Vea la entrevista: Comentarios del Tesoro sobre la publicación de datos y orientaciones relacionados con Ransomware

Todd Conklin, Consejero del Subsecretario, participó en una edición especial de TRM Talks para anunciar y explicar la medida: "La nueva guía específica de la industria describe las mejores prácticas de cumplimiento de sanciones adaptadas a los riesgos únicos planteados en este espacio dinámico, mientras que los nuevos datos de [FinCEN] muestran la creciente amenaza que el ransomware representó para el sector financiero de los Estados Unidos, las empresas y el público durante la primera mitad de 2021."

Ransomware ha aumentado como amenaza para nuestro sector privado, con el valor total de los informes de actividades sospechosas (SAR) en el primer semestre de 2021 por un total de 590 millones de dólares, superando todo el total de todo 2020.

Tras la designación el mes pasado por parte de la OFAC de SUEX como criptointercambio anidado no conforme, la administración ha tomado una serie de medidas para coordinar a todo el gobierno federal y al sector privado en la cuestión del ransomware. La semana pasada, el Department of Justice EE.UU.anunció la creación de un Equipo Nacional de Cumplimiento de la Ley sobre Criptomonedas (NCET, por sus siglas en inglés) compuesto por fiscales centrados en combatir el uso de criptomonedas para la financiación ilícita. Esta semana, la Casa Blanca publicó una hoja informativa sobre el ransomware centrada en la desarticulación de los actores del ransomware y el refuerzo de las ciberdefensas. La hoja informativa también abordaba la importancia de mitigar el riesgo de actividad ilícita mediante la aplicación del cumplimiento de la normativa contra el blanqueo de capitales en el criptoespacio.

La medida adoptada hoy por el Tesoro, que incluye la publicación de nuevos datos del FinCEN sobre tendenciasRansomware en la Ley del Secreto Bancario, ha sido la última. El análisis de FinCEN de los SAR ransomware con el ransomware destaca los importes medios de los pagos por ransomware , las variantes prevalentes de ransomware y las tipologías destacadas de blanqueo de capitales ransomware ransomware:

Importe medio mensual de pagos Ransomware : El importe medio de las transacciones de ransomware notificadas al mes en 2021 fue de 102,3 millones de dólares.

Variantes prevalentes Ransomware : FinCEN identificó 68 variantes diferentes de ransomware reportadas en los datos SAR para transacciones ocurridas entre el 1 de enero de 2021 y el 30 de junio de 2021. Las variantes más comunes fueron REvil/Sodinokibi, Conti, DarkSide, Avaddon y Phobos.

Tipologías de blanqueo de dineroRansomware : FinCEN identificó varias tipologías de lavado de dinero comunes entre las variantes de ransomware en 2021, incluidos los actores de amenazas que solicitan cada vez más pagos en Cryptocurrencies mejoradas por el anonimato, como Monero, y evitan reutilizar las direcciones de billetera, "saltar de cadena" y cobrar en intercambios centralizados, y utilizar servicios de mezcla e intercambios descentralizados para convertir los ingresos.

Además de la publicación del informe del FinCEN, la OFAC también publicó un folleto titulado"Sanctions Compliance Guidance for the Virtual Currency Industry". El folleto es un recurso para el sector privado que describe la orientación de larga data de la OFAC de que las sanciones se aplican al espacio de criptomoneda de la misma manera que lo hacen para las instituciones financieras tradicionales. Si bien el folleto destaca las sanciones contra la unidad cibernética norcoreana Lazarus group en marzo de 2020, y la designación SUEX de septiembre de 2021, la mayor parte del folleto está dedicada a proporcionar una guía digerible a las instituciones financieras y las empresas de criptomoneda sobre las mejores prácticas para combatir el uso de moneda virtual por parte de personas o jurisdicciones sancionadas.

Como Director Asociado de Cumplimiento y Aplicación de la OFAC Lawrence Scheinert explicó: "La creciente prevalencia de la moneda virtual como medio de pago conlleva una mayor exposición a los riesgos de sanciones, como el riesgo de que una persona sancionada o una persona en una jurisdicción sujeta a sanciones pueda estar involucrada en una transacción de moneda virtual. En consecuencia, la industria de la moneda virtual, incluidas las empresas de tecnología, intercambiadores, administradores, mineros, proveedores de monedero, y los usuarios, desempeña un papel cada vez más crítico en la prevención de las personas sancionadas de la explotación de monedas virtuales para evadir sanciones y socavar la política exterior de EE.UU. y los intereses de seguridad nacional."

La OFAC destaca la importancia de:

- Herramientas de geolocalización para identificar y evitar direcciones IP procedentes de jurisdicciones sancionadas,

- Supervisión de transacciones para detectar conexiones con jurisdicciones sancionadas o transacciones con direcciones de moneda digital que hayan sido vinculadas a actores sancionados;

- Emplear software de supervisión e investigación de transacciones que pueda utilizarse para identificar transacciones que impliquen direcciones de moneda virtual u otra información identificativa asociada a personas y entidades sancionadas que figuren en la Lista SDN u otras listas de sanciones, o que estén situadas en jurisdicciones sancionadas;

- Realización de análisis retrospectivos históricos de la actividad transaccional para identificar posibles conexiones con direcciones añadidas a la lista de sanciones;

- Crear capacidades de cumplimiento adaptables a los cambios tecnológicos y a las amenazas y tipologías emergentes;

- Compromiso del sector privado con la OFAC, que "desea conocer la opinión del sector de las monedas virtuales sobre sus problemas de cumplimiento y saber qué orientaciones adicionales, o claridad sobre las orientaciones existentes, serían beneficiosas".

Para llevar

Cuando la OFAC designó a SUEX el mes pasado, su objetivo era una bolsa que no cumplía las normas. Sin embargo, implícitamente, al menos, la acción envió un mensaje a las bolsas más grandes, que cumplen, de que necesitan tener programas de cumplimiento que puedan mitigar los enormes riesgos asociados con entidades anidadas como SUEX aprovechándose de sus ecosistemas. El folleto de hoy de la OFAC envía ese mismo mensaje, pero de forma aún más directa, al establecer lo que se espera de un buen programa de cumplimiento de sanciones.

A la pregunta de qué será lo próximo, Conklin respondió: "Vamos a seguir atacando las partes ilícitas del ecosistema de las criptomonedas, al tiempo que nos aseguramos de ayudar a reforzar los regímenes de cumplimiento en todo el ecosistema. Fundamentalmente, sin embargo, vemos el ransomware como un problema de ciberseguridad. En muchas áreas se enmarca como un problema de criptomoneda, pero sólo atacar el ecosistema de criptomonedas no va a solucionar el problema de fondo, que son las vulnerabilidades cibernéticas en múltiples sectores."

El papel de Analítica de blockchain

En la guía de hoy, la OFAC afirma: "Los riesgos de sanciones son vulnerabilidades que, si se ignoran o se manejan mal, pueden conducir a violaciones de las regulaciones de la OFAC y a las subsiguientes acciones de aplicación, daño a la política exterior de EE.UU. y a los intereses de seguridad nacional, e impactos negativos en la reputación y el negocio de una empresa." Tener una orientación clara de los reguladores sobre sus expectativas es un paso útil para evitar violaciones, pero como saben los operadores de plataformas de criptomonedas y las instituciones financieras, implementar estas medidas como parte de los flujos de trabajo cotidianos a menudo puede ser más fácil decirlo que hacerlo.

Como proveedor del "software de supervisión e investigación de transacciones" al que se hace referencia en varios puntos del folleto como herramienta que ayuda a hacer posibles muchas de estas mejores prácticas, TRM colabora con la OFAC y otros organismos reguladores para garantizar que las herramientas que creamos se ajustan a las directrices y requisitos normativos.

Por ejemplo, en la página 15 del folleto, la OFAC describe la práctica más directa de utilizar la supervisión de transacciones para bloquear las transacciones asociadas a direcciones de moneda virtual incluidas en la lista SDN.

"Como mejor práctica para un cumplimiento basado en el riesgo, las empresas que operan en la industria de la moneda virtual deben emplear herramientas suficientes para identificar y bloquear las transacciones asociadas con personas bloqueadas, incluidas las transacciones asociadas con aquellas direcciones de moneda virtual incluidas en la Lista SDN."

Pero a continuación introduce la idea de identificar las direcciones que pueden suponer un riesgo de sanción basándose en asociación con direcciones explícitamente sancionadas:

"Además, la inclusión por parte de la OFAC de las direcciones de moneda virtual en la Lista SDN puede ayudar al sector a identificar otras direcciones de moneda virtual que puedan estar asociadas con personas bloqueadas o que planteen un riesgo de sanción, aunque esas otras direcciones no figuren explícitamente en la Lista SDN. Por ejemplo, las direcciones de moneda virtual no incluidas en la lista que comparten un monedero con una dirección de moneda virtual incluida en la lista pueden plantear un riesgo de sanciones porque el hecho de compartir un monedero puede indicar una asociación con una persona bloqueada. Del mismo modo, las empresas de moneda virtual pueden considerar la realización de una búsqueda histórica de la actividad transaccional después de que la OFAC incluya una dirección de moneda virtual en la Lista SDN para identificar las conexiones con la dirección incluida".

Esta idea de propagación del riesgo -tomar una dirección conocida de alto riesgo y asignar calificaciones de riesgo adecuadas y precisas a las direcciones asociadas a ella- es algo en lo que nuestros equipos de Inteligencia en Blockchain y ciencia de datos de TRM se han centrado durante algún tiempo. En un ejemplo reciente, se sancionaron explícitamente dos direcciones pertenecientes a un grupo iraní de ransomware ; TRM identificó otras 180 direcciones que justificaban la atribución como vinculadas a una entidad sancionada.

La OFAC destaca la necesidad de un programa de cumplimiento basado en el riesgo que incluya "controles para identificar, interceptar, escalar, informar (según corresponda) y mantener registros de transacciones o actividades prohibidas por las sanciones administradas por la OFAC." Vemos que el papel de Analítica de blockchain es cada vez más crítico para la capacidad de las organizaciones de cumplir con este requisito.

‍