OFAC sanctionne Roman Semenov, développeur de Tornado Cash

L'Office of Foreign Assets Control (OFAC) du Trésor américain a désigné Roman Semenov, cofondateur du protocole de mixage crypto Tornado Cash, ainsi que huit adresses de cryptomonnaies qui lui sont liées. Cette action, annoncée le 23 août 2023, s'accompagne d'un acte d'accusation fédéral déclassifié inculpant Semenov et son collègue développeur de Tornado Cash, Roman Storm, pour association de malfaiteurs en vue de blanchiment d'argent, de violation des sanctions américaines et d'exploitation d'une entreprise de transmission de fonds sans licence. Pour les cabinets comptables, les directeurs financiers et les équipes de conformité qui traitent ou auditent des flux d'actifs numériques, cette désignation a des conséquences immédiates et durables sur le filtrage des sanctions, l'évaluation de l'exposition indirecte et les flux de travail des logiciels de comptabilité crypto.

Ce que l'OFAC a réellement fait

L'OFAC a identifié Semenov comme ressortissant russe et l'un des trois cofondateurs de Tornado Cash. Le motif invoqué par l'agence est que Semenov a fourni un soutien matériel à Tornado Cash et au groupe Lazarus, le collectif de hackers parrainé par l'État lié à la République populaire démocratique de Corée (RPDC). Tornado Cash avait déjà été sanctionné le 8 août 2022, ce qui fait de cette désignation individuelle une escalade significative : elle cible une personne nommée plutôt qu'une simple adresse de contrat intelligent.

Les huit adresses désignées

Les huit adresses de cryptomonnaies ajoutées à la liste des Specially Designated Nationals (SDN) de l'OFAC ont collectivement traité plus de 11,5 millions de dollars en divers actifs crypto, dont le TORN, le token de gouvernance de Tornado Cash. Les fonds de ces adresses ont transité vers diverses plateformes, allant des exchanges centralisés aux exchanges décentralisés. Toute contrepartie ayant effectué des transactions avec ces adresses, ou dont les fonds y sont passés, fait désormais face à une exposition potentielle au titre de la législation américaine sur les sanctions.

Poursuites pénales contre Storm et Semenov

Le procureur américain Damian Williams a déclaré que Storm et Semenov « auraient exploité Tornado Cash et sciemment facilité ce blanchiment d'argent », et que bien qu'ils « prétendent publiquement offrir un service de confidentialité techniquement sophistiqué », les deux hommes « savaient en réalité qu'ils aidaient des hackers et des fraudeurs à dissimuler le fruit de leurs crimes ». Roman Storm a été arrêté par le FBI et l'unité d'enquête criminelle de l'IRS. Semenov reste en fuite, probablement à Dubaï. Un troisième développeur de Tornado Cash, Alexey Pertsev, a été arrêté aux Pays-Bas en août 2022 et attendait son procès après avoir été libéré sous caution en avril 2023.

Contexte : Tornado Cash et le groupe Lazarus

Tornado Cash a traité plus de 7 milliards de dollars en actifs crypto au cours de sa durée de vie opérationnelle. Une part importante de ces fonds est attribuée à des acteurs criminels, le groupe Lazarus étant l'un des utilisateurs les plus importants. Lazarus, désigné par l'OFAC comme un instrument du gouvernement de la RPDC, a largement utilisé les services de mixage pour dissimuler les produits de piratages et de vols à grande échelle d'exchanges.

Impact sur le marché après les sanctions initiales

Dans le mois suivant les sanctions d'août 2022 contre le protocole Tornado Cash, les pools de liquidité du service ont chuté d'environ 60 %. Cette contraction a sensiblement réduit la capacité du protocole à anonymiser des mouvements de fonds à grande échelle, sans toutefois éliminer totalement le risque : des protocoles d'obfuscation alternatifs basés sur Ethereum ont depuis été identifiés comme successeurs potentiels, et l'exposition indirecte via ces canaux reste une préoccupation de conformité bien réelle.

Exposition directe vs indirecte : pourquoi la distinction compte

Les professionnels de la conformité se concentrent parfois sur l'exposition directe, à savoir si un portefeuille ou une transaction est lié à un saut à une adresse sanctionnée. La chaîne d'application de Tornado Cash illustre pourquoi ce cadre est insuffisant.

Définition de l'exposition indirecte

L'exposition indirecte survient lorsque des fonds sont liés à une entité sanctionnée par le biais d'une ou plusieurs transactions intermédiaires plutôt que provenant directement de celle-ci. Même à plusieurs sauts d'une adresse désignée, ce lien peut créer un risque de sanctions. Parce que Tornado Cash a été conçu pour rompre le lien on-chain entre le dépôt et le retrait, une entreprise recevant des fonds passés par le mixeur peut se trouver à plusieurs étapes de la partie sanctionnée d'origine et détenir néanmoins une valeur entachée.

Traçage multi-sauts et inter-chaînes

La désignation de Semenov ajoute huit nouvelles adresses SDN à un réseau déjà complexe de désignations liées à Tornado Cash. Évaluer si un portefeuille ou une transaction est lié à l'une de ces adresses nécessite une attribution sur plusieurs sauts et, de plus en plus, sur plusieurs chaînes. Les entreprises dont les logiciels de comptabilité crypto ou les flux de travail d'audit ne prennent pas en charge le traçage multi-sauts et inter-chaînes peuvent porter une exposition aux sanctions non détectée dans leurs portefeuilles clients ou dans leur propre bilan.

Canaux de stablecoins

Une dimension distincte de l'exposition aux sanctions liée à la RPDC concerne les stablecoins. Des recherches ont montré que les acteurs liés à l'Iran ont à eux seuls acquis des stablecoins en dollars américains d'une valeur d'au moins un demi-milliard de dollars, illustrant comment des acteurs sanctionnés peuvent utiliser des actifs on-chain libellés en dollars pour contourner les restrictions financières traditionnelles. Les entreprises détenant ou négociant des stablecoins ne sont pas automatiquement à l'abri du risque OFAC simplement parce qu'elles ont évité l'ETH ou le BTC.

Implications comptables et d'audit pour les clients B2B

Pour les cabinets comptables et les directeurs financiers gérant des portefeuilles d'actifs numériques ou auditant des clients natifs de la crypto, la désignation de Semenov a plusieurs conséquences concrètes sur les flux de travail.

Filtrage SDN des adresses de contrepartie

Chaque adresse de contrepartie on-chain doit être vérifiée par rapport à la liste SDN actuelle avant qu'une transaction ne soit traitée ou enregistrée. Le groupe d'application Tornado Cash s'est développé de manière itérative depuis août 2022, et chaque nouvelle désignation, qu'il s'agisse d'une adresse de protocole ou du portefeuille d'une personne, élargit le périmètre des adresses potentiellement entachées. Un filtrage statique et ponctuel à l'entrée en relation n'est plus suffisant. Les entreprises ont besoin d'un re-filtrage continu ou quasi en temps réel à mesure que la liste SDN est mise à jour.

Considérations de dépréciation et de radiation

Si une entreprise détient des actifs crypto que l'analyse blockchain identifie comme directement ou indirectement liés à une adresse nouvellement sanctionnée, ces actifs peuvent devoir être examinés pour dépréciation. Selon ASC 350-60 pour les préparateurs US GAAP, les actifs crypto sont comptabilisés à la juste valeur, les variations étant comptabilisées en résultat net. Toutefois, si les actifs sont gelés par une retenue de conformité dans l'attente d'un examen des sanctions, des questions se posent quant à savoir si leur juste valeur est temporairement dépréciée, ou si un passif éventuel distinct doit être divulgué pour une éventuelle action réglementaire. Les auditeurs doivent documenter la méthodologie de filtrage utilisée et les résultats de toute analyse de contamination effectuée à la date du bilan.

Annulation de transactions et remédiation

Lorsqu'une entreprise a déjà traité une transaction impliquant une adresse désormais désignée, elle fait face à des obligations potentielles d'auto-divulgation volontaire auprès de l'OFAC. Le cadre d'application de l'agence distingue les violations graves des violations non graves et accorde du poids à l'auto-divulgation et à la remédiation en temps utile. Les entreprises dotées de logiciels robustes de comptabilité crypto qui conservent des pistes d'audit complètes au niveau des transactions seront mieux placées pour reconstituer les faits, évaluer l'exposition et préparer un dossier de divulgation crédible si nécessaire.

Mise à jour des politiques AML et de sanctions

L'acte d'accusation pénal renforce le fait que l'OFAC est prêt à poursuivre des développeurs individuels, et pas seulement des adresses de protocole ou des entités corporatives. Les politiques de conformité qui traitent les services basés sur des contrats intelligents comme sans contrepartie doivent être révisées. Le token de gouvernance de Tornado Cash, le TORN, est explicitement mentionné dans la désignation de Semenov. Toute entreprise qui détient du TORN, dont les clients détiennent du TORN ou qui a traité des transactions en TORN doit évaluer cette exposition dès maintenant.

Étapes pratiques pour les équipes de conformité et de finance

Les étapes suivantes sont fondées sur les faits spécifiques de la désignation de Semenov et sur l'historique plus large de l'application des sanctions à Tornado Cash.

Actions immédiates

Premièrement, recoupez les huit adresses nouvellement désignées avec les registres historiques de transactions de votre entreprise et les positions ouvertes actuelles. Deuxièmement, signalez tout client dont l'activité de portefeuille montre une interaction avec des adresses de dépôt ou de retrait de Tornado Cash, y compris celles identifiées dans les sanctions du protocole d'août 2022, et désormais les adresses supplémentaires liées à des individus. Troisièmement, vérifiez si votre logiciel de comptabilité d'actifs numériques peut ingérer automatiquement les flux mis à jour de la liste SDN de l'OFAC et signaler les adresses nouvellement désignées par rapport aux écritures existantes.

Contrôles à plus long terme

Mettez en œuvre ou validez la capacité de traçage multi-sauts au sein de votre pile d'analyse blockchain. Une vérification de filtrage à un seul saut ne détectera pas, par conception, l'exposition indirecte via des mixeurs. Assurez-vous que votre politique AML traite explicitement des services de mixage décentralisés et des protocoles de confidentialité, et que la politique est révisée chaque fois qu'une action d'application majeure comme celle-ci se produit. Demandez-vous si les informations destinées aux clients ou les conditions des lettres de mission doivent être mises à jour pour traiter le risque OFAC dans les mandats d'actifs numériques.

Les entreprises qui utilisent des logiciels de comptabilité d'actifs numériques doivent vérifier que le module de filtrage des sanctions de la plateforme intègre à la fois les désignations Tornado Cash au niveau du protocole de 2022 et les nouvelles désignations individuelles de Semenov. Si vos outils actuels ne le permettent pas, un processus de rapprochement manuel doit être documenté et exécuté jusqu'à ce qu'une solution technique soit en place. Pour plus de contexte sur la manière dont Circle et Tether ont répondu à des demandes de gel similaires induites par l'application des sanctions, consultez notre couverture des gels de stablecoins après le piratage de Bitget. Pour un aperçu plus large de l'intersection entre les actions de l'OFAC et la comptabilité des cryptos au bilan, la désignation OFAC de BitBank offre un parallèle utile.

Source : Elliptic

Foire aux questions

Que signifie la désignation de Roman Semenov par l'OFAC pour les entreprises qui n'ont jamais utilisé Tornado Cash directement ?

L'exposition indirecte est le risque clé. Si des fonds passés par Tornado Cash ont ensuite été transférés vers les portefeuilles de votre entreprise ou de vos clients, un lien avec des adresses sanctionnées peut exister même sans transaction directe avec le mixeur. Le traçage blockchain multi-sauts est le seul moyen fiable d'évaluer cette exposition.

Détenir du TORN, le token de gouvernance de Tornado Cash, constitue-t-il une violation des sanctions ?

La désignation de Semenov identifie explicitement le TORN parmi les actifs traités par ses adresses sanctionnées. Les personnes américaines qui détiennent du TORN ou facilitent des transactions en TORN risquent de violer la réglementation de l'OFAC. Un conseil juridique doit être consulté avant toute activité supplémentaire liée au TORN.

Comment les auditeurs doivent-ils traiter les soldes clients susceptibles d'être entachés par une exposition à Tornado Cash ?

Les auditeurs doivent demander des preuves de la méthodologie de filtrage des sanctions du client, les résultats de toute analyse de contamination et la documentation sur la façon dont les soldes signalés sont traités. Lorsqu'une exposition significative ne peut être exclue, une information dans les états financiers ou une réserve dans le rapport d'audit peut être justifiée.

Cette action affecte-t-elle les entreprises non américaines ?

Oui. Les entreprises non américaines qui traitent des transactions en dollars américains, utilisent des services bancaires correspondants américains ou ont des contreparties personnes américaines peuvent être soumises à un risque de sanctions secondaires. La portée mondiale du système de paiement en dollars américains signifie que les désignations de l'OFAC sont rarement une préoccupation purement nationale.

Quelle est la différence entre les sanctions de 2022 contre le protocole Tornado Cash et la désignation individuelle de Semenov en 2023 ?

L'action de 2022 a sanctionné des adresses de contrats intelligents spécifiques associées au protocole Tornado Cash. L'action de 2023 contre Semenov désigne une personne et huit adresses de cryptomonnaies supplémentaires qui lui sont personnellement liées. Les deux ensembles d'adresses figurent désormais sur la liste SDN, élargissant le périmètre total des adresses désignées que les entreprises doivent filtrer.