La OFAC de EE. UU. ha sancionado recientemente un «mezclador» de criptomonedas por su presunto uso en el blanqueo de capitales.
Es la primera vez que la OFAC sanciona un protocolo de software, en lugar de a una persona física o jurídica.
La decisión tiene implicaciones para el desarrollo de la Web3.
En agosto de 2022, la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de Estados Unidos sancionó un «mezclador» de criptomonedas —programas utilizados para aumentar el anonimato de las transacciones de criptomonedas— por su presunto uso en el blanqueo de capitales. También incluyó en una lista negra varias direcciones de Ethereum asociadas con el protocolo. La sanción y la respuesta correspondiente de los actores afectados suscitaron un intenso debate, tanto en los círculos de las criptomonedas como fuera de ellos, sobre cómo deberían regularse los protocolos sin permisos.
¿Qué son las sanciones de la OFAC?
La OFAC administra sanciones comerciales y económicas contra países y personas (físicas y jurídicas) que participan en actividades que amenazan la seguridad o la estabilidad financiera de EE. UU., como el terrorismo, el narcotráfico y el blanqueo de capitales.
Una de sus principales herramientas es la Lista de nacionales especialmente designados y personas bloqueadas (SDN, por sus siglas en inglés): una lista de las personas físicas y jurídicas sancionadas por la OFAC. Los activos de las personas sancionadas bajo jurisdicción estadounidense quedan congelados y, en general, las personas estadounidenses tienen prohibido operar con ellas. Al excluir a las personas sancionadas del sistema financiero estadounidense, se les hace muy difícil realizar negocios internacionales, sobre todo cuando las transacciones se realizan en USD. Esta no es la primera vez que la OFAC interviene en el ámbito de las criptomonedas: anteriormente ya había sancionado a empresas o protocolos de criptomonedas controlados por entidades centralizadas. Sin embargo, la medida reciente es la primera sanción contra algo que no es una persona ni una entidad, lo que sienta un precedente poco claro para los protocolos de código abierto, que en esencia son fragmentos de código o software, o herramientas tecnológicas utilizadas con algún fin.
La consecuencia de las sanciones de la OFAC es que cualquier persona o cartera (es decir, personas y empresas estadounidenses y, de forma indirecta, ciudadanos e instituciones de otros países que tengan vínculos con personas o empresas estadounidenses) que interactúe con la entidad o el protocolo sancionado y con las direcciones de Ethereum mencionadas incurriría en responsabilidad objetiva conforme al derecho estadounidense. Desde el anuncio de la OFAC, las partes interesadas del ecosistema están divididas respecto de la idoneidad y la viabilidad de las sanciones.
¿Cómo influirá la decisión en la Web3?
La Web3, concebida como una Internet nueva y mejor, suele definirse por los principios rectores de la descentralización, el acceso sin permisos y la ausencia de necesidad de confianza. En vez de que unos pocos actores centrales monopolicen la web, el objetivo es que la comunidad de usuarios la construya, opere y posea, lo que podría entrañar una distribución más equitativa del valor generado entre sus participantes. Aunque la Web3 ofrece formas novedosas de coordinar actividades entre jurisdicciones de manera más eficaz y justa, y de preservar la privacidad y la propiedad de activos y datos, también plantea preocupaciones normativas, especialmente en relación con el blanqueo de capitales, la protección de los consumidores y la estabilidad financiera.
A la luz de varios ataques y explotaciones a gran escala, especialmente aquellos en los que se han utilizado mezcladores de criptomonedas para blanquear fondos, el anuncio de las sanciones de la OFAC mencionado anteriormente subraya la necesidad de que el ecosistema Web3 se centre colectivamente en desarrollar soluciones preventivas y correctivas; es decir, impedir que actores maliciosos hagan un uso indebido de la tecnología e imponer sanciones cuando se identifiquen dichos actores o acciones. Por otro lado, las sanciones marcan la primera vez que se incluye en la lista SDN un software de código abierto que no es una persona (es decir, que no es una persona física ni jurídica), lo que plantea dudas sobre la proporcionalidad de la medida.
¿Cómo están cumpliendo los protocolos sin permisos los requisitos de cumplimiento?
Tras las sanciones de la OFAC, los protocolos «sin permisos» se han apresurado a cumplir los requisitos normativos de distintas maneras. Las cadenas de bloques sin permisos y los protocolos se caracterizan por permitir que cualquiera los use sin autorización, así como por su resistencia a la censura: es imposible, o extremadamente difícil, prohibir las transacciones hacia o desde un usuario. Esto se debe a que los contratos inteligentes que sustentan esos protocolos son «inmutables»; en otras palabras, los datos que almacenan no se pueden modificar.
Ante los requisitos de cumplimiento de las sanciones, los protocolos de finanzas descentralizadas (DeFi) suelen utilizar herramientas de análisis forense y analítica de cadenas de bloques para impedir que las direcciones que interactuaron con la entidad o las direcciones sancionadas usen las aplicaciones web de interfaz de usuario de los protocolos. Aunque esta medida impide que una dirección incluida en una lista negra use la interfaz o aplicación web frontal para interactuar con el contrato inteligente del protocolo, las personas con conocimientos técnicos (como los hackers) pueden recurrir a una «función de llamada» para acceder directamente al contrato inteligente y eludir la aplicación frontal, incluidas sus medidas de inclusión en listas negras. Así, las direcciones incluidas en listas negras pueden seguir usando esos protocolos incluso después de que se las incluya en una lista negra a nivel de la aplicación. Sin embargo, la inclusión en listas negras sí impide que los usuarios medios sin conocimientos técnicos interactúen con el protocolo cuando reciben fondos contaminados procedentes de actividades sancionadas.
Aunque es menos habitual, algunos protocolos sin permisos pueden optar por incorporar una función de lista negra directamente en sus contratos inteligentes, en lugar de hacerlo a nivel de la aplicación. Esto permite bloquear direcciones sancionadas específicas a nivel del contrato inteligente, lo que introduce elementos de centralización en un ecosistema que, por lo demás, funciona sin permisos.
Por tanto, sancionar un protocolo descentralizado y sin permisos, aunque no garantice su desaparición, tiende a hacerlo inaccesible para el usuario medio y reduce los efectos de red a medida que diversos actores intentan cumplir la normativa.
¿Podría tener la decisión consecuencias imprevistas?
Aunque las sanciones pretenden dirigirse contra actores maliciosos del sector, podrían tener un efecto colateral en quienes buscan innovar y construir un ecosistema mejor o más descentralizado. Las sanciones y la falta de claridad sobre sus mecanismos de aplicación podrían agravar las dificultades que ya afrontan las empresas Web3 y otras entidades vinculadas a las criptomonedas para acceder a servicios de conversión entre monedas fiduciarias y criptomonedas a través del sistema bancario fiduciario.
Dado que las sanciones dependen de la aplicación proactiva por parte de bancos y otras instituciones financieras, estas podrían pecar de cautelosas y adoptar medidas de cumplimiento excesivamente restrictivas. Según las circunstancias concretas, las instituciones que no cumplan la normativa podrían quedar excluidas del sistema financiero mundial. Esto podría dejar fuera a nuevos usuarios de la Web3 y, potencialmente, privar de acceso a las plataformas a quienes ya las usan. Los requisitos de conocimiento del cliente empresarial para las compañías Web3 podrían volverse más estrictos, lo que dificultaría aún más su acceso a los servicios bancarios fiduciarios.
Las sanciones recientes también han puesto de relieve las cuestiones de responsabilidad de los desarrolladores: los colaboradores individuales de proyectos de código abierto podrían ser considerados responsables de facilitar acciones delictivas en los protocolos sin permisos que crearon. En este contexto, resulta cada vez más importante que las empresas Web3 no constituidas como entidades legales consideren soluciones jurídicas para minimizar riesgos; una de ellas podría ser adoptar una estructura jurídica o, en otras palabras, constituirse como persona jurídica. Entre otros beneficios, esto protegería en la mayoría de los casos a sus miembros y empleados de la responsabilidad individual, al transferirla a la entidad jurídica.
Los gobiernos y organismos reguladores, los protocolos sin permisos, las empresas Web3, los proveedores de servicios centralizados, las instituciones financieras tradicionales y los usuarios son partes interesadas clave para garantizar que la evolución de la próxima generación de Internet respete tanto la normativa como la privacidad financiera. Las sanciones de la OFAC ofrecen una oportunidad importante para que los sectores público y privado se unan y debatan la necesidad de identificar riesgos y desarrollar soluciones innovadoras (analítica de cadenas de bloques, normativa integrada, estructuras jurídicas, etc.) que cumplan la ley y, al mismo tiempo, preserven los principios fundamentales de un ecosistema Web3 justo, inclusivo y sostenible.
