Les éléments centralisés 'persistent souvent' dans la DeFi et devraient être réglementés : GAFI

Une grande partie de la finance décentralisée n'est pas aussi décentralisée qu'elle en a l'air, et les plateformes qui la sous-tendent devraient être réglementées comme d'autres entreprises financières, a déclaré le principal organisme mondial de lutte contre le blanchiment d'argent dans un nouveau rapport.

Dans un rapport publié mardi, le Groupe d'action financière a déclaré que ses règles s'appliquent déjà à tout arrangement DeFi où une personne identifiable conserve « le contrôle ou une influence suffisante », quelle que soit la décentralisation revendiquée par un projet. L'organisme basé à Paris, dont les normes sont utilisées dans plus de 200 juridictions, classe la DeFi en trois groupes : les plateformes avec des contrôleurs identifiables ; celles qui sont centralisées en pratique mais dont les opérateurs restent cachés ; et une minorité véritablement sans chef qu'il appelle véritablement décentralisée. Seule cette dernière échappe à ses normes.

Bien que de nombreux projets DeFi se présentent comme entièrement décentralisés, des éléments centralisés « persistent fréquemment en pratique », a constaté le rapport, à travers des jetons de gouvernance concentrés, des privilèges administratifs, le contrôle des mises à niveau, et les frais et récompenses qui reviennent aux initiés.

Le président du GAFI, Giles Thomson, a déclaré dans une déclaration accompagnant le rapport que l'objectif est d'empêcher les criminels d'exploiter les nouvelles technologies pour « blanchir de l'argent sale » tout en « soutenant une innovation financière responsable », qualifiant un solide partage d'informations public-privé de central à la réponse.

Décentralisées uniquement de nom ?

Le rapport expose les signes de contrôle sur la chaîne et hors chaîne, notamment les clés de mise à niveau et les fonctions « kill switch », le pouvoir de fixer les frais ou les paramètres de risque, le pouvoir de vote concentré, le contrôle du site Web public ou de l'application, et les entités corporatives qui emploient les développeurs principaux ou détiennent la trésorerie. Là où un tel contrôle existe, a déclaré le GAFI, les personnes qui le détiennent, qu'il s'agisse de développeurs, de grands détenteurs de jetons, d'opérateurs de front-end ou de bailleurs de fonds, devraient être agréées et supervisées comme toute entreprise financière. Même l'exploitation d'un front-end qui achemine les utilisateurs vers un protocole peut suffire à être admissible.

En pratique, presque personne ne fait cela. Près de 93 % des juridictions ayant répondu à une récente enquête du GAFI n'ont pas appliqué les normes à aucun arrangement DeFi admissible, et seulement 26 sur 142 ont évalué les risques. Quatre ont des règles de licence dans les livres, tandis que seulement deux les ont déjà utilisées pour enregistrer ou licencier une plateforme. Les directives du GAFI ne sont pas une loi, mais les membres sont notés sur leur degré de conformité, et des lacunes persistantes peuvent aider à placer un pays sur la « liste grise » du gardien. Le rapport fait suite à une mise à jour plus large du GAFI quelques jours plus tôt, qui a révélé que la plupart des pays ont encore du mal à appliquer les règles cryptographiques dans l'ensemble.

Une interdiction en dernier recours

Le GAFI veut que les pays comblent l'écart en exigeant, ou du moins en encourageant, les projets DeFi à intégrer des contrôles anti-blanchiment directement dans leurs contrats intelligents ou interfaces, du filtrage des sanctions à la vérification de la connaissance du client (KYC) avant certaines fonctions.

Pour les projets vraiment sans chef, il oriente les régulateurs vers les points d'étranglement autour d'eux : les émetteurs de stablecoins qui peuvent geler les jetons, les échanges qui gèrent les entrées et sorties de monnaie fiduciaire, et les opérateurs de front-end. Et lorsqu'une plateforme refuse de coopérer, le rapport indique qu'une juridiction peut, en dernier recours, lui interdire d'opérer sur son territoire. Les banques et les échanges, pour leur part, sont invités à faire preuve de diligence raisonnable sur toute plateforme DeFi qu'ils touchent, ou à cesser de traiter avec elle.

Le butin DeFi de la Corée du Nord

Le rapport s'appuie fortement sur la manière dont les criminels exploitent déjà le secteur. Il met en cause la Corée du Nord, dont les pirates liés à l'État, selon lui, sont derrière deux attaques en avril qui ont ensemble drainé plus de 570 millions de dollars : l'exploitation de 285 millions de dollars de l'échange perpétuel Solana Drift Protocol, réalisée en seulement 12 minutes, et un piratage de 292 millions de dollars de KelpDAO.

Ensemble, ils représentaient environ 76 % des pertes dues aux piratages cryptographiques de l'année. Le rapport pointe également les équipes de ransomware, les réseaux professionnels de blanchiment et les fraudes aux investisseurs comme de gros utilisateurs des mixers, ponts et swaps de la DeFi.

Cette répression est déjà en cours ailleurs. Cette année, les procureurs américains ont obtenu des peines de prison pour les deux cofondateurs du mixer Bitcoin Samourai Wallet et une condamnation contre le développeur de Tornado Cash Roman Storm, des affaires fondées sur la même idée que le GAFI défend ici : que les personnes qui construisent et exploitent le code peuvent être traitées comme des entreprises de services monétaires réglementées.

La valeur totale verrouillée dans la DeFi a atteint 86,6 milliards de dollars cette année, en hausse d'environ 85 % depuis 2023, les douze principaux protocoles détenant plus de 60 % de ce montant, selon le rapport, qui appelle les régulateurs à mettre en œuvre les règles du GAFI plutôt que de laisser un vide qui pourrait permettre un financement illicite à grande échelle.