Une grande partie de la finance décentralisée (DeFi) n'est pas aussi décentralisée qu'il n'y paraît, et les plateformes qui la sous-tendent devraient être réglementées comme les autres entreprises financières, a déclaré le principal organisme mondial de lutte contre le blanchiment d'argent dans un nouveau rapport.
Dans un rapport publié mardi, le Groupe d'action financière a déclaré que ses règles s'appliquent déjà à tout arrangement DeFi où une personne identifiable conserve un "contrôle ou une influence suffisante", quelle que soit la décentralisation revendiquée par un projet. Cet organisme basé à Paris, dont les normes sont utilisées dans plus de 200 juridictions, classe la DeFi en trois groupes : les plateformes avec des contrôleurs identifiables ; celles qui sont centralisées en pratique mais dont les opérateurs restent cachés ; et une minorité véritablement sans leader qu'il qualifie de réellement décentralisée. Seule cette dernière échappe à ses normes.
Bien que de nombreux projets DeFi se présentent comme entièrement décentralisés, des éléments centralisés "persistent fréquemment dans la pratique", a constaté le rapport, par le biais de tokens de gouvernance concentrés, de privilèges administratifs, du contrôle des mises à niveau, et des frais et récompenses qui reviennent aux initiés.
Le président du GAFI, Giles Thomson, a déclaré dans un communiqué accompagnant le rapport que l'objectif est d'empêcher les criminels d'exploiter les nouvelles technologies pour "blanchir de l'argent sale" tout en "soutenant l'innovation financière responsable", qualifiant un solide partage d'informations public-privé de central pour la réponse.
Le rapport expose les signes de contrôle on-chain et off-chain, y compris les clés de mise à niveau et les fonctions de "kill switch", le pouvoir de fixer les frais ou les paramètres de risque, le pouvoir de vote concentré, le contrôle du site web ou de l'application publique, et les entités corporatives qui emploient les développeurs principaux ou détiennent la trésorerie. Là où un tel contrôle existe, a déclaré le GAFI, les personnes qui en sont à l'origine, qu'il s'agisse de développeurs, de grands détenteurs de tokens, d'opérateurs de front-end ou de bailleurs de fonds, devraient être agréées et supervisées comme toute entreprise financière. Même l'exploitation d'un front-end qui achemine les utilisateurs vers un protocole peut suffire à qualifier.
En pratique, presque personne ne le fait. Près de 93% des juridictions qui ont répondu à une récente enquête du GAFI n'ont pas appliqué les normes à un arrangement DeFi admissible, et seulement 26 sur 142 ont évalué les risques. Quatre ont des règles d'agrément en vigueur, tandis que seulement deux les ont utilisées pour enregistrer ou agréer une plateforme. Les directives du GAFI ne sont pas une loi, mais les membres sont évalués sur la façon dont ils les suivent, et des lacunes persistantes peuvent aider à placer un pays sur la "liste grise" du régulateur. Ce rapport fait suite à une mise à jour plus large du GAFI quelques jours auparavant, qui a constaté que la plupart des pays peinent toujours à appliquer les règles relatives aux cryptos de manière générale.
Le GAFI souhaite que les pays comblent cette lacune en exigeant, ou du moins en encourageant, les projets DeFi à intégrer des contrôles anti-blanchiment d'argent directement dans leurs contrats intelligents ou interfaces, du filtrage des sanctions aux vérifications de preuve de KYC avant l'exécution de certaines fonctions.
Pour les projets qui sont véritablement sans leader, il oriente les régulateurs vers les points de blocage qui les entourent : les émetteurs de stablecoins qui peuvent geler des tokens, les exchanges qui gèrent les rampes d'accès et de sortie fiduciaires, et les opérateurs de front-end. Et lorsqu'une plateforme refuse de coopérer, le rapport indique qu'une juridiction peut, en dernier recours, l'interdire d'opérer sur son territoire. Les banques et les exchanges, pour leur part, sont invités à effectuer une diligence raisonnable sur toute plateforme DeFi qu'ils utilisent, ou à cesser de traiter avec elle.
Le rapport insiste fortement sur la manière dont les criminels opèrent déjà dans le secteur. Il cible la Corée du Nord, dont les hackers liés à l'État seraient, selon lui, derrière deux attaques en avril qui ont ensemble siphonné plus de 570 millions de dollars : l'exploit de 285 millions de dollars de l'exchange de perpétuels Solana Drift Protocol, réalisé en seulement 12 minutes, et un hack de 292 millions de dollars de KelpDAO.
Ensemble, ils représentaient environ 76% des pertes liées aux piratages de cryptomonnaies de l'année. Le rapport souligne également que les groupes de rançongiciels, les réseaux de blanchiment professionnels et les fraudes d'investisseurs sont de grands utilisateurs des mixeurs, ponts et swaps de la DeFi.
Cette répression est déjà en cours ailleurs. Les procureurs américains ont obtenu cette année des peines de prison pour les deux cofondateurs du mixeur de Bitcoin Samourai Wallet et une condamnation contre le développeur de Tornado Cash, Roman Storm, des affaires fondées sur la même idée que le GAFI met en avant ici : que les personnes qui développent et gèrent le code peuvent être traitées comme des entreprises financières réglementées.
La valeur totale verrouillée (TVL) de la DeFi a atteint 86,6 milliards de dollars cette année, soit une augmentation d'environ 85% depuis 2023, les douze principaux protocoles en détenant plus de 60%, selon le rapport, qui appelle les régulateurs à mettre en œuvre le recueil de règles du GAFI plutôt que de laisser une lacune qui pourrait permettre le financement illicite à grande échelle.
