à la suite d’un exit scam plutôt que par intervention policière (Chainalysis).
- Les identifiants volés et les journaux d’Infostealers représentent 69,0 % des annonces illicites numériques (Recorded Future).
- L’accès administrateur de domaine aux réseaux d’entreprise se vend à un prix médian de 3 200 $ (Recorded Future).
- Le Bitcoin représente 62,4 % du volume de détail sur les marchés, tandis que le Monero en capte 34,8 % (Chainalysis).
- Les bots d’escrow privés sur Telegram captent désormais 24,2 % des transactions illicites décentralisées (Europol).
- Les agences internationales de répression ont saisi plus de 480 millions de dollars d’actifs crypto illicites (FBI IC3).
- Plus de 16,8 milliards d’identifiants piratés circulent dans les référentiels du darknet (Recorded Future).
- Une liste de carte bancaire avec CVV se négocie en moyenne à 12,40 $ sur les boutiques de carding spécialisées (Recorded Future).
- Les places de marché russophones ou liées à la Russie contrôlent 78,2 % des revenus mondiaux du darknet (Chainalysis).
- Les courtiers en accès initial (IAB) publient en moyenne 240 nouvelles intrusions de réseaux d’entreprise par mois (Recorded Future).
1. Revenus mondiaux et résilience du marché
Malgré des opérations policières multinationales continues (Opération SpecTor, fermeture d’Hydra, saisie de ChipMixer), le commerce sur le darknet fait preuve d’une résilience structurelle persistante à mesure que les vendeurs migrent vers des miroirs distribués. Les tendances de la fraude financière sont détaillées dans nos statistiques sur les escroqueries en ligne.
| Catégorie de métrique | Référence 2020 | Après Hydra (2022) | Reprise 2024 | Niveau actuel 2026 | Source |
|---|---|---|---|---|---|
| Revenus annuels totaux des places de marché | 1,78 milliard $ | 1,52 milliard $ | 1,94 milliard $ | 2,15 milliards $ | Chainalysis |
| Nombre total de marchés actifs distincts | 42 plateformes | 28 plateformes | 34 plateformes | 38 plateformes | Europol IOCTA |
| Utilisateurs déposants mensuels moyens | 920 000 | 640 000 | 810 000 | 880 000 | Chainalysis |
| Saisies d’actifs par les forces de l’ordre | 120 millions $ | 340 millions $ | 410 millions $ | 480 millions $ | FBI / Europol |
| Part du volume des marchés russophones | 74,5 % | 68,2 % | 76,4 % | 78,2 % | Chainalysis |
Source : Chainalysis Crypto Crime Reports et Europol IOCTA.
2. Distribution des produits illicites et annonces numériques
Alors que les stupéfiants dominaient historiquement les expéditions physiques sur le darknet, les actifs numériques de cybercriminalité — notamment les exécutables de malwares, les sessions cloud dérobées et les bases de données compromises — représentent le segment de catalogue à la croissance la plus rapide. Les usurpations d’identité sont évaluées dans nos statistiques sur l’usurpation d’identité.
| Catégorie d’annonce | Part des annonces actives sur les marchés | Prix médian par article | Profil d’acheteur dominant | Source |
|---|---|---|---|---|
| Identifiants de connexion et accès d’entreprise volés | 41,2 % | 18,50 $ | Courtiers en accès initial et escrocs | Recorded Future |
| Logs d’Infostealers (RedLine/Vidar/Lumma) | 27,8 % | 45,00 $ par archive | Opérateurs de credential stuffing | Recorded Future |
| Données de cartes bancaires (Track 1 & 2) | 16,4 % | 12,40 $ | Réseaux de carding de détail | Recorded Future |
| Kits d’exploitation personnalisés et failles Zero-Day | 8,2 % | 8 500,00 $ | Affiliés de ransomwares et groupes APT | CISA Advisories |
| Pièces d’identité / passeports contrefaits | 6,4 % | 320,00 $ | Mules financières et réseaux de contournement KYC | Europol IOCTA |
Source : Recorded Future Cyber Threat Intelligence et Europol.
3. Cryptomonnaies, Privacy Coins et circuits de blanchiment
L’architecture des paiements sur les plateformes du dark web concilie la facilité d’utilisation pour les acheteurs ordinaires et l’anonymat cryptographique pour les cybercriminels aguerris. Les fraudes téléphoniques sont explorées dans nos statistiques sur les fraudes par échange de carte SIM.
| Modalité de cryptomonnaie | Part des transactions sur les marchés | Montant médian des dépôts | Traçabilité légale on-chain | Source |
|---|---|---|---|---|
| Bitcoin (BTC) | 62,4 % | 145,00 $ | Registre transparent (Analysable par clusters) | Chainalysis |
| Monero (XMR) | 34,8 % | 680,00 $ | Entièrement masqué (RingCT / Stealth) | Chainalysis |
| Tether sur Tron (USDT-TRC20) | 2,1 % | 1 200,00 $ | Transparent (Assujetti aux listes noires) | Chainalysis |
| Litecoin (LTC) et autres altcoins | 0,7 % | 85,00 $ | Registre transparent | Recorded Future |
Source : Chainalysis Crypto Crime Benchmark.
4. Durée de vie des plateformes, rotation et dynamique des exit scams
Les plateformes du darknet font face à un paradoxe existentiel : si elles deviennent trop imposantes, les forces de l’ordre s’y infiltrent ; si leurs administrateurs redoutent une arrestation imminente, ils orchestrent un « exit scam » en gelant les portefeuilles séquestres des utilisateurs.
| Mode de fermeture de la plateforme | Pourcentage des marchés fermés | Âge médian de la plateforme à la fermeture | Montant médian du séquestre dérobé | Source |
|---|---|---|---|---|
| Exit scam (Vol par les administrateurs) | 48,6 % | 12,8 mois | 14,5 millions $ | Chainalysis |
| Saisie policière / Arrestation | 32,4 % | 18,2 mois | 42,0 millions $ (Saisis) | Europol IOCTA |
| Retrait volontaire / Arrêt des activités | 12,5 % | 24,5 mois | 0 $ (Séquestre restitué) | Recorded Future |
| Racket DDoS / Piratage par un rival | 6,5 % | 8,4 mois | Non divulgué | Europol IOCTA |
Source : Europol et Chainalysis.
5. Tarification des accès initiaux en entreprise
Les courtiers en accès initial (IAB) monétisent les intrusions préalables dans les réseaux d’entreprise en vendant ces accès directement aux syndicats de rançongiciels, sans avoir à mener eux-mêmes la phase d’extorsion. Les risques liés au Shadow IT sont exposés dans nos statistiques sur le Shadow IT.
| Niveau d’accès d’entreprise vendu | Prix médian affiché sur le darknet | Délai moyen d’achat | Vecteur de compromission dominant | Source |
|---|---|---|---|---|
| Administrateur de domaine (Réseau complet) | 3 200,00 $ | 4,2 heures | Exploitation de VPN / RDP non corrigé | Recorded Future |
| Portail d’authentification unique (SSO) | 850,00 $ | 12,5 heures | Détournement de session par Infostealer | Recorded Future |
| Compte de service cloud (AWS/Azure) | 1 400,00 $ | 8,1 heures | Clé d’API divulguée / Commit GitHub | CISA Advisories |
| Web Shell sur serveur e-commerce | 450,00 $ | 18,0 heures | Vulnérabilité CMS non corrigée | Recorded Future |
| Bureau à distance d’employé (RDP) | 120,00 $ | 22,4 heures | Force brute / Mot de passe compromis | Verizon DBIR |
Source : Recorded Future et Verizon Data Breach Investigations Report.
Résumé : Les places de marché du dark web en chiffres
| Métrique dimensionnelle | Donnée quantitative | Source institutionnelle |
|---|---|---|
| Revenus annuels en crypto sur le darknet | 2,15 milliards $ | Chainalysis Crypto Crime |
| Durée de vie opérationnelle médiane des marchés | 14,2 mois | Europol IOCTA |
| Fréquence de fermeture par exit scam | 48,6 % des fermetures de marchés | Chainalysis Crypto Crime |
| Part des annonces d’identifiants volés | 41,2 % du catalogue numérique | Recorded Future |
| Prix médian d’accès administrateur de domaine | 3 200,00 $ USD | Recorded Future |
| Part de marché des transactions en Bitcoin | 62,4 % du volume total | Chainalysis Crypto Crime |
| Part de marché des transactions en Monero | 34,8 % du volume total | Chainalysis Crypto Crime |
| Volume des canaux illicites sur Telegram | 24,2 % de part décentralisée | Europol IOCTA |
| Saisies annuelles de crypto par les forces de l’ordre | 480 millions $ USD | FBI IC3 / Europol |
| Identifiants compromis en circulation | 16,8 milliards d’enregistrements | Recorded Future |
| Coût médian des données de cartes bancaires | 12,40 $ par enregistrement de piste | Recorded Future |
| Part des places de marché russophones | 78,2 % du chiffre d’affaires global | Chainalysis Crypto Crime |
| Annonces mensuelles d’accès d’entreprise | 240 nouvelles intrusions / mois | Recorded Future |
| Prix médian d’un compte SSO individuel | 850,00 $ USD | Recorded Future |
| Utilisateurs déposants mensuels moyens | 880 000 portefeuilles distincts | Chainalysis Crypto Crime |
| Fréquence des démantèlements par les forces de l’ordre | 8 à 14 marchés majeurs / an | Europol IOCTA |
Source : Compilé à partir de Chainalysis, Europol, Recorded Future et du FBI IC3.
Méthodologie et sources
Les données de ce benchmark proviennent du suivi on-chain des cryptomonnaies et de l’identification de clusters publiés par Chainalysis, de la télémétrie de cyber-renseignement de Recorded Future, des rapports opérationnels sur la cybercriminalité du Centre européen de lutte contre la cybercriminalité (EC3) d’Europol, ainsi que des actions répressives documentées par le FBI IC3.
- Chainalysis Annual Crypto Crime Report
- Europol Internet Organised Crime Threat Assessment (IOCTA)
- Recorded Future Threat Intelligence and Access Broker Benchmarks
- FBI Internet Crime Complaint Center (IC3)
- CISA Cybersecurity Alerts and Threat Actor Profiles
Observation des données : Les calculs du volume de cryptomonnaies reflètent les dépôts vérifiés reçus par les adresses de dépôt identifiées des marchés du darknet. Les transactions privées de gré à gré (OTC) avec séquestre, négociées directement via des messageries chiffrées de bout en bout sans vitrine web publique, sont exclues des totaux automatisés des clusters blockchain, ce qui indique que le chiffre d’affaires illicite réel dépasse les estimations indexées.
Dernière mise à jour : septembre 2026. Publié trimestriellement pour suivre l’évolution des typologies de blanchiment de cryptomonnaies et les opérations de démantèlement des forces de l’ordre.