Le Groupe d'action financière (GAFI) a déclaré que de nombreuses plateformes de finance décentralisée ne sont décentralisées que de nom et devraient relever de ses normes lorsque des personnes identifiables conservent un contrôle ou une influence significative sur elles.

Dans un rapport publié mardi, l'organe parisien de lutte contre le blanchiment d'argent a exhorté les pays à identifier ces contrôleurs et à les réglementer en tant que prestataires de services sur actifs virtuels. Il a également indiqué que les juridictions pourraient, en dernier recours, interdire les plateformes qui refusent de coopérer. Ces lignes directrices étendent le cadre de la règle de voyage (Travel Rule) que le GAFI applique déjà aux échanges de cryptomonnaies centralisés et aux portefeuilles de garde, qui exige des PSAV qu'ils collectent et partagent les informations sur l'expéditeur et le destinataire pour les transactions dépassant un certain seuil.

Près de 93 % des juridictions sondées par le GAFI n'ont pas appliqué les normes aux arrangements DeFi admissibles, et seulement deux en ont déjà concédé une licence ou enregistré un, selon le rapport.

Le GAFI, dont les normes sont utilisées dans plus de 200 juridictions, a déclaré que la finance décentralisée reste souvent soumise à ses règles lorsqu'une personne identifiable maintient un « contrôle ou une influence suffisante », quelle que soit la manière dont un projet se décrit comme décentralisé. Le rapport divise la DeFi en trois grandes catégories : les plateformes avec des contrôleurs identifiables ; les plateformes qui sont centralisées en pratique alors que leurs opérateurs restent cachés ; et un groupe plus restreint de systèmes véritablement sans leader que le GAFI décrit comme véritablement décentralisés. Seule cette dernière catégorie échappe à ses normes.

Bien que de nombreux projets DeFi se présentent comme entièrement décentralisés, des éléments centralisés « persistent fréquemment dans la pratique », selon le rapport. Ces éléments peuvent inclure des participations concentrées dans des jetons de gouvernance, des privilèges administratifs, le contrôle des mises à niveau et des frais ou récompenses destinés aux initiés.

Le président du GAFI, Giles Thomson, a déclaré dans une déclaration accompagnant le rapport que l'objectif est d'empêcher les criminels d'exploiter les nouvelles technologies pour « blanchir de l'argent sale » tout en « soutenant une innovation financière responsable ». Il a également décrit le partage d'informations solide entre les secteurs public et privé comme étant au cœur de la réponse.

Indicateurs de contrôle DeFi

Le rapport identifie des signes de contrôle à la fois on-chain et off-chain. Il s'agit notamment des clés de mise à niveau, des fonctions de « bouton d'arrêt d'urgence » (kill switch), de la capacité à fixer des frais ou des paramètres de risque, d'un pouvoir de vote concentré, du contrôle d'un site web ou d'une application publique, et d'entités d'entreprise qui emploient des développeurs principaux ou détiennent le trésor d'un protocole.

Lorsqu'un tel contrôle existe, le GAFI a estimé que les personnes derrière un arrangement DeFi devraient être titulaires d'une licence et supervisées comme toute autre entreprise financière. Ce groupe peut inclure des développeurs, de grands détenteurs de jetons, des opérateurs de front-end ou des bailleurs de fonds. Le rapport indique que le simple fait d'exploiter un front-end qui dirige les utilisateurs vers un protocole peut suffire à soumettre une personne ou une entité à ces exigences.

Le GAFI a indiqué que la mise en œuvre reste limitée. Près de 93 % des juridictions ayant répondu à sa récente enquête n'ont appliqué les normes à aucun arrangement DeFi admissible, tandis que seulement 26 sur 142 ont évalué les risques. Quatre juridictions ont mis en place des règles de licence, et seulement deux les ont utilisées pour enregistrer ou accorder une licence à une plateforme.

Les lignes directrices du GAFI ne constituent pas une loi, mais les juridictions membres sont évaluées sur la manière dont elles les respectent. Des lacunes persistantes peuvent contribuer à l'inscription d'un pays sur la « liste grise » de l'organisme, ce qui signale des déficiences dans les régimes de lutte contre le blanchiment d'argent et peut restreindre l'accès au secteur bancaire et à l'investissement international. Le rapport a fait suite à une mise à jour plus large du GAFI publiée quelques jours plus tôt, qui a révélé que de nombreux pays ont encore du mal à appliquer les règles relatives aux cryptomonnaies de manière générale.

Contrôles, points d'étranglement et interdictions possibles

Le GAFI a appelé les pays à combler le vide réglementaire en exigeant, ou du moins en encourageant, des projets DeFi à intégrer des contrôles anti-blanchiment directement dans les contrats intelligents ou les interfaces utilisateur. Ces contrôles pourraient inclure le filtrage des sanctions et des vérifications de preuve KYC avant l'exécution de certaines fonctions.

Pour les projets véritablement sans leader, le rapport oriente les régulateurs vers les points d'étranglement qui les entourent. Il s'agit notamment des émetteurs de stablecoins capables de geler des jetons, des plateformes d'échange qui gèrent les dépôts et retraits fiduciaires, et des opérateurs de front-end qui fournissent l'accès aux utilisateurs.

Si une plateforme refuse de coopérer, le GAFI a déclaré qu'une juridiction pouvait, en dernier recours, l'interdire d'exercer sur son territoire. Les banques et les bourses sont également invitées à effectuer des vérifications de diligences raisonnables sur toute plateforme DeFi avec laquelle elles interagissent, ou à cesser de traiter avec elle.

La Corée du Nord et l'activité DeFi illicite

Le rapport met fortement l'accent sur la manière dont les groupes criminels utilisent déjà le secteur. Il cite nommément la Corée du Nord, affirmant que des pirates liés à l'État étaient responsables de deux attaques survenues en avril qui ont drainé à elles deux plus de 570 millions de dollars. Ces attaques comprenanent l'exploitation de 285 millions de dollars de l'échange de contrats perpétuels Solana Drift Protocol, que le GAFI a déclaré avoir été perpétrée en 12 minutes, et un piratage de 292 millions de dollars visant KelpDAO.

Ensemble, ces deux attaques ont représenté environ 76 % des pertes liées au piratage de cryptomonnaies de l'année, selon le rapport. Le GAFI a également désigné les groupes de rançongiciels, les réseaux de blanchiment professionnels et les fraudes aux investisseurs comme les principaux utilisateurs des mélangeurs (mixers), des ponts (bridges) et des swaps DeFi.

Des mesures d'application connexes sont déjà en cours dans d'autres juridictions. Les procureurs américains ont obtenu cette année des peines de prison pour les deux cofondateurs du mélangeur Bitcoin Samourai Wallet et une condamnation contre le développeur de Tornado Cash, Roman Storm. Ces affaires reposent sur une prémisse similaire à celle que le GAFI souligne dans le rapport : les personnes qui construisent et exploitent du code peuvent être traitées comme des entreprises monétaires réglementées.

Le rapport indique que la valeur totale verrouillée de la DeFi a atteint 86,6 milliards de dollars cette année, en hausse d'environ 85 % depuis 2023. Il a ajouté que la douzaine de principaux protocoles détient plus de 60 % de ce total. Le GAFI a appelé les régulateurs à mettre en œuvre son recueil de règles plutôt que de laisser un vide qui pourrait permettre à la finance illicite de fonctionner à grande échelle.