NFT-witwassen: wat de data daadwerkelijk laat zien
NFT's worden algemeen beschouwd als een paradijs voor witwassen. Het onderzoek van Elliptic, dat de periode van Q4 2017 tot en met Q2 2022 bestrijkt, toetst die aanname met on-chain data en komt tot een conclusie die veel compliance-professionals verrast: direct witwassen via NFT-platforms is in absolute termen klein, maar de route die criminelen feitelijk prefereren, namelijk het eerst laten stromen van gelden door mixers, creëert een echte en meetbare blootstelling die NFT-marktplaatsen en hun accountantsadviseurs niet kunnen negeren.
De omvang van direct NFT-witwassen
Elliptic identificeerde iets meer dan $8 miljoen aan illegale fondsen die in de bestudeerde periode van circa vijf jaar naar NFT-platforms stroomden. Afgezet tegen meer dan $40 miljard aan totale NFT-gerelateerde handelsactiviteit in dezelfde periode, is dat cijfer een kleine fractie van het totale volume. De bevinding daagt het narratief uit dat NFT-markten routinematig worden misbruikt door grootschalige witwassers.
Waar de illegale fondsen vandaan kwamen
Bijna al het $8,1 miljoen dat aan illegale oorsprong werd toegeschreven, kwam voort uit diefstal, oplichting, phishing en ponzi-regelingen, en niet zozeer uit bijvoorbeeld drugshandel of sanctieontduiking via directe overschrijvingen. Die mix van bronnen is belangrijk voor risicoclassificatie. Het betekent dat de typische NFT-witwaszaak begint met de diefstal van de NFT's zelf, en dat de daaropvolgende marktplaatstransacties dienen als uitbetalingsmechanisme voor gestolen activa, niet als primair kanaal voor het witwassen van opbrengsten van niet-gerelateerde zware criminaliteit.
Waarom een laag volume niet een laag risico betekent
Een klein absoluut cijfer kan nog steeds een onevenredig compliance-gewicht dragen. NFT-prijzen zijn structureel ondoorzichtig: een token uit een minder bekende collectie kan voor één dollar of honderdduizend dollar worden verkocht, zonder objectieve benchmark die in beide gevallen argwaan wekt. Die prijsambiguïteit maakt NFT's precies theoretisch aantrekkelijk voor waardoverdracht. Zeldzaamheid, community-sentiment en speculatieve vraag beïnvloeden allemaal de prijs, maar geen van deze factoren levert een betrouwbaar anker voor reële waarde op, vooral niet voor illiquide collecties. Voor compliance-teams en auditors die NFT-gerelateerde transacties beoordelen, betekent dit dat standaard marktprijsvergelijkingen die werken voor fungibele tokens hier veel minder houvast bieden.
Blockchain-transparantie als afschrikmiddel
Een reden dat direct witwassen via NFT-platforms laag blijft, is de transparantie die in de onderliggende infrastructuur is ingebouwd. Elke NFT op een openbare blockchain heeft een volledige, onveranderlijke geschiedenis: verkopen, overdrachten, biedingen, noteringen en wallet-interacties zijn allemaal zichtbaar voor iedereen met een blockchain-verkenner. Onderzoekers kunnen eigendomsketens traceren en wallet-adressen verbinden met bredere transactiegrafen zonder dat ze een dagvaarding nodig hebben. Die traceerbaarheid is ongemakkelijk voor witwassers, voor wie anonimiteit de primaire operationele vereiste is.
Implicaties voor transactiemonitoring in crypto-boekhoudsoftware
Voor accountantskantoren en CFO's die digitale-activa-boekhoudsoftware gebruiken om klantportefeuilles met NFT's te beheren, is deze transparantie een tweesnijdend zwaard. On-chain data kunnen rijk en controleerbaar zijn, maar het correct interpreteren ervan, het koppelen van wallet-adressen aan entiteiten, het identificeren van mixer-blootstelling en het markeren van gesanctioneerde tegenpartijen, vereist tools en expertise die verder gaan dan standaard boekhoudworkflows. Teams die vertrouwen op crypto-boekhoudsoftware zonder geïntegreerde blockchain-analyses lopen het risico financiële overzichten te produceren die technisch volledig zijn, maar compliance-blind.
Het mixerprobleem: waar de echte blootstelling ligt
De belangrijkste bevinding uit het onderzoek van Elliptic is niet de $8 miljoen aan direct witwassen, maar de $137,6 miljoen aan fondsen die NFT-platforms bereikten na passage door mengdiensten. Dat cijfer vertegenwoordigt 0,34% van alle geïdentificeerde transacties, wat klein klinkt totdat je bedenkt dat vrijwel al dit geld opzettelijk werd verdoezeld voordat het een marktplaats bereikte.
Tornado Cash en opbrengsten van NFT-oplichters
Tornado Cash, de op Ethereum gebaseerde mixer die sindsdien onderworpen is aan sancties van het Amerikaanse ministerie van Financiën, domineerde deze blootstelling. Onder oplichtersportefeuilles traceerde Elliptic $67,1 miljoen aan Ether afkomstig van 323 geïdentificeerde wallets die verband hielden met NFT-fraude. Van dat totaal werd 52,4%, oftewel $35,2 miljoen, specifiek via Tornado Cash witgewassen voordat de opbrengsten verder werden verplaatst. Die meerderheidsvoorkeur voor één enkele mengdienst onderstreept waarom sanctiescreening een operationele noodzaak is geworden voor NFT-platforms, en geen optionele compliance-upgrade.
Andere verhullingsroutes
Naast mixers identificeert het onderzoek een bredere gereedschapskist die kwaadwillenden gebruiken voordat ze NFT-marktplaatsen benaderen: wisseldiensten zonder KYC, crypto-geldautomaten en gokplatforms. Elk van deze diensten kan het transactiespoor tussen een eerste diefstal of fraude en daaropvolgende NFT-handel doorbreken. Voor compliance-doeleinden zou de aanwezigheid van een van deze als tussenstap in de transactiegeschiedenis van een klant de risicoclassificatie van de totale positie moeten verhogen, zelfs als de NFT-handel zelf onopvallend lijkt.
Inzicht in hoe blockchain-analysetools worden toegepast om precies dit soort gelaagde stromen te detecteren, is hier direct relevant. Ons eerdere artikel over hoe blockchain-analyses AML-onderzoeken hervormen gaat dieper in op de onderzoeksmethodologie.
Accounting- en auditimplicaties voor B2B-practitioners
Voor accountantskantoren, auditors en CFO's die klanten adviseren met NFT-bezit of NFT-gerelateerde bedrijven, herkadert de Elliptic-data het compliance-gesprek op verschillende praktische manieren.
Risicotiering van NFT-klanten en tegenpartijen
Niet alle NFT-blootstelling is gelijk. Een klant die blue-chip collectie-NFT's bezit die via een gereguleerde marktplaats met volledige KYC zijn gekocht, bevindt zich in een wezenlijk andere risicocategorie dan iemand wiens walletgeschiedenis interacties vertoont met no-KYC-wisseldiensten of adressen die op de lijst van Specially Designated Nationals van OFAC staan. Kantoren zouden hun templates voor klantrisicobeoordeling moeten bouwen of actualiseren om dit onderscheid te weerspiegelen, in plaats van een blanket 'hoog risico: digitale activa'-label op alle NFT-posities te plakken.
Reële waarde en waarderingsuitdagingen
De prijsopaciteit die NFT's aantrekkelijk maakt voor kwaadwillenden, creëert ook oprechte accounting-hoofdbrekens voor rechtmatige houders. Onder IFRS en US GAAP vereist het meten van reële waarde verwijzing naar waarneembare marktgegevens waar beschikbaar. Voor NFT's, vooral van kleinere collecties met dunne secundaire marktactiviteit, is 'waarneembare markt' een betwist concept. Auditors die financiële overzichten goedkeuren die aanzienlijke NFT-bezittingen bevatten, hebben gedocumenteerde waarderingsmethodologieën nodig die rekening houden met illiquiditeitskortingen, de afwezigheid van actieve markten en de mogelijkheid dat wash trading gerapporteerde prijzen vertekent.
Wash trading: de marktmanipulatielaag
Het rapport van Elliptic raakt ook aan marktmanipulatierisico's, met name wash trading, waarbij dezelfde partij of een gecoördineerde groep een NFT heen en weer verhandelt om de schijnbare prijs en het volume op te drijven. Voor een auditor of CFO kan de NFT-portefeuille van een klant, gewaardeerd tegen kostprijs afgeleid van recente transactieprijzen, materieel te hoog zijn weergegeven als die prijzen wash trades waren. Boekhoudsoftware voor digitale activa die ruwe transactiegegevens opneemt zonder wash-trade-detectielogica toe te passen, zal dit niet opmerken. Dit is een gebied waarop de boekhoudlaag en de compliance-laag aan elkaar moeten worden gekoppeld.
Sanctiescreening: niet langer optioneel
De concentratie van mixer-gerelateerde fondsen die via NFT-platforms stromen, gecombineerd met de OFAC-aanwijzing van Tornado Cash, betekent dat elk NFT-marktplaats of institutionele koper die geen sanctiescreening heeft geïmplementeerd, een identificeerbaar regelgevingsrisico draagt. Voor accountantskantoren die deze klanten adviseren, is de vraag niet langer of sanctiescreening vereist is, maar hoe gedetailleerd deze moet zijn. Het screenen van wallet-adressen op het moment van transactie is de basislijn; doorlopende monitoring van tegenpartij-wallets voor latere aanwijzingen is de veeleisender standaard waarvan toezichthouders steeds vaker aangeven die te verwachten.
Dit sluit direct aan op de bredere regelgevingsrichting die op internationaal niveau wordt bepaald. Onze berichtgeving over EU-regels gericht op terrorismegebruik van digitale valuta illustreert hoe snel AML-verplichtingen voor platforms met digitale activa in grote rechtsgebieden evolueren.
Wat NFT-platforms nu zouden moeten doen
De conclusie van Elliptic is duidelijk: NFT-marktplaatsen moeten proactief zijn op het gebied van risicobeheer in plaats van reactief. De reputatieschade door zelfs een klein aantal spraakmakende witwaszaken met NFT's is onevenredig aan de onderliggende statistische frequentie, juist omdat het verhaal van 'crypto als crimineel instrument' elk incident versterkt. Voor platforms vallen drie operationele prioriteiten op uit de onderzoeksresultaten.
Implementeer transactiemonitoring met mixerdetectie
Gegeven het feit dat de dominante illegale stroom naar NFT-platforms aankomt na mixer-verhulling en niet direct van criminele wallets, moet transactiemonitoring worden geconfigureerd om mixer-besmette fondsen te markeren, niet alleen directe blootstelling aan bekende illegale adressen. Dit vereist integratie van blockchain-analyses die fondsen door meerdere hops kunnen traceren en risicoscores kunnen toekennen op basis van indirecte blootstelling.
Pas KYC toe op transacties met hoge waarde
De onderzoeksperiode dateert van vóór veel van de Travel Rule- en VASP-licentiekaders die nu worden uitgerold in de EU onder MiCA, in het VK en in Azië-Pacific. Platforms die hun KYC-drempels nog niet hebben afgestemd op de toepasselijke VASP-regelgeving in hun werkgebieden, lopen zowel regelgevingssancties als het reputatierisico dat het rapport identificeert. Voor accountantsadviseurs wordt het helpen van klanten bij het in kaart brengen van hun KYC-verplichtingen onder het relevante VASP-regime steeds meer een kernadviesdienst, geen bijzaak.
Documenteer de waarderingsmethodologie voor elke materiële NFT-positie
Voor elke klant die NFT's aanhoudt tegen een waarde die materieel is voor zijn financiële overzichten, moeten auditors en CFO's aandringen op gedocumenteerde waarderingsmethodologie die rekening houdt met illiquiditeit, mogelijke wash-trading-vertekening en het ontbreken van betrouwbare marktbenchmarks voor veel collecties. Vertrouwen op de laatste verkoopprijs zonder kwalificatie is niet verdedigbaar voor auditedoeleinden.
Veelgestelde vragen
Hoeveel geld is er volgens Elliptic's onderzoek witgewassen via NFT-platforms?
Elliptic identificeerde iets meer dan $8,1 miljoen aan illegale fondsen die tussen Q4 2017 en Q2 2022 naar NFT-platforms stroomden. Bijna al deze fondsen waren afkomstig van diefstal, oplichting, phishing en ponzi-regelingen, en niet van opbrengsten van zware georganiseerde criminaliteit die direct naar NFT-marktplaatsen werden overgemaakt.
Waarom zijn mixers een groter compliance-zorgpunt voor NFT-platforms dan direct witwassen?
Omdat criminelen doorgaans fondsen verdoezelen voordat ze deze naar een marktplaats brengen, niet tijdens de NFT-handel zelf. Elliptic vond $137,6 miljoen aan mixer-gerelateerde fondsen die NFT-platforms bereikten, wat de $8,1 miljoen aan directe illegale instroom ver overtreft. Meer dan de helft van de opbrengsten van geïdentificeerde NFT-oplichtersportefeuilles ging specifiek via Tornado Cash.
Wat betekent de prijsopaciteit van NFT's voor auditors en CFO's?
NFT's uit illiquide collecties missen betrouwbare marktbenchmarks, waardoor het meten van reële waarde onder IFRS en US GAAP echt moeilijk is. Auditors hebben gedocumenteerde waarderingsmethodologieën nodig die rekening houden met illiquiditeitskortingen en het risico dat gerapporteerde prijzen zijn vertekend door wash trading. Het simpelweg gebruiken van de laatst waargenomen verkoopprijs is zonder kwalificatie niet voldoende.
Zijn NFT-platforms verplicht om sanctiescreening uit te voeren?
In de meeste grote rechtsgebieden is elk platform dat de overdracht van digitale activa faciliteert onderworpen aan toepasselijke sanctiewetten, inclusief de verplichting om te screenen tegen de SDN-lijst van OFAC en equivalente lijsten onder EU-, VK- en andere regimes. De OFAC-aanwijzing van Tornado Cash betekent dat platforms met identificeerbare blootstelling aan mixer-besmette fondsen direct sanctierisico lopen, niet alleen AML-risico.
Hoe moeten accountantskantoren NFT-gerelateerd AML-risico classificeren bij klantacceptatie?
Kantoren moeten vermijden om een blanket 'hoog risico'-label op alle NFT-blootstelling te plakken en in plaats daarvan het risico te tiereren op basis van het specifieke NFT-type, de gebruikte marktplaats, de daar toegepaste KYC-normen en elke identificeerbare mixer- of gesanctioneerd-adresblootstelling in de transactiegeschiedenis van de klant. Een gedocumenteerde, op bewijs gebaseerde risicobeoordeling is sterker, zowel voor regelgevingscontrole als voor auditdossierdoeleinden.
Bron: Elliptic