Tinjauan Lebih Dekat terhadap “Penilaian Risiko Keuangan Ilegal pada Keuangan Terdesentralisasi” oleh Departemen Keuangan AS

Departemen Keuangan AS telah menerbitkan analisis pertamanya tentang potensi bahaya dari layanan keuangan terdesentralisasi (DeFi), menyimpulkan bahwa platform DeFi yang tidak mematuhi peraturan anti-pencucian uang (AML) dan pembiayaan terorisme (CFT) menimbulkan risiko keuangan ilegal paling signifikan saat ini.

Laporan tersebut menemukan bahwa layanan DeFi sering kali memiliki badan pengelola yang melakukan kontrol dan pengawasan terpusat.

Laporan juga memperingatkan bahwa layanan DeFi sering tidak menerapkan kontrol AML/CFT atau proses lain untuk mengidentifikasi pelanggan, memungkinkan pelapisan hasil secara instan dan pseudonim. Akibatnya, DeFi justru menjadi sarang bagi penjahat, peretas, dan aktor jahat dari Republik Demokratik Rakyat Korea (DPRK) untuk mencuci hasil kejahatan.

Departemen Keuangan merekomendasikan penilaian kemungkinan peningkatan persyaratan AML/CFT AS dan aturan layanan DeFi, serta meminta masukan dari sektor swasta untuk menginformasikan tindakan di masa mendatang.

“Jelas, kami tidak dapat melakukan ini sendiri,” kata Brian Nelson, wakil sekretaris Departemen Keuangan untuk terorisme dan intelijen keuangan. “Kami mengajak sektor swasta untuk menggunakan temuan penilaian risiko ini guna menginformasikan strategi mitigasi risiko Anda sendiri.”

Laporan juga menyoroti kebutuhan untuk memperkuat pengawasan regulasi AML/CFT dan memberikan panduan tambahan kepada sektor swasta mengenai pemeriksaan kepatuhan untuk layanan DeFi. Selanjutnya, laporan merekomendasikan penyedia layanan DeFi untuk mendaftar dengan regulator yang tepat serta membangun dan mempertahankan kontrol AML/CFT yang memadai untuk mencegah eksploitasi kriminal.

Meskipun DeFi dapat menimbulkan tantangan dalam mengidentifikasi individu di balik aktivitas bisnis, laporan menekankan bahwa layanan tersebut tunduk pada Undang-Undang Kerahasiaan Bank, terlepas dari apakah mereka terpusat atau terdesentralisasi.

Menurut Nelson, beberapa entitas yang mengklaim sepenuhnya terdesentralisasi mungkin melakukan aktivitas yang lebih mirip dengan keuangan tradisional daripada yang mereka klaim. Jadi, meskipun mereka mengklaim sebaliknya, mereka tidak benar-benar terdesentralisasi. Nelson menyarankan bahwa entitas tersebut “terdesentralisasi hanya dalam nama saja.”

Struktur Pasar

Laporan 40 halaman laporan Penilaian Risiko Keuangan Ilegal DeFi 2023 dirilis pada hari Rabu dan membahas layanan DeFi terkait dengan kewajiban regulasi AML/CFT.

Di Amerika Serikat, kewajiban AML/CFT ditentukan oleh aktivitas yang dilakukan seseorang. Lembaga keuangan seperti bank, reksa dana, broker-dealer, bisnis layanan uang (MSBs), pedagang komisi berjangka (FCMs), dan broker pengantar diwajibkan mematuhi regulasi AML dan CFT.

Kewajiban ini mencakup penerapan program AML yang efektif serta pemeliharaan catatan dan persyaratan pelaporan, seperti persyaratan pelaporan aktivitas mencurigakan (SAR).

Komisi Perdagangan Berjangka Komoditas (CFTC), Jaringan Penegakan Kejahatan Keuangan (FinCEN), dan Komisi Sekuritas dan Bursa (SEC) mengatur aktivitas tersebut, dan tingkat sentralisasi seseorang tidak memengaruhi kewajiban AML/CFT lembaga keuangan, kata laporan.

Jika layanan DeFi melakukan bisnis sepenuhnya atau sebagian besar di AS serta menerima dan mentransmisikan aset virtual, kemungkinan besar layanan tersebut akan dikategorikan sebagai pengirim uang dan tunduk pada kewajiban AML/CFT yang sama seperti pengirim uang yang menawarkan layanan dalam mata uang fiat, tambahnya. Laporan juga mencatat bahwa tingkat desentralisasi tidak berpengaruh pada kewajiban ini selama layanan memenuhi definisi lembaga keuangan menurut BSA atau kerangka regulasi lainnya.

Laporan menyatakan bahwa meskipun industri kripto mengklaim bahwa terdapat kurangnya kejelasan regulasi di ruang DeFi, khususnya mengenai apa yang memenuhi syarat sebagai sekuritas, regulator mana yang harus didaftarkan, dan apakah layanan DeFi memenuhi definisi lembaga keuangan, CFTC, FinCEN, dan SEC berpendapat bahwa mereka telah memberikan panduan dan tindakan penegakan selama dekade terakhir untuk memperjelas kewajiban regulasi. Badan-badan ini juga menekankan bahwa otomatisasi fungsi tertentu melalui kontrak pintar atau kode komputer tidak memengaruhi kewajiban lembaga keuangan yang menawarkan layanan yang tercakup, tambahnya.

Selain itu, layanan DeFi yang memiliki kehadiran apa pun di AS atau dipimpin oleh warga negaranya harus mematuhi program sanksi ekonomi yang dikelola dan ditegakkan oleh Kantor Pengendalian Aset Asing (OFAC) Departemen Keuangan. Orang non-AS juga memiliki kewajiban kepatuhan sanksi OFAC dalam beberapa keadaan. Kewajiban ini sama terlepas apakah transaksi dinilai dalam aset virtual atau mata uang fiat tradisional.

Layanan DeFi Tidak Berfungsi Secara Terdesentralisasi

Saat membahas elemen sentralisasi dalam layanan DeFi, laporan menunjukkan bahwa desentralisasi layanan DeFi dapat dipengaruhi oleh struktur tata kelola, titik akses ke layanan, dan lapisan penyelesaian tempat layanan dibangun.

Dengan demikian, layanan DeFi mungkin mengklaim sepenuhnya terdesentralisasi, tetapi pada kenyataannya, hal itu tidak benar sama sekali, kata laporan. Faktanya, meskipun ada klaim desentralisasi total, struktur tata kelola sering hadir dalam layanan DeFi, laporan tersebut mengatakan, mencatat, dalam beberapa kasus, pemilik atau operator layanan DeFi mempertahankan kunci administratif, yang memberi mereka kemampuan untuk memodifikasi atau menonaktifkan kontrak pintar layanan berdasarkan spesifikasi kontrak.

Laporan lebih lanjut mencatat bahwa tata kelola diklaim dikelola oleh DAO, dan token tata kelola memungkinkan peserta mengajukan dan memilih proposal yang menentukan fungsi blockchain atau protokol.

Namun, proses pengajuan dan pemungutan suara pada keputusan, persentase suara yang diperlukan untuk mengesahkan keputusan, dan cara keputusan diimplementasikan sangat bervariasi antar layanan DeFi. Selain itu, konsentrasi token tata kelola atau hak suara dapat mengakibatkan sejumlah kecil orang mengendalikan tingkat kontrol yang tinggi.

Pengembang aplikasi juga sangat penting bagi kegunaan layanan DeFi, dan informasi yang disediakan melalui aplikasi dapat menjadi integral bagi transaksi yang menggunakan infrastruktur DeFi. Blockchain lapisan penyelesaian juga dapat bervariasi dalam tingkat desentralisasi, kata laporan.

Sebagian besar blockchain tempat layanan DeFi beroperasi bersifat permissionless, artinya pengguna tidak memerlukan persetujuan sebelumnya untuk berpartisipasi dalam aktivitas jaringan, kata laporan, menambahkan, beberapa blockchain, bagaimanapun, lebih terpusat daripada yang lain, dan hal ini dapat memengaruhi tingkat desentralisasi layanan DeFi yang dibangun di atasnya.

Ancaman Keuangan Ilegal

Saat membahas ancaman keuangan ilegal, laporan menjelaskan bagaimana layanan DeFi rentan disalahgunakan oleh aktor ilegal, termasuk penjahat siber dan penipu, yang beralih ke layanan tersebut untuk mencuci hasil ilegal mereka.

Penjahat memanfaatkan kelemahan keamanan siber untuk merusak layanan DeFi dan mencuri aset virtual, kata laporan mencatat Korea Utara, di bawah tekanan sanksi internasional, semakin banyak mencuri kripto dari Penyedia Layanan Aset Virtual (VASPs) terpusat maupun layanan DeFi.

Pencucian uang merupakan masalah signifikan yang terkait dengan layanan DeFi, dan penjahat menggunakan berbagai metode dan layanan, seperti menukar aset virtual dengan aset virtual lain serta menggunakan jembatan lintas rantai, mixer, dan pool likuiditas sebagai bentuk pelapisan untuk mencuci hasil mereka, kata laporan.

Menurut laporan, chain hopping digunakan untuk menyulitkan penegak hukum melacak transaksi keuangan; mixer untuk menyamarkan sumber, tujuan, atau jumlah transaksi, dan pool likuiditas untuk menghasilkan dana dari biaya perdagangan, menciptakan tantangan bagi penyelidik yang berusaha melacak hasil ilegal.

Layanan ini menarik bagi penjahat karena tidak diwajibkan memberikan informasi identifikasi pelanggan, memudahkan mereka menggunakan layanan tanpa terdeteksi, kata laporan.

Saat membahas berbagai jenis aktivitas ilegal, laporan juga mencakup serangan ransomware, yang menjadi lebih parah dan canggih dalam beberapa tahun terakhir. Jenis lainnya adalah pencurian, di mana penjahat siber memanfaatkan kerentanan dalam kontrak pintar yang mengatur layanan DeFi untuk mencuri aset virtual senilai miliaran dolar. Penipuan dan skema juga mengalami peningkatan tajam dalam kerugian terkait aset virtual yang dilaporkan oleh berbagai lembaga pemerintah AS.

Laporan juga membahas organisasi perdagangan narkoba yang semakin nyaman menggunakan aset virtual untuk mencuci dana serta keterlibatan DPRK dalam aktivitas kripto ilegal untuk menghasilkan pendapatan bagi program senjata ilegalnya.

Penyebab Kerentanan dalam DeFi

Penilaian risiko keuangan ilegal Departemen Keuangan terhadap laporan DeFi mengidentifikasi bahwa layanan DeFi yang tidak mematuhi regulasi di AS, yang tidak menerapkan kontrol AML/CFT atau proses lain untuk mengidentifikasi pelanggan, bertanggung jawab atas kerentanan yang ada dalam layanan DeFi.

Layanan DeFi semacam itu memungkinkan pelapisan hasil terjadi secara instan dan pseudonim, menggunakan rangkaian panjang karakter alfanumerik alih-alih nama atau informasi identifikasi pribadi lainnya.

Layanan DeFi yang terlibat dalam aktivitas yang tercakup oleh BSA memiliki kewajiban AML/CFT, dan semua layanan DeFi yang berada di bawah yurisdiksi AS memiliki kewajiban kepatuhan sanksi, terlepas dari status mereka sebagai lembaga keuangan yang tercakup, menurut laporan.

Disintermediasi adalah faktor penyumbang lainnya, karena memungkinkan pengguna dompet yang tidak dihosting untuk mempertahankan kepemilikan dan mentransfer aset digital mereka tanpa melibatkan lembaga keuangan yang diatur. Dalam hal ini, layanan DeFi yang berada di luar definisi lembaga keuangan saat ini menurut BSA mungkin tidak menerapkan langkah-langkah AML/CFT.

Aktor ilegal juga dapat memanfaatkan arbitrase regulasi karena sifat lintas batas dan celah dalam rezim AML/CFT, memungkinkan VASP, termasuk layanan DeFi tertentu, beroperasi di luar negeri dengan kontrol AML/CFT yang tidak memadai atau tidak ada, sehingga menjadi ancaman bagi sistem keuangan AS, kata laporan.

Langkah-Langkah Mitigasi

Laporan menyoroti kebutuhan peningkatan pengawasan regulasi terhadap layanan DeFi untuk mengurangi risiko terkait DeFi.

Untuk langkah mitigasi, laporan menjelaskan kerangka regulasi pada tingkat global dan domestik untuk layanan DeFi serta mengeksplorasi efek mitigasi elemen khusus ekosistem aset virtual dan DeFi. Laporan mencatat bahwa langkah-langkah ini dapat sebagian mengurangi risiko keuangan ilegal namun tidak cukup mengatasi kerentanan yang diidentifikasi.

Kerangka regulasi AML/CFT AS dianggap sebagai langkah mitigasi dasar untuk mengatasi risiko keuangan ilegal yang terkait dengan layanan DeFi yang beroperasi di negara tersebut. Upaya di forum internasional, khususnya FATF, juga dapat memainkan peran penting dalam mengembangkan standar dan mempromosikan penerapan standar tersebut untuk mengatasi risiko keuangan ilegal yang terkait dengan layanan DeFi, kata laporan.

Transaksi yang melibatkan layanan DeFi sering terjadi di blockchain publik, dan data transaksi pseudonim dapat dilihat dan dilacak pada buku besar publik blockchain, yang menurut laporan dapat mendukung penyelidikan oleh otoritas untuk melacak pergerakan hasil ilegal. (Klik di sini untuk mempelajari perbedaan antara blockchain publik vs. privat)

Namun, tantangan dalam mengurangi aktivitas keuangan ilegal di arena keuangan terdesentralisasi (DeFi) tidak dapat diremehkan. Meskipun data blockchain publik memberikan beberapa wawasan, keterbatasannya yang melekat menimbulkan hambatan signifikan. Sifat pseudonim dari buku besar digital ini, bersama dengan taktik pengguna seperti mixer, jembatan lintas rantai, dan cryptocurrency yang meningkatkan anonimitas (AEC), dapat secara efektif mengaburkan jejak transaksi. Akibatnya, pelacakan dan penelusuran aktivitas dalam ruang DeFi menjadi semakin kompleks dan menuntut.

Departemen Keuangan lebih lanjut menunjukkan bahwa beberapa peserta industri kripto sedang mengeksplorasi langkah untuk meningkatkan privasi transaksi kripto, termasuk penggunaan teknologi Layer 2, atau blockchain privat, di mana buku besar publik tidak dapat dilihat dan pelacakan blockchain tidak berlaku.

Meskipun pengguna DeFi mungkin perlu mengakses VASP terpusat untuk menukar aset virtual dengan mata uang fiat guna membeli barang dan layanan, ketergantungan pada program AML/CFT VASP terpusat hanya sebagian mengurangi risiko terkait layanan DeFi yang tidak mematuhi, catatnya.

Menurut laporan, banyak VASP terpusat sendiri tidak mematuhi standar AML/CFT internasional dan sering berbasis di yurisdiksi dengan persyaratan AML/CFT yang lemah atau tidak ada. Selain itu, terdapat kasus VASP terpusat yang berada di bawah persyaratan tersebut namun gagal menerapkan program AML yang diperlukan untuk layanan yang mereka sediakan.

Badan tersebut mengatakan bahwa adopsi aset virtual yang lebih luas dapat mengurangi kebutuhan VASP terpusat sebagai pintu masuk dan keluar bagi banyak transaksi. Meskipun sebagian besar pedagang, bisnis, dan lembaga keuangan saat ini belum menerima aset virtual sebagai metode pembayaran, seiring aset virtual semakin diterima secara luas. Dan begitu hal itu terjadi, kami akan melihat peningkatan penggunaan aset virtual sebagai metode pembayaran secara langsung, mengurangi ketergantungan pada VASP terpusat, tambahnya.

Tindakan yang Direkomendasikan untuk Mengatasi Risiko

Laporan mengakui bahwa ruang DeFi merupakan bagian kecil dari ekosistem aset virtual secara keseluruhan, dan aktivitas ilegal sebagian besar terjadi menggunakan mata uang fiat atau aset tradisional bukan kripto. Namun demikian, laporan menyarankan bahwa tindakan lebih lanjut diperlukan untuk mengatasi risiko yang terkait dengan layanan DeFi.

Laporan merekomendasikan beberapa tindakan, termasuk memperkuat pengawasan AML/CFT AS terhadap aktivitas kripto. Pemerintah AS harus bekerja memperkuat fungsi pengawasan dan penegakan yang ada untuk meningkatkan kepatuhan terhadap AML/CFT dan persyaratan regulasi lainnya, termasuk layanan DeFi dengan kewajiban BSA, kata laporan, menambahkan: regulator harus memberikan panduan tambahan kepada industri untuk memperjelas bagaimana regulasi yang berlaku diterapkan pada layanan DeFi.

Menilai kemungkinan peningkatan rezim regulasi AML/CFT AS yang diterapkan pada layanan DeFi merupakan tindakan lain yang dapat diambil. Penilaian tersebut juga merekomendasikan memperkuat rezim yang diterapkan pada layanan DeFi dengan menutup celah yang teridentifikasi dalam BSA untuk memastikan bahwa layanan DeFi tertentu tidak berada di luar definisi lembaga keuangan.

Selain itu, laporan menyarankan pemerintah harus terus bekerja dengan mitra luar negeri untuk menutup celah dalam penerapan standar internasional terkait aset virtual dan VASP. Selain itu, AS harus membagikan temuan laporan ini kepada mitra luar negeri dan mendorong mereka menilai risiko layanan DeFi serta mengembangkan dan menerapkan langkah mitigasi.

Pemerintah AS juga harus terus memantau setiap perubahan dalam ekosistem DeFi yang dapat memengaruhi risiko keuangan ilegal atau penerapan kewajiban AML/CFT pada entitas di ruang tersebut, kata laporan. Hal ini dapat dilakukan melalui riset dan keterlibatan dengan sektor swasta.

Laporan selanjutnya menyerukan otoritas untuk terus mendorong layanan DeFi mengadopsi analitik waktu nyata, pemantauan, dan pengujian kode yang ketat untuk mengidentifikasi kerentanan serta menanggapi aktivitas mencurigakan, serta berbagi informasi dengan perusahaan aset virtual dan publik tentang ancaman potensial dan langkah mitigasi yang dapat diambil perusahaan untuk meningkatkan pertahanan.

Pemerintah AS harus berinteraksi dengan pengembang untuk mempromosikan inovasi yang bertujuan mengurangi risiko keuangan ilegal layanan DeFi, kata laporan, menambahkan pembuat kebijakan dan regulator juga harus mencari serta menilai perubahan yang diperlukan dalam regulasi atau panduan untuk mendukung perkembangan tersebut.

Mencari Masukan Publik

Sebagai kesimpulan, laporan merekomendasikan agar pemerintah AS mengambil beberapa langkah untuk mengatasi risiko yang terkait dengan layanan DeFi, termasuk memperkuat pengawasan AML/CFT, meningkatkan rezim regulasi AML/CFT AS, berkolaborasi dengan mitra luar negeri, mempromosikan ketahanan siber, dan inovasi bertanggung jawab dalam langkah mitigasi.

Dengan menerapkan rekomendasi ini, pemerintah AS dapat lebih melindungi sistem keuangan AS dari aktivitas ilegal yang difasilitasi melalui layanan DeFi, kata laporan.

Sebagai bagian dari tindakan yang direkomendasikan, Departemen Keuangan juga mencari masukan publik mengenai cara mengatasi tantangan regulasi yang ditimbulkan oleh layanan DeFi.

Pertanyaan mencakup menentukan apakah layanan DeFi termasuk dalam definisi BSA sebagai lembaga keuangan, mendorong langkah mitigasi risiko untuk layanan DeFi yang tidak termasuk BSA, dan memperjelas kewajiban AML/CFT untuk layanan DeFi yang didefinisikan oleh BSA. Berbagai kewajiban AML/CFT untuk tipe layanan DeFi yang berbeda juga sedang dipertimbangkan.