Ein genauerer Blick auf die „Bewertung des Risikos illegaler Finanzierungen im dezentralen Finanzwesen“ des US-Finanzministeriums

Das US-Finanzministerium hat seine erste Analyse der potenziellen Gefahren durch dezentrale Finanzdienstleistungen (DeFi) veröffentlicht und kommt zu dem Schluss, dass DeFi-Plattformen, die nicht den Vorschriften zur Geldwäschebekämpfung und Terrorismusfinanzierung (CFT) entsprechen, das bedeutendste aktuelle Risiko illegaler Finanzierungen darstellen.

Der Bericht stellt fest, dass DeFi-Dienste häufig eine Governance‑Instanz haben, die zentrale Kontrolle und Aufsicht ausübt.

Der Bericht warnt außerdem, dass DeFi-Dienste häufig keine AML/CFT‑Kontrollen oder andere Verfahren zur Identifizierung von Kunden implementieren, was eine sofortige und pseudonyme Verschleierung von Erlösen ermöglicht. Infolgedessen ist DeFi eher zu einem Nährboden für Kriminelle, Hacker und bösartige Akteure aus der Demokratischen Volksrepublik Korea (DVRK) geworden, um Erlöse aus Straftaten zu waschen.

Das Finanzministerium hat empfohlen, mögliche Verbesserungen der US‑AML/CFT‑Anforderungen und der DeFi‑Dienstregelungen zu prüfen sowie Input aus dem privaten Sektor einzuholen, um zukünftige Maßnahmen zu informieren.

„Offensichtlich können wir das nicht allein bewältigen“, sagte Brian Nelson, Unterstaatssekretär des Finanzministeriums für Terrorismus und Finanzintelligenz. „Wir fordern den privaten Sektor auf, die Ergebnisse der Risikobewertung zu nutzen, um Ihre eigenen Risikominderungsstrategien zu informieren.“

Der Bericht hebt zudem die Notwendigkeit hervor, die AML/CFT‑Regulierungsaufsicht zu stärken und dem privaten Sektor zusätzliche Leitlinien für Compliance‑Prüfungen von DeFi-Diensten bereitzustellen. Weiterhin empfiehlt er, dass DeFi‑Dienstanbieter sich bei den zuständigen Aufsichtsbehörden registrieren und angemessene AML/CFT‑Kontrollen einrichten und aufrechterhalten, um kriminelle Ausbeutung zu verhindern.

Obwohl DeFi Herausforderungen bei der Identifizierung der hinter geschäftlichen Aktivitäten stehenden Personen darstellen kann, betont der Bericht, dass die Dienste dem Bankgeheimnisgesetz unterliegen, unabhängig davon, ob sie zentralisiert oder dezentralisiert sind.

Laut Nelson können einige Unternehmen, die behaupten, vollständig dezentralisiert zu sein, Aktivitäten ausüben, die traditionellen Finanzpraktiken eher ähneln, als sie behaupten. Trotz ihrer gegenteiligen Behauptungen sind sie also nicht wirklich dezentralisiert. Nelson schlägt vor, dass diese Unternehmen „nur nominell dezentralisiert“ seien.

Die Marktstruktur

Der 40‑seitige DeFi‑Bewertungbericht zum Risiko illegaler Finanzierungen 2023 Bericht wurde am Mittwoch veröffentlicht und behandelt DeFi-Dienste im Zusammenhang mit den AML/CFT‑Regulierungspflichten.

In den Vereinigten Staaten werden AML/CFT‑Pflichten durch die Tätigkeiten bestimmt, an denen eine Person beteiligt ist. Finanzinstitute wie Banken, Investmentfonds, Broker‑Dealer, Geldserviceunternehmen (MSBs), Futures‑Kommissionshändler (FCMs) und Einführungsbroker sind verpflichtet, AML‑ und CFT‑Vorschriften einzuhalten.

Diese Pflichten umfassen die Implementierung eines effektiven AML‑Programms sowie die Aufbewahrung von Aufzeichnungen und Meldepflichten, wie zum Beispiel die Meldung verdächtiger Aktivitäten (SAR).

Die Commodity Futures Trading Commission (CFTC), das Financial Crimes Enforcement Network (FinCEN) und die Securities and Exchange Commission (SEC) regulieren solche Aktivitäten, und das Ausmaß der Zentralisierung einer Person hat keinen Einfluss auf die AML/CFT‑Pflichten von Finanzinstituten, heißt es im Bericht.

Wenn ein DeFi-Dienst Geschäfte vollständig oder zu einem wesentlichen Teil in den USA tätigt und virtuelle Vermögenswerte akzeptiert und überträgt, wird er wahrscheinlich als Geldübermittler eingestuft und unterliegt denselben AML/CFT‑Pflichten wie ein Geldübermittler, der Dienstleistungen in Fiat‑Währung anbietet, fügte der Bericht hinzu. Der Bericht stellte zudem fest, dass das Ausmaß der Dezentralisierung keinen Einfluss auf diese Pflichten hat, solange der Dienst die Definition eines Finanzinstituts gemäß dem BSA oder anderen regulatorischen Rahmenbedingungen erfüllt.

Der Bericht stellt fest, dass die Krypto‑Industrie behauptet habe, es fehle an regulatorischer Klarheit im DeFi‑Bereich, insbesondere in Bezug darauf, was als Wertpapier gilt, bei welchen Aufsichtsbehörden man sich registrieren muss und ob DeFi‑Dienste die Definition eines Finanzinstituts erfüllen. CFTC, FinCEN und SEC argumentieren jedoch, dass sie in den letzten zehn Jahren Leitlinien und Durchsetzungsmaßnahmen bereitgestellt haben, um die regulatorischen Pflichten zu klären. Diese Behörden betonten zudem, dass die Automatisierung bestimmter Funktionen durch Smart Contracts oder Computercode die Pflichten von Finanzinstituten, die abgedeckte Dienstleistungen anbieten, nicht beeinflusst, fügte er hinzu.

Darüber hinaus müssen DeFi-Dienste, die irgendeine Präsenz in den USA haben oder von US‑Bürgern geleitet werden, die von dem Office of Foreign Assets Control (OFAC) des Finanzministeriums verwalteten und durchgesetzten Wirtschaftssanktionen einhalten. Auch Nicht‑US‑Personen haben in bestimmten Fällen OFAC‑Sanktionen‑Compliance‑Pflichten. Diese Pflichten gelten unabhängig davon, ob eine Transaktion in virtuellen Vermögenswerten oder traditioneller Fiat‑Währung denominiert ist.

DeFi-Dienste, die nicht funktional dezentralisiert sind

Während der Diskussion über die Elemente der Zentralisierung bei DeFi-Diensten weist der Bericht darauf hin, dass die Dezentralisierung von DeFi-Diensten durch Governance‑Strukturen, Zugangspunkte zum Dienst und die Abwicklungsebene, auf der der Dienst aufgebaut ist, beeinflusst werden kann.

Daher können DeFi-Dienste behaupten, vollständig dezentralisiert zu sein, doch in Wirklichkeit ist das überhaupt nicht der Fall, heißt es. Tatsächlich sind trotz Behauptungen einer vollständigen Dezentralisierung Governance‑Strukturen häufig in DeFi-Diensten vorhanden, so der Bericht, wobei in bestimmten Fällen der Eigentümer oder Betreiber eines DeFi-Dienstes einen administrativen Schlüssel behält, der ihm die Möglichkeit gibt, die Smart Contracts des Dienstes gemäß den Vertragsbedingungen zu ändern oder zu deaktivieren.

Der Bericht stellte weiter fest, dass die Governance angeblich von einer DAO verwaltet wird und Governance‑Token den Teilnehmern ermöglichen, Vorschläge einzubringen und darüber abzustimmen, die die Funktion einer Blockchain oder von Protokollen bestimmen.

Allerdings variieren der Prozess des Einbringens und Abstimmens über Entscheidungen, der Prozentsatz der Stimmen, der für das Zustandekommen einer Entscheidung erforderlich ist, und die Art und Weise, wie eine Entscheidung umgesetzt wird, erheblich je nach DeFi-Dienst. Darüber hinaus könnte die Konzentration von Governance‑Token oder Stimmrechten dazu führen, dass eine kleine Anzahl von Personen einen hohen Grad an Kontrolle ausübt.

Anwendungsentwickler sind zudem entscheidend für die Benutzerfreundlichkeit von DeFi-Diensten, und über Anwendungen bereitgestellte Informationen können integraler Bestandteil von Transaktionen sein, die die DeFi-Infrastruktur nutzen. Auch die Blockchains der Abwicklungsebene können in ihrem Dezentralisierungsgrad variieren, heißt es.

Die meisten Blockchains, auf denen DeFi-Dienste betrieben werden, sind erlaubnisfrei, das heißt, Nutzer benötigen keine vorherige Genehmigung, um an Netzwerkaktivitäten teilzunehmen, heißt es im Bericht, wobei einige Blockchains jedoch zentralisierter sind als andere, was den Dezentralisierungsgrad der darauf aufgebauten DeFi-Dienste beeinflussen kann.

Bedrohungen durch illegale Finanzierungen

Im Abschnitt über Bedrohungen durch illegale Finanzierungen erläutert der Bericht, wie DeFi-Dienste anfällig für den Missbrauch durch illegale Akteure, einschließlich Cyberkrimineller und Betrüger, sind, die sie zur Geldwäsche ihrer illegalen Erlöse nutzen.

Kriminelle nutzen Schwachstellen in der Cybersicherheit aus, um DeFi-Dienste zu kompromittieren und virtuelle Vermögenswerte zu stehlen, so der Bericht, wobei Nordkorea, unter Druck internationaler Sanktionen, zunehmend Krypto sowohl von zentralisierten Virtual Asset Service Providern (VASPs) als auch von DeFi-Diensten stiehlt.

Geldwäsche ist ein bedeutendes Problem im Zusammenhang mit DeFi-Diensten, und Kriminelle nutzen verschiedene Methoden und Dienste, wie den Austausch virtueller Vermögenswerte gegen andere virtuelle Vermögenswerte sowie die Nutzung von Cross‑Chain‑Brücken, Mixern und Liquiditätspools als Form der Verschleierung, um ihre Erlöse zu waschen, heißt es.

Laut dem Bericht wird Chain‑Hopping eingesetzt, um es den Strafverfolgungsbehörden zu erschweren, Finanztransaktionen nachzuvollziehen; Mixer, um Quelle, Ziel oder Betrag einer Transaktion zu verschleiern, und Liquiditätspools, um Mittel aus Handelsgebühren zu generieren, was Ermittlern, die versuchen, illegale Erlöse zu verfolgen, Herausforderungen bereitet.

Diese Dienste sind für Kriminelle attraktiv, weil sie nicht verpflichtet sind, Kundenidentifikationsinformationen bereitzustellen, was es ihnen erleichtert, die Dienste unentdeckt zu nutzen, heißt es im Bericht.

Während der Diskussion über verschiedene Arten illegaler Aktivitäten behandelte der Bericht zudem Ransomware‑Angriffe, die in den letzten Jahren schwerwiegender und raffinierter geworden sind. Eine weitere Art ist Diebstahl, bei dem Cyberkriminelle Schwachstellen in den Smart Contracts, die DeFi-Dienste steuern, ausnutzen, um virtuelle Vermögenswerte im Wert von Milliarden Dollar zu stehlen. Betrug und Betrugsmaschen verzeichnen ebenfalls einen starken Anstieg der Verluste im Zusammenhang mit virtuellen Vermögenswerten, wie von mehreren US‑Behörden gemeldet.

Der Bericht behandelt außerdem, dass Drogenhandelsorganisationen zunehmend virtuelle Vermögenswerte zur Geldwäsche nutzen und dass die DPRK in illegale kryptobezogene Aktivitäten verwickelt ist, um Einnahmen für ihre unrechtmäßigen Waffenprogramme zu generieren.

Ursachen für Schwachstellen in DeFi

Die Bewertung des Risikos illegaler Finanzierungen im DeFi‑Bericht des Finanzministeriums hat festgestellt, dass nicht konforme DeFi-Dienste, die in den USA tätig sind und keine AML/CFT‑Kontrollen oder andere Verfahren zur Kundenidentifizierung implementieren, für die bestehenden Schwachstellen in DeFi-Diensten verantwortlich sind.

Solche DeFi-Dienste ermöglichen die sofortige und pseudonyme Verschleierung von Erlösen, indem lange Zeichenketten aus alphanumerischen Zeichen anstelle von Namen oder anderen persönlich identifizierenden Informationen verwendet werden.

DeFi-Dienste, die Aktivitäten ausführen, die vom BSA abgedeckt sind, haben AML/CFT‑Pflichten, und alle DeFi-Dienste, die der US‑Jurisdiktion unterliegen, haben Sanktionen‑Compliance‑Pflichten, unabhängig von ihrem Status als abgedeckte Finanzinstitute, so der Bericht.

Disintermediation ist ein weiterer beitragender Faktor, da sie Nutzern von nicht gehosteten Wallets ermöglicht, die Verwahrung und Übertragung ihrer digitalen Vermögenswerte ohne Einbeziehung eines regulierten Finanzinstituts zu behalten. In diesem Fall können DeFi-Dienste, die außerhalb der aktuellen Definition eines Finanzinstituts gemäß dem BSA liegen, AML/CFT‑Maßnahmen nicht implementieren.

Illegale Akteure können zudem regulatorische Arbitrage aufgrund der grenzüberschreitenden Natur und Lücken in den AML/CFT‑Regimen ausnutzen, wodurch VASPs, einschließlich bestimmter DeFi-Dienste, im Ausland mit unzureichenden oder fehlenden AML/CFT‑Kontrollen operieren können, was eine Bedrohung für das US‑Finanzsystem darstellt, so der Bericht.

Minderungsmaßnahmen

Der Bericht hebt die Notwendigkeit einer verstärkten regulatorischen Aufsicht über DeFi-Dienste hervor, um Risiken im Zusammenhang mit DeFi zu mindern.

Für Minderungsmaßnahmen erläutert der Bericht die regulatorischen Rahmenbedingungen auf globaler und nationaler Ebene für DeFi-Dienste und untersucht die mildernden Effekte von Elementen, die spezifisch für das virtuelle Asset‑ und DeFi‑Ökosystem sind. Der Bericht stellt fest, dass diese Maßnahmen die Risiken illegaler Finanzierungen teilweise mindern können, die identifizierten Schwachstellen jedoch nicht ausreichend adressieren.

Der US‑AML/CFT‑Regulierungsrahmen wird als grundlegende Minderungsmaßnahme angesehen, um die mit in den USA tätigen DeFi-Diensten verbundenen Risiken illegaler Finanzierungen zu adressieren. Die Arbeit in internationalen Foren, insbesondere der FATF, kann ebenfalls eine wesentliche Rolle bei der Entwicklung von Standards und der Förderung ihrer Umsetzung spielen, um die Risiken illegaler Finanzierungen im Zusammenhang mit DeFi-Diensten zu adressieren, heißt es.

Transaktionen, die DeFi-Dienste betreffen, finden häufig auf öffentlichen Blockchains statt, und die pseudonymen Transaktionsdaten sind im öffentlichen Ledger einer Blockchain einsehbar und nachvollziehbar, was laut Bericht Ermittlungen der Behörden unterstützen kann, um die Bewegungen illegaler Erlöse nachzuverfolgen. (Klicken Sie hier, um mehr über die Unterschiede zwischen öffentlichen und privaten Blockchains zu erfahren)

Dennoch darf die Herausforderung, illegale Finanzaktivitäten im Bereich der dezentralen Finanzen (DeFi) zu mindern, nicht unterschätzt werden. Während öffentliche Blockchain‑Daten gewisse Einblicke bieten, stellen ihre inhärenten Beschränkungen erhebliche Hürden dar. Die pseudonyme Natur dieser digitalen Ledger, kombiniert mit Nutzer‑Taktiken wie Mixern, Cross‑Chain‑Brücken und anonymitätsverstärkenden Kryptowährungen (AECs), kann die Transaktionsspur effektiv verschleiern. Infolgedessen wird das Verfolgen und Nachverfolgen von Aktivitäten im DeFi‑Bereich zunehmend komplex und anspruchsvoll.

Das Finanzministerium weist zudem darauf hin, dass mehrere Akteure der Krypto‑Industrie Maßnahmen prüfen, um die Privatsphäre von Krypto‑Transaktionen zu erhöhen, einschließlich der Nutzung von Layer‑2‑Technologie oder privaten Blockchains, für die öffentliche Ledger nicht einsehbar und Blockchain‑Nachverfolgungen nicht anwendbar sind.

Während DeFi‑Nutzer möglicherweise auf zentralisierte VASPs zugreifen müssen, um virtuelle Vermögenswerte in Fiat‑Währung umzutauschen, um Waren und Dienstleistungen zu erwerben, mildert die Abhängigkeit von AML/CFT‑Programmen zentralisierter VASPs die Risiken im Zusammenhang mit nicht konformen DeFi-Diensten nur teilweise, so der Bericht.

Laut dem Bericht sind viele zentralisierte VASPs selbst nicht konform mit internationalen AML/CFT‑Standards und häufig in Jurisdiktionen mit schwachen oder nicht vorhandenen AML/CFT‑Anforderungen ansässig. Darüber hinaus wurden Fälle identifiziert, in denen zentralisierte VASPs zwar diesen Anforderungen unterliegen, jedoch die erforderlichen AML‑Programme für die von ihnen angebotenen Dienste nicht implementieren.

Die Behörde erklärte, dass die weitere Verbreitung virtueller Vermögenswerte die Notwendigkeit zentralisierter VASPs als Ein‑ und Ausstiegspunkte für viele Transaktionen verringern könnte. Während die meisten Händler, Unternehmen und Finanzinstitute derzeit virtuelle Vermögenswerte nicht als Zahlungsmittel akzeptieren, werden sie mit zunehmender Akzeptanz immer häufiger als direktes Zahlungsmittel genutzt, wodurch die Abhängigkeit von zentralisierten VASPs reduziert wird, fügte sie hinzu.

Empfohlene Maßnahmen zur Risikobewältigung

Der Bericht erkennt an, dass der DeFi‑Bereich nur einen kleinen Teil des gesamten virtuellen Asset‑Ökosystems ausmacht und illegale Aktivitäten überwiegend mit Fiat‑Währung oder traditionellen Vermögenswerten statt mit Krypto stattfinden. Dennoch schlägt der Bericht vor, dass weitere Maßnahmen erforderlich sind, um die mit DeFi-Diensten verbundenen Risiken zu adressieren.

Der Bericht empfahl mehrere Maßnahmen, darunter die Stärkung der US‑AML/CFT‑Aufsicht über Krypto‑Aktivitäten. Die US‑Regierung sollte daran arbeiten, die bestehenden Aufsichts- und Durchsetzungsfunktionen zu stärken, um die Einhaltung von AML/CFT und anderen regulatorischen Anforderungen, einschließlich DeFi-Diensten mit BSA‑Pflichten, zu erhöhen, heißt es, und fügte hinzu: Die Aufsichtsbehörden sollten der Branche zusätzliche Leitlinien bereitstellen, um zu verdeutlichen, wie die anwendbaren Vorschriften auf DeFi-Dienste zutreffen.

Die Bewertung möglicher Verbesserungen des US‑AML/CFT‑Regulierungsrahmens in Bezug auf DeFi-Dienste ist eine weitere umsetzbare Maßnahme. Die Bewertung empfiehlt zudem, den Rahmen für DeFi-Dienste zu stärken, indem erkannte Lücken im BSA geschlossen werden, um sicherzustellen, dass bestimmte DeFi-Dienste nicht außerhalb des Geltungsbereichs seiner Definition von Finanzinstituten fallen.

Zudem schlägt der Bericht vor, dass die Regierung weiterhin mit ausländischen Partnern zusammenarbeiten sollte, um Lücken bei der Umsetzung internationaler Standards für virtuelle Vermögenswerte und VASPs zu schließen. Darüber hinaus sollte die USA die Ergebnisse dieses Berichts mit ausländischen Partnern teilen und sie ermutigen, Risiken im Zusammenhang mit DeFi-Diensten zu bewerten sowie Minderungsmaßnahmen zu entwickeln und umzusetzen.

Die US‑Regierung sollte zudem weiterhin Änderungen im DeFi‑Ökosystem beobachten, die Risiken illegaler Finanzierungen oder die Anwendung von AML/CFT‑Pflichten auf Akteure in diesem Bereich beeinflussen könnten, heißt es. Dies kann durch Forschung und Zusammenarbeit mit dem privaten Sektor erfolgen.

Der Bericht fordert die Behörden zudem auf, weiterhin dafür einzutreten, dass DeFi-Dienste Echtzeit‑Analysen, Überwachung und rigorose Code‑Tests einführen, um Schwachstellen zu identifizieren und auf verdächtige Aktivitäten zu reagieren, sowie Informationen mit virtuellen Asset‑Unternehmen und der Öffentlichkeit über potenzielle Bedrohungen und Minderungsmaßnahmen zu teilen, die Unternehmen ergreifen können, um ihre Abwehr zu verbessern.

Die US‑Regierung sollte sich mit Entwicklern austauschen, um Innovationen zu fördern, die darauf abzielen, die Risiken illegaler Finanzierungen von DeFi-Diensten zu mindern, heißt es, und fügt hinzu, dass Gesetzgeber und Regulierungsbehörden ebenfalls notwendige Änderungen in Vorschriften oder Leitlinien prüfen und anstreben sollten, um diese Entwicklungen zu unterstützen.

Öffentliche Eingaben einholen

Abschließend empfiehlt der Bericht, dass die US‑Regierung mehrere Schritte unternehmen sollte, um die mit DeFi-Diensten verbundenen Risiken zu adressieren, darunter die Stärkung der AML/CFT‑Aufsicht, die Verbesserung des US‑AML/CFT‑Regulierungsrahmens, die Zusammenarbeit mit ausländischen Partnern, die Förderung der Cyber‑Resilienz und die verantwortungsvolle Innovation von Minderungsmaßnahmen.

Durch die Umsetzung dieser Empfehlungen kann die US‑Regierung das US‑Finanzsystem besser vor durch DeFi-Dienste erleichterten illegalen Aktivitäten schützen, heißt es im Bericht.

Im Rahmen der empfohlenen Maßnahmen sucht das Finanzministerium zudem öffentliche Eingaben zur Bewältigung der regulatorischen Herausforderungen, die durch DeFi-Dienste entstehen.

Zu den Fragen gehören die Feststellung, ob DeFi-Dienste unter die BSA‑Definition eines Finanzinstituts fallen, die Förderung von Risikominderungsmaßnahmen für nicht‑BSA‑DeFi-Dienste sowie die Klärung der AML/CFT‑Pflichten für BSA‑definierte DeFi-Dienste. Unterschiedliche AML/CFT‑Pflichten für verschiedene Arten von DeFi-Diensten werden ebenfalls in Betracht gezogen.