En nærmere titt på «Risikovurdering av ulovlig finansiering i desentralisert finans» fra US Treasury

US Department of the Treasury har publisert sin aller første analyse av de potensielle farene fra desentraliserte finans (DeFi)-tjenester, og konkluderer med at DeFi-plattformer som ikke overholder anti-hvitvaskings (AML) og bekjempelse av terrorfinansiering (CFT)-reguleringer utgjør den mest betydelige nåværende risikoen for ulovlig finansiering.

Rapporten finner at DeFi-tjenester ofte har et styrende organ som utøver sentralisert kontroll og tilsyn.

Rapporten advarer også om at DeFi-tjenester ofte ikke implementerer AML/CFT-kontroller eller andre prosesser for å identifisere kunder, noe som gjør det mulig med umiddelbar og pseudonym lagring av inntekter. Som et resultat har DeFi snarere blitt et grobunn for kriminelle, hackere og ondsinnede aktører fra Den demokratiske folkerepublikken Korea (DPRK) for å hvitvaske inntekter fra kriminalitet.

Finansdepartementet har anbefalt å vurdere mulige forbedringer av amerikanske AML/CFT-krav og regler for DeFi-tjenester, samt å søke innspill fra privat sektor for å informere fremtidige tiltak.

«Klart vi ikke kan gjøre dette alene», sa Brian Nelson, undersekretær i Finansdepartementet for terrorisme og finansiell etterretning. «Vi oppfordrer privat sektor til å bruke funnene fra risikovurderingen til å informere deres egne risikoreduserende strategier.»

Rapporten fremhever også behovet for å styrke AML/CFT-regulatorisk tilsyn og gi ytterligere veiledning til privat sektor om etterlevelseskontroller for DeFi-tjenester. Den anbefaler videre at leverandører av DeFi-tjenester registrerer seg hos relevante regulatorer og etablerer og opprettholder tilstrekkelige AML/CFT-kontroller for å forhindre kriminell utnyttelse.

Selv om DeFi kan medføre utfordringer med å identifisere individene bak forretningsaktiviteter, understreket rapporten at tjenestene er underlagt Bank Secrecy Act, uavhengig av om de er sentraliserte eller desentraliserte.

Ifølge Nelson kan noen enheter som hevder å være fullt desentraliserte, drive med aktiviteter som er mer lik tradisjonell finans enn de påstår. Dermed er de, til tross for sine påstander, ikke virkelig desentraliserte. Nelson foreslår at disse enhetene er «desentraliserte kun i navnet».

Markedsstrukturen

Den 40‑siders 2023 DeFi Illicit Finance Risk Assessment‑rapporten ble publisert onsdag og omtaler DeFi-tjenester i forhold til AML/CFT‑regulatoriske forpliktelser.

I USA bestemmes AML/CFT‑forpliktelser av hvilke aktiviteter en person driver med. Finansinstitusjoner som banker, verdipapirfond, megler‑forhandlere, penge‑tjenestebedrifter (MSB‑er), futures‑kommisjonshandlere (FCM‑er) og introduksjonsmeglere er pålagt å overholde AML‑ og CFT‑reguleringer.

Disse forpliktelsene inkluderer implementering av et effektivt AML‑program samt opprettholdelse av registre og rapporteringskrav, som for eksempel krav om rapportering av mistenkelig aktivitet (SAR).

Commodities Future Trading Commission (CFTC), Financial Crimes Enforcement Network (FinCEN) og Securities and Exchange Commission (SEC) regulerer slike aktiviteter, og graden av sentralisering påvirker ikke AML/CFT‑forpliktelsene til finansinstitusjoner, ifølge rapporten.

Hvis en DeFi-tjeneste driver virksomhet helt eller i vesentlig grad i USA og aksepterer og overfører virtuelle eiendeler, vil den sannsynligvis bli klassifisert som en pengeoverfører og være underlagt de samme AML/CFT‑forpliktelsene som en pengeoverfører som tilbyr tjenester i fiat‑valuta, la den til. Rapporten bemerket også at graden av desentralisering ikke påvirker disse forpliktelsene så lenge tjenesten oppfyller definisjonen av en finansinstitusjon under BSA eller andre regulatoriske rammeverk.

Rapporten sier at selv om kryptobransjen har hevdet at det er utilstrekkelig regulatorisk klarhet i DeFi‑området, spesielt med hensyn til hva som kvalifiserer som et verdipapir, hvilke regulatorer man skal registrere seg hos, og om DeFi‑tjenester oppfyller definisjonen av en finansinstitusjon, argumenterer CFTC, FinCEN og SEC for at de har gitt veiledning og håndhevelsesaksjoner i løpet av det siste tiåret for å klargjøre regulatoriske forpliktelser. Disse etatene har også understreket at automatisering av visse funksjoner gjennom smarte kontrakter eller datakode ikke påvirker forpliktelsene til finansinstitusjoner som tilbyr dekket tjenester, la de til.

Videre må DeFi‑tjenester med noen form for tilstedeværelse i USA eller ledet av amerikanske borgere overholde økonomiske sanksjonsprogrammer administrert og håndhevet av Treasury’s Office of Foreign Assets Control (OFAC). Ikke‑amerikanske personer har også OFAC‑sanksjons‑etterlevelsesforpliktelser i enkelte situasjoner. Disse forpliktelsene er de samme uavhengig av om en transaksjon er denominert i virtuelle eiendeler eller tradisjonell fiat‑valuta.

DeFi‑tjenester som ikke er funksjonelt desentraliserte

Når rapporten diskuterer elementene av sentralisering i DeFi‑tjenester, påpeker den at desentraliseringen av DeFi‑tjenester kan påvirkes av styringsstrukturer, tilgangspunkter til tjenesten og avregningslaget som tjenesten er bygget på.

Dermed kan DeFi‑tjenester hevde å være fullt desentraliserte, men i virkeligheten er det ikke tilfelle, står det. Faktisk, til tross for påstander om fullstendig desentralisering, er styringsstrukturer ofte til stede i DeFi‑tjenester, sier rapporten, og bemerker at i enkelte tilfeller beholder eieren eller operatøren av en DeFi‑tjeneste en administrativ nøkkel som gir dem muligheten til å endre eller deaktivere tjenestens smarte kontrakter i henhold til kontraktens spesifikasjoner.

Rapporten bemerket videre at styringen påstås å bli administrert av en DAO, og at styringstokener lar deltakere innføre og stemme over forslag som bestemmer funksjonen til en blokkjede eller protokoller.

Imidlertid varierer prosessen med å innføre og stemme over beslutninger, prosentandelen av stemmer som kreves for å vedta en beslutning, og hvordan en beslutning implementeres betydelig mellom DeFi‑tjenester. Dessuten kan konsentrasjonen av styringstokener eller stemmerettigheter føre til at et lite antall personer utøver en høy grad av kontroll.

Applikasjonsutviklere er også avgjørende for brukervennligheten til DeFi‑tjenester, og informasjon levert via applikasjoner kan være integrert i transaksjoner som bruker DeFi‑infrastruktur. Avregningslag‑blokkjeder kan også variere i grad av desentralisering, står det.

De fleste blokkjeder som DeFi‑tjenester opererer på er tillatelsesfrie, noe som betyr at brukere ikke trenger forhåndsgodkjenning for å delta i nettverksaktiviteter, leser rapporten, og legger til at noen blokkjeder imidlertid er mer sentraliserte enn andre, og dette kan påvirke graden av desentralisering av DeFi‑tjenester som er bygget på dem.

Trusler mot ulovlig finansiering

Når rapporten dekker trusler mot ulovlig finansiering, omtaler den hvordan DeFi‑tjenester er sårbare for misbruk av ulovlige aktører, inkludert cyberkriminelle og svindlere, som vender seg til dem for å hvitvaske sine ulovlige inntekter.

Kriminelle utnytter svakheter i cybersikkerhet for å kompromittere DeFi‑tjenester og stjele virtuelle eiendeler, sier rapporten og bemerker at Nord-Korea, under press fra internasjonale sanksjoner, i økende grad stjeler krypto fra både sentraliserte Virtual Asset Service Providers (VASPs) og DeFi‑tjenester.

Hvitvasking er et betydelig problem knyttet til DeFi‑tjenester, og kriminelle bruker ulike metoder og tjenester, som å bytte virtuelle eiendeler mot andre virtuelle eiendeler og bruke cross‑chain‑broer, miksere og likviditetspooler som en form for lagring for å hvitvaske sine inntekter, står det.

Ifølge rapporten brukes chain hopping for å gjøre det vanskeligere for rettshåndhevelse å spore finansielle transaksjoner; miksere for å skjule kilde, destinasjon eller beløp av en transaksjon, og likviditetspooler for å generere midler fra handelsgebyrer, noe som skaper utfordringer for etterforskere som prøver å spore ulovlige inntekter.

Disse tjenestene er attraktive for kriminelle fordi de ikke er pålagt å oppgi kundeidentifikasjonsinformasjon, noe som gjør det lettere for dem å bruke tjenestene uten å bli oppdaget, sier rapporten.

Når rapporten diskuterer ulike typer ulovlige aktiviteter, dekker den også løsepengeangrep, som har blitt mer alvorlige og sofistikerte de siste årene. En annen type er tyveri, der cyberkriminelle utnytter sårbarheter i smarte kontrakter som styrer DeFi‑tjenester for å stjele virtuelle eiendeler verdt milliarder av dollar. Svindel og bedrageri ser også en kraftig økning i tap knyttet til virtuelle eiendeler, rapportert av flere amerikanske myndigheter.

Rapporten diskuterer også at narkotikasmuglingsorganisasjoner blir mer komfortable med å bruke virtuelle eiendeler for å hvitvaske penger, samt DPRK sin involvering i ulovlige krypto‑relaterte aktiviteter for å generere inntekter til sine ulovlige våpenprogrammer.

Årsaker til sårbarheter i DeFi

Finansdepartementets risikovurdering av ulovlig finansiering i DeFi‑rapporten har identifisert at ikke‑overholdende DeFi‑tjenester som opererer i USA, og som ikke implementerer AML/CFT‑kontroller eller andre prosesser for å identifisere kunder, er ansvarlige for de eksisterende sårbarhetene i DeFi‑tjenester.

Slike DeFi‑tjenester gjør det mulig å lagre inntekter umiddelbart og pseudonymt, ved å bruke lange strenger av alfanumeriske tegn i stedet for navn eller annen personlig identifiserende informasjon.

DeFi‑tjenester som driver med aktiviteter dekket av BSA har AML/CFT‑forpliktelser, og alle DeFi‑tjenester underlagt amerikansk jurisdiksjon har sanksjons‑etterlevelsesforpliktelser, uavhengig av deres status som dekkede finansinstitusjoner, ifølge rapporten.

Desintermediering er en annen medvirkende faktor, da det gjør det mulig for brukere av ikke‑hostede lommebøker å beholde forvaring av og overføre sine digitale eiendeler uten å involvere en regulert finansinstitusjon. I dette tilfellet kan DeFi‑tjenester som faller utenfor den nåværende definisjonen av en finansinstitusjon under BSA, unnlate å implementere AML/CFT‑tiltak.

Ulovlige aktører kan også utnytte regulatorisk arbitrage på grunn av den grenseoverskridende naturen og hull i AML/CFT‑regimer, noe som gjør at VASPer, inkludert enkelte DeFi‑tjenester, kan operere i utlandet med utilstrekkelige eller ingen AML/CFT‑kontroller, og dermed utgjøre en trussel mot det amerikanske finanssystemet, sier rapporten.

Tiltak for å dempe risikoen

Rapporten fremhever behovet for økt regulatorisk tilsyn med DeFi‑tjenester for å dempe risikoene knyttet til DeFi.

Når det gjelder dempende tiltak, forklarer rapporten de regulatoriske rammeverkene på globalt og nasjonalt nivå for DeFi‑tjenester og utforsker de dempende effektene av elementer spesifikke for den virtuelle eiendel‑ og DeFi‑økosystemet. Rapporten bemerker at disse tiltakene kan delvis dempe risikoen for ulovlig finansiering, men ikke tilstrekkelig adresserer de identifiserte sårbarhetene.

Det amerikanske AML/CFT‑regulatoriske rammeverket anses som et grunnleggende dempende tiltak for å håndtere risikoen for ulovlig finansiering knyttet til DeFi‑tjenester som opererer i landet. Arbeid i internasjonale fora, spesielt FATF, kan også spille en viktig rolle i å utvikle standarder og fremme implementeringen av disse standardene for å håndtere risikoen for ulovlig finansiering knyttet til DeFi‑tjenester, sier rapporten.

Transaksjoner som involverer DeFi‑tjenester skjer ofte på den offentlige blokkjeden, og de pseudonyme transaksjonsdataene er synlige og sporbare på blokkjedenes offentlige hovedbok, noe rapporten sier kan støtte etterforskning av myndigheter for å spore bevegelsen av ulovlige inntekter. (Klikk her for å lære om forskjellene mellom offentlige og private blokkjeder)

Likevel kan utfordringen med å dempe ulovlige finansielle aktiviteter i det desentraliserte finans (DeFi)-området ikke undervurderes. Selv om offentlige blokkjede‑data gir noe innsikt, medfører deres iboende begrensninger betydelige hindringer. Den pseudonyme naturen til disse digitale hovedbøkene, kombinert med brukertaktikker som miksere, cross‑chain‑broer og anonymitetsforsterkede kryptovalutaer (AEC‑er), kan effektivt tilsløre transaksjonsløpet. Som et resultat blir sporing og etterforskning av aktiviteter innen DeFi‑området stadig mer komplekst og krevende.

Finansdepartementet påpeker videre at flere aktører i kryptobransjen utforsker tiltak for å øke personvernet for kryptotransaksjoner, inkludert bruk av Layer‑2‑teknologi eller private blokkjeder, hvor offentlige hovedbøker ikke vil være synlige og blokkjede‑sporing ikke vil være anvendelig.

Selv om DeFi‑brukere kan måtte få tilgang til sentraliserte VASPer for å bytte virtuelle eiendeler mot fiat‑valuta for å kjøpe varer og tjenester, reduserer avhengigheten av AML/CFT‑programmer fra sentraliserte VASPer kun delvis risikoene knyttet til ikke‑overholdende DeFi‑tjenester, bemerker den.

Ifølge rapporten er mange sentraliserte VASPer selv ikke i samsvar med internasjonale AML/CFT‑standarder og er ofte basert i jurisdiksjoner med svake eller ikke‑eksisterende AML/CFT‑krav. I tillegg er det identifiserte tilfeller av sentraliserte VASPer som er underlagt disse kravene, men likevel unnlater å implementere nødvendige AML‑programmer for tjenestene de leverer.

Etaten sa at videre adopsjon av virtuelle eiendeler kan redusere behovet for sentraliserte VASPer som inn‑ og utganger for mange transaksjoner. Selv om de fleste handelsmenn, bedrifter og finansinstitusjoner for tiden ikke godtar virtuelle eiendeler som betalingsmiddel, vil dette endre seg etter hvert som virtuelle eiendeler blir mer allment akseptert. Når det skjer, vil vi se en økende bruk av virtuelle eiendeler som direkte betalingsmiddel, noe som reduserer avhengigheten av sentraliserte VASPer, la den til.

Anbefalte tiltak for å håndtere risikoene

Rapporten erkjenner at DeFi‑området er en liten del av det samlede virtuelle eiendel‑økosystemet, og at ulovlige aktiviteter for det meste foregår med fiat‑valuta eller tradisjonelle eiendeler i stedet for krypto. Likevel antyder rapporten at ytterligere tiltak er nødvendige for å håndtere risikoene knyttet til DeFi‑tjenester.

Rapporten anbefalte flere tiltak, inkludert å styrke amerikansk AML/CFT‑tilsyn med krypto‑aktiviteter. Den amerikanske regjeringen bør arbeide for å styrke de eksisterende tilsyns‑ og håndhevelsesfunksjonene for å øke etterlevelsen av AML/CFT og andre regulatoriske krav, inkludert DeFi‑tjenester med BSA‑forpliktelser, sier den, og legger til: regulatorene bør gi ytterligere veiledning til bransjen for å klargjøre hvordan gjeldende reguleringer gjelder for DeFi‑tjenester.

Vurdering av mulige forbedringer av det amerikanske AML/CFT‑reguleringsregimet som gjelder for DeFi‑tjenester er et annet tiltak som kan iverksettes. Vurderingen anbefaler også å styrke regimet som gjelder for DeFi‑tjenester ved å lukke eventuelle identifiserte hull i BSA for å sikre at visse DeFi‑tjenester ikke faller utenfor omfanget av definisjonen av finansinstitusjoner.

Videre foreslår rapporten at regjeringen bør fortsette å samarbeide med utenlandske partnere for å lukke hull i implementeringen av internasjonale standarder angående virtuelle eiendeler og VASPer. I tillegg bør USA dele funnene i denne rapporten med utenlandske partnere og oppfordre dem til å vurdere risikoer med DeFi‑tjenester samt utvikle og implementere dempende tiltak.

Den amerikanske regjeringen bør også fortsette å overvåke eventuelle endringer i DeFi‑økosystemet som kan påvirke risikoen for ulovlig finansiering eller anvendelsen av AML/CFT‑forpliktelser på enheter i dette området, sier den. Dette kan gjøres gjennom forskning og engasjement med privat sektor.

Rapporten oppfordrer også myndighetene til å fortsette å fremme at DeFi‑tjenester innfører sanntidsanalyse, overvåking og grundig testing av kode for å identifisere sårbarheter og svare på mistenkelig aktivitet, samt dele informasjon med virtuelle eiendelsbedrifter og publikum om potensielle trusler og dempende tiltak som bedrifter kan iverksette for å forbedre forsvar.

Den amerikanske regjeringen bør engasjere seg med utviklere for å fremme innovasjon som søker å dempe risikoen for ulovlig finansiering i DeFi‑tjenester, sier den, og legger til at politikere og regulatorer også bør søke og vurdere nødvendige endringer i regulering eller veiledning for å støtte disse utviklingene.

Søker offentlig innspill

Avslutningsvis anbefaler rapporten at den amerikanske regjeringen bør ta flere skritt for å håndtere risikoene knyttet til DeFi‑tjenester, inkludert å styrke AML/CFT‑tilsyn, forbedre det amerikanske AML/CFT‑reguleringsregimet, samarbeide med utenlandske partnere, fremme cybersikkerhet og ansvarlig innovasjon av dempende tiltak.

Ved å implementere disse anbefalingene kan den amerikanske regjeringen bedre beskytte det amerikanske finanssystemet mot ulovlige aktiviteter som fasiliteres gjennom DeFi‑tjenester, sier rapporten.

Som en del av de anbefalte tiltakene søker Finansdepartementet også offentlig innspill om hvordan man kan håndtere regulatoriske utfordringer som DeFi‑tjenester medfører.

Spørsmålene inkluderer å fastslå om DeFi‑tjenester faller inn under BSA‑definisjonen av en finansinstitusjon, oppmuntre til risikoreduserende tiltak for ikke‑BSA‑DeFi‑tjenester, og klargjøre AML/CFT‑forpliktelser for BSA‑definerte DeFi‑tjenester. Varierende AML/CFT‑forpliktelser for ulike typer DeFi‑tjenester vurderes også.