Un examen approfondi de l’« Illicit Finance Risk Assessment of Decentralized Finance » du Trésor américain

Le Département du Trésor des États-Unis a publié sa toute première analyse des risques potentiels liés aux services de finance décentralisée (DeFi), concluant que les plateformes DeFi non conformes aux lutte contre le blanchiment d’argent (AML) et au financement du terrorisme (CFT) représentent le risque le plus important de finance illicite actuel.

Le rapport constate que les services DeFi disposent fréquemment d’un organe de gouvernance qui exerce un contrôle et une supervision centralisés.

Le rapport avertit également que les services DeFi n’implémentent souvent pas de contrôles AML/CFT ou d’autres processus d’identification des clients, permettant un empilement instantané et pseudonyme des produits. En conséquence, la DeFi est devenue un véritable nid à criminels, hackers et acteurs malveillants, notamment de la République populaire démocratique de Corée (RPDC), pour blanchir les produits du crime.

Le Trésor a recommandé d’évaluer d’éventuelles améliorations des exigences américaines en matière d’AML/CFT et des règles applicables aux services DeFi, ainsi que de solliciter les contributions du secteur privé pour éclairer les actions futures.

“Il est clair que nous ne pouvons pas le faire seuls,” a déclaré Brian Nelson, sous-secrétaire du Trésor chargé du terrorisme et du renseignement financier. “Nous appelons le secteur privé à utiliser les conclusions de l’évaluation des risques pour informer leurs propres stratégies d’atténuation des risques.”

Le rapport souligne également la nécessité de renforcer la supervision réglementaire AML/CFT et de fournir des orientations supplémentaires au secteur privé concernant les contrôles de conformité pour les services DeFi. Il recommande en outre que les fournisseurs de services DeFi s’enregistrent auprès des régulateurs compétents et mettent en place et maintiennent des contrôles AML/CFT adéquats afin de prévenir l’exploitation criminelle.

Bien que la DeFi puisse poser des défis pour identifier les individus derrière les activités commerciales, le rapport a souligné que les services sont soumis à la Bank Secrecy Act, qu’ils soient centralisés ou décentralisés.

Selon Nelson, certaines entités prétendant être entièrement décentralisées peuvent exercer des activités plus proches de la finance traditionnelle que ce qu’elles affirment. Ainsi, malgré leurs déclarations contraires, elles ne sont pas réellement décentralisées. Nelson suggère que ces entités sont « décentralisées en nom seulement ».

Structure du marché

Le rapport de 40 pages rapport de 2023 « DeFi Illicit Finance Risk Assessment » a été publié mercredi et traite des services DeFi par rapport aux obligations réglementaires AML/CFT.

Aux États-Unis, les obligations AML/CFT sont déterminées par les activités exercées par une personne. Les institutions financières telles que les banques, les fonds communs de placement, les courtiers-négociants, les entreprises de services monétaires (MSB), les marchands de contrats à terme (FCM) et les courtiers introducteurs sont tenus de se conformer aux réglementations AML et CFT.

Ces obligations comprennent la mise en œuvre d’un programme AML efficace ainsi que la tenue de registres et les exigences de déclaration, telles que les exigences de déclaration d’activités suspectes (SAR).

La Commodity Futures Trading Commission (CFTC), le Financial Crimes Enforcement Network (FinCEN) et la Securities and Exchange Commission (SEC) régulent ces activités, et le degré de centralisation d’une personne n’affecte pas les obligations AML/CFT des institutions financières, indique le rapport.

Si un service DeFi exerce ses activités entièrement ou en grande partie aux États‑Unis et accepte et transmet des actifs virtuels, il est susceptible d’être qualifié de transmetteur d’argent et d’être soumis aux mêmes obligations AML/CFT qu’un transmetteur d’argent offrant des services en monnaie fiduciaire, ajoute le rapport. Le rapport a également noté que le degré de décentralisation n’influence pas ces obligations tant que le service répond à la définition d’institution financière selon le BSA ou d’autres cadres réglementaires.

Le rapport indique que, bien que l’industrie crypto affirme qu’il existe une clarté réglementaire insuffisante dans l’espace DeFi, notamment concernant ce qui constitue une valeur mobilière, quels régulateurs contacter et si les services DeFi répondent à la définition d’institution financière, la CFTC, le FinCEN et la SEC soutiennent qu’ils ont fourni des orientations et des actions d’application au cours de la dernière décennie pour clarifier les obligations réglementaires. Ces agences ont également souligné que l’automatisation de certaines fonctions via des contrats intelligents ou du code informatique n’affecte pas les obligations des institutions financières offrant des services couverts, ajoute le rapport.

En outre, les services DeFi ayant une quelconque présence aux États‑Unis ou dirigés par des citoyens américains doivent se conformer aux programmes de sanctions économiques administrés et appliqués par l’Office of Foreign Assets Control (OFAC) du Trésor. Les personnes non américaines ont également, dans certaines circonstances, des obligations de conformité aux sanctions de l’OFAC. Ces obligations sont les mêmes, que la transaction soit libellée en actifs virtuels ou en monnaie fiduciaire traditionnelle.

Services DeFi non fonctionnellement décentralisés

En abordant les éléments de centralisation des services DeFi, le rapport souligne que la décentralisation des services DeFi peut être influencée par les structures de gouvernance, les points d’accès au service et la couche de règlement sur laquelle le service est construit.

Ainsi, les services DeFi peuvent prétendre être entièrement décentralisés, mais en réalité, ce n’est pas du tout le cas, indique le rapport. En fait, malgré les affirmations de décentralisation totale, des structures de gouvernance sont souvent présentes dans les services DeFi, note le rapport, soulignant que, dans certains cas, le propriétaire ou l’opérateur d’un service DeFi conserve une clé administrative, ce qui lui permet de modifier ou de désactiver les contrats intelligents du service selon les spécifications du contrat.

Le rapport a également noté que la gouvernance prétend être gérée par une DAO, et que les jetons de gouvernance permettent aux participants de proposer et de voter sur des propositions déterminant le fonctionnement d’une blockchain ou de protocoles.

Cependant, le processus de proposition et de vote sur les décisions, le pourcentage de votes nécessaire à l’adoption d’une décision, et la manière dont une décision est mise en œuvre varient considérablement selon le service DeFi. De plus, la concentration des jetons de gouvernance ou des droits de vote peut également conduire à ce qu’un petit nombre de personnes exerce un contrôle important.

Les développeurs d’applications sont également essentiels à la convivialité des services DeFi, et les informations fournies via les applications peuvent être intégrales aux transactions utilisant l’infrastructure DeFi. Les blockchains de la couche de règlement peuvent également varier en degré de décentralisation, indique le rapport.

La plupart des blockchains sur lesquelles les services DeFi fonctionnent sont sans permission, ce qui signifie que les utilisateurs n’ont besoin d’aucune approbation préalable pour participer aux activités du réseau, lit le rapport, ajoutant que certaines blockchains, cependant, sont plus centralisées que d’autres, ce qui peut affecter le degré de décentralisation des services DeFi qui y sont construits.

Menaces de finance illicite

En abordant les menaces de finance illicite, le rapport explique comment les services DeFi sont vulnérables aux abus d’acteurs illicites, y compris les cybercriminels et les fraudeurs, qui s’y tournent pour blanchir leurs produits illégaux.

Les criminels exploitent les faiblesses de cybersécurité pour compromettre les services DeFi et voler des actifs virtuels, indique le rapport, notant que la Corée du Nord, sous la pression des sanctions internationales, dérobe de plus en plus de cryptomonnaies tant aux fournisseurs de services d’actifs virtuels (VASPs) centralisés qu’aux services DeFi.

Le blanchiment d’argent constitue un problème majeur lié aux services DeFi, et les criminels utilisent diverses méthodes et services, tels que l’échange d’actifs virtuels contre d’autres actifs virtuels et l’utilisation de ponts inter-chaînes, de mixeurs et de pools de liquidité comme forme d’empilement pour blanchir leurs produits, indique le rapport.

Selon le rapport, le « chain hopping » est utilisé pour rendre plus difficile la traçabilité des transactions financières par les forces de l’ordre ; les mixeurs pour masquer la source, la destination ou le montant d’une transaction, et les pools de liquidité pour générer des fonds à partir des frais de trading, créant ainsi des défis pour les enquêteurs qui tentent de suivre les produits illicites.

Ces services attirent les criminels car ils ne sont pas tenus de fournir des informations d’identification du client, ce qui facilite leur utilisation sans être détectés, indique le rapport.

En abordant différents types d’activités illicites, le rapport a également couvert les attaques par ransomware, qui sont devenues plus graves et sophistiquées ces dernières années. Un autre type est le vol, les cybercriminels exploitant les vulnérabilités des contrats intelligents régissant les services DeFi pour dérober des actifs virtuels d’une valeur de plusieurs milliards de dollars. Les fraudes et escroqueries connaissent également une forte augmentation des pertes liées aux actifs virtuels, selon plusieurs agences gouvernementales américaines.

Le rapport évoque également le fait que les organisations de trafic de drogue se sentent de plus en plus à l’aise d’utiliser les actifs virtuels pour blanchir des fonds et l’implication de la RPDC dans des activités cryptographiques illicites afin de générer des revenus pour ses programmes d’armes illégaux.

Causes des vulnérabilités dans la DeFi

L’évaluation des risques de finance illicite du Trésor concernant le rapport DeFi a identifié que les services DeFi non conformes opérant aux États‑Unis, qui n’implémentent pas de contrôles AML/CFT ou d’autres processus d’identification des clients, sont responsables des vulnérabilités existantes des services DeFi.

Ces services DeFi permettent à l’empilement des produits de se produire instantanément et de manière pseudonyme, en utilisant de longues chaînes de caractères alphanumériques plutôt que des noms ou d’autres informations personnellement identifiables.

Les services DeFi engagés dans des activités couvertes par le BSA ont des obligations AML/CFT, et tous les services DeFi soumis à la juridiction américaine ont des obligations de conformité aux sanctions, quel que soit leur statut d’institutions financières couvertes, selon le rapport.

La désintermédiation est un autre facteur contributif, car elle permet aux utilisateurs de portefeuilles non hébergés de conserver la garde et de transférer leurs actifs numériques sans impliquer une institution financière régulée. Dans ce cas, les services DeFi qui échappent à la définition actuelle d’institution financière selon le BSA peuvent ne pas mettre en œuvre de mesures AML/CFT.

Les acteurs illicites peuvent également profiter de l’arbitrage réglementaire en raison de la nature transfrontalière et des lacunes des régimes AML/CFT, permettant aux VASP, y compris certains services DeFi, d’opérer à l’étranger avec des contrôles AML/CFT insuffisants ou inexistants, constituant ainsi une menace pour le système financier américain, indique le rapport.

Mesures d’atténuation

Le rapport souligne la nécessité d’un renforcement de la surveillance réglementaire des services DeFi afin d’atténuer les risques liés à la DeFi.

Concernant les mesures d’atténuation, le rapport explique les cadres réglementaires aux niveaux mondial et national pour les services DeFi et explore les effets d’atténuation d’éléments spécifiques à l’écosystème des actifs virtuels et de la DeFi. Le rapport note que ces mesures peuvent partiellement atténuer les risques de finance illicite mais ne traitent pas suffisamment les vulnérabilités identifiées.

Le cadre réglementaire américain AML/CFT est considéré comme une mesure d’atténuation fondamentale pour faire face aux risques de finance illicite associés aux services DeFi opérant dans le pays. Le travail dans les forums internationaux, notamment le FATF, peut également jouer un rôle essentiel dans l’élaboration de normes et la promotion de leur mise en œuvre afin de traiter les risques de finance illicite liés aux services DeFi, indique le rapport.

Les transactions impliquant des services DeFi se déroulent souvent sur la blockchain publique, et les données de transaction pseudonymes sont visibles et traçables sur le registre public de la blockchain, ce qui, selon le rapport, peut soutenir les enquêtes des autorités pour tracer les mouvements des produits illicites. (Cliquez ici pour en savoir plus sur les différences entre blockchain publique et privée)

Néanmoins, le défi d’atténuer les activités financières illégales dans le domaine de la finance décentralisée (DeFi) ne doit pas être sous-estimé. Bien que les données de la blockchain publique offrent certaines informations, leurs limites inhérentes posent des obstacles importants. La nature pseudonyme de ces registres numériques, combinée aux tactiques des utilisateurs telles que les mixeurs, les ponts inter-chaînes et les cryptomonnaies renforcées par l’anonymat (AEC), peut efficacement obscurcir la trace des transactions. En conséquence, le suivi et la traçabilité des activités au sein de l’espace DeFi deviennent de plus en plus complexes et exigeants.

Le Trésor souligne en outre que plusieurs acteurs de l’industrie crypto explorent des mesures pour augmenter la confidentialité des transactions crypto, notamment l’utilisation de la technologie Layer 2 ou de blockchains privées, pour lesquelles les registres publics ne seront pas visibles et le traçage de la blockchain ne sera pas applicable.

Bien que les utilisateurs de DeFi puissent devoir accéder à des VASP centralisés pour échanger des actifs virtuels contre de la monnaie fiduciaire afin d’acheter des biens et services, la dépendance aux programmes AML/CFT des VASP centralisés ne réduit que partiellement les risques liés aux services DeFi non conformes, note le rapport.

Selon le rapport, de nombreux VASP centralisés ne sont eux-mêmes pas conformes aux normes internationales AML/CFT et sont souvent basés dans des juridictions où les exigences AML/CFT sont faibles ou inexistantes. De plus, des cas de VASP centralisés soumis à ces exigences mais qui ne mettent pas en œuvre les programmes AML requis pour les services qu’ils offrent ont été identifiés.

L’agence a déclaré que l’adoption accrue des actifs virtuels pourrait réduire la nécessité des VASP centralisés en tant que points d’entrée et de sortie pour de nombreuses transactions. Bien que la plupart des commerçants, entreprises et institutions financières n’acceptent pas encore les actifs virtuels comme moyen de paiement, ceux-ci deviennent de plus en plus acceptés. Et une fois cela arrivé, nous assisterons à une utilisation croissante des actifs virtuels comme moyen de paiement direct, réduisant la dépendance aux VASP centralisés, ajoute-t-elle.

Actions recommandées pour répondre aux risques

Le rapport reconnaît que l’espace DeFi ne représente qu’une petite partie de l’écosystème global des actifs virtuels, et que les activités illicites se produisent principalement en utilisant la monnaie fiduciaire ou des actifs traditionnels plutôt que la crypto. Néanmoins, le rapport suggère que des actions supplémentaires sont nécessaires pour répondre aux risques associés aux services DeFi.

Le rapport a recommandé plusieurs actions, notamment le renforcement de la supervision américaine AML/CFT des activités cryptographiques. Le gouvernement américain devrait travailler à renforcer les fonctions de supervision et d’application existantes afin d’accroître la conformité aux exigences AML/CFT et autres exigences réglementaires, y compris les services DeFi soumis aux obligations du BSA, indique le rapport, ajoutant : les régulateurs devraient fournir des orientations supplémentaires à l’industrie pour clarifier la manière dont les réglementations applicables s’appliquent aux services DeFi.

Évaluer d’éventuelles améliorations du régime réglementaire américain AML/CFT appliqué aux services DeFi constitue une autre action possible. L’évaluation recommande également de renforcer le régime appliqué aux services DeFi en comblant les lacunes identifiées dans le BSA afin de garantir que certains services DeFi ne se situent pas en dehors du champ de définition des institutions financières.

De plus, le rapport suggère que le gouvernement devrait poursuivre sa coopération avec les partenaires étrangers afin de combler les lacunes dans la mise en œuvre des normes internationales concernant les actifs virtuels et les VASP. En outre, les États‑Unis devraient partager les conclusions de ce rapport avec les partenaires étrangers et les encourager à évaluer les risques liés aux services DeFi ainsi qu’à développer et mettre en œuvre des mesures d’atténuation.

Le gouvernement américain devrait également continuer à surveiller tout changement dans l’écosystème DeFi qui pourrait affecter les risques de finance illicite ou l’application des obligations AML/CFT aux entités du secteur, indique le rapport. Cela peut être réalisé par la recherche et l’engagement avec le secteur privé.

Le rapport appelle en outre les autorités à continuer de plaider pour que les services DeFi mettent en place des analyses en temps réel, une surveillance et des tests rigoureux du code afin d’identifier les vulnérabilités et de répondre aux activités suspectes, ainsi que de partager des informations avec les entreprises d’actifs virtuels et le public concernant les menaces potentielles et les mesures d’atténuation que les entreprises peuvent prendre pour renforcer leurs défenses.

Le gouvernement américain devrait s’engager avec les développeurs pour promouvoir l’innovation visant à atténuer les risques de finance illicite des services DeFi, indique le rapport, ajoutant que les décideurs politiques et les régulateurs devraient également rechercher et évaluer les changements nécessaires dans la réglementation ou les orientations afin de soutenir ces développements.

Recherche d’avis du public

En conclusion, le rapport recommande que le gouvernement américain prenne plusieurs mesures pour répondre aux risques associés aux services DeFi, notamment le renforcement de la supervision AML/CFT, l’amélioration du régime réglementaire américain AML/CFT, la coopération avec les partenaires étrangers, la promotion de la résilience cybernétique et l’innovation responsable des mesures d’atténuation.

En mettant en œuvre ces recommandations, le gouvernement américain pourra mieux protéger le système financier des États‑Unis contre les activités illicites facilitées par les services DeFi, indique le rapport.

Dans le cadre des actions recommandées, le Trésor sollicite également l’avis du public sur la manière de relever les défis réglementaires posés par les services DeFi.

Les questions comprennent la détermination de savoir si les services DeFi relèvent de la définition BSA d’institution financière, l’encouragement de mesures d’atténuation des risques pour les services DeFi non couverts par le BSA, et la clarification des obligations AML/CFT pour les services DeFi définis par le BSA. Des obligations AML/CFT variables selon les différents types de services DeFi sont également à l’étude.