De Financial Action Task Force stelde dat veel gedecentraliseerde financiële platforms slechts in naam gedecentraliseerd zijn en onder haar standaarden zouden moeten vallen wanneer identificeerbare personen controle of betekenisvolle invloed behouden.

In een dinsdag gepubliceerd rapport drong de in Parijs gevestigde anti-witwasinstantie er bij landen op aan om deze beheerders te identificeren en te reguleren als virtuele activadienstverleners. Ook stelde de instantie dat rechtsgebieden, als laatste redmiddel, platforms die weigeren mee te werken kunnen verbieden. De richtlijn breidt het Travel Rule-kader uit dat FATF al toepast op gecentraliseerde cryptobeurzen en beurskluisportefeuilles, waarbij VASPs verplicht zijn informatie over verzenders en ontvangers te verzamelen en delen bij transacties boven een bepaalde drempel.

Bijna 93% van de door FATF onderzochte rechtsgebieden heeft de standaarden niet toegepast op kwalificerende DeFi-regelingen, en slechts twee hebben er ooit een gelicentieerd of geregistreerd, aldus het rapport.

FATF, wiens standaarden in meer dan 200 rechtsgebieden worden gebruikt, stelde dat gedecentraliseerde financiën vaak onder haar regels blijven vallen waar een identificeerbare persoon "controle of voldoende invloed" behoudt, ongeacht hoe gedecentraliseerd een project zichzelf beschrijft. Het rapport deelt DeFi in in drie brede categorieën: platforms met identificeerbare beheerders; platforms die in de praktijk gecentraliseerd zijn terwijl hun exploitanten verborgen blijven; en een kleinere groep werkelijk leiderloze systemen die FATF beschrijft als werkelijk gedecentraliseerd. Alleen de laatste categorie valt buiten haar standaarden.

Hoewel veel DeFi-projecten zich presenteren als volledig gedecentraliseerd, blijven gecentraliseerde elementen "in de praktijk vaak voortbestaan", aldus het rapport. Deze elementen kunnen geconcentreerde bestuurstokenbezittingen, administratieve bevoegdheden, controle over upgrades en vergoedingen of beloningen omvatten die naar insiders vloeien.

FATF-voorzitter Giles Thomson zei in een verklaring bij het rapport dat het doel is om te voorkomen dat criminelen nieuwe technologie uitbuiten om "zwart geld wit te wassen", terwijl "verantwoorde financiële innovatie wordt ondersteund". Hij beschreef ook sterke informatie-uitwisseling tussen de publieke en private sectoren als centraal in de aanpak.

DeFi-controle-indicatoren

Het rapport identificeert zowel on-chain als off-chain tekenen van controle. Deze omvatten upgradesleutels, "noodknop"-functies, de mogelijkheid om vergoedingen of risicoparameters in te stellen, geconcentreerde stemkracht, controle over een openbare website of app, en bedrijfsentiteiten die kerontwikkelaars in dienst hebben of een protocol-schatkist beheren.

Waar dergelijke controle bestaat, zei FATF dat de mensen achter een DeFi-regeling vergund en onder toezicht gehouden zouden moeten worden als andere financiële ondernemingen. Die groep kan ontwikkelaars, grote tokenhouders, front-end-exploitanten of financiers omvatten. Het rapport stelde dat zelfs het beheren van een front-end die gebruikers naar een protocol leidt, voldoende kan zijn om een persoon of entiteit binnen het toepassingsgebied te brengen.

FATF stelde dat de implementatie beperkt blijft. Bijna 93% van de rechtsgebieden die reageerden op haar recente enquête heeft de standaarden niet toegepast op enige kwalificerende DeFi-regeling, terwijl slechts 26 van de 142 de risico's hebben beoordeeld. Vier rechtsgebieden hebben licentieregels ingesteld, en slechts twee hebben deze gebruikt om een platform te registreren of te licentiëren.

De richtlijnen van FATF zijn geen wet, maar lid-rechtsgebieden worden beoordeeld op hoe nauw zij deze opvolgen. Aanhoudende tekortkomingen kunnen ertoe bijdragen dat een land op de "grijze lijst" van de waakhond wordt geplaatst, wat tekortkomingen in anti-witwasregimes signaleert en de toegang tot internationaal bankieren en investeringen kan beperken. Het rapport volgde op een bredere FATF-update die enkele dagen eerder werd uitgebracht en waarin werd vastgesteld dat veel landen nog steeds moeite hebben om cryptoregels breder te handhaven.

Controles, knelpunten en mogelijke verboden

FATF riep landen op om de regelgevende kloof te dichten door DeFi-projecten te verplichten, of op zijn minst aan te moedigen, om anti-witwascontroles direct in slimme contracten of gebruikersinterfaces in te bouwen. Deze controles zouden sanctiescreening en KYC-verificaties kunnen omvatten voordat bepaalde functies worden uitgevoerd.

Voor projecten die werkelijk leiderloos zijn, stuurt het rapport toezichthouders naar omringende knelpunten. Deze omvatten stablecoin-uitgevers die tokens kunnen bevriezen, beurzen die fiat-aan- en afvoer afhandelen, en front-end-exploitanten die gebruikerstoegang bieden.

Als een platform weigert mee te werken, zei FATF dat een rechtsgebied dit als laatste redmiddel kan verbieden om op haar grondgebied te opereren. Aan banken en beurzen wordt ook verteld om due diligence uit te voeren op elk DeFi-platform waarmee zij interactie hebben, of ermee te stoppen zaken te doen.

Noord-Korea en illegale DeFi-activiteit

Het rapport richt zich sterk op hoe criminele groeperingen de sector al gebruiken. Het noemt specifiek Noord-Korea, waarvan staat-gelinkte hackers volgens het rapport verantwoordelijk waren voor twee aanvallen in april die samen meer dan $570 miljoen aftapten. Deze aanvallen omvatten de $285 miljoen exploitatie van Solana perpetuele contractenbeurs Drift Protocol, die volgens FATF in 12 minuten werd uitgevoerd, en een hack van $292 miljoen van KelpDAO.

Samen waren de twee aanvallen goed voor ongeveer 76% van de cryptohack-verliezen van het jaar, aldus het rapport. FATF wees ook op ransomwaregroeperingen, professionele witwasnetwerken en beleggingsfraudeschema's als belangrijke gebruikers van DeFi-mixers, bruggen en swaps.

Gerelateerde handhavingsacties zijn in andere rechtsgebieden al in gang gezet. Amerikaanse openbare aanklagers bezorgden dit jaar gevangenisstraffen aan de twee medeoprichters van Bitcoin-mixer Samourai Wallet en een veroordeling tegen Tornado Cash-ontwikkelaar Roman Storm. Deze zaken berusten op een vergelijkbare premisse als degene die FATF in het rapport benadrukt: dat mensen die code bouwen en beheren behandeld kunnen worden als gereguleerde geldbedrijven.

Het rapport stelde dat de totale vastgelegde waarde van DeFi dit jaar $86,6 miljard bereikte, een stijging van ongeveer 85% sinds 2023. Daaraan toevoegend dat de top twaalf protocols meer dan 60% van dat totaal beheren. FATF riep toezichthouders op om haar reglement te implementeren in plaats van een kloof te laten bestaan die illegale financiën op schaal zou kunnen mogelijk maken.