Cómo utilizan las plataformas DeFi los datos de TRM Labs para responder a las sanciones de Tornado Cash

A raíz de que la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de Estados Unidos impusiera sanciones al servicio descentralizado de mezcla de criptomonedas basado en Ethereum Tornado Cash el 8 de agosto de 2022, las entidades DeFi han estado trabajando para comprender cuál es la mejor manera de mitigar el riesgo de sanciones.

He aquí algunos detalles importantes sobre el funcionamiento de este proceso:

• Todas las personas y entidades estadounidenses, dondequiera que se encuentren, deben cumplir las sanciones de la OFAC. Esto significa que las entidades DeFi cubiertas deben acatar las sanciones estadounidenses o enfrentarse a importantes sanciones.
• Dado que las sanciones por incumplimiento pueden ser severas, muchas entidades DeFi han implantado programas de cumplimiento de sanciones. Cada entidad crea su propio programa de sanciones y sus políticas en función de su contexto único y su tolerancia al riesgo.
• Las entidades que deciden cumplir la ley de sanciones de EE.UU. suelen recurrir a un proveedor de datos externo, como TRM Labspara obtener datos de riesgo de sanciones sobre direcciones de blockchain. En el caso de TRM, no realizamos ningún bloqueo de direcciones específicas y proporcionamos nuestros datos de riesgo a nuestros clientes para que los utilicen en sus programas de cumplimiento. Las organizaciones que utilizan TRM configuran sus propios ajustes y umbrales de riesgo para determinar qué direcciones bloquear o congelar.
• En el caso de Tornado Cash -que permite enviar fondos a una dirección sin que intervenga el propietario de ese monedero-, decisiones políticas que antes no causaban problemas (por ejemplo, la orientación de bloquear direcciones que hayan realizado transacciones con direcciones sancionadas) ahora sí los causan debido a los "ataques de polvo".
• Estas circunstancias han provocado una necesidad urgente de que muchas interfaces DeFi revisen y reconfiguren sus ajustes y de que nuestro equipo trabaje estrechamente con nuestros clientes para ofrecerles opciones adicionales que les permitan filtrar mejor los datos de las transacciones dadas estas nuevas circunstancias. Mientras tanto, muchos usuarios expuestos "involuntariamente" a sanciones se han quedado fuera de las plataformas.
• Debido a la naturaleza sin precedentes de estas sanciones, los líderes de la industria se están comprometiendo con los funcionarios públicos para transmitir la complejidad de estas cuestiones específicas de las plataformas DeFi , y para entender qué requisitos legales existen para el tratamiento de las direcciones que han realizado transacciones inadvertidamente con direcciones sancionadas.
• TRM seguirá colaborando con el sector para mejorar la eficacia de la aplicación del cumplimiento de las sanciones. Por ejemplo, TRM introdujo la "atribución temporal", que evita propagar el riesgo de sanciones a direcciones que interactuaron con Tornado Cash antes de la designación.
• En caso de que futuras directrices requieran algún cambio en la forma en que TRM presenta los datos sobre la exposición a sanciones en la cadena y el sector obtenga colectivamente una mayor claridad sobre el alcance y la aplicación de estas sanciones de la OFAC, tomaremos las medidas necesarias para seguir proporcionando un conjunto de datos precisos que respalden mejor la capacidad del sector de las criptomonedas para operar de conformidad con las leyes y reglamentos aplicables.

Cómo se aplican las sanciones a las criptomonedas

En Estados Unidos, la OFAC administra y aplica sanciones económicas contra determinados países, regiones geográficas, entidades y personas con el fin de promover la política exterior y los objetivos de seguridad nacional de Estados Unidos. Como parte de estos esfuerzos, la OFAC mantiene una lista de nacionales especialmente designados (SDN) que incluye entidades y personas designadas. Desde 2018, la OFAC ha agregado 388 direcciones de blockchain a la lista SDN, incluidas 45 direcciones recientemente agregadas asociadas con Tornado Cash.

En general, si la OFAC incluye a una persona o entidad en la lista SDN, significa que los activos y/o bienes de la persona en Estados Unidos pueden ser bloqueados y que todas las personas y/o entidades estadounidenses tienen prohibido realizar transacciones con la parte designada.

Las consecuencias de las violaciones de las sanciones son graves. La OFAC puede imponer sanciones civiles por violaciones de sanciones basadas generalmente en una norma jurídica de responsabilidad objetiva. Esto significa que una persona o empresa estadounidense puede ser considerada civilmente responsable de la violación de sanciones incluso sin tener conocimiento o razones para saber que estaba cometiendo tal violación. Existe, sin embargo, una norma sustancialmente más estricta cuando se trata de la persecución penal de una violación de sanciones, en la que el gobierno debe probar una violación más allá de toda duda razonable.

Hay debates en curso sobre dónde encajan los protocolos DeFi y los frontends en el panorama regulatorio -que actualmente se configura en torno a las instituciones financieras reguladas-, pero aun así, la mayoría de los expertos legales están de acuerdo en que los frontends DeFi con cualquier nexo con Estados Unidos (definido en sentido amplio) deben cumplir con las leyes de sanciones de Estados Unidos. Las sanciones por incumplimiento pueden ser severas, por lo que la mayoría de las criptoempresas han implementado un programa de cumplimiento de sanciones. Cada empresa crea su propio programa de sanciones y establece sus propias tolerancias de riesgo en función de factores como dónde tiene su sede, los productos y servicios que ofrece y, en última instancia, por quién está regulada.

Para las empresas de criptomonedas, esto suele incluir el bloqueo de direcciones de criptomonedas que utilicen sus servicios y que figuren explícitamente en la lista SDN de la OFAC, así como el bloqueo de direcciones IP de países sancionados. Las empresas - tanto cripto como no cripto - pueden optar por poner en práctica medidas adicionales para mitigar las sanciones y otros riesgos legales, tales como hacer KYC, hacer diligencia sobre el origen de los fondos (por ejemplo, ver si los fondos de una dirección provienen de una dirección sancionada o de un reciente hackeo de protocolo), o filtrar la dirección IP contra los países sancionados.

Tornado Cash introduce un nuevo reto para el cumplimiento de las sanciones

La designación de Tornado Cash es la primera vez que la OFAC sanciona un conjunto de smart contracts inteligentes en la blockchain de Ethereum. Un smart contract es básicamente un programa de software que se sube a una blockchain y con el que normalmente cualquiera puede interactuar. Los Smart contracts pueden programarse para ser "inmutables", lo que significa que no pueden eliminarse ni actualizarse.

Históricamente, cuando una persona individual es añadida a la lista SDN -ya sea en TradFi o en cripto- cualquiera que envíe fondos a esa persona o reciba fondos de esa persona suele estar violando la ley de sanciones. Esto se debe a que, en la gran mayoría de esos casos, está claro que un individuo ha realizado intencionadamente transacciones con una persona o entidad sancionada.

Lo que hace que la designación de Tornado Cash sea un reto desde una perspectiva de cumplimiento y aplicación es que cualquier persona que deposite fondos en Tornado Cash puede activar los smart contracts de Tornado Cash para enviar fondos a cualquier otra dirección o direcciones de Ethereum. En teoría, alguien podría enviar fondos a Tornado Cash y luego especificar que esos fondos se depositen en una dirección de criptomoneda totalmente ajena perteneciente a una persona aleatoria, desprevenida o incluso involuntaria.

En los días siguientes a la designación, vimos a actores aprovecharse de esta capacidad -presumiblemente como protesta contra la novedosa decisión de la OFAC de sancionar un smart contract inteligente- enviando fondos, no solicitados, desde Tornado Cash a direcciones de criptomoneda asociadas con personas y celebridades de alto perfil.

Estos llamados "ataques de polvo" han sacado a la luz una serie de cuestiones importantes para las empresas de criptomonedas que están tratando de cumplir con la ley de sanciones, entre ellas:

1. ¿Se espera que las criptoentidades bloqueen las direcciones que han realizado transacciones con direcciones sancionadas, como Tornado Cash? Incluso si esas direcciones no están sancionadas, ¿las empresas de criptomonedas corren el riesgo de ser sancionadas si interactúan con direcciones que han realizado transacciones con Tornado Cash?
2. En caso afirmativo, ¿cómo deben tratar las criptoempresas a las direcciones que han recibido fondos no solicitados de un "ataque de dusting"? ¿Se espera que las criptoempresas determinen si las sanciones o la exposición relacionada son "reales" o "involuntarias"?
3. ¿Son los requisitos para los "DeFi frontends", o sitios web que proporcionan una interfaz para que los usuarios envíen transacciones a la cadena de bloques, diferentes de los requisitos para las instituciones financieras reguladas o incluso los sitios web alojados de empresas web2?

Acerca de los frontales DeFi

Un protocolo financiero descentralizado ("DeFi") suele referirse a uno o más smart contracts que, en conjunto, facilitan la actividad financiera en blockchains. Los Smart contracts son programas informáticos persistentes que se ejecutan en redes de cadenas de bloques. Los Smart contracts se diferencian de los programas informáticos tradicionales en que pueden ejecutarse en redes de código abierto y pueden ser utilizados por cualquiera. Los Smart contracts también son únicos porque pueden instalarse en las cadenas de bloques como programas informáticos permanentes que no pueden modificarse.(Fuente).

Cualquiera puede interactuar directamente con los protocolos DeFi y otros smart contracts en Ethereum con protocolos de software de código abierto y bibliotecas como JSON-RPC y web3.js. Sin embargo, la mayoría de la gente utiliza aplicaciones web y monederos construidos por terceros que agilizan la interacción con los protocolos DeFi . Esto es similar al correo electrónico. Aunque cualquiera podría enviar un correo electrónico con el protocolo SMTP, la mayoría de la gente utiliza un cliente de correo electrónico de terceros como Gmail o Yahoo Mail que envuelve el protocolo SMTP detrás de una interfaz fácil de usar. Puede haber múltiples monederos y sitios web ("DeFi frontends") que permitan a la gente conectarse fácilmente a un protocolo DeFi específico, del mismo modo que hay múltiples clientes de correo electrónico populares construidos sobre el protocolo SMTP común.

Los frontends DeFi (también conocidos como interfaces DeFi ) suelen estar diseñados para ejecutarse automáticamente, con una intervención humana mínima. Pueden funcionar sin servidor, alojarse en redes de datos peer-to-peer como IPFS y aprovechar el código abierto.

Los frontales DeFi aplican cada vez más el cumplimiento de las sanciones

En línea con la orientación proporcionada por la OFAC, muchos DeFi los principales frontales DeFi han implementado la detección de sanciones para bloquear las direcciones SDchain incluidas en la lista SDN desde sus sitios web.

Aunque cualquiera puede buscar manualmente en el sitio web de la OFAC para ver si una dirección de criptomoneda ha sido sancionada, muchas empresas optan por utilizar un proveedor de datos externo que agrega datos de múltiples organismos sancionadores (por ejemplo, Estados Unidos, Reino Unido, Naciones Unidas), los empareja con datos de transacciones de blockchains públicos y los entrega a través de API. Esto es lo que permite a las plataformas procesar cientos de miles de transacciones en un día sin causar grandes retrasos o interrupciones en la experiencia del usuario.

Cómo utilizan TRM los frontales DeFi Wallet Screening para el cumplimiento de sanciones

TRM Wallet Screening permite a las organizaciones consultar datos sobre una dirección o transacción en la cadena de bloques para detectar sanciones o riesgos ALD. Cuando una organización solicita datos sobre una dirección a TRM, sólo le envía la dirección de la cadena de bloques. No se envía ningún otro identificador a TRM.

Los puntos de datos opcionales que la organización solicitante puede obtener de la API de TRM incluyen:

• si una dirección figura en una lista de sanciones o está asociada a una entidad de la lista de sanciones ("riesgo de propiedad")
• si una dirección ha realizado transacciones con una dirección sancionada ("riesgo de contraparte")
• si una dirección ha recibido fondos o los ha enviado a través de múltiples "saltos" a una dirección sancionada ("riesgo indirecto")

Los clientes de TRM pueden configurar sus ajustes para especificar qué información desean recuperar del sistema de Wallet Screening DE TRM.

• Un frontend DeFi puede optar por consultar la API de TRM para detectar sólo el "riesgo de sanciones a la propiedad", o direcciones que estén sancionadas, y bloquear cualquier dirección que esté sancionada.
• Una bolsa centralizada puede optar por consultar la API de TRM para detectar tanto el "riesgo de sanciones de titularidad" como el "riesgo de sanciones de contraparte". Los proveedores de servicios centralizados suelen realizar consultas para una mayor amplitud de riesgos, dados los requisitos adicionales en materia de lucha contra el blanqueo de capitales. También suelen contar con personal de cumplimiento para revisar las alertas de riesgo antes de tomar medidas de mitigación.

Cómo colabora la TRM con la industria para definir prácticas que permitan un control más eficaz de las sanciones

TRM permite una configuración granular al permitir a las organizaciones consultar los datos en función de numerosos parámetros:

• Diferenciar entre múltiples tipos de exposición a sanciones, incluidos el riesgo de propiedad, el riesgo de contraparte y el riesgo indirecto.
• Personalice los umbrales de volumen en función de la magnitud de los fondos transferidos.
• Filtrar el riesgo de contraparte de una dirección para que sólo aparezcan las transacciones con direcciones sancionadas que se hayan producido después de la fecha de designación de las sanciones.

Cada organización establece sus propias políticas de sanciones en función de su propio contexto y tolerancia al riesgo. Las organizaciones pueden adoptar diferentes enfoques en función de dónde operen, cómo estén establecidas (centralizadas, descentralizadas o en algún punto intermedio), qué servicios ofrezcan y si tienen requisitos normativos adicionales como AML/KYC. En particular, la determinación de las direcciones y transacciones que una organización decide permitir en su plataforma queda a la entera discreción de la propia plataforma; TRM no puede bloquear ninguna dirección de blockchain ni ninguna transacción.

Con la llegada de los "ataques de dusting", que propagan el riesgo de sanciones de contraparte a direcciones no deseadas, TRM está desarrollando formas de presentar a los clientes puntos de datos adicionales que les permitan estimar entre la exposición a sanciones "real" y la "no solicitada". Sin embargo, sin una orientación clara de los reguladores sobre las implicaciones de los "ataques de dusting", TRM no puede descartar las transacciones sospechosas de "dusting" sin poner en peligro a sus clientes, ya que estos confían en TRM para obtener datos fácticos y completos sobre la cadena.

Mirando al futuro

TRM está comprometida con la creación de productos innovadores que, en última instancia, apoyen el crecimiento de la criptoeconomía, en concreto, permitiendo a las empresas y plataformas de criptomonedas cumplir con las leyes aplicables y limitando la capacidad de los actores de amenazas para utilizar las criptomonedas en actividades ilícitas como la proliferación de armas nucleares, la financiación del terrorismo y los hackeos que afectan a los medios de vida de miles de usuarios de criptomonedas. Seguiremos trabajando con nuestros clientes y líderes de todo el ecosistema de las criptomonedas para construir un sistema financiero más seguro.

‍