Garantizar el desarrollo responsable de los activos digitales; solicitud de comentarios

En septiembre, el Departamento del Tesoro de EE.UU. presentó una solicitud de comentarios(RFC, por sussiglas en inglés) para recabar opiniones sobre los riesgos financieros ilícitos y de seguridad nacional que plantean los activos digitales. La solicitud se realizó en cumplimiento de la orden ejecutiva del Presidente sobre criptomonedas y busca orientación en categorías clave, incluidos los riesgos de financiación ilícita, la regulación y la supervisión, la implementación global, la participación del sector privado y una moneda digital del banco central.

El jueves, TRM respondió a la RFC centrándose en los riesgos de las finanzas ilícitas y las formas en que las propiedades nativas de las blockchains públicas pueden permitir a los profesionales del cumplimiento, las fuerzas de seguridad, los reguladores, los supervisores y otros funcionarios de agencias gubernamentales identificar más fácilmente los riesgos y detectar e investigar de manera más eficaz y eficiente los delitos financieros.

La respuesta completa se publica aquí:

Resumen ejecutivo

Las mismas cualidades que hacen de los activos digitales una fuerza para el bien -transferencia de valor descentralizada, sin permisos y transfronteriza a la velocidad de Internet- también los hacen atractivos para los actores ilícitos que buscan mover fondos por todo el mundo a una velocidad y escala sin precedentes.

Sin embargo, las propiedades nativas de las cadenas de bloques públicas -datos que son transparentes, trazables, públicos, permanentes, privados y programables- pueden permitir a los profesionales del cumplimiento, las fuerzas de seguridad, los reguladores, los supervisores y otros funcionarios de organismos gubernamentales identificar más fácilmente los riesgos y detectar e investigar los delitos financieros de manera más eficaz y eficiente.

Si bien existen riesgos financieros ilícitos emergentes en el espacio de los activos digitales, como los hackeos financieros descentralizadosDeFi), los tirones de alfombra NFT, los VASP ficticios y el blanqueo de dinero programático, las tecnologías Inteligencia en Blockchain también siguen innovando, aumentando nuestra capacidad para frustrar estas actividades y buscar proactivamente a los malos actores.

A continuación, en nuestra respuesta a la solicitud de comentarios (RFC), TRM proporciona información sobre los riesgos financieros ilícitos de los activos digitales y las oportunidades para mitigar estos riesgos mediante el aprovechamiento de las cualidades únicas de blockchain. Sostenemos que al permitir el uso de la analítica podemos lograr un cambio radical en la forma de contrarrestar las finanzas ilícitas en el entorno de los activos digitales.

El proceso RFC pone de relieve la importancia de la colaboración público-privada en un espacio en el que el sector privado puede ofrecer herramientas, formación y otros conocimientos para ayudar a las fuerzas de seguridad, los reguladores y los responsables políticos a avanzar más rápidamente en la consecución de sus objetivos. Estas herramientas también ayudan a los profesionales del cumplimiento -desde los pequeños protocolos DeFi y mercados NFT hasta las grandes bolsas centralizadas- a supervisar las transacciones y filtrar las direcciones de los monederos para cumplir y superar eficazmente sus obligaciones de cumplimiento.

La RFC plantea preguntas en cuatro categorías. El TRM aborda estas preguntas en dos secciones. La primera sección analiza los riesgos financieros ilícitos emergentes y describe cómo podemos aprovechar las cualidades únicas de las cadenas de bloques para mitigar esos riesgos. En la segunda sección examinamos las oportunidades que presentan los activos digitales para la supervisión de la lucha contra el blanqueo de capitales y la financiación del terrorismo. Concluimos ofreciendo tres recomendaciones que permitirán a las fuerzas de seguridad, a los reguladores y a los profesionales de la delincuencia financiera mitigar los diversos riesgos del ecosistema de los activos digitales.

Recomendaciones:

• Garantizar que los responsables políticos, los reguladores, los supervisores y las fuerzas de seguridad dispongan de la formación y las herramientas necesarias para identificar y mitigar eficazmente el riesgo de financiación ilícita en los activos digitales.
• Potenciar las asociaciones entre el sector público y el privado con intercambio de información en tiempo real para dotar al sector privado de los datos que necesita para combatir la delincuencia financiera, al tiempo que se comparte información con los supervisores para hacer posible una supervisión basada en datos.
• Aumentar las expectativas y capacidades de ciberseguridad en todo el sector para dificultar los ataques a la infraestructura de activos digitales y sacar provecho de las actividades maliciosas.

Riesgos de financiación ilícita

La primera sección de la RFC busca información relacionada con los riesgos de financiación ilícita asociados a los activos digitales. Aunque existe un consenso general en el sector de que las finanzas ilícitas no representan más del 2% de la actividad de los activos digitales, es importante hacer un seguimiento de cómo los actores ilícitos están utilizando esta tecnología. En nuestro análisis, está claro que la actividad ilícita se divide en cuatro categorías principales:

1. Delincuencia basada en criptomonedas: los delincuentes atacan los activos digitales para robarlos o explotarlos. Por ejemplo, hackeos de protocolos DeFi y ransomware;
2. Blanqueo de capitales: uso de activos digitales y tecnologías blockchain, como los mezcladores, para blanquear fondos procedentes de actividades ilícitas que hayan tenido lugar dentro o fuera de la cadena;
3. Pagos ilícitos: uso de activos digitales para financiar servicios o actividades ilícitas. Por ejemplo, financiación del terrorismo y evasión de sanciones,
4. Comercio ilícito: uso de activos digitales para comprar bienes y servicios ilícitos. Por ejemplo, narcóticos en mercados de la darknet.

A la hora de examinar la mejor manera de combatir las actividades ilícitas relacionadas con los activos digitales, es útil considerar las actividades de mitigación a través de la lente de estas cuatro categorías, ya que cada una requiere un enfoque adaptado para hacerlas menos rentables.

A continuación exponemos los riesgos financieros ilícitos emergentes que observamos a partir de nuestro análisis de la actividad de blockchain en relación con DeFi, ransomware, mezcladores y NFT. También presentamos las mejores prácticas para mitigar estos riesgos emergentes.

Hacks contra proyectos DeFi

Los hackeos se han convertido en parte de la vida cotidiana en el ecosistema de los activos digitales y, en particular, en el espacio financiero descentralizado. Según el análisis de TRM, en 2022 se robaron más de 3.100 millones de dólares en hackeos de criptomonedas, y los hackeos contra proyectos DeFi representaron aproximadamente el 95% de la cantidad total robada. El hackeo medio de DeFi fue más de cuatro veces mayor que el hackeo medio no relacionado con DeFi y de los diez mayores hackeos de criptomonedas en lo que va de 2022, los diez fueron contra objetivos DeFi .

Entre enero y agosto de 2022, se produjo un hackeo DeFi aproximadamente cada tres días y medio. En comparación con 2021, en el primer semestre de 2022 el tamaño medio de los hackeos fue de 27 millones de dólares, el doble que el año anterior.

Cada vez vemos más puentes entre cadenas explotados en estos hackeos. Los puentes entre cadenas permiten la transferencia de activos de una cadena de bloques a otra y se consideran una innovación esencial en la web3, ya que permiten que cadenas de bloques previamente aisladas compartan información entre sí, impulsando una interoperabilidad crítica. En la actualidad existen más de 100 puentes entre cadenas de bloques.

El crecimiento explosivo de los puentes entre cadenas ha hecho que las transferencias entre cadenas sean mucho más rápidas y sencillas. El uso de puentes entre cadenas experimentó un crecimiento superior al 90% a finales de 2021 y, en la actualidad, más de 9.000 millones de dólares en criptomonedas están bloqueados solo en la liquidez de los puentes de Ethereum.

Los actores de las amenazas han aprovechado este cambio adoptandoel"salto de cadena"como técnica de ofuscación para blanquear fondos pirateados o robados. Los exploits de puentes (hackeos de los propios puentes) supondrán por sí solos unos 2.000 millones de dólares en 2022, y eso sin contar los fondos ilícitos procedentes de otras actividades delictivas que se han desplazado a través de los puentes, lo que convierte al "salto de cadena" en una de las tipologías de blanqueo de capitales de más rápido crecimiento en el ámbito de los activos digitales.

El salto en cadena es una técnica eficaz de blanqueo de capitales, ya que dificulta que servicios como las bolsas centralizadas detecten si los fondos entrantes están vinculados a una explotación u otra actividad ilícita, que normalmente congelarían o notificarían a las fuerzas de seguridad.

Caso práctico

Tras hacerse con el control de los fondos en esas cadenas, el atacante utilizó al menos cuatro puentes entre cadenas para trasladar la criptomoneda robada a la blockchain de Ethereum.

En este caso, TRM permitió a los investigadores rastrear a través de puentes con sólo pulsar un botón y visualizar el movimiento de fondos de una blockchain a otra en un único gráfico sin fisuras. La capacidad de rastrear los flujos entre cadenas en cuestión de minutos -frente a los días y semanas que requieren las técnicas manuales de rastreo entre cadenas- es clave para los investigadores porque mejora enormemente las posibilidades de que los fondos robados puedan ser rastreados y congelados por un intermediario antes de ser cobrados y libera recursos de las fuerzas de seguridad.

Mitigar los riesgos de financiación ilícita en DeFi

Para mitigar los riesgos de los protocolos DeFi y de la delincuencia relacionada con las criptomonedas en general, debemos adoptar un enfoque en dos fases. En primer lugar, los hackeos sólo pueden detenerse mejorando la ciberseguridad de los protocolos DeFi y de otras empresas de criptomoneda. La mejora de la ciberseguridad puede lograrse mediante un énfasis continuo en la coordinación público-privada para garantizar que las empresas de criptomoneda aplican las mejores prácticas de ciberseguridad. De este modo, serán menos vulnerables a los ataques informáticos.

En segundo lugar, debemos hacer que estos hackeos y delitos relacionados con las criptomonedas sean menos rentables, aumentando la fricción en el proceso de blanqueo de capitales. Para ello, es importante que los investigadores puedan rastrear los flujos de fondos no sólo dentro de las cadenas de bloques, sino a través de ellas. Ahora que el rápido salto de cadena a través de puentes y otros servicios automatizados ha ganado popularidad entre los actores ilícitos, la TRM permite el rastreo automatizado a través de puentes y servicios entre cadenas.

Sin embargo, las tipologías delictivas seguirán evolucionando, y el ajuste continuo de nuestra respuesta a la delincuencia basada en criptomonedas dependerá del intercambio eficaz de datos entre el sector para seguir el ritmo de los delincuentes.

El riesgo de financiación ilícita del ransomware

Desde el ataque de 2021 a Colonial Pipeline, el ransomware -un tipo de software malicioso que los ciberdelincuentes utilizan para bloquear el acceso de una víctima a sus propios datos- se ha convertido en el centro de atención tanto de los responsables políticos como de las empresas de todo el mundo.

Ransomware está creciendo, en parte, debido a la creciente mercantilización de las herramientas de ransomware como servicio (RaaS) que se utilizan para ejecutar ataques de ransomware . Los datos de TRM revelan que los foros de la darknet especializados en la venta de servicios relacionados con la ciberdelincuencia, como alojamiento a prueba de balas, exploits como servicio, botnets como servicio o ataques comprometidos, han recibido 11 millones de dólares en pagos en criptomoneda entre enero y septiembre de 2022.

Caso práctico

El análisis de TRM sobre el pago de rescates en 2022 sugiere que las pequeñas empresas son las más atacadas. Un ataque de ransomware es un suceso costoso que provoca importantes pérdidas económicas. Las pérdidas financieras se pueden clasificar como directas, como el pago de rescates, o indirectas, como el coste de recuperación de datos e infraestructuras, la interrupción del negocio y los gastos legales para mitigar el daño a la reputación y las posibles demandas. Según el análisis de TRM de los pagos de ransomware en cadena, casi el 57% de los pagos de rescates realizados en los tres primeros trimestres de 2022 fueron inferiores a un millón de dólares, lo que sugiere que las pequeñas empresas fueron el objetivo principal. También observamos que aproximadamente el 37% de los pagos se sitúan entre 1 y 5 millones de dólares, y que alrededor del 6% de los pagos de rescates superan los 5 millones de dólares.

Aunque los importes de las peticiones de rescate varían y dependen de factores como el tamaño de la empresa y la sensibilidad de los datos robados, es probable que los ingresos anuales desempeñen un papel central para los actores a la hora de determinar una petición de rescate. Según el análisis de TRM del ecosistema del ransomware y las tácticas de negociación, estimamos que la petición de rescate media es de alrededor del 2% de los ingresos anuales de la víctima.

Mitigar el riesgo de ransomware

Los sectores público y privado están realizando una serie de esfuerzos para mitigar el riesgo de ataques de ransomware . Por ejemplo, FBI y el Tesoro están liderando un esfuerzo para crear una asociación de intercambio de información y una plataforma de apoyo para la Notificación de Activos Virtuales Ilícitos (IVAN) con el fin de mejorar los plazos de detección e interrupción del ransomware y otros flujos de pagos ilícitos en moneda virtual. Si bien el intercambio de información entre los sectores público y privado es fundamental, la cooperación transfronteriza es primordial, ya que los actores ilícitos mueven grandes cantidades de fondos a escala mundial. En este sentido, la Iniciativa Internacional contra Ransomware , liderada por Estados Unidos, es un foro importante para establecer esa cooperación.

Como en el caso anterior, es importante abordar las deficiencias de ciberseguridad que dejan a las empresas vulnerables a los ataques. Sin embargo, cuando se producen ataques, es importante crear capacidades eficaces de respuesta a incidentes para responder a los acontecimientos a medida que se desarrollan. TRM dispone de un sistema Crypto Incident Response distribuido por todo el mundo y formado por antiguos agentes de las fuerzas de seguridad, que proporciona asistencia en la investigación desde el inicio del caso hasta su cierre. Los investigadores ayudan a las empresas víctimas a rastrear los fondos robados (lo que en algunos casos conduce a la recuperación de activos) y conectan a las víctimas con una red mundial de organismos encargados de hacer cumplir la ley, empresas de ciberseguridad y bufetes de abogados especializados. Se trata quizás de un modelo de buenas prácticas en el sector.

Riesgo de financiación ilícita de las mezcladoras

Los protocolos descentralizados de mezcla, o servicios de anonimización, agrupan criptomonedas de múltiples usuarios para ofuscar las transacciones enmascarando el origen de los fondos. Los servicios de mezcla son utilizados tanto por actores legítimos que quieren mantener el anonimato de sus fondos, como por delincuentes que utilizan mezcladores para blanquear dinero y ocultar el origen de los ingresos ilícitos mezclándolos con los legales.

En TRM hemos visto a ciberdelincuentes y a agentes de estados nación como Corea del Norte utilizar mezcladores para ofuscar el movimiento de fondos durante el blanqueo de capitales.

Caso práctico

En respuesta, la OFAC utilizó Inteligencia en Blockchain para rastrear los fondos robados a través de los servicios de mezcla, sancionando tanto las direcciones de blockchain a las que se movían los fondos como los servicios de mezcla que los ciberdelincuentes norcoreanos utilizaban para blanquear los fondos, entre los que se encontraban el mezclador centralizado de bitcoin blender.io y el mezclador descentralizado de Ethereum Tornado Cash. Estas rápidas designaciones de sanciones solo fueron posibles gracias a la naturaleza transparente de las cadenas de bloques públicas, que permitieron a la OFAC identificar las entidades y direcciones asociadas a las técnicas de blanqueo de capitales utilizadas.

Mitigación de los usos financieros ilícitos de las mezcladoras

Aunque los "mixers" tienen muchos usos legítimos, es importante mitigar la explotación ilícita de estos servicios cuando son utilizados para blanquear dinero por grupos delictivos o grupos de Estados nación. Una forma de mitigar el riesgo de blanqueo de capitales de los mezcladores es disuadir a los delincuentes de utilizar estos servicios, en primer lugar, mediante la capacidad de rastrearlos. TRM tiene la capacidad única de rastrear muchos servicios de mezcla en la cadena, haciéndolos menos atractivos para el uso ilícito.

Una segunda forma de mitigar el uso ilícito de mezcladores es impedir que los malos actores los utilicen. En los últimos meses se han impuesto sanciones a varios servicios de mezcla. Las sanciones tienen un efecto disuasorio considerable sobre el uso de mezcladores por parte de todos los usuarios y, dada la naturaleza transparente de blockchain, podemos medir con precisión este impacto. Según el análisis de TRM, los depósitos mensuales totales en Tornado Cash disminuyeron un 68% en el mes posterior a su sanción. A raíz de las sanciones también hemos visto un movimiento por parte de la industria de las criptomonedas, incluidos los protocolos DeFi , para implementar la detección de sanciones en sus interfaces de usuario para bloquear a los actores sancionados, manteniendo al mismo tiempo el acceso a los usuarios legítimos.

Para refinar aún más el bloqueo de actores ilícitos es cada vez más importante geolocalizar las transacciones entrantes. Inteligencia en Blockchain permite a las empresas de criptomoneda geolocalizar mejor la actividad entrante para filtrar o "geo-cercar" jurisdicciones sancionadas de interactuar con mezcladores y protocolos DeFi .

Cómo se aplican hoy las sanciones en DeFi

1. si una dirección figura en una lista de sanciones o está asociada a una entidad de la lista de sanciones ("riesgo de propiedad")
2. si una dirección ha realizado transacciones con una dirección sancionada ("riesgo de contraparte")
3. si una dirección ha recibido fondos o los ha enviado a través de múltiples "saltos" a una dirección sancionada ("riesgo indirecto").

Riesgos de financiación ilícita de los NFT

Los casos de uso de las fichas no fungibles (NFT) siguen desarrollándose. Aunque en un principio se utilizaron para objetos de arte y coleccionables digitales, ahora se entiende de forma más amplia que los NFT pueden utilizarse para transferir y mantener la propiedad de cualquier activo tokenizado. Este entendimiento y las propiedades de las NFT, como la facilidad de transferencia y la subjetividad de su valor, pueden hacerlas atractivas para los actores ilícitos que buscan blanquear fondos o estafar a las víctimas. Al igual que con DeFi, hemos visto surgir varias tipologías de financiación ilícita en el espacio de las NFT.

Una de estas tipologías de blanqueo de capitales es la NFT Wash Trading. Tradicionalmente, la operación de lavado se ha referido a un operador que compra y vende un valor con el propósito explícito de engañar al mercado y manipular los precios. A veces, un operador y un corredor actúan en connivencia, y otras veces un inversor actúa como comprador y vendedor. En cualquier caso, el objetivo es ganar dinero rápidamente o utilizar potencialmente el lavado como mecanismo para blanquear dinero.

Las operaciones de lavado NFT son motivo de preocupación para los inversores legítimos, los coleccionistas y el público en general debido a las comparaciones de precios inflados y los valores estadísticos atípicos que reducen la integridad del mercado.

Caso práctico

A finales de 2021, alguien compró una NFT de CryptoPunk a sí mismo con dinero prestado y devolvió el préstamo en la misma transacción. El precio de compra fue de más de 124k ETH, que en ese momento valía 532M$. Antes del wash trading/préstamo flash, la misma CryptoPunk había estado cotizando por cerca de 300-400K$. La anomalía fue tan grande que llevó a un Tweet del creador de NFT declarando que ofertas como estas no podían ser aceptadas y que se crearía un filtrado mejorado para evitar el wash trading en el futuro.

Mitigación de las operaciones de lavado NFT

La forma más eficaz de mitigar las operaciones de lavado de NFT es dificultar que los actores ilícitos vendan NFT implicados en tales esquemas a partes desprevenidas. Inteligencia en Blockchain permite a los compradores realizar evaluaciones de riesgo de los NFT identificando cualquier valor atípico u otra actividad sospechosa en el historial de transacciones del NFT. Utilizando datos tanto dentro como fuera de la cadena, los inversores pueden evaluar la procedencia del token y del creador, así como la propiedad actual de un NFT. El comprador puede comprobar si el propietario actual tiene una

red de transacciones inusualmente estrecha o si el NFT parece haber sido negociado entre el propietario con discrepancias en la oferta, la venta y el precio mínimo. La misma tecnología blockchain que se está utilizando para manipular el mercado puede proporcionar una gran cantidad de datos históricos que pueden proporcionar una visión única de la integridad de una NFT. Esto es imposible en los mercados tradicionales de arte, antigüedades y objetos de colección actuales, en los que la procedencia suele ser opaca.

Además, estamos viendo cómo cada vez más emisores de NFT y marketplaces utilizan Inteligencia en Blockchain para controlar las transacciones y filtrar las direcciones de los monederos para asegurarse de que no están enviando un NFT a un actor ilícito y mitigar su riesgo de exposición a sanciones.

Fraudes y estafas con NFT

Los fraudes y las estafas también se han convertido en una característica destacada del panorama de la NFT. Una de estas estafas es el "tirón de alfombra". Se trata de maniobras maliciosas relacionadas con activos digitales en las que los desarrolladores de criptomonedas abandonan un proyecto y huyen con los fondos de los inversores o utilizan la ingeniería social para acceder a los activos de la víctima.

Caso práctico

Una estafa particularmente insidiosa es el " smart contractdrainware ", que es una forma de phishing que pide a los usuarios que firmen un contrato, normalmente bajo el pretexto de una transferencia legítima de NFT o propiedad de tokens, que luego otorga el control de toda la cartera del usuario al atacante.

A continuación, el atacante engaña a la víctima a través de correos electrónicos, aplicaciones de mensajería, ventanas emergentes en Discord, Telegram, anuncios en la cartera a través de MetaMask o utiliza sitios web y cuentas falsas o de suplantación de identidad. Al final, siempre se pide a la víctima que proporcione claves privadas o firme contratos de aprobación. Estos ataques tienen éxito porque los compradores y vendedores se ven presionados a actuar con rapidez para cobrar las valiosas NFT. En este caso, el atacante incitó a la víctima a iniciar un comercio entre pares firmando el smart contract drainware. A continuación, el atacante blanquea sus ganancias ilícitas utilizando mezcladores u otras técnicas de ofuscación comentadas anteriormente. ‍

Los hackeos de NFT Discord son otra forma de estafa que utiliza NFT. ****Discord, la plataforma de redes sociales más utilizada por los proyectos de NFT más populares, ha sido objeto de ataques y estafas cada vez más frecuentes durante el último año.

En junio de 2022, los ataques de phishing vinculados a estafas de acuñación de NFT desplegados a través de cuentas de Discord comprometidas aumentaron un 55% en comparación con el mes anterior. ****El análisis de los datos dentro y fuera de la cadena sugiere que muchos de los ataques a Discord dirigidos a proyectos de NFT muestran patrones de comportamiento similares, en los que los hackers utilizan una serie de tácticas para estafar a los usuarios de Discord. Estas técnicas incluyen el uso de sofisticadas técnicas de ingeniería social, como el phishing y las cuentas fraudulentas que se hacen pasar por administradores, y la explotación de bots, como el bot Mee6, que permite a los administradores dar y quitar roles automáticamente y enviar mensajes a la comunidad. En algunos casos, los atacantes incluso actualizaron la configuración de los administradores para prohibir a los moderadores de Discord interferir en las operaciones de los hackers.

Caso práctico

Los compradores potenciales comenzaron a picar alrededor de las 8:15 am EST, haciendo clic en el enlace fraudulento y tomando medidas para conectar sus billeteras con el fin de enviar la cuota de acuñación requerida en ETH. En su lugar, el ETH fue directamente a la dirección del estafador, y las transacciones comprometieron los monederos de las víctimas, ejecutando transferencias fraudulentas de NFT a los monederos de los atacantes. Una vez comprometidos los monederos de las víctimas, los NFT de cada cuenta comprometida se transferían a un único monedero vinculado al enlace de phishing. En total, a partir de un único exploit, los atacantes adquirieron una cartera diversa de 18 valiosos proyectos de NFT, incluidos Bored Ape Yacht Club, Mutant Ape Yacht Club, OthersideMeta y MekaVerse.

Mitigar el riesgo de estafas y fraudes NFT

Los usuarios pueden hacer muchas cosas para mitigar el riesgo de ser víctimas de una estafa o fraude con NFT. La responsabilidad debe recaer en el usuario, pero el ecosistema de activos digitales y el Gobierno pueden hacer más para ayudar a los usuarios a protegerse contra este tipo de ataques. Los usuarios deben poner en práctica una ciberseguridad sólida y ser conscientes de las señales de alarma que podrían indicar una actividad fraudulenta, como llamadas contractuales desconocidas, utilizar un monedero independiente para realizar las entregas de NFT, consultar el historial de un NFT antes de comprarlo, desactivar los mensajes de Discord y garantizar la seguridad de las claves privadas. Para ayudar a los usuarios, la Financial Crimes Enforcement Network (FinCEN), en colaboración con sus socios, debería seguir actualizando las mejores prácticas y las señales de alerta para participar en el ecosistema NFT.

Iniciativas del sector privado - Chainabuse

Además de lo que los usuarios pueden hacer para protegerse de fraudes y estafas, la industria también puede hacer más para proteger a los usuarios. La naturaleza pública de las cadenas de bloques permite un mayor intercambio de información entre los consumidores y la industria, lo que les permite actuar juntos para proteger el ecosistema de estafas, hackeos y fraudes. A través de herramientas de denuncia de fraudes de criptomonedas como Chainabuse.comgestionada por TRM Labslos ciudadanos pueden aumentar la visibilidad de estafas notables y limitar el número de víctimas denunciando los fraudes que descubran.

Desde su lanzamiento, la plataforma Chainabuse ha recibido más de 240.000 denuncias de direcciones de monederos y URL vinculadas a fraudes y estafas con criptomonedas. Estos informes permiten a Chainabuse crear una base de datos fiable y en tiempo real de estafas en la web3 en todo el mundo. De este modo, se crea un recurso en el que los usuarios pueden comprobar rápidamente las direcciones y entidades con las que interactúan para saber si pueden estar expuestos a actividades ilícitas.

Regulación y supervisión de la lucha contra el blanqueo de capitales y la financiación del terrorismo

Los activos digitales y las tecnologías basadas en blockchain permiten combatir la delincuencia financiera de manera más eficiente y eficaz gracias a sus cualidades inherentes. Las propiedades nativas de las blockchains públicas -datos que son Transparentes, Trazables, Públicos, Permanentes, Privados y Programables- permiten a los profesionales del cumplimiento de la normativa, a las fuerzas de seguridad, a los reguladores, a los supervisores y a otros funcionarios de organismos gubernamentales identificar, investigar y mitigar más fácilmente los riesgos de la delincuencia financiera. Las herramientas de Inteligencia en Blockchain son una parte clave de esto, permitiendo a las entidades explotar estas características inherentes.

Tras la sección anterior sobre los riesgos de financiación ilícita y lo que se está haciendo actualmente para mitigarlos, esta sección considerará qué oportunidades ofrecen las características inherentes de blockchain para el cumplimiento, la regulación y la supervisión de la lucha contra el blanqueo de capitales y la financiación del terrorismo, y propondrá cómo pueden los supervisores y reguladores mejorar aún más sus actividades aprovechando al máximo estas características.

Transparente

La información sobre los fondos ilícitos que circulan por el sector financiero reside actualmente en miles de servidores de empresas privadas situadas en Estados Unidos y en el extranjero. Para combatir la delincuencia financiera, los gobiernos confían en que las instituciones financieras dispongan de sistemas y datos internos adecuados para notificar casos de fraude, blanqueo de capitales, financiación del terrorismo y delitos financieros a los reguladores y a las fuerzas de seguridad a través de informes de actividades sospechosas (SAR) o notificaciones ad hoc.

La naturaleza de las cadenas de bloques públicas como libros de contabilidad abiertos y distribuidos significa que cada transacción se verifica y registra en un registro compartido e inmutable, junto con la marca de tiempo de la transacción y las direcciones de la cadena de bloques implicadas. Estos datos de la blockchain pública son transparentes, lo que permite al sector financiero y a los organismos gubernamentales seguir en tiempo real las tendencias de la delincuencia financiera, el abuso del mercado y la estabilidad financiera, y realizar evaluaciones de riesgos sectoriales más eficaces.

La transparencia de las transacciones basadas en blockchain proporciona una visibilidad del volumen de transacciones ilícitas que de otro modo sería inalcanzable. Por ejemplo, el comunicado de prensa Department of Justicede Estados Unidos sobre la interrupción del mercado de la darknet Hydra Market afirma que el mercado recibió aproximadamente 5.200 millones de dólares en criptomoneda para la compra de bienes y servicios ilícitos, como drogas ilegales, información financiera robada, documentos de identidad fraudulentos y servicios de blanqueo de capitales, un dato que solo se puede obtener gracias a la naturaleza transparente de la blockchain.

Caso práctico

Hoy en día, las entidades reguladas están haciendo uso de esta transparencia para comprender los flujos en las cadenas de bloques, lo que podría parecer una actividad sospechosa, informando las evaluaciones de riesgo y las normas de supervisión de las transacciones.

A medida que las instituciones financieras buscan relacionarse con entidades que facilitan negocios relacionados con las criptomonedas (por ejemplo, una bolsa de criptomonedas), la naturaleza transparente de los datos de blockchain, junto con Inteligencia en Blockchain, permite una visibilidad sin precedentes de los controles. Por ejemplo, una revisión de las políticas y procedimientos contra el blanqueo de capitales de la entidad puede analizarse frente a la cantidad real de actividad ilícita que se facilita en la cadena.

Este análisis permite a las instituciones financieras tradicionales asociarse, realizar transacciones y gestionar los fondos de las criptoentidades con niveles aceptables de gestión del riesgo. Del mismo modo, se anima a las criptoentidades que buscan acceder a los mercados públicos y a los servicios bancarios a reforzar sus controles internos, sabiendo que las instituciones tendrán una visión más transparente de sus niveles de riesgo. En esencia, Inteligencia en Blockchain mejora en gran medida la eficacia de los controles reforzados de diligencia debida en todo el sector financiero.

Rastreable

Para los especialistas en cumplimiento de la normativa contra el blanqueo de capitales y los auditores que trabajan en las finanzas tradicionales, es necesaria una engorrosa investigación manual para verificar la fuente de riqueza y la fuente de fondos de un solo cliente, que a menudo requiere recopilar información de fuentes independientes, como registros de empresas, bancos, contables y abogados. Para los investigadores gubernamentales, puede llevar meses o incluso años seguir el rastro de un delincuente sofisticado, lo que a menudo requiere citaciones a través de múltiples proveedores de servicios en varias jurisdicciones y hace necesario que las fuerzas de seguridad pasen por el engorroso proceso del Tratado de Asistencia Legal Mutua (MLAT) para solicitar la asistencia de las fuerzas de seguridad extranjeras con el fin de obtener pruebas.

Dado que las cadenas de bloques proporcionan una pista de auditoría inmutable de cada transacción, comprender el origen y el destino final de los fondos, en particular entre jurisdicciones, es sustancialmente más fácil, rápido y fiable en comparación con el rastreo de fondos a través de los mecanismos de financiación tradicionales. El software Inteligencia en Blockchain puede transformar los caracteres alfanuméricos de la blockchain en una representación visual del flujo de fondos, lo que permite a los especialistas en cumplimiento de la normativa y a las fuerzas de seguridad "seguir el dinero" por todo el mundo en tiempo real, acelerando el tiempo de investigación.

La trazabilidad de las transacciones de blockchain también permite capacidades más avanzadas para detectar actividades sospechosas. En las finanzas tradicionales, los departamentos de cumplimiento normalmente solo ven las transacciones para las que hay una contraparte directa con el fin de medir el riesgo. La consecuencia es que las normas de supervisión de las transacciones se limitan a patrones de comportamiento como el tipo de transacción, el importe o la velocidad. Con las transacciones de blockchain, las bolsas de activos virtuales pueden detectar depósitos entrantes de ingresos procedentes de un ataque de ransomware , incluso si los fondos se movieron a través de múltiples transacciones antes de ser depositados.

Caso práctico

Los bancos de todo el país preguntan habitualmente a los clientes de alto riesgo, como los oligarcas rusos, las personas políticamente expuestas o los individuos que han afirmado obtener su riqueza de negocios con un uso intensivo de efectivo, cómo se obtuvo su riqueza y cómo se financiarán las cuentas bancarias. Como se señaló en informes anteriores del Tesoro, en los que se describía la capacidad de los oligarcas rusos para blanquear fondos en el sistema financiero estadounidense, no es infrecuente en las finanzas tradicionales que estos actores faciliten información falsa o engañosa sobre su patrimonio y sus mecanismos de financiación. Así, las instituciones financieras se ven obligadas a confiar en la palabra de los propios abogados o contables del cliente de alto riesgo sobre la legitimidad de su patrimonio. Armadas con Inteligencia en Blockchain, y siempre que pueda haber pruebas de que la riqueza está vinculada a activos basados en blockchain, las instituciones son ahora capaces de solicitar y verificar en tiempo real las direcciones de los monederos, la ubicación de los activos y las narrativas para corroborar lo que el posible cliente pueda estar diciéndoles, y así negar más fácilmente las relaciones y bloquear la financiación que provenga de fuentes ilícitas.

Público

A diferencia de los datos de transacciones y clientes en poder de empresas o instituciones financieras, las cadenas de bloques públicas están distribuidas y no son gestionadas por una autoridad central. Por lo tanto, cualquiera -incluidos los funcionarios encargados de hacer cumplir la ley y los reguladores- puede acceder a ellos, identificarlos y rastrearlos.

transacciones blockchain sin un SAR, citación, orden de registro, MLAT o examen in situ porque esa información es libre y de acceso público, independiente de un tercero. En los tribunales, los fiscales pueden presentar la blockchain como un "testigo presencial" objetivo de una única transacción en lugar de depender de un testigo, como un investigador de las fuerzas de seguridad.

Caso práctico

La naturaleza pública de las cadenas de bloques permite un mayor intercambio de información entre los consumidores, lo que les permite protegerse de estafas, hackeos y fraudes. A través de herramientas de denuncia de fraudes de criptomonedas como Chainabuse.com (mencionada anteriormente), los ciudadanos pueden aumentar la visibilidad de estafas notables y limitar el número de víctimas.

Permanente

Almacenar registros de transacciones durante largos periodos de tiempo es costoso, engorroso y puede estar prohibido por la legislación local. En consecuencia, a menudo faltan registros, lo que crea obstáculos para las investigaciones de delitos financieros. Por el contrario, las transacciones se registran permanentemente en la cadena de bloques, lo que permite a las instituciones, auditores e investigadores gubernamentales una mayor capacidad para "seguir el dinero", incluso si la transacción tiene varios años de antigüedad.

Caso práctico

Privado

A medida que aumenta el número de consumidores, empresas y gobiernos que realizan transacciones en blockchains, se hace aún más importante habilitar la privacidad financiera en blockchains, con el fin de proteger la privacidad de los consumidores, evitar el espionaje corporativo y del Estado-nación, reducir el riesgo de violación de datos y proteger la seguridad nacional, todo ello cumpliendo con las obligaciones de cumplimiento.

Cabe destacar que la privacidad y las cadenas de bloques no son incompatibles. En muchos sentidos, las tecnologías basadas en cadenas de bloques -al reducir al mínimo la necesidad de almacenar datos personales en un depósito centralizado, al permitir que las personas ejerzan el control sobre quién accede a sus datos y al permitir que las personas determinen para qué fines se utilizarán sus datos- protegen más la privacidad que el statu quo.

En la actualidad, en el sector se están implantando tecnologías de mejora de la privacidad (PET), como las pruebas de conocimiento cero, en las capas de protocolo, middleware y aplicación para avanzar en los objetivos de protección de datos y privacidad. Las PET pueden utilizarse para hacer privada la información de las cadenas de bloques, como los detalles de las transacciones o los datos de los programas informáticos basados en cadenas de bloques. En particular, las PET pueden configurarse para que la información sea visible de forma selectiva en función de determinadas condiciones y políticas, como si el solicitante está autorizado a ver los datos.

Programable

Blockchain ofrece una nueva oportunidad para aumentar el acceso al sistema financiero mediante la reducción del coste de la prestación de servicios financieros, ayudando a los países a alcanzar sus objetivos de inclusión financiera. Una forma de lograrlo es integrando controles KYC/AML automatizados en el protocolo, el smart contract y la capa de aplicación de las tecnologías blockchain.

Los "pasaportes digitales" basados en la cadena de bloques podrían permitir a particulares y entidades almacenar pruebas de verificación de los datos personales directamente en la cadena de bloques, lo que beneficiaría a todas las partes implicadas en las transacciones: clientes, instituciones y administraciones públicas. Los clientes podrían acceder sin problemas a los servicios financieros y minimizar la distribución de información personal sensible a nuevos intermediarios financieros. Los desarrolladores podrían programar aprobaciones o denegaciones automatizadas directamente en smart contracts y protocolos para evitar que direcciones sancionadas o de alto riesgo interactúen con sus servicios.

Las cualidades únicas de las cadenas de bloques permiten mejorar la supervisión reglamentaria

Como ya se ha indicado, el marco de la BSA exige actualmente a los bancos y otras empresas de servicios monetarios ("MSB") que se registren en el FinCEN, mantengan un programa de lucha contra el blanqueo de capitales y presenten informes de actividades sospechosas ("SAR") cuando surja una actividad sospechosa. Esto significa que el FinCEN debe confiar en las instituciones financieras intermediarias, que sólo supervisan las transacciones que administran directamente, para identificar los comportamientos de riesgo y presentar un informe que sea procesable y valioso para los funcionarios encargados de hacer cumplir la ley.

La tecnología Blockchain tiene el potencial de alterar la comunicación unidireccional, generada por el usuario final y aislada de los SAR. Dependiendo de las circunstancias, una transacción podría incluso bloquearse, o retenerse en custodia, antes de que se lleve a cabo sobre la base de la información de identidad proporcionada por los reguladores.

Los reguladores no están limitados a acceder únicamente a los datos de las transacciones, sino que también podrían acceder a perfiles de entidades digitales, custodios y emisores de stablecoins, entre otros. La supervisión puede realizarse a través de múltiples blockchains, revelando el porcentaje de comercio vinculado a actividades de alto riesgo. La recopilación de datos directamente de la cadena de bloques es precisamente el tipo de práctica reguladora ágil y basada en el riesgo que aumentaría la eficiencia y la eficacia de la gestión del riesgo de delincuencia financiera.

En octubre de 2021, el Grupo de Acción Financiera Internacional (GAFI") publicó una guía en la que animaba a los reguladores a utilizar Inteligencia en Blockchain para identificar a las personas que operan sin licencia o registro. Además, recomendó una mayor diligencia debida con respecto a determinados proveedores de servicios de activos virtuales, incluidos los que participan en relaciones de corresponsalía transfronteriza, lo que lleva a una aplicación más eficaz de los controles basados en el riesgo. GAFI destaca el hecho de que ciertas jurisdicciones, incluidos los Estados Unidos, ya utilizan Analítica de blockchain en su supervisión de las entidades reguladas.

Un enfoque regulador revisado que utilice Inteligencia en Blockchain beneficiaría tanto a los reguladores como a los proveedores de activos digitales. La disponibilidad de datos en bruto de blockchain, sin precedentes tanto en cantidad como en calidad, ofrece a los reguladores la capacidad de acceder instantáneamente a información relevante sin el tiempo de retraso o el mecanismo de filtrado inherente a depender de intermediarios para presentar ROS.

A su vez, los proveedores se verían liberados de parte de la carga que supone evaluar subjetivamente si deben presentar un SAR y cuándo. La supervisión automatizada combinada con el acceso directo de los reguladores reduce la ineficacia de la supervisión manual de las transacciones y entidades de bajo riesgo y aumenta la probabilidad de que las actividades de alto riesgo sean señaladas, rastreadas y fácilmente investigadas por las autoridades competentes, lo que redunda en beneficio de la eficacia general de la lucha contra la delincuencia financiera.

Recomendaciones

TRM agradece esta oportunidad de comentar cómo garantizar el desarrollo responsable de los activos digitales. Los activos digitales encierran un enorme potencial para nuestra sociedad, nuestra economía y la forma en que combatiremos la delincuencia financiera en el futuro. El enfoque de colaboración adoptado por el Tesoro en este proceso es muy positivo y esperamos seguir trabajando con los socios gubernamentales a medida que se desarrolle el ecosistema.

A lo largo de este comentario hemos hecho varias recomendaciones sobre cómo garantizar la adopción responsable de los activos digitales. Pueden resumirse en tres recomendaciones principales.

• Garantizar que los responsables políticos, los reguladores, los supervisores y las fuerzas de seguridad dispongan de la formación y las herramientas necesarias para identificar y mitigar eficazmente el riesgo de financiación ilícita en los activos digitales. Si bien es posible mejorar las prácticas actuales de regulación y supervisión mediante la utilización de herramientas de Inteligencia en Blockchain , es primordial que estas herramientas, y la formación, se pongan fácilmente a disposición de los reguladores e investigadores tanto en Estados Unidos como, en la medida de lo posible, en las jurisdicciones que puedan beneficiarse del desarrollo de capacidades.
• Potenciar las asociaciones público-privadas (APP) con intercambio de información en tiempo real para dotar al sector privado de los datos que necesita para combatir la delincuencia financiera y de la información que necesitan los supervisores para llevar a cabo una supervisión en tiempo real. Para que las APP sean eficaces es esencial que se incluya y participe un amplio abanico de partes interesadas. El Tesoro de Estados Unidos debería trazar un mapa del ecosistema de activos digitales para asegurarse de que incluye una buena representación del sector en sus APP y revisar los mecanismos de intercambio de información para garantizar que se ajustan a su finalidad en la era de los activos digitales. Por último, los delincuentes que explotan los activos digitales están repartidos por todo el mundo, por lo que, para dar una respuesta internacional a este problema, las APP nacionales deberían aspirar a colaborar con las APP de las naciones aliadas.
• Aumentar las expectativas y capacidades de ciberseguridad en todo el sector para dificultar los ataques a la infraestructura de activos digitales y sacar provecho de las actividades maliciosas. Los usuarios deben recibir formación sobre prácticas de ciberseguridad para el ecosistema de activos digitales. El sector privado que opera en el espacio de los activos digitales debe contar con procesos para responder a los eventos de ciberseguridad cuando se produzcan, incluida la respuesta a incidentes, y cuando se produzcan ataques, los organismos gubernamentales deben ser capaces de compartir la información adecuada sobre ellos con las empresas de Inteligencia en Blockchain para ayudar a detener futuros ataques.

‍