Grupa Zadaniowa ds. Działalności Finansowej (Financial Action Task Force) stwierdziła, że wiele platform zdecentralizowanych finansów jest zdecentralizowanych jedynie z nazwy i powinno podlegać jej standardom, gdy możliwe do zidentyfikowania osoby zachowują nad nimi kontrolę lub istotny wpływ.

W opublikowanym we wtorek raporcie organ ds. przeciwdziałania praniu pieniędzy z siedzibą w Paryżu wezwał kraje do identyfikacji tych kontrolerów i regulowania ich jako dostawców usług w zakresie aktywów wirtualnych. Stwierdzono również, że jurysdykcje mogą w ostateczności zakazać działalności platform, które odmawiają współpracy. Wytyczne rozszerzają na DeFi ten sam framework Travel Rule, jaki FATF stosuje już wobem scentralizowanych giełd kryptowalut i portfeli powierniczych, wymagający od VASP zbierania i przekazywania informacji o nadawcy i odbiorcy transakcji powyżej określonego progu.

Niemal 93% jurysdykcji objętych badaniem FATF nie zastosowało standardów do kwalifikujących się instytucji DeFi, a tylko dwie kiedykolwiek wydały licencję lub zarejestrowały taką platformę — wynika z raportu.

FATF, którego standardy są stosowane w ponad 200 jurysdykcjach, stwierdził, że zdecentralizowane finanse często pozostają podległe jego zasadom wszędzie tam, gdzie możliwa do zidentyfikowania osoba utrzymuje „kontrolę lub wystarczający wpływ”, niezależnie od tego, jak zdecentralizowany jest dany projekt według własnych deklaracji. Raport dzieli DeFi na trzy szerokie kategorie: platformy z możliwymi do zidentyfikowania kontrolerami; platformy scentralizowane w praktyce, których operatorzy pozostają w ukryciu; oraz mniejszą grupę autentycznie pozbawionych przywódców systemów, które FATF określa jako w pełni zdecentralizowane. Tylko ostatnia kategoria wykracza poza jego standardy.

Choć wiele projektów DeFi prezentuje się jako w pełni zdecentralizowane, scentralizowane elementy „często utrzymują się w praktyce” — stwierdzono w raporcie. Elementy te mogą obejmować skoncentrowane posiadanie tokenów zarządczych, uprawnienia administracyjne, kontrolę nad aktualizacjami oraz opłaty i nagrody przepływające do osób z bliskiego otoczenia projektów.

Prezes FATF Giles Thomson w oświadczeniu towarzyszącym raportowi zaznaczył, że celem jest zapobieganie wykorzystywaniu nowych technologii przez przestępców do „prania brudnych pieniędzy” przy jednoczesnym „wspieraniu odpowiedzialnych innowacji finansowych”. Opisał również silną wymianę informacji między sektorem publicznym a prywatnym jako kluczową dla tego procesu.

Wskaźniki kontroli w DeFi

Raport identyfikuje zarówno łańcuchowe, jak i pozałańcuchowe oznaki kontroli. Obejmują one klucze aktualizacyjne, funkcje „wyłącznika awaryjnego” (kill switch), możliwość ustalania opłat lub parametrów ryzyka, skoncentrowaną siłę głosu, kontrolę nad publiczną stroną internetową lub aplikacją oraz podmioty korporacyjne, które zatrudniają głównych programistów lub zarządzają skarbcem protokołu.

Tam, gdzie taka kontrola istnieje, FATF stwierdził, że osoby stojące za daną instytucją DeFi powinny być licencjonowane i nadzorowane tak jak inne firmy finansowe. Grupa ta może obejmować programistów, dużych posiadaczy tokenów, operatorów interfejsów front-end lub fundatorów. Raport stwierdził, że nawet prowadzenie interfejsu front-end kierującego użytkowników do protokołu może być wystarczające, aby dana osoba lub podmiot podlegała regulacjom.

FATF stwierdził, że wdrożenie pozostaje ograniczone. Niemal 93% jurysdykcji, które odpowiedziały na niedawne badanie, nie zastosowało standardów do żadnej kwalifikującej się instytucji DeFi, a tylko 26 spośród 142 oceniło ryzyko. Cztery jurysdykcje mają przepisy licencyjne na miejscu, a zaledwie dwie wykorzystały je do rejestracji lub licencjonowania platformy.

Wytyczne FATF nie stanowią prawa, ale jurysdykcje członkowskie są oceniane pod kątem stopnia ich przestrzegania. Utrzymujące się luki mogą przyczynić się do umieszczenia kraju na „szarej liście” tej organizacji, co sygnalizuje niedociągnięcia w reżimach AML i może ograniczać dostęp do bankowości międzynarodowej oraz inwestycji. Raport ukazał się krótko po szerszej aktualizacji FATF opublikowanej kilka dni wcześniej, w której stwierdzono, że wiele krajów nadal ma trudności z egzekwowaniem przepisów dotyczących kryptowalut w szerszym zakresie.

Mechanizmy kontroli, wąskie gardła i ewentualne zakazy

FATF wezwał kraje do zlikwidowania luki regulacyjnej poprzez wymaganie lub przynajmniej zachęcanie projektów DeFi do wbudowania mechanizmów przeciwdziałania praniu pieniędzy bezpośrednio w inteligentne kontrakty lub interfejsy użytkownika. Mechanizmy te mogą obejmować weryfikację sankcji oraz kontrole proof-of-KYC przed wykonaniem określonych funkcji.

W przypadku projektów autentycznie pozbawionych przywódców raport kieruje regulatorów w stronę otaczających je wąskich gardeł. Obejmują one emitentów stablecoinów mających możliwość zamrażania tokenów, giełdy obsługujące konwersję na waluty fiducjarne w obu kierunkach oraz operatorów interfejsów front-end zapewniających użytkownikom dostęp.

Jeśli platforma odmawia współpracy, FATF stwierdził, że jurysdykcja może w ostateczności zakazać jej działania na swoim terytorium. Banki i giełdy zostały również zobowiązane do przeprowadzania due diligence wobec każdej platformy DeFi, z którą wchodzą w interakcję, lub zaprzestania z nią współpracy.

Korea Północna i nielegalna aktywność w DeFi

Raport w dużej mierze skupia się na tym, jak grupy przestępcze już teraz wykorzystują ten sektor. Wskazuje wprost na Koreę Północną, twierdząc, że hakerzy powiązani z państwem byli odpowiedzialni za dwa kwietniowe ataki, które łącznie doprowadziły do drenażu ponad 570 milionów dolarów. Ataki te obejmowały exploit platformy perpów Solana Drift Protocol na kwotę 285 milionów dolarów, który — jak stwierdził FATF — został przeprowadzony w 12 minut, oraz hak KelpDAO na kwotę 292 milionów dolarów.

Łącznie oba ataki stanowiły około 76% strat z włamań kryptowalutowych w tym roku — podano w raporcie. FATF wskazał również na grupy ransomware, profesjonalne sieci prania pieniędzy oraz schematy oszustw inwestycyjnych jako głównych użytkowników mikserów, mostów i platform swap w DeFi.

Podobne działania egzekucyjne są już w toku w innych jurysdykcjach. Amerykańscy prokuratorzy w tym roku uzyskali wyroki więzienia dla dwóch współzałożycieli bitcoinowego miksera Samourai Wallet oraz wyrok skazujący wobec programisty Tornado Cash, Romana Storma. Te sprawy opierają się na podobnym założeniu co to, które FATF podkreśla w raporcie: że osoby tworzące i obsługujące kod mogą być traktowane jako regulowane podmioty finansowe.

W raporcie stwierdzono, że całkowita wartość zablokowana w DeFi osiągnęła w tym roku 86,6 miliarda dolarów, co oznacza wzrost o około 85% od 2023 roku. Dodano, że dwanaście największych protokołów posiada ponad 60% tej kwoty. FATF wezwał regulatorów do wdrożenia jego zbioru zasad, zamiast pozostawiać lukę, która mogłaby umożliwić prowadzenie nielegalnych operacji finansowych na masową skalę.