Uno sguardo più approfondito alla “Valutazione del rischio di finanza illecita della finanza decentralizzata” del Tesoro degli Stati Uniti

Il Dipartimento del Tesoro degli Stati Uniti ha pubblicato la sua prima analisi dei potenziali rischi derivanti dai servizi di finanza decentralizzata (DeFi), concludendo che le piattaforme DeFi non conformi alle normative antiriciclaggio (AML) e di contrasto al finanziamento del terrorismo (CFT) rappresentano il rischio più significativo di finanza illecita attuale.

Il rapporto rileva che i servizi DeFi hanno frequentemente un organismo di governo che esercita controllo e supervisione centralizzati.

Il rapporto avverte inoltre che i servizi DeFi spesso non implementano controlli AML/CFT o altri processi per identificare i clienti, consentendo una stratificazione istantanea e pseudonima dei proventi. Di conseguenza, la DeFi è diventata un terreno fertile per criminali, hacker e attori maligni dalla Repubblica Popolare Democratica di Corea (DPRK) per riciclare i proventi del crimine.

Il Tesoro ha raccomandato di valutare possibili miglioramenti ai requisiti AML/CFT statunitensi e alle regole dei servizi DeFi, nonché di cercare input dal settore privato per informare le azioni future.

«Chiaramente, non possiamo farlo da soli», ha dichiarato Brian Nelson, sottosegretario del Tesoro per il terrorismo e l’intelligence finanziaria. «Invitiamo il settore privato a utilizzare i risultati della valutazione del rischio per informare le proprie strategie di mitigazione del rischio».

Il rapporto evidenzia anche la necessità di rafforzare la supervisione normativa AML/CFT e fornire ulteriori indicazioni al settore privato sui controlli di conformità per i servizi DeFi. Raccomanda inoltre che i fornitori di servizi DeFi si registrino presso gli organi regolatori competenti e stabiliscano e mantengano adeguati controlli AML/CFT per prevenire lo sfruttamento criminale.

Sebbene la DeFi possa presentare sfide nell’identificare le persone dietro le attività commerciali, il rapporto ha sottolineato che i servizi sono soggetti al Bank Secrecy Act, indipendentemente dal fatto che siano centralizzati o decentralizzati.

Secondo Nelson, alcune entità che affermano di essere completamente decentralizzate possono svolgere attività più simili alla finanza tradizionale di quanto dichiarino. Pertanto, nonostante le loro affermazioni contrarie, non sono realmente decentralizzate. Nelson suggerisce che queste entità sono “decentralizzate solo di nome”.

Struttura del mercato

Il rapporto di 40 pagine del 2023 “DeFi Illicit Finance Risk Assessment” rapporto è stato pubblicato mercoledì e discute dei servizi DeFi in relazione agli obblighi normativi AML/CFT.

Negli Stati Uniti, gli obblighi AML/CFT sono determinati dalle attività svolte da una persona. Le istituzioni finanziarie come banche, fondi comuni, broker-dealer, imprese di servizi monetari (MSB), commercianti di commissioni futures (FCM) e broker introduttivi sono tenute a rispettare le normative AML e CFT.

Questi obblighi includono l’implementazione di un programma AML efficace e il mantenimento di registri e requisiti di segnalazione, come le segnalazioni di attività sospette (SAR).

La Commodity Futures Trading Commission (CFTC), il Financial Crimes Enforcement Network (FinCEN) e la Securities and Exchange Commission (SEC) regolano tali attività, e il grado di centralizzazione di una persona non influisce sugli obblighi AML/CFT delle istituzioni finanziarie, afferma il rapporto.

Se un servizio DeFi svolge attività interamente o in parte sostanziale negli Stati Uniti e accetta e trasmette asset virtuali, è probabile che rientri nella categoria dei trasmettitori di denaro e sia soggetto agli stessi obblighi AML/CFT di un trasmettitore di denaro che offre servizi in valuta fiat, ha aggiunto. Il rapporto ha anche osservato che il grado di decentralizzazione non influisce su questi obblighi finché il servizio soddisfa la definizione di istituzione finanziaria ai sensi del BSA o di altri quadri normativi.

Il rapporto afferma che, sebbene l’industria delle criptovalute abbia sostenuto che vi sia una scarsa chiarezza normativa nello spazio DeFi, in particolare riguardo a cosa qualifica come titolo, a quali autorità registrarsi e se i servizi DeFi soddisfano la definizione di istituzione finanziaria, CFTC, FinCEN e SEC sostengono di aver fornito linee guida e azioni di enforcement nell’ultimo decennio per chiarire gli obblighi normativi. Queste agenzie hanno anche sottolineato che l’automazione di alcune funzioni tramite smart contract o codice informatico non influisce sugli obblighi delle istituzioni finanziarie che offrono servizi coperti, ha aggiunto.

Inoltre, i servizi DeFi con qualsiasi tipo di presenza negli Stati Uniti o guidati da cittadini statunitensi devono rispettare i programmi di sanzioni economiche amministrati e applicati dall’Office of Foreign Assets Control (OFAC) del Tesoro. Anche le persone non statunitensi hanno obblighi di conformità alle sanzioni OFAC in alcune circostanze. Questi obblighi sono gli stessi indipendentemente dal fatto che una transazione sia denominata in asset virtuali o in valuta fiat tradizionale.

Servizi DeFi non funzionalmente decentralizzati

Discutendo gli elementi di centralizzazione nei servizi DeFi, il rapporto evidenzia che la decentralizzazione dei servizi DeFi può essere influenzata dalle strutture di governance, dai punti di accesso al servizio e dallo strato di regolamento su cui il servizio è costruito.

In tal senso, i servizi DeFi possono affermare di essere completamente decentralizzati, ma in realtà non è affatto così, ha dichiarato. Infatti, nonostante le affermazioni di completa decentralizzazione, le strutture di governance sono spesso presenti nei servizi DeFi, ha detto il rapporto, osservando che, in alcuni casi, il proprietario o l’operatore di un servizio DeFi conserva una chiave amministrativa, che gli consente di modificare o disabilitare gli smart contract del servizio in base alle specifiche del contratto.

Il rapporto ha inoltre osservato che la governance dovrebbe essere gestita da una DAO e che i token di governance consentono ai partecipanti di introdurre e votare proposte che determinano la funzione di una blockchain o di protocolli.

Tuttavia, il processo di introduzione e voto sulle decisioni, la percentuale di voti necessaria per l’approvazione di una decisione e il modo in cui una decisione viene implementata variano significativamente a seconda del servizio DeFi. Inoltre, la concentrazione di token di governance o diritti di voto potrebbe anche portare a un piccolo numero di persone che esercitano un alto grado di controllo.

Gli sviluppatori di applicazioni sono inoltre fondamentali per l’usabilità dei servizi DeFi, e le informazioni fornite tramite le applicazioni possono essere integrali alle transazioni che utilizzano l’infrastruttura DeFi. Anche le blockchain dello strato di regolamento possono variare nei gradi di decentralizzazione, ha affermato.

La maggior parte delle blockchain su cui operano i servizi DeFi è permissionless, il che significa che gli utenti non necessitano di approvazione preventiva per partecipare alle attività della rete, legge il rapporto, aggiungendo che alcune blockchain, tuttavia, sono più centralizzate di altre, e ciò può influenzare il grado di decentralizzazione dei servizi DeFi costruiti su di esse.

Minacce di finanza illecita

Nel trattare le minacce di finanza illecita, il rapporto discute di come i servizi DeFi siano vulnerabili all’abuso da parte di attori illeciti, inclusi cybercriminali e truffatori, che li utilizzano per riciclare i loro proventi illegali.

I criminali sfruttano le vulnerabilità della sicurezza informatica per compromettere i servizi DeFi e rubare asset virtuali, ha affermato il rapporto, osservando che la Corea del Nord, sotto pressione delle sanzioni internazionali, ruba sempre più criptovalute sia dai fornitori di servizi di asset virtuali (VASP) centralizzati sia dai servizi DeFi.

Il riciclaggio di denaro è una questione significativa associata ai servizi DeFi, e i criminali utilizzano vari metodi e servizi, come lo scambio di asset virtuali con altri asset virtuali e l’uso di ponti cross-chain, mixer e pool di liquidità come forma di stratificazione per riciclare i loro proventi, ha detto.

Secondo il rapporto, il chain hopping è utilizzato per rendere più difficile per le forze dell’ordine tracciare le transazioni finanziarie; i mixer per oscurare la fonte, la destinazione o l’importo di una transazione, e i pool di liquidità per generare fondi dalle commissioni di trading, creando sfide per gli investigatori che tentano di rintracciare i proventi illeciti.

Questi servizi sono attraenti per i criminali perché non è richiesto fornire informazioni di identificazione del cliente, facilitando l’uso dei servizi senza essere rilevati, ha affermato il rapporto.

Discutendo vari tipi di attività illecite, il rapporto ha inoltre trattato gli attacchi ransomware, che negli ultimi anni sono diventati più gravi e sofisticati. Un altro tipo è il furto, con cybercriminali che sfruttano vulnerabilità negli smart contract che governano i servizi DeFi per rubare asset virtuali per un valore di miliardi di dollari. Frodi e truffe stanno anche registrando un forte aumento delle perdite legate agli asset virtuali, segnalate da numerose agenzie governative statunitensi.

Il rapporto discute anche di come le organizzazioni di traffico di droga stiano diventando più a loro agio nell’utilizzare asset virtuali per riciclare fondi e del coinvolgimento della DPRK in attività illecite legate alle criptovalute per generare entrate per i suoi programmi di armi illegali.

Cause delle vulnerabilità nella DeFi

La valutazione del rischio di finanza illecita del Tesoro nel rapporto DeFi ha identificato che i servizi DeFi non conformi operanti negli Stati Uniti, che non implementano controlli AML/CFT o altri processi per identificare i clienti, sono responsabili delle vulnerabilità esistenti nei servizi DeFi.

Tali servizi DeFi consentono che la stratificazione dei proventi avvenga in modo istantaneo e pseudonimo, utilizzando lunghe stringhe di caratteri alfanumerici anziché nomi o altre informazioni personali identificabili.

I servizi DeFi coinvolti in attività coperte dal BSA hanno obblighi AML/CFT, e tutti i servizi DeFi soggetti alla giurisdizione statunitense hanno obblighi di conformità alle sanzioni, indipendentemente dal loro status di istituzioni finanziarie coperte, secondo il rapporto.

La disintermediazione è un altro fattore contributivo, poiché consente agli utenti di wallet non ospitati di mantenere la custodia e trasferire i loro asset digitali senza coinvolgere un’istituzione finanziaria regolamentata. In tal caso, i servizi DeFi che rientrano al di fuori della definizione attuale di istituzione finanziaria ai sensi del BSA potrebbero non implementare misure AML/CFT.

Gli attori illeciti possono anche sfruttare l’arbitraggio normativo a causa della natura transfrontaliera e delle lacune nei regimi AML/CFT, consentendo ai VASP, inclusi alcuni servizi DeFi, di operare all’estero con controlli AML/CFT insufficienti o assenti, rappresentando così una minaccia per il sistema finanziario statunitense, ha affermato il rapporto.

Misure di mitigazione

Il rapporto evidenzia la necessità di un maggiore controllo normativo sui servizi DeFi per mitigare i rischi associati alla DeFi.

Per le misure di mitigazione, il rapporto spiega i quadri normativi a livello globale e nazionale per i servizi DeFi ed esplora gli effetti mitigatori di elementi specifici dell’ecosistema degli asset virtuali e della DeFi. Il rapporto osserva che queste misure possono mitigare parzialmente i rischi di finanza illecita ma non affrontano adeguatamente le vulnerabilità identificate.

Il quadro normativo statunitense AML/CFT è considerato una misura di mitigazione fondamentale per affrontare i rischi di finanza illecita associati ai servizi DeFi operanti nel paese. Il lavoro nei forum internazionali, in particolare il FATF, può anche svolgere un ruolo essenziale nello sviluppo di standard e nella promozione della loro attuazione per affrontare i rischi di finanza illecita associati ai servizi DeFi, ha affermato.

Le transazioni che coinvolgono i servizi DeFi avvengono spesso su blockchain pubbliche, e i dati delle transazioni pseudonimi sono visualizzabili e tracciabili sul registro pubblico della blockchain, il che, secondo il rapporto, può supportare le indagini delle autorità per tracciare i movimenti dei proventi illeciti. (Clicca qui per conoscere le differenze tra blockchain pubbliche e private)

Tuttavia, la sfida di mitigare le attività finanziarie illegali nell’arena della finanza decentralizzata (DeFi) non può essere sottovalutata. Sebbene i dati delle blockchain pubbliche offrano qualche indicazione, le loro limitazioni intrinseche pongono ostacoli significativi. La natura pseudonima di questi registri digitali, unita a tattiche degli utenti come mixer, ponti cross-chain e criptovalute potenziate dall’anonimato (AEC), può oscurare efficacemente la traccia delle transazioni. Di conseguenza, il monitoraggio e il tracciamento delle attività all’interno dello spazio DeFi diventano sempre più complessi e impegnativi.

Il Tesoro sottolinea inoltre che diversi partecipanti dell’industria delle criptovalute stanno esplorando misure per aumentare la privacy delle transazioni crypto, inclusi l’uso della tecnologia Layer 2 o blockchain private, per le quali i registri pubblici non saranno visualizzabili e il tracciamento della blockchain non sarà applicabile.

Mentre gli utenti DeFi potrebbero aver bisogno di accedere a VASP centralizzati per scambiare asset virtuali con valuta fiat per acquistare beni e servizi, la dipendenza dai programmi AML/CFT dei VASP centralizzati mitiga solo parzialmente i rischi legati ai servizi DeFi non conformi, ha osservato.

Secondo il rapporto, molti VASP centralizzati non sono conformi agli standard internazionali AML/CFT e spesso hanno sede in giurisdizioni con requisiti AML/CFT deboli o inesistenti. Inoltre, sono stati identificati casi di VASP centralizzati soggetti a tali requisiti ma che non implementano i programmi AML necessari per i servizi che offrono.

L’agenzia ha affermato che una maggiore adozione di asset virtuali potrebbe ridurre la necessità di VASP centralizzati come punti di ingresso e uscita per molte transazioni. Sebbene la maggior parte dei commercianti, delle imprese e delle istituzioni finanziarie non accetti attualmente gli asset virtuali come mezzo di pagamento, man mano che gli asset virtuali saranno più ampiamente accettati. E una volta che ciò avverrà, vedremo un uso crescente di asset virtuali come mezzo di pagamento diretto, riducendo la dipendenza dai VASP centralizzati, ha aggiunto.

Azioni raccomandate per affrontare i rischi

Il rapporto riconosce che lo spazio DeFi è una piccola parte dell’ecosistema complessivo degli asset virtuali, e le attività illecite avvengono per lo più utilizzando valuta fiat o asset tradizionali anziché criptovalute. Tuttavia, il rapporto suggerisce che siano necessarie ulteriori azioni per affrontare i rischi associati ai servizi DeFi.

Il rapporto ha raccomandato diverse azioni, inclusa la rafforzamento della supervisione statunitense AML/CFT delle attività crypto. Il governo degli Stati Uniti dovrebbe lavorare per rafforzare le funzioni di supervisione e enforcement esistenti per aumentare la conformità alle normative AML/CFT e ad altri requisiti regolamentari, inclusi i servizi DeFi con obblighi BSA, ha affermato, aggiungendo: i regolatori dovrebbero fornire indicazioni aggiuntive all’industria per chiarire come le normative applicabili si applichino ai servizi DeFi.

Valutare possibili miglioramenti al regime normativo AML/CFT statunitense applicato ai servizi DeFi è un’altra azione che può essere intrapresa. La valutazione raccomanda inoltre di potenziare il regime applicato ai servizi DeFi colmando eventuali lacune identificate nel BSA per garantire che alcuni servizi DeFi non escano dall’ambito della sua definizione di istituzioni finanziarie.

Inoltre, il rapporto suggerisce che il governo dovrebbe continuare a collaborare con partner stranieri per colmare le lacune nell’implementazione degli standard internazionali riguardanti gli asset virtuali e i VASP. Inoltre, gli Stati Uniti dovrebbero condividere i risultati di questo rapporto con i partner stranieri e incoraggiarli a valutare i rischi dei servizi DeFi e a sviluppare e implementare misure di mitigazione.

Il governo degli Stati Uniti dovrebbe anche continuare a monitorare eventuali cambiamenti nell’ecosistema DeFi che potrebbero influenzare i rischi di finanza illecita o l’applicazione degli obblighi AML/CFT alle entità nello spazio, ha affermato. Questo può essere fatto tramite ricerca e coinvolgimento con il settore privato.

Il rapporto chiede inoltre alle autorità di continuare a promuovere l’adozione da parte dei servizi DeFi di analisi in tempo reale, monitoraggio e test rigorosi del codice per identificare vulnerabilità e rispondere ad attività sospette, nonché di condividere informazioni con le imprese di asset virtuali e il pubblico su potenziali minacce e misure di mitigazione che le imprese possono adottare per migliorare le difese.

Il governo degli Stati Uniti dovrebbe coinvolgere gli sviluppatori per promuovere l’innovazione volta a mitigare i rischi di finanza illecita dei servizi DeFi, ha affermato, aggiungendo che i responsabili politici e i regolatori dovrebbero anche cercare e valutare le necessarie modifiche normative o linee guida per supportare questi sviluppi.

Richiesta di input pubblico

In conclusione, il rapporto raccomanda che il governo degli Stati Uniti adotti diversi provvedimenti per affrontare i rischi associati ai servizi DeFi, inclusi il rafforzamento della supervisione AML/CFT, il potenziamento del regime normativo AML/CFT statunitense, il coinvolgimento con partner stranieri, la promozione della resilienza cibernetica e l’innovazione responsabile delle misure di mitigazione.

Implementando queste raccomandazioni, il governo degli Stati Uniti può meglio proteggere il sistema finanziario statunitense dalle attività illecite facilitate dai servizi DeFi, ha affermato il rapporto.

Come parte delle azioni raccomandate, il Tesoro cerca anche input pubblico su come affrontare le sfide normative poste dai servizi DeFi.

Le domande includono la determinazione se i servizi DeFi rientrano nella definizione BSA di istituzione finanziaria, l’incoraggiamento di misure di mitigazione del rischio per i servizi DeFi non BSA, e la chiarificazione degli obblighi AML/CFT per i servizi DeFi definiti dal BSA. Si stanno inoltre valutando obblighi AML/CFT variabili per diversi tipi di servizi DeFi.