金色观察 | 详解美国财政部的DeFi风险评估报告

文/ TRM Insights，译/金色财经xiaozou

近日，美国财政部发布了《去中心化金融非法金融风险评估》（Illicit Finance Risk Assessment of Decentralized Finance）（以下简称“评估”）。

该评估是对2022年9月白宫数字资产框架的回应，该框架特别要求财政部为去中心化金融（DeFi）进行风险评估。该评估致力于对DeFi进行明确定义——根据美国财政部的说法，DeFi一词“在虚拟资产行业经常被滥用”——并列举了一些非法金融风险。

然而，最值得注意的是，财政部认为DeFi活动应需履行《银行保密法》（BSA）反洗钱（AML）义务。这是我们第一次看到美国政府对DeFi如此强烈鲜明的态度。最后，评估寻求行业参与，以了解在去中心化领域里可行的合规形式，特别是如何激励DeFi服务实施某种形式的“反洗钱”管控。

该评估内容包含了迄今为止美国政府对DeFi进行的最全面的讨论，并提出了一种观点，那就是即使是真正的（或多或少）去中心化服务也应该实施“反洗钱”合规操作。在某些方面，大力实施传统的“反洗钱”合规有悖于DeFi的发展——DeFi依赖于非中介化软件，而不是合规团队。

以下是评估的关键内容：

（1）定义很重要

在DeFi领域，有很多关于定义的讨论，因为去中心化金融有很多种形式。

在金融行动特别工作组（FATF）2021年10月发布的指导意见中，全球“反洗钱”标准制定者提出了“所有者/运营商”测试，认为“有控制或影响力的创造者、所有者和运营商”应是负有“反洗钱”义务的虚拟资产服务提供商，即使项目看起来可能是去中心化的。FATF在第一次进行DeFi和AML讨论时曾指出，“控制”包括对项目施加控制或与用户保持持续性关系。

财政部借鉴了FATF的观点，指出：“目前，即使在行业参与者中，也没有达成普遍认可的DeFi定义，或者对可以使产品、服务、安排或活动‘去中心化’的特征达成一致。”财政部解释说，这个术语广泛用于指代通过使用自动执行软件实现点对点交易的协议和服务。财政部和FATF一样，试图区分真正的去中心化软件和只是简单地声称自己为DeFi但实际上具有中心化属性的实体。

虽然评估在定义上投入了不少时间，但并没有得到一个确定的定义。服务是否是去中心化的，或者“仅是名义上的DeFi”，仍然属于个案。在确定监管义务时，这种个案审查将变得非常重要。

（2）重大新闻：某些DeFi服务可能负有BSA规定的反洗钱义务

评估报告指出，美国的“反洗钱”义务是基于活动的，并声称BSA要求像金融机构一样运营的实体“建立并实施有效的反洗钱计划”，并遵守OFAC的制裁。财政部声称，“虽然一个人的中心化程度可能会影响其提供的服务，但从事BSA所定义的金融机构活动的人，无论他们是集中的还是分散的，都将负有这些义务。”

上面提到的这一点非常重要，因为它可能会将完全基于软件的DeFi服务与拥有合规团队和其他执行“反洗钱”义务所需资源的大型金融机构划归同一范畴。

“例如，如果一个DeFi服务业务完全或大部分在美国开展，并以任何方式在一个人和另一个人或地点间接受并传输虚拟资产，那么它很可能具有货币传输主体资格，并负有与提供法定货币服务的货币传输主体相同的反洗钱/反恐融资义务。只要服务符合这个定义，去中心化程度就与这些义务无关。”

（3）犯罪分子仍然需要提取资金

评估列举了DeFi生态系统中的一些非法融资风险。这些风险本质上与中心化加密领域中的风险相同。该报告指出了洗钱、勒索软件、盗窃（如闪电贷和黑客攻击），以及杀猪盘等骗局。

在洗钱方面，评估讨论了跨链桥、去中心化交易所（DEX）、混币器和流动性池等“DeFi服务”被用于洗钱的现象。换句话说，评估报告称，DeFi正在被用于洗钱过程中的非法资金的分层。然而，该报告确实指出——与我们在链上看到的情况一致——非法行为者依靠中心化交易所提取资金并将其转换为更加可用的法币。换句话说，对于洗钱来说“条条大路通VASP（虚拟资产服务提供商）”。中心化VASP必须实施“反洗钱”管控，而那些没有这么做的VASP，以及它们所在的国家，都是监管机构和国际标准制定者的目标。

报告中强调的DeFi的一个显著漏洞是DeFi生态系统中黑客和盗窃行为的激增。据TRM称，2022年是黑客攻击的创纪录一年，约37亿美元资金被盗。针对DeFi项目的攻击尤为常见，大约80%的被盗资金（30亿美元）殃及到DeFi用户。跨链桥黑客攻击的规模是其他攻击的15倍。然而，我们也看到区块链情报工具和事件响应程序在追踪DeFi生态被盗资金方面变得越来越先进。

（4）有一些方法可以降低风险

虽然评估的重点是风险，但评估确实花了大量时间研究如何降低这些风险，包括使用当前的“反洗钱”监管框架（如BSA），以及在全球范围内实施FATF标准。虽然报告指出，公共区块链允许更高透明度，可以在金融犯罪调查中使用区块链情报信息，但财政部称，调查受钱包和交易匿名性的限制，很难将它们与现实世界中的实体联系起来。财政部认为，这是随着混币器的应用以及加密货币的匿名性而加剧的，但同时，像TRM这样的区块链情报工具也不断随着这些新兴技术发展演变。

财政部指出，潜在的技术解决方案可以降低风险，如区块链情报工具、数字身份和零知识证明，“潜在的解决方案都旨在支持履行AML/CFT义务的各种要素，同时最大限度地提高用户隐私，包括通过数字身份技术支持DeFi服务的身份验证，可以通过用户在公共区块链上的交易历史帮助验证。”

（5）财政部呼吁各方共同努力

虽然报告的大部分内容是关于风险和漏洞，但在最后几页呼吁美国政府与业界合作，“进一步阐明适用法规如何应用于DeFi服务”，并根据反馈进一步给出指导意见。财政部还呼吁继续研究不断发展的技术、私营部门的参与，以及关注DeFi领域的网络弹性。此外，财政部还呼吁美国政府与开发工具的私营实体进行合作，努力推动创新解决方案。

报告的建议总结如下：

加强美国对虚拟资产活动的反洗钱/反恐融资监管。

评估适用于DeFi服务的美国反洗钱/反恐融资监管制度的优化可能性。

继续进行研究，加大私营部门参与力度，以支持对DeFi生态系统发展的理解。

继续与外国伙伴合作。

倡导加强虚拟资产公司的网络弹性、代码测试和强大的风险信息共享。

促进负责任的降低风险措施创新。

结论

尽管美国财政部明确表示，风险评估并没有“设立新的监管预期”，但它提供了一个内容详实的窗口，让我们了解美国财政部如何看待“反洗钱”义务在DeFi生态系统中的作用，并概述了在一个真正去中心化的领域里，由谁监管以及如何监管的更广泛的全球讨论。

该风险评估报告确实实现了预设目标，即评估风险。但同样重要的是，要认识到DeFi为金融和打击金融犯罪所带来的机遇。TRM的Ari Redbord在最近的CFTC技术咨询委员会（TAC）会议上的开场讲话中强调了这一点。简而言之，正如Ari所说的那样，“DeFi实现了一个点对点金融服务的生态系统，摆脱了困扰我们当前系统的诸多问题。以互联网的速度进行点对点跨境价值转移。这就是承诺。”正如报告所认同的那样，区块链技术也有能力提高金融犯罪合规的有效性，因为监管机构现在有能力在不可篡改的账本上实时查看金融交易。