Los Elementos Centralizados 'Persisten con Frecuencia' en las DeFi y Deberían Ser Regulados: FATF

Gran parte de las finanzas descentralizadas no es tan descentralizada como parece, y las plataformas detrás de ella deberían ser reguladas como otros negocios financieros, dijo el principal organismo mundial contra el lavado de dinero en un nuevo informe.

En un informe publicado el martes, el Grupo de Acción Financiera Internacional dijo que sus reglas ya se aplican a cualquier acuerdo DeFi donde una persona identificable mantenga "control o influencia suficiente", sin importar cuán descentralizado afirme ser un proyecto. El organismo con sede en París, cuyos estándares se utilizan en más de 200 jurisdicciones, clasifica las DeFi en tres grupos: plataformas con controladores identificables; aquellas que están centralizadas en la práctica pero cuyos operadores permanecen ocultos; y una minoría genuinamente sin líder que llama verdaderamente descentralizada. Solo esta última escapa a sus estándares.

Aunque muchos proyectos DeFi se presentan como totalmente descentralizados, los elementos centralizados "frecuentemente persisten en la práctica", encontró el informe, a través de tokens de gobernanza concentrados, privilegios administrativos, control sobre las actualizaciones y las tarifas y recompensas que fluyen a los internos.

El presidente del GAFI, Giles Thomson, dijo en una declaración que acompaña al informe que el objetivo es evitar que los delincuentes exploten la nueva tecnología para "lavar dinero sucio" mientras "apoyan la innovación financiera responsable", calificando el sólido intercambio de información público-privada como central para la respuesta.

¿Descentralizadas solo de nombre?

El informe detalla señales de control en cadena y fuera de cadena, incluyendo claves de actualización y funciones de "interruptor de apagado", el poder de establecer tarifas o parámetros de riesgo, poder de voto concentrado, control del sitio web o aplicación pública, y las entidades corporativas que emplean a desarrolladores principales o poseen el tesoro. Cuando existe tal control, dijo el GAFI, las personas detrás de él, ya sean desarrolladores, grandes tenedores de tokens, operadores de front-end o financiadores, deberían tener licencia y ser supervisados como cualquier empresa financiera. Incluso operar un front-end que canalice usuarios a un protocolo puede ser suficiente para calificar.

En la práctica, casi nadie está haciendo esto. Casi el 93% de las jurisdicciones que respondieron a una encuesta reciente del GAFI no han aplicado los estándares a ningún acuerdo DeFi que califique, y solo 26 de 142 han evaluado los riesgos en absoluto. Cuatro tienen reglas de licencia en los libros, mientras que solo dos las han usado alguna vez para registrar o licenciar una plataforma. La guía del GAFI no es ley, pero los miembros son calificados según qué tan de cerca la siguen, y las brechas persistentes pueden ayudar a colocar a un país en la "lista gris" del organismo de control. El informe llega después de una actualización más amplia del GAFI días antes que encontró que la mayoría de los países todavía luchan por hacer cumplir las reglas de criptomonedas en todos los ámbitos.

Una prohibición como último recurso

El GAFI quiere que los países cierren la brecha exigiendo, o al menos alentando, que los proyectos DeFi construyan controles contra el lavado de dinero directamente en sus contratos inteligentes o interfaces, desde el cribado de sanciones hasta la verificación de KYC antes de que se ejecuten ciertas funciones.

Para los proyectos que realmente no tienen líder, orienta a los reguladores hacia los puntos de estrangulamiento a su alrededor: emisores de stablecoins que pueden congelar tokens, exchanges que manejan rampas de entrada y salida de moneda fiduciaria, y operadores de front-end. Y donde una plataforma se niega a cooperar, dice el informe, una jurisdicción puede, como último recurso, prohibirle operar en su territorio. A los bancos y exchanges, por su parte, se les dice que realicen la debida diligencia en cualquier plataforma DeFi con la que traten, o que dejen de tratar con ella.

El botín DeFi de Corea del Norte

El informe se apoya en gran medida en cómo los delincuentes ya trabajan en el sector. Señala a Corea del Norte, cuyos hackers vinculados al estado, dice, estuvieron detrás de dos ataques en abril que juntos drenaron más de $570 millones: la explotación de $285 millones del exchange de perpetuos de Solana, Drift Protocol, realizada en solo 12 minutos, y un hackeo de $292 millones de KelpDAO.

Juntos representaron alrededor del 76% de las pérdidas por hackeos de criptomonedas del año. El informe también señala a las bandas de ransomware, las redes profesionales de lavado de dinero y los fraudes a inversores como grandes usuarios de los mezcladores, puentes y intercambios de DeFi.

Esa represión ya está en marcha en otros lugares. Los fiscales de EE. UU. este año aseguraron penas de prisión para los dos cofundadores del mezclador de Bitcoin Samourai Wallet y una condena contra el desarrollador de Tornado Cash Roman Storm, casos construidos sobre la misma idea que el GAFI presiona aquí: que las personas que construyen y ejecutan el código pueden ser tratadas como negocios de dinero regulados.

El valor total bloqueado de DeFi alcanzó los 86.6 mil millones de dólares este año, un aumento de aproximadamente el 85% desde 2023, con los doce protocolos principales manteniendo más del 60% de ese valor, según el informe, que pide a los reguladores implementar el conjunto de reglas del GAFI en lugar de dejar un vacío que podría permitir financiamiento ilícito a gran escala.