Comment les plateformes DeFi utilisent les données de TRM Labs pour répondre aux sanctions de Tornado Cash

Dans le sillage de l'Office of Foreign Assets Control (OFAC) du Département du Trésor des États-Unis qui a imposé des sanctions au service de mixeur o-monnaies décentralisé basé sur Ethereum, Tornado Cash, le 8 août 2022, les entités DeFi se sont efforcées de comprendre comment atténuer au mieux le risque de sanctions.

Voici quelques détails importants sur le fonctionnement de ce processus :

• Toutes les personnes et entités américaines, où qu'elles se trouvent, doivent respecter les sanctions de l'OFAC. Cela signifie que les entités DeFi couvertes doivent respecter les sanctions américaines, sous peine de se voir infliger d'importantes pénalités.
• Parce que les sanctions en cas de non-respect peuvent être sévères, de nombreuses entités DeFi ont mis en place des programmes de conformité en matière de sanctions. Chaque entité crée son propre programme de sanctions et ses propres politiques en fonction de son contexte unique et de sa tolérance au risque.
• Les entités qui choisissent de se conformer à la législation américaine en matière de sanctions font souvent appel à un fournisseur de données tiers, tel que TRM Labspour obtenir des données sur les risques de sanctions concernant les adresses de la blockchain. Dans le cas de TRM, nous ne bloquons pas d'adresses spécifiques et fournissons nos données de risque à nos clients pour qu'ils les utilisent dans leurs programmes de conformité. Les organisations qui utilisent TRM configurent leurs propres paramètres et seuils de risque pour déterminer les adresses à bloquer ou à geler.
• Dans le cas de Tornado Cash, qui permet d'envoyer des fonds à une adresse sans aucune intervention du propriétaire du portefeuille, des décisions politiques qui n'avaient pas posé de problèmes auparavant (par exemple, les directives visant à bloquer les adresses ayant effectué des transactions avec des adresses sanctionnées) en posent aujourd'hui en raison des "attaques de dépoussiérage" (dusting attacks).
• Ces circonstances ont déclenché un besoin urgent pour de nombreuses interfaces DeFi de revoir et de reconfigurer leurs paramètres et pour notre équipe de travailler en étroite collaboration avec nos clients afin de leur fournir des options supplémentaires leur permettant de mieux filtrer les données de transaction compte tenu de ces nouvelles circonstances. Dans l'intervalle, de nombreux utilisateurs exposés "involontairement" à des sanctions ont été exclus des plates-formes.
• En raison de la nature sans précédent de ces sanctions, les leaders du secteur s'engagent avec des fonctionnaires pour faire comprendre la complexité de ces questions spécifiques aux plateformes DeFi , et pour comprendre quelles sont les exigences légales concernant le traitement des adresses qui ont effectué par inadvertance des transactions avec des adresses sanctionnées.
• TRM continuera à s'associer à l'industrie pour améliorer l'efficacité de la mise en œuvre de la conformité aux sanctions. Par exemple, TRM a introduit l'"attribution limitée dans le temps", qui évite de propager le risque de sanctions aux adresses qui ont interagi avec Tornado Cash avant la désignation.
• Si les directives futures exigent un changement dans la façon dont TRM présente les données sur l'exposition aux sanctions sur la chaîne et que l'industrie gagne collectivement plus de clarté sur la portée et l'application de ces sanctions de l'OFAC, nous prendrons les mesures nécessaires pour continuer à fournir un ensemble de données exactes qui soutiennent au mieux la capacité de l'industrie des crypto-monnaies à fonctionner en conformité avec les lois et règlements applicables.

Comment les sanctions s'appliquent-elles aux crypto-monnaies?

Aux États-Unis, l'OFAC administre et applique des sanctions économiques à l'encontre de pays étrangers, de régions géographiques, d'entités et d'individus ciblés afin d'atteindre les objectifs de la politique étrangère et de la sécurité nationale des États-Unis. Dans le cadre de ces efforts, l'OFAC tient une liste de ressortissants spécialement désignés (SDN) qui comprend des entités et des individus désignés. Depuis 2018, l'OFAC a ajouté 388 adresses de blockchain à la liste SDN, dont 45 adresses récemment ajoutées associées à Tornado Cash.

En règle générale, si l'OFAC place une personne ou une entité sur la liste SDN, cela signifie que les actifs et/ou les biens de cette personne aux États-Unis peuvent être bloqués et qu'il est interdit à toutes les personnes et/ou entités américaines d'effectuer des transactions avec la partie désignée.

Les conséquences des violations des sanctions sont sévères. L'OFAC peut imposer des sanctions civiles pour les violations des sanctions, généralement sur la base d'une norme juridique de responsabilité stricte. Cela signifie qu'une personne ou une entreprise américaine peut être tenue civilement responsable de violations de sanctions même si elle n'avait pas connaissance ou raison de savoir qu'elle s'engageait dans une telle violation. En revanche, la norme est nettement plus stricte en ce qui concerne les poursuites pénales pour violation des sanctions, le gouvernement devant prouver l'existence d'une violation au-delà de tout doute raisonnable.

Des débats sont en cours sur la place des protocoles et des frontends DeFi dans le paysage réglementaire - qui est actuellement façonné autour des institutions financières réglementées - mais même ainsi, la plupart des experts juridiques s'accordent à dire que les frontends DeFi ayant un lien avec les États-Unis (au sens large) doivent se conformer aux lois américaines sur les sanctions. Les sanctions en cas de non-respect peuvent être sévères, c'est pourquoi la plupart des sociétés de cryptographie ont mis en place un programme de conformité aux sanctions. Chaque entreprise crée son propre programme de sanctions et fixe sa propre tolérance au risque en fonction de facteurs tels que le lieu où elle est basée, les produits et services qu'elle offre et, en fin de compte, par qui elle est réglementée.

Pour les sociétés de crypto-monnaies, cela inclut généralement le blocage des adresses de crypto-monnaies qui figurent explicitement sur la liste SDN de l'OFAC, ainsi que le blocage des adresses IP provenant de pays sanctionnés. Les entreprises - cryptographiques ou non - peuvent choisir de mettre en place des mesures supplémentaires pour atténuer les sanctions et autres risques juridiques, telles que l'identification des clients, la vérification de la source des fonds (par exemple, pour voir si les fonds d'une adresse proviennent d'une adresse sanctionnée ou d'un récent piratage de protocole) ou le filtrage des adresses IP par rapport aux pays sanctionnés.

Tornado Cash pose un nouveau défi en matière de respect des sanctions

La désignation de Tornado Cash est la première fois que l'OFAC sanctionne un ensemble de contrats intelligents sur la blockchain Ethereum. Un smart contract est essentiellement un programme logiciel qui est téléchargé sur une blockchain et avec lequel tout le monde peut interagir. Les contrats intelligents peuvent être programmés pour être "immuables", ce qui signifie qu'ils ne peuvent pas être supprimés ou mis à jour.

Historiquement, lorsqu'une personne est ajoutée à la liste SDN - qu'il s'agisse de TradFi ou de crypto-monnaie - toute personne qui envoie des fonds à cette personne ou reçoit des fonds de cette personne est généralement en violation de la législation sur les sanctions. En effet, dans la grande majorité de ces cas, il est clair qu'une personne a intentionnellement effectué des transactions avec une personne ou une entité sanctionnée.

Ce qui rend la désignation de Tornado Cash difficile du point de vue de la conformité et de l'application, c'est que toute personne qui dépose des fonds dans Tornado Cash peut déclencher les contrats intelligents de Tornado Cash pour envoyer des fonds à n'importe quelle(s) autre(s) adresse(s) Ethereum. Théoriquement, quelqu'un pourrait envoyer des fonds à Tornado Cash et ensuite spécifier que ces fonds soient déposés dans une adresse de crypto-monnaie sans aucun rapport appartenant à une personne aléatoire, non méfiante ou même non consentante.

Dans les jours qui ont suivi la désignation, nous avons vu des acteurs tirer parti de cette capacité - probablement pour protester contre la décision inédite de l'OFAC de sanctionner un smart contract - en envoyant des fonds, non sollicités, de Tornado Cash à des adresses de crypto-monnaies associées à des personnes et des célébrités très en vue.

Ces "attaques de dépoussiérage" ont soulevé un certain nombre de questions importantes pour les entreprises de cryptographie qui tentent de rester en conformité avec la législation sur les sanctions :

1. Les entités cryptographiques sont-elles censées bloquer les adresses qui ont effectué des transactions avec des adresses sanctionnées, comme Tornado Cash ? Même si ces adresses ne sont pas sanctionnées, les sociétés de cryptographie risquent-elles d'être exposées à des sanctions si elles interagissent avec des adresses qui ont effectué des transactions avec Tornado Cash ?
2. Dans l'affirmative, comment les sociétés de cryptographie doivent-elles traiter les adresses qui ont reçu des fonds non sollicités à la suite d'une "attaque de dépoussiérage" ? Les sociétés de cryptographie sont-elles censées déterminer si les sanctions ou l'exposition connexe sont "réelles" ou "involontaires" ?
3. Les exigences pour les "DeFi frontends", ou les sites web qui fournissent une interface aux utilisateurs pour soumettre des transactions à la blockchain, sont-elles différentes des exigences pour les institutions financières réglementées ou même pour les sites web hébergés des entreprises web2 ?

A propos des frontaux DeFi

Un protocole de finance décentralisée ("DeFi") fait généralement référence à un ou plusieurs contrats intelligents qui, ensemble, facilitent l'activité financière sur les blockchains. Les contrats intelligents sont des programmes informatiques persistants qui s'exécutent sur les réseaux de blockchain. Les contrats intelligents sont différents des programmes informatiques traditionnels en ce sens qu'ils peuvent fonctionner sur des réseaux open-source et être utilisés par n'importe qui. Les contrats intelligents sont également uniques en ce sens qu'ils peuvent être installés sur des blockchains en tant que programmes informatiques permanents qui ne peuvent pas être modifiés.(Source).

Tout le monde peut interagir directement avec les protocoles DeFi et d'autres contrats intelligents sur Ethereum avec des protocoles et des bibliothèques de logiciels libres comme JSON-RPC et web3.js. Cependant, la plupart des gens utilisent des applications web et des portefeuilles construits par des tiers qui simplifient l'interaction avec les protocoles DeFi . La situation est similaire à celle du courrier électronique. Bien que n'importe qui puisse envoyer un courriel avec le protocole SMTP, la plupart des gens utilisent un client de messagerie tiers comme Gmail ou Yahoo Mail, qui intègre le protocole SMTP dans une interface facile à utiliser. Il peut y avoir plusieurs portefeuilles et sites web ("DeFi frontends") qui permettent aux gens de se connecter facilement à un protocole DeFi spécifique, de la même manière qu'il y a plusieurs clients de messagerie populaires construits sur le protocole SMTP commun.

Les frontends DeFi (également connus sous le nom d'interfaces DeFi ) sont souvent conçus pour fonctionner automatiquement, avec une intervention humaine minimale. Ils peuvent être sans serveur, être hébergés sur des réseaux de données peer-to-peer comme IPFS, et exploiter du code open-source.

Les frontaux du DeFi mettent de plus en plus en œuvre la conformité aux sanctions

Conformément aux orientations fournies par l'OFAC, de nombreux frontaux DeFi premier plan ont mis en place un filtrage des sanctions pour bloquer les adresses de blockchain figurant sur la liste SDN à partir de leurs sites Web.

Bien que tout le monde puisse rechercher manuellement sur le site Web de l'OFAC pour voir si une adresse de crypto-monnaie a été sanctionnée, de nombreuses entreprises choisissent d'utiliser un fournisseur de données tiers qui agrège les données de plusieurs organismes de sanction (par exemple, les États-Unis, le Royaume-Uni, les Nations Unies), les associe aux données de transaction des blockchains publiques et les fournit via une API. C'est ce qui permet aux plateformes de traiter des centaines de milliers de transactions en une journée sans causer de retard majeur ou de perturbation de l'expérience utilisateur.

Comment les frontaux DeFi utilisent le TRM Wallet Screening pour la conformité aux sanctions

TRM Wallet Screening permet aux organisations d'interroger les données relatives à une adresse ou à une transaction sur la chaîne afin de détecter les sanctions ou les risques de blanchiment d'argent. Lorsqu'une organisation demande des données sur une adresse à TRM, elle envoie uniquement l'adresse de la blockchain à TRM. Aucun autre identifiant n'est envoyé à TRM.

Les points de données facultatifs que l'organisation requérante peut tirer de l'API de TRM sont les suivants :

• si une adresse figure sur une liste de sanctions ou est associée à une entité figurant sur la liste de sanctions ("risque de propriété")
• si une adresse a effectué des transactions avec une adresse sanctionnée ("risque de contrepartie")
• si une adresse a reçu des fonds d'une adresse sanctionnée ou si elle a envoyé des fonds à une adresse sanctionnée par l'intermédiaire de plusieurs "sauts" ("risque indirect")

Les clients de TRM peuvent configurer leurs paramètres afin de spécifier les informations qu'ils souhaitent récupérer à partir de la base de données de TRM. Wallet Screening DE TRM.

• Un frontend DeFi peut choisir d'interroger l'API de TRM pour détecter uniquement les "risques de sanctions liées à la propriété", ou les adresses qui sont elles-mêmes sanctionnées, et bloquer toutes les adresses qui sont sanctionnées.
• Une bourse centralisée peut choisir d'interroger l'API de TRM pour détecter à la fois le "risque de sanctions liées à la propriété" et le "risque de sanctions liées à la contrepartie". Les fournisseurs de services centralisés interrogent généralement pour un plus grand nombre de risques en raison des exigences supplémentaires en matière de lutte contre le blanchiment d'argent. En outre, ils font généralement appel à du personnel chargé de la conformité pour examiner les alertes de risque avant que des mesures d'atténuation ne soient prises.

Comment la CRT collabore avec l'industrie pour définir des pratiques permettant un contrôle plus efficace des sanctions

TRM permet une configuration granulaire en permettant aux organisations d'interroger les données sur la base de nombreux paramètres :

• Distinguer les différents types d'exposition aux sanctions, notamment le risque de propriété, le risque de contrepartie et le risque indirect.
• Personnaliser les seuils de volume en fonction de l'importance des fonds transférés.
• Filtrer le risque de contrepartie d'une adresse pour ne retenir que les transactions en surface avec des adresses sanctionnées qui ont eu lieu après la date de désignation des sanctions.

Chaque organisation définit ses propres politiques de sanctions en fonction de son contexte et de sa tolérance au risque. Les organisations peuvent adopter des approches différentes en fonction de l'endroit où elles opèrent, de la manière dont elles sont établies (centralisées, décentralisées ou entre les deux), des services qu'elles offrent et de l'existence ou non d'exigences réglementaires supplémentaires telles que la lutte contre le blanchiment d'argent et le financement du terrorisme. Notamment, la détermination des adresses et des transactions qu'une organisation choisit d'autoriser sur sa plateforme reste à la seule discrétion de la plateforme elle-même ; TRM ne peut pas bloquer une adresse ou une transaction de la blockchain.

Avec l'avènement des "attaques de dépoussiérage" qui propagent le risque de sanctions de la contrepartie à des adresses non désirées, TRM développe des moyens de faire apparaître des points de données supplémentaires aux clients qui leur permettent d'estimer entre l'exposition aux sanctions "réelle" et "non sollicitée". Toutefois, en l'absence d'orientations claires de la part des régulateurs sur les implications des "attaques par dépoussiérage", TRM n'est pas en mesure d'écarter les transactions suspectes de "dépoussiérage" sans mettre ses clients en danger, car ces derniers comptent sur TRM pour obtenir des données factuelles et complètes sur la chaîne.

Regarder vers l'avenir

TRM s'engage à construire des produits innovants qui soutiennent en fin de compte la croissance de l'économie cryptographique - en particulier, en permettant aux entreprises et aux plateformes cryptographiques de se conformer aux lois applicables et en limitant la capacité des acteurs de la menace à utiliser la cryptographie pour des activités illicites telles que la prolifération des armes nucléaires, le financement du terrorisme et les piratages qui ont un impact sur les moyens de subsistance de milliers d'utilisateurs de crypto-monnaies. Nous continuerons à travailler avec nos clients et les leaders de l'écosystème des crypto-monnaies pour construire un système financier plus sûr.

‍