Zentralisierte Elemente in DeFi „bestehen häufig“ und sollten reguliert werden: FATF

Ein Großteil der dezentralisierten Finanzen ist nicht so dezentralisiert, wie es scheint, und die dahinterstehenden Plattformen sollten wie andere Finanzunternehmen reguliert werden, erklärte die weltweit wichtigste Geldwäschebekämpfungsbehörde in einem neuen Bericht.

In einem am Dienstag veröffentlichten Bericht erklärte die Financial Action Task Force, dass ihre Regeln bereits für jede DeFi-Vereinbarung gelten, bei der eine identifizierbare Person die „Kontrolle oder ausreichenden Einfluss“ behält, unabhängig davon, wie dezentralisiert ein Projekt behauptet zu sein. Die in Paris ansässige Behörde, deren Standards in über 200 Jurisdiktionen verwendet werden, unterteilt DeFi in drei Gruppen: Plattformen mit identifizierbaren Kontrolleuren; solche, die in der Praxis zentralisiert sind, deren Betreiber jedoch verborgen bleiben; und eine wirklich führerlose Minderheit, die sie als wirklich dezentralisiert bezeichnet. Nur die letztere entgeht ihren Standards.

Obwohl viele DeFi-Projekte sich als vollständig dezentralisiert präsentieren, bestehen zentralisierte Elemente „in der Praxis häufig fort“, so der Bericht, durch konzentrierte Governance-Token, administrative Privilegien, Kontrolle über Upgrades sowie die Gebühren und Belohnungen, die an Insider fließen.

FATF-Präsident Giles Thomson erklärte in einer den Bericht begleitenden Stellungnahme, dass das Ziel darin bestehe, zu verhindern, dass Kriminelle neue Technologien ausnutzen, um „schmutziges Geld zu waschen“, während „verantwortungsvolle finanzielle Innovation unterstützt“ werde, und bezeichnete einen starken öffentlich-privaten Informationsaustausch als zentral für die Reaktion.

Nur dem Namen nach dezentralisiert?

Der Bericht legt On-Chain- und Off-Chain-Anzeichen von Kontrolle dar, darunter Upgrade-Schlüssel und „Kill-Switch“-Funktionen, die Befugnis, Gebühren oder Risikoparameter festzulegen, konzentrierte Stimmrechte, die Kontrolle über die öffentliche Website oder App sowie die Unternehmenseinheiten, die Kernentwickler beschäftigen oder die Kasse verwalten. Wo eine solche Kontrolle besteht, so die FATF, sollten die dahinterstehenden Personen, ob Entwickler, große Token-Inhaber, Frontend-Betreiber oder Geldgeber, wie jedes Finanzunternehmen lizenziert und überwacht werden. Selbst der Betrieb eines Frontends, das Benutzer zu einem Protokoll leitet, kann ausreichen, um zu qualifizieren.

In der Praxis tut dies fast niemand. Fast 93 % der Rechtsgebiete, die auf eine aktuelle FATF-Umfrage geantwortet haben, haben die Standards auf keine qualifizierende DeFi-Vereinbarung angewendet, und nur 26 von 142 haben die Risiken überhaupt bewertet. Vier haben Lizenzierungsregeln in den Büchern, während nur zwei sie jemals genutzt haben, um eine Plattform zu registrieren oder zu lizenzieren. FATF-Leitlinien sind kein Gesetz, aber die Mitglieder werden danach bewertet, wie genau sie ihnen folgen, und anhaltende Lücken können dazu beitragen, dass ein Land auf die "Graue Liste" der Aufsichtsbehörde gesetzt wird. Der Bericht folgt auf ein breiteres Update der FATF wenige Tage zuvor, das ergab, dass die meisten Länder immer noch Schwierigkeiten haben, Krypto-Regeln durchzusetzen.

Ein Verbot als letztes Mittel

Die FATF möchte, dass Länder die Lücke schließen, indem sie DeFi-Projekte verpflichten oder zumindest ermutigen, Anti-Geldwäsche-Kontrollen direkt in ihre Smart Contracts oder Schnittstellen einzubauen, von Sanktionsprüfungen bis hin zu KYC-Nachweisen vor der Ausführung bestimmter Funktionen.

Für Projekte, die wirklich führerlos sind, lenkt es die Regulierungsbehörden zu den Engpässen um sie herum: Stablecoin-Emittenten, die Token einfrieren können, Börsen, die Fiat-On- und Off-Rampen abwickeln, und Front-End-Betreiber. Und wenn eine Plattform sich weigert zu kooperieren, so der Bericht, kann eine Gerichtsbarkeit als letztes Mittel ein Verbot des Betriebs in ihrem Hoheitsgebiet aussprechen. Banken und Börsen wiederum werden angewiesen, bei jeder DeFi-Plattform, mit der sie in Kontakt kommen, eine Due-Diligence-Prüfung durchzuführen oder den Umgang mit ihr einzustellen.

Nordkoreas DeFi-Ausbeute

Der Bericht stützt sich stark darauf, wie Kriminelle den Sektor bereits nutzen. Er hebt Nordkorea hervor, dessen staatlich verbundene Hacker seiner Aussage nach hinter zwei Angriffen im April steckten, die zusammen mehr als 570 Millionen Dollar abzogen: der 285-Millionen-Dollar-Exploit der Solana-Perpetuals-Börse Drift Protocol, der in nur 12 Minuten durchgeführt wurde, und ein 292-Millionen-Dollar-Hack von KelpDAO.

Zusammen machten sie etwa 76 % der diesjährigen Krypto-Hacking-Verluste aus. Der Bericht weist auch auf Ransomware-Gruppen, professionelle Geldwäsche-Netzwerke und Anlegerbetrug als starke Nutzer von DeFis Mixern, Brücken und Swaps hin.

Dieses Vorgehen ist anderswo bereits im Gange. US-Staatsanwälte haben in diesem Jahr Haftstrafen für die beiden Mitbegründer des Bitcoin-Mixers Samourai Wallet und eine Verurteilung des Tornado-Cash-Entwicklers Roman Storm erwirkt, Fälle, die auf derselben Idee beruhen, die die FATF hier vertritt: dass die Personen, die den Code erstellen und ausführen, als regulierte Geldgeschäfte behandelt werden können.

Der Gesamtwert der in DeFi gesperrten Vermögenswerte erreichte in diesem Jahr 86,6 Milliarden US-Dollar, ein Anstieg von etwa 85 % seit 2023, wobei die zwölf größten Protokolle mehr als 60 % davon halten, so der Bericht, der die Regulierungsbehörden auffordert, das FATF-Regelwerk umzusetzen, anstatt eine Lücke zu lassen, die illegale Finanzierungen in großem Umfang ermöglichen könnte.