Um Olhar Mais Atento ao “Illicit Finance Risk Assessment of Decentralized Finance” do Tesouro dos EUA

O Departamento do Tesouro dos EUA publicou sua primeira análise dos potenciais riscos dos serviços de finanças descentralizadas (DeFi), concluindo que as plataformas DeFi que não estão em conformidade com anti-lavagem de dinheiro (AML) e regulamentos de combate ao financiamento do terrorismo (CFT) representam o risco mais significativo de finanças ilícitas atualmente.

O relatório constata que os serviços de DeFi frequentemente possuem um órgão de governança que exerce controle e supervisão centralizados.

O relatório também alerta que os serviços DeFi frequentemente não implementam controles AML/CFT ou outros processos para identificar clientes, permitindo a camada instantânea e pseudônima de recursos. Como resultado, o DeFi tornou‑se um foco para criminosos, hackers e atores maliciosos, desde a República Popular Democrática da Coreia (DPRK) para lavar recursos provenientes de crimes.

O Tesouro recomendou avaliar possíveis aprimoramentos aos requisitos AML/CFT dos EUA e às regras de serviços DeFi, bem como buscar contribuições do setor privado para orientar ações futuras.

“Claramente, não podemos fazer isso sozinhos”, disse Brian Nelson, subsecretário do Tesouro para terrorismo e inteligência financeira. “Chamamos o setor privado a usar as conclusões da avaliação de risco para informar suas próprias estratégias de mitigação de risco.”

O relatório também destaca a necessidade de reforçar a supervisão regulatória AML/CFT e fornecer orientações adicionais ao setor privado sobre verificações de conformidade para serviços DeFi. Além disso, recomenda que os provedores de serviços DeFi se registrem nos reguladores apropriados e estabeleçam e mantenham controles AML/CFT adequados para impedir a exploração criminosa.

Embora o DeFi possa apresentar desafios na identificação dos indivíduos por trás das atividades comerciais, o relatório enfatizou que os serviços estão sujeitos ao Bank Secrecy Act, independentemente de serem centralizados ou descentralizados.

De acordo com Nelson, algumas entidades que afirmam ser totalmente descentralizadas podem realizar atividades mais semelhantes às finanças tradicionais do que alegam. Assim, apesar de suas declarações em contrário, elas não são realmente descentralizadas. Nelson sugere que essas entidades são “descentralizadas apenas no nome”.

Estrutura de Mercado

O relatório de 40 páginas da Avaliação de Risco de Finanças Ilícitas DeFi 2023 foi divulgado na quarta‑feira e discute os serviços DeFi em relação às obrigações regulatórias AML/CFT.

Nos Estados Unidos, as obrigações AML/CFT são determinadas pelas atividades que a pessoa exerce. Instituições financeiras como bancos, fundos mútuos, corretoras, empresas de serviços monetários (MSBs), comerciantes de comissão de futuros (FCMs) e corretores introdutores são obrigadas a cumprir as regulamentações AML e CFT.

Essas obrigações incluem a implementação de um programa AML eficaz e a manutenção de registros e requisitos de relatório, como os requisitos de relatório de atividades suspeitas (SAR).

A Commodity Futures Trading Commission (CFTC), a Financial Crimes Enforcement Network (FinCEN) e a Securities and Exchange Commission (SEC) regulam essas atividades, e o grau de centralização de uma pessoa não afeta as obrigações AML/CFT das instituições financeiras, afirmou o relatório.

Se um serviço DeFi realiza negócios total ou substancialmente nos EUA e aceita e transmite ativos virtuais, provavelmente será considerado um transmissor de dinheiro e estará sujeito às mesmas obrigações AML/CFT que um transmissor de dinheiro que oferece serviços em moeda fiduciária, acrescentou. O relatório também observou que o grau de descentralização não influencia essas obrigações, desde que o serviço atenda à definição de instituição financeira sob o BSA ou outros marcos regulatórios.

O relatório afirma que, embora a indústria cripto tenha alegado que há falta de clareza regulatória no espaço DeFi, particularmente quanto ao que qualifica como valor mobiliário, quais reguladores registrar e se os serviços DeFi atendem à definição de instituição financeira, a CFTC, a FinCEN e a SEC argumentam que forneceram orientações e ações de aplicação nos últimos dez anos para esclarecer as obrigações regulatórias. Essas agências também enfatizaram que a automação de certas funções por meio de contratos inteligentes ou código de computador não afeta as obrigações das instituições financeiras que oferecem serviços cobertos, acrescentou.

Além disso, os serviços DeFi que tenham qualquer tipo de presença nos EUA ou sejam liderados por cidadãos americanos devem cumprir os programas de sanções econômicas administrados e aplicados pelo Office of Foreign Assets Control (OFAC) do Tesouro. Pessoas não americanas também têm obrigações de conformidade com sanções do OFAC em algumas circunstâncias. Essas obrigações são as mesmas independentemente de a transação ser denominada em ativos virtuais ou moeda fiduciária tradicional.

Serviços DeFi Não Funcionalmente Descentralizados

Ao discutir os elementos de centralização nos serviços DeFi, o relatório aponta que a descentralização dos serviços DeFi pode ser afetada pelas estruturas de governança, pontos de acesso ao serviço e a camada de liquidação sobre a qual o serviço é construído.

Assim, os serviços DeFi podem alegar ser totalmente descentralizados, mas na realidade isso não ocorre, afirmou. De fato, apesar das alegações de completa descentralização, estruturas de governança frequentemente estão presentes nos serviços DeFi, disse o relatório, observando que, em certos casos, o proprietário ou operador de um serviço DeFi mantém uma chave administrativa, que lhes confere a capacidade de modificar ou desativar os contratos inteligentes do serviço com base nas especificações do contrato.

O relatório ainda observou que a governança supostamente é gerida por uma DAO, e os tokens de governança permitem que os participantes apresentem e votem em propostas que determinam a função de uma blockchain ou protocolos.

No entanto, o processo de apresentação e votação de decisões, a porcentagem de votos necessária para aprovação de uma decisão e a forma como uma decisão é implementada variam significativamente entre os serviços DeFi. Além disso, a concentração de tokens de governança ou direitos de voto pode resultar em um pequeno número de pessoas exercendo um alto grau de controle.

Os desenvolvedores de aplicativos são ainda críticos para a usabilidade dos serviços DeFi, e as informações fornecidas por meio de aplicativos podem ser essenciais para transações que utilizam a infraestrutura DeFi. As blockchains da camada de liquidação também podem variar em graus de descentralização, afirmou.

A maioria das blockchains nas quais os serviços DeFi operam são sem permissão, o que significa que os usuários não precisam de aprovação prévia para participar das atividades da rede, lê o relatório, acrescentando que algumas blockchains, no entanto, são mais centralizadas que outras, e isso pode afetar o grau de descentralização dos serviços DeFi construídos sobre elas.

Ameaças de Finanças Ilícitas

Ao abordar as ameaças de finanças ilícitas, o relatório discute como os serviços DeFi são vulneráveis ao abuso por atores ilícitos, incluindo cibercriminosos e fraudadores, que recorrem a eles para lavar seus recursos ilegais.

Criminosos exploram vulnerabilidades de cibersegurança para comprometer serviços DeFi e roubar ativos virtuais, informou o relatório, observando que a Coreia do Norte, sob pressão de sanções internacionais, tem roubado cada vez mais cripto tanto de provedores de serviços de ativos virtuais (VASPs) centralizados quanto de serviços DeFi.

Lavagem de dinheiro é um problema significativo associado aos serviços DeFi, e criminosos utilizam vários métodos e serviços, como a troca de ativos virtuais por outros ativos virtuais e o uso de pontes cross‑chain, mixers e pools de liquidez como forma de camada para lavar seus recursos, informou.

De acordo com o relatório, a prática de ‘chain hopping’ é usada para dificultar que as autoridades rastreiem transações financeiras; mixers para obscurecer a origem, destino ou valor de uma transação, e pools de liquidez para gerar fundos a partir de taxas de negociação, criando desafios para investigadores que tentam rastrear recursos ilícitos.

Esses serviços são atraentes para criminosos porque não exigem fornecimento de informações de identificação do cliente, facilitando o uso dos serviços sem detecção, afirmou o relatório.

Ao discutir vários tipos de atividades ilícitas, o relatório ainda abordou ataques de ransomware, que se tornaram mais graves e sofisticados nos últimos anos. Outro tipo é o roubo, com cibercriminosos explorando vulnerabilidades em contratos inteligentes que regem os serviços DeFi para roubar ativos virtuais no valor de bilhões de dólares. Fraudes e golpes também apresentam um aumento acentuado nas perdas relacionadas a ativos virtuais, conforme relatado por várias agências governamentais dos EUA.

O relatório também discute organizações de tráfico de drogas que se sentem mais à vontade em usar ativos virtuais para lavar fundos e o envolvimento da DPRK em atividades ilícitas relacionadas a cripto para gerar receita para seus programas de armas ilegais.

Causas das Vulnerabilidades no DeFi

A avaliação de risco de finanças ilícitas do Tesouro sobre o relatório DeFi identificou que os serviços DeFi não conformes que operam nos EUA, e que não implementam controles AML/CFT ou outros processos para identificar clientes, são responsáveis pelas vulnerabilidades existentes nos serviços DeFi.

Esses serviços DeFi permitem que a camada de recursos ocorra instantaneamente e de forma pseudônima, usando longas sequências de caracteres alfanuméricos em vez de nomes ou outras informações de identificação pessoal.

Os serviços DeFi envolvidos em atividades cobertas pelo BSA têm obrigações AML/CFT, e todos os serviços DeFi sujeitos à jurisdição dos EUA têm obrigações de conformidade com sanções, independentemente de seu status como instituições financeiras cobertas, conforme o relatório.

A desintermediação é outro fator contribuinte, pois permite que usuários de carteiras não hospedadas mantenham a custódia e transfiram seus ativos digitais sem envolver uma instituição financeira regulada. Nesse caso, serviços DeFi que ficam fora da definição atual de instituição financeira sob o BSA podem não implementar medidas AML/CFT.

Atores ilícitos também podem se aproveitar da arbitragem regulatória devido à natureza transfronteiriça e às lacunas nos regimes AML/CFT, permitindo que VASPs, incluindo certos serviços DeFi, operem no exterior com controles AML/CFT insuficientes ou inexistentes, representando assim uma ameaça ao sistema financeiro dos EUA, informou o relatório.

Medidas de Mitigação

O relatório destaca a necessidade de maior supervisão regulatória dos serviços DeFi para mitigar os riscos associados ao DeFi.

Para as medidas de mitigação, o relatório explica os marcos regulatórios nos níveis global e doméstico para serviços DeFi e explora os efeitos mitigadores de elementos específicos do ecossistema de ativos virtuais e DeFi. O relatório observa que essas medidas podem mitigar parcialmente os riscos de finanças ilícitas, mas não abordam suficientemente as vulnerabilidades identificadas.

O marco regulatório AML/CFT dos EUA é considerado uma medida de mitigação fundamental para enfrentar os riscos de finanças ilícitas associados aos serviços DeFi que operam no país. O trabalho em fóruns internacionais, particularmente o FATF, também pode desempenhar um papel essencial no desenvolvimento de padrões e na promoção da implementação desses padrões para enfrentar os riscos de finanças ilícitas associados aos serviços DeFi, informou.

Transações envolvendo serviços DeFi frequentemente ocorrem na blockchain pública, e os dados de transação pseudônimos são visualizáveis e rastreáveis no livro‑razão público da blockchain, o que, segundo o relatório, pode apoiar investigações das autoridades para rastrear os movimentos de recursos ilícitos. (Clique aqui para aprender sobre as diferenças entre blockchain pública e privada)

No entanto, o desafio de mitigar atividades financeiras ilegais no cenário de finanças descentralizadas (DeFi) não pode ser subestimado. Embora os dados da blockchain pública ofereçam alguma visão, suas limitações inerentes apresentam obstáculos significativos. A natureza pseudônima desses registros digitais, combinada com táticas de usuários como mixers, pontes cross‑chain e criptomoedas aprimoradas por anonimato (AECs), pode efetivamente obscurecer o rastro das transações. Como resultado, rastrear e seguir as atividades dentro do espaço DeFi torna‑se cada vez mais complexo e exigente.

O Tesouro ainda aponta que vários participantes da indústria cripto estão explorando medidas para aumentar a privacidade das transações cripto, incluindo o uso de tecnologia Layer 2 ou blockchains privadas, para as quais os livros‑razão públicos não serão visíveis e o rastreamento de blockchain não será aplicável.

Embora usuários DeFi possam precisar acessar VASPs centralizados para trocar ativos virtuais por moeda fiduciária para comprar bens e serviços, a dependência dos programas AML/CFT dos VASPs centralizados apenas mitiga parcialmente os riscos relacionados a serviços DeFi não conformes, observou.

De acordo com o relatório, muitos VASPs centralizados são eles mesmos não conformes com os padrões internacionais AML/CFT e frequentemente estão baseados em jurisdições com requisitos AML/CFT fracos ou inexistentes. Além disso, foram identificados casos de VASPs centralizados que estão sujeitos a esses requisitos e, ainda assim, não implementam os programas AML necessários para os serviços que fornecem.

A agência afirmou que a adoção crescente de ativos virtuais pode reduzir a necessidade de VASPs centralizados como portas de entrada e saída para muitas transações. Embora a maioria dos comerciantes, empresas e instituições financeiras não aceite atualmente ativos virtuais como forma de pagamento, à medida que os ativos virtuais se tornem mais amplamente aceitos. E, quando isso acontecer, veremos um uso crescente de ativos virtuais como meio de pagamento direto, reduzindo a dependência de VASPs centralizados, acrescentou.

Ações Recomendadas para Abordar os Riscos

O relatório reconhece que o espaço DeFi representa uma pequena parte do ecossistema geral de ativos virtuais, e as atividades ilícitas ocorrem principalmente usando moeda fiduciária ou ativos tradicionais em vez de cripto. No entanto, o relatório sugere que ações adicionais são necessárias para enfrentar os riscos associados aos serviços DeFi.

O relatório recomendou várias ações, incluindo o fortalecimento da supervisão AML/CFT dos EUA sobre atividades cripto. O governo dos EUA deve trabalhar para reforçar as funções de supervisão e aplicação existentes a fim de aumentar a conformidade com AML/CFT e outros requisitos regulatórios, incluindo serviços DeFi com obrigações BSA, afirmou, acrescentando: os reguladores devem fornecer orientações adicionais à indústria para esclarecer como as regulamentações aplicáveis se aplicam aos serviços DeFi.

Avaliar possíveis aprimoramentos ao regime regulatório AML/CFT dos EUA aplicados aos serviços DeFi é outra ação que pode ser tomada. A avaliação também recomenda aprimorar o regime aplicado aos serviços DeFi, fechando quaisquer lacunas identificadas no BSA para garantir que certos serviços DeFi não fiquem fora do escopo da definição de instituições financeiras.

Além disso, o relatório sugere que o governo deve continuar a trabalhar com parceiros estrangeiros para fechar lacunas na implementação de padrões internacionais relativos a ativos virtuais e VASPs. Ademais, os EUA devem compartilhar as conclusões deste relatório com parceiros estrangeiros e incentivá‑los a avaliar os riscos dos serviços DeFi e a desenvolver e implementar medidas de mitigação.

O governo dos EUA também deve continuar a monitorar quaisquer mudanças no ecossistema DeFi que possam afetar os riscos de finanças ilícitas ou a aplicação das obrigações AML/CFT às entidades do setor, informou. Isso pode ser feito por meio de pesquisa e engajamento com o setor privado.

O relatório ainda solicita que as autoridades continuem a defender que os serviços DeFi institua análises em tempo real, monitoramento e testes rigorosos de código para identificar vulnerabilidades e responder a atividades suspeitas, bem como compartilhem informações com empresas de ativos virtuais e o público sobre ameaças potenciais e medidas de mitigação que as empresas podem adotar para melhorar as defesas.

O governo dos EUA deve se envolver com desenvolvedores para promover inovações que busquem mitigar os riscos de finanças ilícitas dos serviços DeFi, informou, acrescentando que formuladores de políticas e reguladores também devem buscar e avaliar mudanças necessárias na regulamentação ou diretrizes para apoiar esses desenvolvimentos.

Buscando Contribuições Públicas

Em conclusão, o relatório recomenda que o governo dos EUA tome várias medidas para enfrentar os riscos associados aos serviços DeFi, incluindo o fortalecimento da supervisão AML/CFT, o aprimoramento do regime regulatório AML/CFT dos EUA, o engajamento com parceiros estrangeiros, a promoção da resiliência cibernética e a inovação responsável de medidas de mitigação.

Ao implementar essas recomendações, o governo dos EUA pode proteger melhor o sistema financeiro dos EUA contra atividades ilícitas facilitadas por serviços DeFi, afirmou o relatório.

Como parte das ações recomendadas, o Tesouro também busca contribuições públicas sobre como enfrentar os desafios regulatórios apresentados pelos serviços DeFi.

As questões incluem determinar se os serviços DeFi se enquadram na definição BSA de instituição financeira, incentivar medidas de mitigação de risco para serviços DeFi não cobertos pelo BSA e esclarecer as obrigações AML/CFT para serviços DeFi definidos pelo BSA. Também estão sendo consideradas obrigações AML/CFT variadas para diferentes tipos de serviços DeFi.