美国财政部去中心化金融非法金融风险评估

美 国

财 政 部

的

一

般

分 权 金 融 的 非 法 资 金 风 险 评 估

2023 年 4 月 分 权 金 融 的 非 法 资 金 风 险 评 估

去中心化金融的非法资金风险评估

执行摘要 本风险评估探讨了非法行为者如何滥用通常被称为去中心化金融（DeFi）的服务，以及DeFi服务所特有的各类漏洞。评估结果将为识别并弥补美国在反洗钱与反恐怖融资（AML/CFT）领域的监管、监督及执法制度中可能存在的不足提供参考。目前，即使在行业参与者之间，也尚未形成关于DeFi的普遍认可定义，亦未明确何种特征可使某项产品、服务、安排或活动被认定为“去中心化”。1 该术语广义上指代那些声称能够实现某种形式的自动化点对点（P2P）交易的虚拟资产协议与服务，通常借助基于区块链技术的“智能合约”这一自执行代码来实现。2 3 在虚拟资产行业中，这一术语常被宽泛使用，且往往指代在功能上并不真正去中心化的服务。所谓DeFi服务是否真正具备去中心化属性，取决于具体事实与情境；本风险评估发现，许多DeFi服务实际上仍由某一控制性机构进行一定程度的集中式管理与治理。评估指出，包括勒索软件网络犯罪分子、盗窃者、诈骗者以及朝鲜民主主义人民共和国（DPRK）网络行为体在内的非法行为者，正利用DeFi服务转移并清洗其非法所得。

为达此目的，这些非法行为者正在利用美国及外国AML/CFT监管、监督与执法制度中的漏洞，以及支撑DeFi服务的技术本身。尤其值得注意的是，本评估认为，当前该领域最为显著的非法金融风险来自那些未能遵守现有AML/CFT义务的DeFi服务。在美国，根据《银行保密法》（BSA）及相关法规5，金融机构负有协助美国政府机构侦查并防范洗钱活动的义务。

美国司法部（DOJ），《根据第14067号行政命令第5(b)(iii)条发布的总检察长报告：执法部门在侦查、调查及起诉与数字资产相关的刑事活动中的作用》（2022年9月），https://www.justice.gov/d9/2022-12/The%20Report%20of%20the%20Attorney%20General%20Pursuant%20to%20Section.pdf，第10页；本定义仅用于本次风险评估之目的，不应被视为《银行保密法》（BSA）或其他相关监管制度下的法定定义。第2.4节讨论了虚拟资产服务提供商（VASP）可能呈现不同程度去中心化的若干特征，通常处于动态变化的连续谱系之中。

报告中所使用的“智能合约”一词，是指部署于区块链上的代码；当该代码因区块链上的某项交易而被激活时，“将通过区块链的计算机网络得以执行，并导致区块链‘状态’发生改变。” 国际证券事务监察委员会组织（IOSCO），《IOSCO去中心化金融报告》（2022年3月），https://www.iosco.org/library/pubdocs/pdf/IOSCOPD699.pdf。

区块链是一种分布式账本技术（DLT），通过密码学方式对分组存储于区块中的交易进行签名。鉴于大多数虚拟资产均运行于区块链之上，本评估通篇采用该术语，同时承认这些资产与服务也可能运行于其他形式的DLT之上。

美国司法部，《根据第14067号行政命令第5(b)(iii)条发布的总检察长报告：执法部门在侦查、调查及起诉与数字资产相关的刑事活动中的作用》（2022年9月），https://www.justice.gov/d9/2022-12/The%20Report%20of%20the%20Attorney%20General%20Pursuant%20to%20Section.pdf，第10页。

《银行保密法》以美国联邦法典第31编第5311至5314条、第5316至5336条，以及第12编第1829b条、第1951至1959条的形式予以编纂。实施该法的相关法规则载于美国联邦法规第31编第X章。

去中心化金融非法金融风险评估

洗钱。6 《银行保密法》（BSA）对广泛的金融机构施加了此类义务，而判断某一实体（包括所谓的去中心化金融服务）是否属于受监管的金融机构，将取决于其金融活动的具体事实与情形。然而，无论该服务是中心化的还是去中心化的，只要其功能符合《银行保密法》所界定的金融机构标准，就须遵守《银行保密法》项下的各项义务，其中包括反洗钱与反恐怖融资（AML/CFT）义务。去中心化金融服务声称自身“完全去中心化”或计划如此，并不会影响其作为《银行保密法》下金融机构的身份。尽管如此，许多受《银行保密法》约束的现有去中心化金融服务并未履行反洗钱与反恐怖融资义务，这一漏洞正被非法行为人加以利用。此外，行业参与者对于反洗钱与反恐怖融资义务如何适用于去中心化金融服务缺乏统一认识，进一步加剧了相关风险。在某些情况下，行业提供者可能有意通过使虚拟资产服务去中心化来规避触发反洗钱与反恐怖融资义务，却未意识到，只要其继续提供受监管的服务，这些义务仍然适用。与此同时，一些组织结构不透明的去中心化金融服务可能会给监管带来重大挑战；

而在部分去中心化金融服务未能履行其反洗钱与反恐怖融资义务的情况下，也会影响相关法定及监管义务的执行力度。本评估建议加强美国针对虚拟资产活动（包括去中心化金融服务）的反洗钱与反恐怖融资监管，并在必要时强化执法力度，以提升虚拟资产企业对《银行保密法》义务的合规水平。同时，联邦监管机构应根据以往的指导意见、公开声明及执法行动，进一步与业界开展沟通，阐明包括证券、商品及资金汇兑等领域的相关法律法规如何适用于去中心化金融服务，并视需要采取更多监管措施，发布基于上述沟通的进一步指导文件。此外，本评估还指出，若某项去中心化金融服务超出当前《银行保密法》下金融机构的定义范围——本评估中称之为“去中介化”——则由于此类服务更少主动采取反洗钱与反恐怖融资措施，可能存在潜在风险。在某些情况下，如果某项DeFi服务不在《银行保密法》（BSA）的适用范围内，这可能导致该DeFi服务在识别并遏制非法活动以及向执法机构和其他主管当局报告可疑活动方面存在漏洞。

在全球范围内，根据反洗钱与反恐怖融资（AML/CFT）领域的全球标准制定机构——金融行动特别工作组（FATF）所确立的标准，那些缺乏对服务具有充分控制或影响力之实体的DeFi服务，可能不会被明确纳入AML/CFT义务的约束范围，7 这种情况可能会导致其他司法管辖区内的DeFi服务也面临潜在的监管空白。评估建议通过弥补《银行保密法》中已发现的任何漏洞来强化美国的AML/CFT监管制度，以确保这些漏洞不会使某些DeFi服务游离于《银行保密法》关于金融机构的定义之外。

金融犯罪执法网络（FinCEN），FinCEN指导意见，（2019年5月9日），https://www.fincen.gov/sites/default/ files/2019‑05/FinCEN%20Guidance%20CVC%20FINAL%20508.pdf。

适用于所有个人的FATF标准（如定向金融制裁）仍将适用于DeFi服务，无论其结构如何。

去中心化金融的非法融资风险评估

其他已识别的脆弱性包括：外国国家未能有效实施国际反洗钱/反恐怖融资（AML/CFT）标准，这使得非法行为者能够在缺乏相应AML/CFT要求的司法管辖区中肆无忌惮地使用去中心化金融（DeFi）服务。此外，DeFi服务普遍存在的网络安全措施薄弱问题，也导致消费者资产遭受盗窃和欺诈，进而对国家安全、消费者以及虚拟资产行业构成风险。评估建议加强与外国伙伴的沟通协作，推动其更有力地落实国际AML/CFT标准，并倡导虚拟资产企业提升网络安全实践水平，以降低上述脆弱性带来的风险。评估指出，现行美国AML/CFT监管框架，加之逐步实施适用于虚拟资产的全球AML/CFT标准，仅能在一定程度上缓解已识别的脆弱性。这一方面源于当前DeFi服务仍依赖于中心化的虚拟资产服务提供商（VASPs）8来接入法定货币；另一方面，就本报告而言，“中心化VASPs”是指那些不宣称自身为去中心化的VASPs，其内部结构通常较DeFi服务更为简单，始终处于FATF标准的监管范围之内，且相较于DeFi服务更有可能采取有效的AML/CFT措施。

此外，利用公共区块链数据并开发由行业主导的DeFi合规解决方案，也有助于降低部分非法融资风险。然而，这些措施以及公共区块链所带来的透明度本身尚不足以充分应对已识别的脆弱性，区块链分析技术亦无法取代受监管的金融中介机构实施AML/CFT管控的重要性。尽管如此，美国政府仍应进一步推动面向行业的合规工具的负责任创新，而这一方向正是私营部门许多机构正在积极探索的领域。本评估认识到，虚拟资产生态系统，包括DeFi服务在内，正经历快速变化。美国政府将继续开展研究并与私营部门保持互动，以加深对DeFi生态系统发展态势的理解，以及此类发展可能如何影响非法融资风险的威胁、脆弱性及其应对措施。最后，该评估提出了若干问题，这些问题将作为评估建议措施的一部分予以考虑，以应对非法金融风险，包括涉及那些不属于《银行保密法》（BSA）所界定的金融机构范畴的去中心化金融（DeFi）服务的处理方式，以及需要进一步明确监管的领域。美国财政部（财政部）欢迎利益相关方就这些问题提出意见。

许多中心化虚拟资产交易所采用链下运营模式，这意味着它们在内部记录交易，而非在区块链上记录，并且能够使用户将虚拟资产兑换为法定货币。

去中心化金融的非法融资风险评估

1. 引言 背景 2022年9月，美国财政部根据2022年3月9日发布的第14067号行政命令《确保数字资产的负责任发展》，公布了一份旨在降低数字资产非法融资风险的行动计划（以下简称“行动计划”）。该行动计划以财政部于2022年发布的《洗钱、恐怖主义融资及扩散融资国家风险评估报告》（以下简称“2022年NRAs”）为基础，识别了与虚拟资产相关的非法融资风险，其中包括滥用通常被称为DeFi的服务来清洗非法所得。目前，即使在业内参与者之间，也尚未形成关于DeFi的普遍接受定义，亦未就何种特征可使某一产品、服务、安排或活动被视为“去中心化”达成共识。该术语泛指那些声称能够实现某种形式自动化点对点交易的虚拟资产协议和服务，通常借助基于区块链技术的智能合约等自执行代码来实现。

风险评估概述 本风险评估旨在探讨非法行为者如何利用DeFi服务及其特有的漏洞，为识别并弥补美国反洗钱/反恐融资监管、监督和执法体系中的潜在缺口提供参考。此次针对DeFi服务的专项评估，源于2022年NRAs中发现的非法行为者滥用DeFi服务以及多数DeFi服务缺乏防范非法融资风险措施的结论，同时也受到全球范围内对DeFi相关风险日益增长的关注所推动。然而，正如2022年NRAs中所指出的，本风险评估亦承认，从交易量和交易价值来看，大多数洗钱、恐怖主义融资及扩散融资活动仍发生在法定货币领域，或通过更为传统的手段在虚拟资产生态系统之外进行。此外，本评估还强调，DeFi生态系统只是更广泛的“虚拟资产”范畴中的一个组成部分；“虚拟资产”系金融行动特别工作组（FATF）所使用的术语，涵盖可用于数字交易或转移、并可用于支付或投资目的的价值数字化表现形式，但不包括法定货币、证券及其他金融资产的数字化表现形式。

美国财政部（财政部），《应对数字资产非法融资风险行动计划》（2022年9月），https://home.treasury.gov/system/files/136/Digital-Asset-Action-Plan.pdf。

10 财政部，《财政部发布洗钱、恐怖主义融资及扩散融资国家风险评估报告》（2022年3月1日），https://home.treasury.gov/news/press-releases/jy0619。

美国司法部，《根据第14067号行政命令第5(b)(iii)条发布的总检察长报告：执法部门在发现、调查及起诉与数字资产相关的犯罪活动中的作用》（2022年9月），https://www.justice.gov/d9/2022-12/The%20Report%20of%20the%20Attorney%20General%20Pursuant%20to%20Section.pdf，第10页。

参见金融行动特别工作组，《关于实施FATF虚拟资产及虚拟资产服务提供商标准的定向更新》（2022年6月），https://www.fatf-gafi.org/media/fatf/documents/recommendations/Targeted-Update-Implementation-FATF%20 Standards-Virtual%20Assets-VASPs.pdf；多伦多大学，《G20财长和央行行长会议公报》（2022年2月18日），http://www.g20.utoronto.ca/2022/220218-finance.html；金融稳定理事会，《加密资产对金融稳定的风险评估》（2022年2月16日），https://www.fsb.org/2022/02/assessmentof-risks-to-financial-stability-from-crypto-assets/；欧洲中央银行，《深入剖析加密金融风险：稳定币、DeFi及气候转型风险》，https://www.ecb.europa.

去中心化金融非法融资风险评估

风险评估首先概述了DeFi生态系统的市场结构，随后阐明威胁行为体如何滥用DeFi服务从事并从中获利的非法活动，尤其是勒索软件攻击、盗窃、欺诈与骗局、毒品贩运以及扩散融资等。接着，评估分析了使DeFi服务被用于非法目的的各种漏洞，包括不符合反洗钱/反恐怖融资及制裁义务的DeFi服务、去中介化现象，以及部分国家未能有效落实国际反洗钱/反恐怖融资标准等问题，并在此基础上提出可缓解上述部分漏洞的应对措施。本评估还向美国政府提出了若干建议，以持续并强化针对DeFi服务相关非法金融风险的防范工作。最后，评估提出了若干待进一步研究的问题，这些问题将作为评估所建议行动的一部分予以考虑，以更好地应对非法金融风险。

2. 市场结构的定义与范围 DeFi服务常常宣称无需任何中心化的公司、团体或个人的支持即可运行，然而实际上往往存在一个控制性组织，该组织通过某种形式提供一定程度的集中式管理或治理（例如借助去中心化自治组织（DAO）13、集中化的所有权或治理权、管理密钥或其他方式14）。因此，“去中心化”的表述在准确性上存在差异；有时，这一术语更多地体现为营销宣传而非实际情况。某一所谓DeFi服务的实际去中心化程度需根据具体事实与情形加以判断。本评估旨在探讨那些自称“去中心化”或通常被称为“DeFi”的各类服务、平台、安排及产品，以全面评估与DeFi相关的各类风险。此外，本评估采用广义的“DeFi服务”一词，涵盖提供多种功能的主体，其中包括业界广泛使用的平台、交易所、应用程序、组织等多种概念。同时，本评估并不对去中心化与中心化之间的相对优劣进行评价。如前所述，有关去中心化的声明可能存在夸大，且某项DeFi服务的去中心化程度也可能随时间发生变化。

DAO可被描述为一种管理体系，其运作部分依赖于一套编码化且透明的规则或智能合约。

14 财政部，《应对数字资产非法融资风险行动计划》（2022年9月），https://home.treasury.gov/system/files/136/Digital-Asset-Action-Plan.pdf，第7页。

去中心化金融的非法金融风险评估

在本报告的范围内，两个非托管钱包持有人之间的资金转移15，若不涉及智能合约或由虚拟资产服务提供商（VASP）16提供便利，则不属于DeFi服务的范畴。17 本评估并不改变任何现行法律义务，亦不发布新的监管解释，更不确立任何新的监管预期。本报告所使用的术语旨在反映行业及市场参与者通常采用的含义，并在必要时作出适当修改与澄清。本评估中讨论的所有定义仅适用于本评估的范围之内，其目的仅为便于理解DeFi服务及其伴随的非法金融风险。

DeFi服务与反洗钱/反恐怖融资监管义务 美国的反洗钱/反恐怖融资义务取决于个人所从事的具体活动。《银行保密法》（BSA）及其实施条例规定，“金融机构”——如银行、经纪自营商、共同基金、货币服务企业（MSB）、期货佣金商（FCM）以及介绍经纪人——负有反洗钱/反恐怖融资义务。18 这些义务包括建立并实施有效的反洗钱计划（AML Program）19，以及记录保存和报告要求，其中包括可疑活动报告（SAR）的要求。20

许多虚拟资产可以由用户自行保管，并在无需任何中间金融机构参与的情况下进行转移。使用未由任何金融机构或其他虚拟资产服务提供商（VASP）托管的钱包，通常被称为“非托管”或“自托管”钱包。非托管钱包的用户可以在不借助金融机构的情况下，自行持有并转移其虚拟资产。

根据金融行动特别工作组（FATF）的定义，虚拟资产服务提供商（简称VASP）是指那些不在FATF其他建议中另有规定的自然人或法人，且作为一项业务，为另一自然人或法人或代表其从事以下一项或多项活动或操作：(i) 虚拟资产与法定货币之间的兑换；(ii) 一种或多种形式的虚拟资产之间的兑换；(iii) 虚拟资产的转移；(iv) 虚拟资产或用于控制虚拟资产的工具的保管和/或管理；以及(v) 参与并提供与发行人发行和/或出售虚拟资产相关的金融服务。在美国，VASP被归类为货币服务企业（MSB），而部分提供虚拟资产服务的企业可能需根据其所提供的具体服务向联邦相关职能监管机构登记。

直接的点对点（P2P）转账不包括涉及P2P服务提供商的转账；这些P2P服务提供商通常是从事虚拟资产买卖而非保管虚拟资产或以自身名义进行P2P转账的自然人。P2P服务提供商可能因其具体的商业模式而面临不同的监管要求；美国财政部，《应对数字资产非法融资风险行动计划》，（2022年9月），https://home.treasury.gov/system/files/136/DigitalAsset-Action-Plan.pdf，第6页。

31 U.S.C. § 5312(a)(2)；31 C.F.R. § 1010.100(t)。

参见《美国联邦法规》第31编第1020.210条（银行）；第31编第1021.210条（赌场和扑克俱乐部）；第31编第1022.210条（货币服务业务）；第31编第1023.210条（证券经纪商或交易商）；第31编第1024.210条（共同基金）；第31编第1026.210条（期货佣金商及商品介绍经纪人）。反洗钱计划至少应当包括：(a) 合理设计以确保遵守《银行保密法》及其实施条例各项规定的政策、程序和内部控制措施；(b) 独立的合规性测试；(c) 指定一名或多名负责人，负责实施并监督相关运营及内部控制措施；以及(d) 针对相关人员的持续培训。部分金融机构的相关规定还提及了反洗钱计划的其他要素，例如基于风险的适当程序，用于开展持续的客户尽职调查。

参见《美国联邦法规》第31编第1020.320条（银行）；第31编第1021.320条（赌场和扑克俱乐部）；第31编第1022.320条（货币服务业务）、第31编第1023.320条（证券经纪商或交易商）、第31编第1024.320条（共同基金），以及第31编第1026.320条（期货佣金商及商品介绍经纪人）。若某项可疑交易由该金融机构进行、尝试进行，或通过该机构完成，且涉及金额超过特定门槛，则必须予以报告。

去中心化金融的非法资金风险评估

一个人所从事的活动性质，是决定其是否以及如何必须向商品期货交易委员会（CFTC）（针对商品期货经纪商和介绍经纪人）、金融犯罪执法网络（FinCEN）（针对货币服务业务）或证券交易委员会（SEC）（针对经纪自营商和共同基金）进行注册的关键因素。尽管某人的中心化程度可能会影响其所提供的服务，但凡从事《银行保密法》（BSA）所界定的金融机构活动者，无论其为集中式还是去中心化模式，均需承担相应义务。例如，若一项DeFi服务全部或大部分业务在美国境内开展，并通过任何方式接受并转移虚拟资产从一人至另一人或某一地点，则该服务极有可能被认定为货币传输机构，从而承担与以法定货币提供服务的货币传输机构相同的反洗钱/反恐融资义务。21 只要该服务符合上述定义，其去中心化的程度对其相关义务并无影响。业界认为，该领域尚缺乏足够的监管明确性。业界常指出，对于何谓证券、应向哪些监管机构登记，以及其DeFi服务是否符合《银行保密法》或其他监管框架下金融机构的定义等问题，均存在模糊不清之处。

此外，业界还曾公开向美国财政部寻求进一步澄清：软件部署何时构成《银行保密法》项下的受规制活动。对此，CFTC、FinCEN及SEC否认存在监管不明确的说法，强调其在过去十年间已发布多项指导意见22，并且就CFTC与SEC而言，还对未履行监管义务的所谓DeFi服务采取了执法行动23。通过公开声明、指导文件及执法举措，这些机构已明确表示：借助智能合约或计算机代码实现某些功能的自动化，并不影响提供受规制服务的金融机构所应承担的义务。24 此外，作为美国人的DeFi服务，无论身处何地，均须遵守由美国财政部海外资产控制办公室（OFAC）管理和执行的经济制裁制度；而非美国人亦在特定情形下负有遵守OFAC制裁规定的义务。无论交易以虚拟资产还是传统法定货币计价，制裁合规义务均无差别。25 另外，

请参见《美国联邦法规》第31编第1010.100条第ff款第(5)项第(i)目。当DeFi服务从事货币传输活动时，货币传输机构的定义将适用于该DeFi服务本身、其所有者或运营者，或者二者兼而有之。FinCEN，《FinCEN指导意见》（2019年5月9日），https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20Guidance%20CVC%20FINAL%20508.pdf，第18页。

例如，请参见：SEC，《创新与金融科技战略中心（FinHub）》，https://www.sec.gov/finhub；SEC，《加密资产》，https://www.investor.gov/additional-resources/spotlight/crypto-assets；FinCEN，《FinCEN指导意见》（2019年5月9日），https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20Guidance%20CVC%20FINAL%20508.pdf；SEC、CFTC、FinCEN及SEC领导人就涉及数字资产的活动发表联合声明（2019年10月11日），https://www.sec.gov/news/public-statement/cftc-fincen-secjointstatementdigitalassets；FinCEN，《FinCEN法规对管理、兑换或使用虚拟货币者的适用》（2013年3月18日），https://www.fincen.

SEC，《加密资产与网络执法行动》，https://www.sec.gov/spotlight/cybersecurity-enforcement-actions。

例如，请参见：SEC，《SEC发布调查报告，认定DAO代币属于证券》，https://www.sec.gov/news/press-release/2017-131。

OFAC，《常见问题解答：关于虚拟货币的问题》第560条，https://home.treasury.gov/policy-issues/financialsanctions/faqs/560。

去中心化金融的非法资金风险评估

2021年，美国财政部海外资产控制办公室（OFAC）发布了《虚拟货币行业制裁合规指南》，26 详细阐述了制裁合规义务、报告要求及最佳实践。此后，OFAC又陆续发布了多份与制裁合规义务及虚拟资产相关的常见问题解答。27

市场概览：DeFi的构成要素

在DeFi领域，金融产品和服务通常借助智能合约，并涉及多个相互交互的技术层级。为本报告之目的，DeFi技术被划分为四个“层次”：结算层——包括Layer 128 和 Layer 229 解决方案在内的区块链，用于维护区块链的共识状态，即记录交易并使参与者和智能合约拥有可持有虚拟资产并与他人及智能合约交互的地址；资产层——在DeFi服务中使用的虚拟资产（如币种和代币），包括原生代币；协议层——部署于区块链并由其执行的代码，包括智能合约，也可能包含辅助软件；应用层——前端用户界面、应用程序编程接口（API）以及其他允许参与者与智能合约交互的代码，主要运行于链外。30

市场参与者及其运作方式

DeFi服务往往向客户提供与传统金融机构相同的服务和产品，例如借贷、融资、购买或交易虚拟资产，其中也包括作为证券、商品、衍生品或其他金融产品（如保险）的资产。然而，一些专属于虚拟资产生态系统的特定服务，如混币器（通过功能上混淆虚拟资产交易的来源、目的地或金额）以及跨链桥（允许用户将虚拟资产或信息从一条区块链转移到另一条区块链），亦可能宣称具有去中心化特性。26 财政部，《虚拟货币行业制裁合规指南》（2021年10月），https://home.treasury.gov/ system/files/126/virtual_currency_guidance_brochure.pdf。

Layer 1指结算层区块链。

Layer 2解决方案是在结算层区块链之上运行的网络软件，旨在与底层Layer 1区块链实现互操作性。这些Layer 2解决方案允许交易在独立网络中进行，并最终记录于相应的区块链上。例如，以以太坊为基础运行的Layer 2解决方案常被宣传为比Layer 1交易更便宜、更快捷。IOSCO，《IOSCO去中心化金融报告》（2022年3月），https://www.iosco.org/library/pubdocs/pdf/IOSCOPD699.pdf，脚注7。

IOSCO，《IOSCO去中心化金融报告》（2022年3月），https://www.iosco.org/library/pubdocs/pdf/IOSCOPD699.pdf。

去中心化金融的非法金融风险评估

提供DeFi服务的实体可能多达数千家，但其中仅有少数几家拥有显著的用户活跃度31或已向监管机构注册。据一家常被引用的数据聚合平台统计，截至2022年12月19日，全球范围内共有超过2,000个DeFi服务，其合计报告的“总锁定价值”（TVL）32达到397.7亿美元33。在各类DeFi服务中，最为突出的是促进虚拟资产交易的服务，通常被称为去中心化交易所34（DEX）。据报道，截至2022年12月19日，共有649个独立的DEX，其合计报告的TVL达158.5亿美元35。紧随DEX之后，借贷类DeFi服务的TVL最高，为108.5亿美元，涉及197个独立服务；此外，还有60个协议通过让用户在其平台上质押36虚拟资产来支付奖励——即所谓的“收益协议”，其报告的TVL超过86.6亿美元37。其余服务还包括跨链桥、流动性质押以及算法稳定币等，具体分类详见下表。尽管上述统计数据表明DeFi服务是虚拟资产生态系统的重要组成部分，但它们仅占虚拟资产市场总体活动的一小部分。

据另一家数据聚合平台统计，2023年1月初，虚拟资产市场的24小时总交易量为297亿美元，而DEX仅占该总量的3%38。

31 美国财政部，《加密资产：对消费者、投资者和企业的潜在影响》（2022年9月），https://home.treasury.gov/ system/files/136/CryptoAsset_EO5.pdf，第11页。 32 TVL是一项行业通用指标，指用户资金存入或“锁定”于某一DeFi服务中的金额，常被用作衡量DeFi市场规模或用户采用与接受程度的参考。然而，TVL信息未经审计或核实，可能存在重复计算的情况，因此未必是可靠的衡量标准。参见国际货币基金组织，《全球金融稳定报告：新冠疫情、加密货币与气候变化》（2021年），https://www.imf.org/en/Publications/GFSR/Issues/2021/10/12/globalfinancial-stability-report-october-2021。 33

Defi Llama，《TVL排名》，https://defillama.com。

在本评估中使用“交易所”一词，并不意味着相关平台已依法注册或具备任何法律地位。此定义仅用于风险评估目的，不应被视为依据《银行保密法》或其他相关监管制度下的监管定义。

Defi Llama，《TVL排名》，https://defillama.com。

虚拟资产质押是指将虚拟资产作为抵押品，参与权益证明（Proof of Stake）区块链共识机制。被质押的虚拟资产可能会因向区块链添加无效交易而被销毁，但质押者则可因验证区块链上的交易而获得奖励。

同上。

CoinGecko，《按24小时交易量排名的顶级去中心化交易所》，访问日期：1月10日，https://www.coingecko. com/en/exchanges/decentralized。

去中心化金融的非法金融风险评估

以下图表展示了各类DeFi服务及其提供的具体功能。表1 服务

服务提供商 描述 示例

交易

去中心化交易所（DEX）

通过订单簿交易或流动性池促进虚拟资产的交换；将存款存入流动性池，并支付相应的利息或其他费用。39

借贷

DeFi借贷服务

允许虚拟资产持有者通过将其资产存入流动性池来获取固定或浮动收益，同时允许其他参与者借入这些资产用于其他金融活动。40 相关地，部分服务还提供“质押即服务”，即由服务商接受并质押虚拟资产，以参与权益证明共识机制。此外，一些服务还提供“流动性质押”服务，即服务商代为质押用户的虚拟资产，并通常发行一种与质押资产相对应的“流动性质押衍生品”虚拟资产，用户可因此获得部分质押奖励或交易手续费。

跨链访问

跨链桥

通过允许用户在不同区块链之间交换虚拟资产或信息，促进网络间的互操作性。

混币

去中心化混币器

在功能上混淆虚拟资产交易的来源、目的地或金额。此类服务可能采用中心化或去中心化的机制，并可通过多种技术实现。41

聚合

聚合器

查询多种DeFi服务，为用户汇总最优的交易条件或其他活动安排，通常可在单一用户界面上查看；部分聚合器还可根据用户设定的参数对交易进行路由处理。42

链下信息提供

预言机

将智能合约与“链下”数据相连接，例如股票价格或链下抵押品价值，这些数据可作为该智能合约运行的输入要素。43

所谓稳定虚拟资产

算法稳定币协议

宣称通过特定协议维持稳定币的价值，根据市场需求变化调整其供应量。44

国际证监会组织（IOSCO），《去中心化金融报告》，（2022年3月），https://www.iosco.org/library/pubdocs/pdf/IOSCOPD699.pdf，第14页。

同上。

美国金融犯罪执法网络（FinCEN），《2021年1月至6月期间银行保密法数据中的勒索软件趋势分析》，（2021年10月），https://www.fincen.gov/sites/default/files/2021-10/Financial%20Trend%20Analysis_Ransomeware%20508%20FINAL.pdf，第13页。

国际证监会组织（IOSCO），《去中心化金融报告》，（2022年3月），https://www.iosco.org/library/pubdocs/pdf/IOSCOPD699.pdf，第15-16页。

同上，第8页及第33页。

金融稳定委员会（FSB），《全球稳定币安排的监管、监督与治理》，（2020年10月13日）；可访问：https://www.fsb.org/wp-content/uploads/P131020-3.pdf。

去中心化金融的非法资金风险评估

在DeFi服务中，上述所定义的各类活动通常由流动性池来实现。用户将其资产汇集并锁定于该服务的智能合约之中，45 DeFi服务由此得以获取虚拟资产，用于交易、借贷及其他金融服务。在去中心化交易所（DEX）的情形下，流动性池的资金来源于参与者，这些参与者可能因获得DEX收取的部分手续费而受到激励。流动性提供者为锁定其资产，可从服务方获得一种独立的虚拟资产，通常被称为“流动性提供者代币”（LP代币），该代币赋予其对池内资产及其累积费用享有的相应权益。46 其他用户通过DEX访问流动性池后，即可将一定数量的一种虚拟资产兑换成另一类虚拟资产。对于此类DEX而言，代币之间的兑换比率通常由算法设定。47 用户使用该服务时往往需支付一定费用，该费用会与LP代币持有者进行分配。同样地，在流动性质押领域，用户将其虚拟资产质押于DeFi服务，并因此获得一种独立的虚拟资产，该资产代表被质押的虚拟资产以及来自区块链上验证交易之质押服务所产生的任何累积费用。

由于LP代币及代表质押资产的虚拟资产可在不同主体之间进行互换，因此，除最初质押该资产的用户之外的其他主体亦可赎回LP或其他代币，以换取最初锁定于流动性池中的资产。用户出于多种原因选择通过DeFi服务而非中心化交易所进行资产交易。DEX可能宣称具备某些效率优势，例如便捷接入其他DeFi服务、获取种类繁多的虚拟资产或把握套利机会；然而，在某些情况下，其所谓的优势或许仅源于未能遵守相关法律法规，包括美国的反洗钱/反恐融资义务及制裁法规。例如，使用DEX时，用户通常无需提供个人信息，而这在许多设有反洗钱/反恐融资及制裁合规机制的中心化交易所中却是普遍要求。此外，部分DeFi服务的用户表示，他们看重运行于公有区块链上的DeFi服务所具有的透明性，认为能够查看并确认交易记录，并且在许多情形下还可查阅DeFi服务的源代码。

集中式要素 尽管许多服务自称“完全去中心化”，但在实践中，从完全“集中式”到完全“去中心化”的服务之间仍存在广泛的活动范围。某一服务在该谱系中的具体位置，可能受多种因素影响，其中包括DeFi服务的治理结构、服务的接入点以及其所依托的结算层等。此外，DeFi服务在其发展过程中也可能逐步趋向更加去中心化；例如，许多DeFi服务起初以中心化项目起步，旨在随时间推移逐步实现去中心化，反之亦然。45

如下文第2.5节托管部分所述，当用户将资产锁定于智能合约时，即已将其对该资产的管理权移交至智能合约，而智能合约的代码则规定了该资产的交易方式。

国际证监会组织（IOSCO），《去中心化金融报告》，（2022年3月），https://www.iosco.org/library/pubdocs/pdf/IOSCOPD699.pdf，第14页。

卡拉佩拉、杜马斯、格尔岑、韦姆及沃尔，《去中心化金融（DeFi）：变革潜力与相关风险》，波士顿联邦储备银行，工作论文，SRA 22-02，（2022年9月8日），https://www.federalreserve.gov/econres/feds/files/2022057pap.pdf，第12页。

去中心化金融的非法金融风险评估

与美国政府此前发布的报告一致，本风险评估发现，去中心化金融（DeFi）服务在许多情况下更多只是名义上的去中心化，而非实质性的去中心化。尽管如此，对于那些采用不透明组织架构开发的DeFi服务而言，识别对其负有责任的自然人或法人实体可能更为困难。

治理

许多DeFi服务声称并不依赖于正式的集中式治理结构，其组织者也常常宣称以自治方式运行。然而，在实践中，许多DeFi服务仍然保留了某种形式的治理机制（例如管理职能、修复代码中的问题，或在一定程度上调整智能合约的功能）。在某些情况下，DeFi服务的所有者或运营者会持有管理密钥，这使得持有人能够根据具体情况修改或禁用该DeFi服务的智能合约。

“然而，在实践中，许多DeFi服务仍然保留了某种形式的治理机制（例如管理职能、修复代码中的问题，或在一定程度上调整智能合约的功能）。”具体而言，这些治理机制的实现方式取决于智能合约的设计。在其他情形下，治理则被宣称由DAO负责；DAO可被视为一种管理体系，其部分运作依据一套编码明确且透明的规则或智能合约。DAO参与者通常声称，DAO不存在中央权威，治理权分散于全体参与者之间。DAO的治理代币48——以及更广义上的DeFi治理（或投票）代币——旨在使不同参与者能够提出并表决有关区块链或协议功能的提案。治理代币通常可在去中心化交易所（DEX）或中心化交易所中交易，以换取法定货币或其他数字资产。不同DeFi服务中，治理代币持有者的权力与权限存在差异。例如，在某些情况下，治理代币持有者可能被允许投票决定是否修改DeFi服务的智能合约；而在另一些情况下，投票权限则较为有限，仅能就代币持有者如何提出或表决相关决策，或LP代币持有者所累积费用的数额等问题进行表决。此外，治理代币持有者提出和表决决策的具体流程亦不尽相同。

对于某些DeFi服务，所有治理代币持有者均可对某项提案进行投票，但只有持有特定比例代币的持有者才有资格提交提案供表决。而决定通过所需的票数比例以及决策实施的方式，同样因DeFi服务而异。在某些情况下，经投票通过的决议将由智能合约自动执行；而在另一些情况下，则由拥有管理密钥的所有者或运营者负责落实相关决议。

国际证监会组织（IOSCO），《去中心化金融报告》，2022年3月，https://www.iosco.org/library/pubdocs/pdf/IOSCOPD699.pdf，第24页。

去中心化金融非法融资风险评估

此外，治理代币的分配与集中程度体现了对去中心化应用的控制权。在某些服务中，治理代币或投票权可能高度集中于少数主体手中。DeFi 服务的开发者和早期投资者可通过将大量治理代币分配给自己，或以其他方式维持事实上的控制，从而继续掌控该服务。49 治理代币持有者参与投票的比例较低，也可能导致影响力集中，从而使少数积极参与的代币持有者获得不成比例的投票权。此外，部分服务允许将治理代币所附带的投票权委托给他人（称为“代表”），而代币持有人仍保留该代币的经济收益。50 在某些情况下，代表们因持有大量治理代币而累积了显著的投票权，这种模式可能导致极少数代表掌握 DeFi 服务的大部分投票权。51 在这一框架下，治理代币的使用并不必然意味着相关服务决策的去中心化，许多治理代币的投票权归属往往高度集中。52 因此，在许多情形下，即便治理结构表面上宣称去中心化，实际上仍可能由少数人行使高度控制权。2016 年 4 月成立的风险投资基金 The DAO 的案例表明，DAO 的使用及其表面的投票权分配，并不必然等同于去中心化的决策机制；

即使声称实现去中心化，其仍可能受到监管义务的约束。53 在该案例中，发起 The DAO 的核心团队选择了“策展人”，他们在投票前审查提案，拥有决定是否将提案提交给 DAO 代币持有者的最终裁量权，并可对投票流程进行修改。此外，核心团队还公开表示将向 The DAO 提交首个提案。鉴于上述及其他关键事实，美国证券交易委员会认定，The DAO 的投资者依赖于核心团队及策展人的管理与创业努力来运营 The DAO，并提出能够为投资者带来收益的项目提案。该案的事实与情形支持 SEC 认定 DAO 代币属于证券，且 The DAO 作为证券发行人，须就 DAO 代币的发行与销售履行注册义务。

参见例如：Danny Nelson & Tracy Wang，《匿名大师：一名加密开发者如何伪造了一个 DeFi 生态系统》，Coindesk（2022 年 8 月 4 日），https://www.coindesk.com/layer2/2022/08/04/master-of-anons-how-a-crypto-developer-faked-a-defiecosystem。关于去中心化金融中治理机制的进一步讨论，参见 Sirio Aramonte、Wenqian Huang 和 Andreas Schrimpf，《上文第 29 条注释》，第 27–29 页。另请参阅 Igor Makarov 和 Antoinette Schoar，《加密货币与去中心化金融（DeFi）》，布鲁金斯学会（2022 年），https://www.brookings.edu/wpcontent/uploads/2022/03/SP22_BPEA_MakarovSchoar_conf-draf.pdf。

参见国际证监会组织（IOSCO）《去中心化金融报告》（2022 年 3 月），https://www.iosco.org/library/pubdocs/pdf/IOSCOPD699.pdf，第 41 页。

同上。

一项最新分析发现，在若干主要 DAO 中，不足 1% 的代币持有者控制着 90% 的投票权。参见 Chainalysis，《剖析 DAO：Web3 的所有权出奇地集中》，2022 年 6 月 27 日，https://blog.chainalysis.com/reports/web3-daos-2022。此外，用户要提出新提案，所需持有的治理代币数量或被委托的代币数量可能极高。

美国证券交易委员会依据《1934 年证券交易法》第 21(a) 条发布的调查报告——《The DAO》，2017 年 7 月 25 日，https://www.sec.gov/litigation/investreport/34-81207.pdf。

去中心化金融的非法金融风险评估

美国商品期货交易委员会（CFTC）针对bZeroX, LLC及其创始人和其继任实体Ooki DAO采取的执法行动指出，参与DAO治理程序的个人可能被视为非公司制协会的成员，从而可能就该协会的债务承担个人责任。如下文所述，CFTC于2022年9月发布了一项命令，同时对bZeroX, LLC及其两名创始人因违反《商品交易法》（CEA）及相关CFTC法规的行为提起指控并达成和解；与此同时，CFTC还向联邦法院提起诉讼，指控Ooki DAO存在同样的违法行为。作为该案的一部分，CFTC的命令认定Ooki DAO为一个由两名创始成员积极参与的非公司制协会，因此这两名创始成员应对Ooki DAO的违法行为承担个人责任。54 同样，在一项联邦法院案件中，美国加利福尼亚北区联邦地区法院在确认CFTC已有效送达相关文件给Ooki DAO后，裁定Ooki DAO根据适用法律具备以非公司制协会身份被起诉的能力。55

应用层

尽管DeFi服务的用户可以通过直接与区块链上的智能合约交互来开展各类活动，但用户通常依赖于一些应用程序或网站，这些工具使与DeFi服务的交互更加友好，并且可能包含用于辅助交易决策的分析功能。在大多数情况下，应用程序开发者对于提升DeFi服务的可用性至关重要。即使应用程序开发者声称并未对DeFi服务的智能合约行使“控制”，或者并非参与其治理结构的代币持有者，他们仍能显著影响用户有效使用DeFi服务的程度。例如，Polymarket是一家提供基于事件的二元期权交易的在线平台，56 为支持其市场运行部署了智能合约。57 虽然用户可以直接与智能合约进行交易，但要实现这一目标，他们必须通过Polymarket的网站进行操作，因为Polymarket每一份二元期权的标的——无论是政治事件还是比特币未来价格——都只能通过Polymarket网站明确识别。由此可见，通过应用程序提供的信息对于利用DeFi基础设施进行的交易而言至关重要。

CFTC，《CFTC对bZeroX, LLC及其创始人处以25万美元罚款，并指控其继任实体Ooki DAO从事非法场外数字资产交易、违反注册规定以及未遵守《银行保密法》》，（2022年9月22日），https://www.cftc.gov/PressRoom/PressReleases/8590-22。

CFTC诉Ooki DAO案，案号3:22-cv-05416-WHO，2022 WL 17822445，第*5-12页（加利福尼亚北区联邦地区法院，2022年12月20日）。

根据该命令，Polymarket通过其网站向公众提供了“根据自己的信念下注”的机会，即买卖与未来某一事件相关的二元期权合约，此类合约可采用“是”或“否”的方式作出判断，例如：“以太坊（ETH）是否会在7月22日突破2,500美元？”、“美国7月22日当天的新冠肺炎病例7天平均数是否会低于15,000例？”、“特朗普是否将赢得2020年美国总统选举？”参见CFTC，《CFTC责令基于事件的二元期权市场运营商支付140万美元罚款》，（2022年1月3日），https://www.cftc.gov/PressRoom/PressReleases/8478-22。

CFTC，《依据〈商品交易法〉第6(C)及(D)条启动调查程序、作出认定并施加补救性制裁的命令》，（2022年1月3日），https://www.cftc.gov/media/6891/enfblockratizeorder010322/download；有关CFTC对Polymarket提起的诉讼及达成和解的相关详情，请参阅本报告第4.1节。

去中心化金融的非法资金风险评估

结算层

区块链在去中心化程度上也存在差异。大多数运行DeFi服务的区块链都是无需许可的，这意味着用户无需事先获得批准即可参与网络活动。58 然而，某些区块链在其共识机制中仅允许有限数量的参与者（通常称为验证者）来确认已发生的交易并将其记录到区块链上。尽管拥有少量验证者的区块链能够实现更快的结算速度并可能降低费用，但这也可能导致交易审批决策权的集中化。这可能会使一小部分人得以决定哪些类型的交易被区块链所支持，包括是否批准特定交易或确定交易的结算顺序。例如，拥有足够挖矿算力或质押虚拟资产的人59 可以将自己的交易优先于其他交易进行处理。即便是在拥有数十万验证者的区块链中，如果一小部分人掌握了大部分挖矿算力、质押的虚拟资产、拟议的交易区块或其他控制共识机制的手段，同样可能出现权力集中的情况。

托管 一些DeFi服务声称允许用户通过自己的数字钱包自行托管其虚拟资产，并宣称用户在与该DeFi服务交互期间始终对其虚拟资产保持控制。然而，用户对虚拟资产的实际掌控权仍取决于其所参与的DeFi服务类型。在许多DeFi服务中，用户需要将虚拟资产存入或锁定在智能合约中。在某些情况下，如前所述，个人、团体或实体会持有该智能合约的管理密钥，或者以其他方式能够修改智能合约，从而对参与者的资产产生实际控制。60 例如，在上文提到的bZx DAO/Ooki DAO案例中，DAO能够访问并控制相关bZx协议智能合约的运行及其所持有的资金。61 管理密钥的使用由DAO代币持有者的投票决定。

美国总统金融市场工作组、美国联邦存款保险公司及美国货币监理署，《关于稳定币的报告》（2021年11月），https://home.treasury.gov/system/files/136/StableCoinReport_Nov1_508.pdf，第13页。

挖矿算力是指在工作量证明模型下，验证者通过完成数学计算（这一过程需要昂贵的计算机设备和大量能源）来记录并验证区块链上的交易的能力。通常而言，验证者拥有的挖矿算力或质押的虚拟资产越多，其负责批准区块链交易并获取交易费用的频率就越高。

国际证监会组织（IOSCO），《国际证监会组织去中心化金融报告》（2022年3月），https://www.iosco.org/library/pubdocs/pdf/IOSCOPD699.pdf，第22-23页。

美国商品期货交易委员会诉Ooki DAO案，投诉书第41.d段，案号3:22-cv-05416，ECF第1号文件（加利福尼亚州北区法院，2022年9月22日）。

去中心化金融的非法金融风险评估

3. 非法金融威胁 包括网络犯罪分子和诈骗者在内的非法行为体滥用去中心化金融（DeFi）服务来洗白非法所得。他们还利用网络安全漏洞，入侵DeFi服务以窃取虚拟资产。特别是朝鲜，在美国、欧洲及联合国制裁机制的压力下，越来越多地从中心化虚拟资产服务提供商（VASP）和DeFi服务中窃取虚拟资产。下文将更详细探讨朝鲜及其他行为体对DeFi服务的滥用情况。本评估并未专门讨论DeFi服务在恐怖主义融资中的潜在作用。本次风险评估大量参考了美国财政部在其研究中识别并分析的案例实例。然而，这些案件的最终裁决与公开讨论往往需要数年时间才能完成。鉴于DeFi市场发展与扩张的时间尚短，本评估能够纳入的案例数量相对有限。不过，案例数量并不反映本评估所识别的风险水平。此外，本次风险评估还基于与多个美国政府部门及机构的磋商，以及对财政部于2022年9月发布的《行动计划》配套发布的《征求意见函》所收到的75余份回复（详见方法论附录A）。

洗钱活动 已有多起案例表明，包括勒索软件攻击者、盗贼、诈骗分子以及毒品贩子在内的各类行为体利用DeFi服务转移并清洗其非法所得。这些行为体采用多种技术和手段实现上述目的，例如：将虚拟资产兑换为在虚拟资产领域更易使用或更难追踪的其他虚拟资产，有时借助跨链桥将其转换为运行于其他区块链上的资产；通过混币器发送虚拟资产；或将虚拟资产存入流动性池以达到分层效果。犯罪分子通过DeFi服务采取的行动未必完全出于刻意掩饰的目的，也可能只是为了转移从DeFi服务中盗窃所得的非法资金。就本报告而言，此类行为被归入洗钱章节，因其属于使犯罪分子得以从其犯罪活动中获利的整体流程的一部分。尽管恶意行为体利用DeFi服务进行洗钱的总体目标不变，但其具体手段可能不断更新，例如通过“链跳”等方式实施洗钱。在许多情况下，犯罪分子无需提供客户身份信息即可使用DeFi服务达成上述目的，这使得DeFi服务较之更倾向于落实反洗钱与反恐融资措施的中心化VASP更具吸引力。这些洗钱手法给调查人员追查非法资金来源带来了诸多挑战，且多数行为体往往会同时运用多种技术手段。

其复杂程度通常取决于行为体自身的技术经验及其对虚拟资产和DeFi服务的熟悉程度。然而，执法部门也观察到一些技术水平较低的行为体同样采用了以下部分技术手段。•

去中心化交易所（DEX）与跨链桥：非法行为体经常利用DeFi服务，如去中心化交易所（DEX），将一种虚拟资产转换为另一种虚拟资产。如上所述，此举可能出于多种原因，包括兑换为流动性更高、交易量更大且更易于变现为法定货币的资产。这一做法类似于

去中心化金融非法金融风险评估

如何使非法行为者能够将被盗资金以一种使用较少的法定货币兑换成更广泛接受的美元，或兑换成另一种能够帮助其规避美国制裁的货币。犯罪分子还可能利用去中心化交易所（DEX）将虚拟资产兑换为与跨链桥、混币器或其他DeFi服务兼容的另一种虚拟资产；或将一种虚拟资产兑换为另一种在反洗钱措施方面较弱或控制较为分散的虚拟资产；或者兑换为更难追踪的资产。行为者可能会选择将其非法所得兑换成多种不同的资产，有时还会通过不同的DEX获取更有利的兑换汇率，并以此实现洗钱手段的多样化。此外，非法行为者还可以进行“链跳”操作，即在一个区块链上将虚拟资产兑换为另一个区块链上的虚拟资产，这一过程可通过DEX或聚合器完成，亦或直接与跨链桥交互。链跳操作可使主管当局更难以追踪相关金融交易，也使服务提供商更难识别流入资金是否与非法活动有关。尤其当行为者使用某些特定资产或区块链时，由于当前区块链分析技术的局限性，这种追踪难度会进一步增加。•

混币器：犯罪分子还利用虚拟资产混币器来在功能上掩盖交易的来源、目的地或金额。混币器可通过多种机制实现上述目的，包括：将来自多个个人、钱包或账户的虚拟资产汇集或聚合为单笔或多笔交易；将一笔资金拆分为多笔小额资金，并以一系列独立的小额交易形式转移虚拟资产；或借助代码协调、管理或操控交易结构等其他方式。62 混币服务通常被宣传为规避反洗钱/反恐怖融资（AML/CFT）要求的一种手段，且几乎从未具备或愿意应监管机构或执法部门的要求提供由此产生的交易链条或作为交易一部分所收集的相关信息。63 因此，混币器能够在功能上模拟客户将资金从匿名账户存入金融机构的统账账户，再从该账户提取至另一个匿名账户的情形。

流动性池：非法行为者可以将其犯罪所得投入DeFi服务的流动性池中，这些资产将为该服务上的交易提供流动性支持。如前所述，流动性提供者通常会将其虚拟资产锁定于流动性池内，并可能获得由该DeFi服务产生的部分手续费或其他形式的回报或利息。64 通过将资金投入流动性池，行为者还可从交易费用中获取收益。

在犯罪分子利用DeFi服务对资金进行分层处理或将其转换为所需虚拟资产后，他们可能会借助中心化虚拟资产服务提供商（VASP）将虚拟资产兑换为法定货币。通常，这些VASP的反洗钱/反恐怖融资管控薄弱甚至缺失，且运营或注册地往往位于境外。62

以上描述仅用于本次风险评估之目的，不应被视为依据《银行保密法》（BSA）或其他相关监管制度下的监管性说明。

例如，请参见美国财政部首次对虚拟货币混币器实施制裁并针对朝鲜网络威胁发布声明（2022年5月6日），网址：https://home.treasury.gov/news/press-releases/jy0768；以及美国金融犯罪执法网络（FinCEN）首次因违反反洗钱法律而处罚比特币“混币器”（2020年10月19日），网址：https://www.fincen.gov/news/news-releases/first-bitcoinmixer-penalized-fincen-violating-anti-money-laundering-laws。

国际证监会组织（IOSCO）发布的《去中心化金融报告》（2022年3月），网址：https://www.iosco.org/library/pubdocs/pdf/IOSCOPD699.pdf，第14页。

去中心化金融非法资金风险评估

或总部位于尚未有效实施虚拟资产国际反洗钱/反恐怖融资标准的司法管辖区。65 在其他情况下，洗钱者并非将虚拟资产兑换为法定货币，而是将其闲置于流动性池或非托管钱包中，或者直接利用这些虚拟资产为未来的犯罪活动提供资金。例如，网络犯罪分子在某些情形下可以使用虚拟资产购买技术工具、基础设施或服务，以支持进一步的攻击或漏洞利用。下文将详细阐述犯罪分子利用去中心化金融（DeFi）服务从其非法活动中获利的若干主要威胁。在以下许多案例中，不法分子不仅通过DeFi服务清洗或兑换非法所得，还借助对DeFi服务的黑客攻击和盗窃行为实施基础性上游犯罪。

勒索软件

近年来，勒索软件攻击的严重性和复杂程度显著上升。66 勒索软件已成为国家安全优先事项，也是美国政府高度关注的领域，因其可能造成的生命损失、经济损失以及关键基础设施的脆弱性。67 美国金融犯罪执法网络（FinCEN）对可疑交易报告（SAR）数据的分析显示，2021年与2020年相比，报告的勒索软件相关事件数量翻了一倍以上，2021年涉及勒索软件的报告金额接近8.86亿美元。68 根据同一分析，勒索软件攻击者越来越多地瞄准大型企业以索取更高额的赎金，其中勒索软件相关支付的中位数金额达到13.5万美元。69 勒索软件攻击者可利用DeFi服务将勒索软件相关支付中的虚拟资产兑换成其他虚拟资产，并通过去中心化混币工具掩盖资金流向。70 例如，某区块链分析公司发现，一个跨链桥被用于清洗来自超过13种勒索软件变种的非法收益。据该报告统计，2022年上半年，勒索软件攻击者通过该跨链桥洗钱超过5,000万美元。71

FATF，《关于落实FATF虚拟资产及虚拟资产服务提供商标准的专项更新》（2022年6月），https://www.fatf-gafi.org/media/fatf/documents/recommendations/Targeted-Update-ImplementationFATF%20Standards-Virtual%20Assets-VASPs.pdf。

参见互联网犯罪投诉中心年度报告，包括：(1) 2021年IC3年度报告；(2) 2020年IC3年度报告；(3) 2019年IC3年度报告；以及(4) 2018年IC3年度报告。

67 财政部，《国家反洗钱风险评估》（2022年2月），https://home.treasury.gov/system/files/136/2022National-Money-Laundering-Risk-Assessment.pdf；财政部，《作为全政府努力的一部分，继续开展打击勒索软件行动》（2021年10月15日），https://home.treasury.gov/news/press-releases/jy0410；美国司法部，《美国政府在StopRansomware.gov网站上线首个一站式勒索软件资源》（2021年7月15日），https://www.justice.gov/opa/pr/us-government-launches-first-one-stopransomware-resource-stopransomwaregov；FinCEN，《关于勒索软件及利用金融系统促进赎金支付的建议》（2021年11月8日），https://www.fincen.

FinCEN，《金融趋势分析：2021年7月至12月期间银行保密法数据中的勒索软件趋势》（2022年11月），https://www.fincen.gov/sites/default/files/2022-11/Financial%20Trend%20Analysis_Ransomware%20FTA%202_508%20FINAL.pdf，第2页。

同上，第6页。

70 FinCEN，《2021年1月至6月期间银行保密法数据中的勒索软件趋势》（2021年10月），https://www.fincen.gov/；FinCEN，《2021年1月至6月期间银行保密法数据中的勒索软件趋势》（2021年10月），https://www.fincen.gov/sites/default/files/2022-11/Financial%20Trend%20Analysis_Ransomware%20FTA%202_508%20FINAL.pdf。71

Elliptic，《跨链犯罪现状报告》（2022年10月4日），https://www.elliptic.co/resources/state-of-cross-chain-crimereport，第26-27页。

去中心化金融领域的非法资金风险评估

网络犯罪分子经常利用远程桌面协议端点72和网络钓鱼活动来窃取凭据或以其他方式获取对受害者计算机网络的访问权限。73 勒索软件攻击者还共享诸如漏洞利用工具包之类的资源，74 或与其他网络犯罪分子建立合作关系，以提高其攻击的有效性。一些勒索软件开发者通过“勒索软件即服务”模式向其附属机构出售使用其恶意软件的权限，从而降低了实施勒索软件攻击的准入门槛和技术要求。此外，勒索软件攻击者越来越多地采用双重勒索策略，即在加密数据之前先窃取机密数据，并威胁称若受害者不支付赎金则将公布这些数据。

盗窃

2022年，非法行为人从虚拟资产服务提供商（VASPs），包括去中心化金融（DeFi）服务中窃取了价值数十亿美元的虚拟资产。据一家区块链分析公司统计，DeFi服务尤其为网络犯罪分子带来了丰厚收益，占2022年被盗虚拟资产的大部分。75 网络犯罪分子正日益利用管理DeFi服务的智能合约中的漏洞窃取虚拟资产，致使投资者蒙受损失。76 网络犯罪分子试图利用

“2022年，非法行为人从虚拟资产服务提供商（VASPs），包括去中心化金融（DeFi）服务中窃取了价值数十亿美元的虚拟资产。” 投资者对虚拟资产兴趣的提升，以及跨链功能的复杂性和DeFi服务的开源特性。在窃取资金后，网络犯罪分子通常会采用上述技术，将被盗资产进行兑换并转移，以最大化盗窃所得。例如，那些窃取了特定平台资产（如小型DeFi服务的治理代币）的犯罪分子，可能会迅速通过DeFi服务将这些被盗资产兑换成流动性更高的虚拟资产，以避免因其他代币持有者在安全事件发生后也决定抛售而导致价格下跌及被发现的风险。虚拟资产领域的盗窃类型包括安全漏洞、代码漏洞利用以及闪电贷攻击，具体如下所述。•

在安全漏洞事件中，攻击者突破受害者的安全防护措施，实施未经授权的交易，包括将受害者的账户资金转入由黑客控制的账户。受害者可以是个人，也可以是区块链公司本身；其凭据可能通过网络钓鱼、键盘记录或社会工程手段遭到泄露。

远程桌面协议是一种专有网络协议，允许用户通过互联网控制计算机的资源与数据；美国联邦调查局（FBI），《网络行为体日益利用远程桌面协议实施恶意活动》，（2018年9月27日），https://www.ic3.gov/Media/Y2018/PSA180927。

73 美国财政部，《应对数字资产非法融资风险行动计划》，（2022年9月），https://home.treasury.gov/system/ files/136/Digital-Asset-Action-Plan.pdf。74

漏洞利用工具包是一类自动化识别并利用客户端侧漏洞的工具集。

75 TRM Labs，《DeFi与跨链桥攻击推动创纪录的加密货币黑客与漏洞利用案件》，（2022年12月16日），https://www.trmlabs.com/post/defi-cross-chain-bridge-attacks-drive-record-haul-from-cryptocurrency-hacks-and-exploits。76

FBI，《网络犯罪分子日益利用去中心化金融平台漏洞获取加密货币，导致投资者蒙受损失》，（2022年8月29日），https://www.ic3.gov/Media/Y2022/PSA220829。

去中心化金融的非法融资风险评估

在代码漏洞利用中，黑客会发现智能合约代码中的安全漏洞，并利用这些漏洞未经授权地从DeFi服务中提取资金。此外，黑客还可借助所发现的漏洞对相关服务实施攻击。代码漏洞的被利用可能引发即时的模仿性攻击，例如由自动化交易机器人实施的攻击。77

在闪电贷78攻击中，攻击者通过操纵底层智能合约代码的逻辑，使所有技术要求得以满足，从而将交易上链，尽管攻击者仅偿还了贷款本金的一小部分（甚至全部未还）。在某些情况下，攻击者还会利用闪电贷获得的临时资金激增，通过多个DeFi服务之间的交互来操控虚拟资产价格。这使得攻击者能够在极短时间内接管智能合约或协议的治理权、修改代码并清空资金库。79

案例示例

2023年1月，美国商品期货交易委员会（CFTC）提起民事执法诉讼，指控Avraham Eisenberg通过“预言机操纵”进行价格通胀骗局，非法从一家名为Mango Markets的所谓去中心化数字资产交易所获取超过1.1亿美元的数字资产。80 CFTC指控，为实施该计划，Eisenberg在Mango Markets开设了两个匿名账户，并利用这些账户建立了基于MNGO（Mango Markets的“原生”代币）与稳定币USDC相对价值的互换合约的大量杠杆头寸。随后，Eisenberg据称通过在三个作为“预言机”输入的数据源的数字资产交易所快速大量购买MNGO，人为抬高了MNGO的价格，导致其在Mango Markets上的互换头寸价值出现短暂的人为飙升。CFTC进一步指控，Eisenberg随后以这些被人为抬高的互换头寸价值作为抵押，从Mango Markets提取了超过1.1亿美元的数字资产，从而套现其非法所得。与此同时，纽约南区联邦检察官办公室于2023年1月另行起诉Eisenberg，指控其从事商品欺诈及商品市场相关犯罪。

参见例如：The Block，“Polychain支持的DFX Finance遭黑客攻击，损失750万美元”（2022年11月11日），https://www.theblock.co/post/185796/polychain-dfx-finance-hacked。

“闪电贷”允许用户在一笔记录于区块链同一数据区块的交易中完成虚拟资产的借入、使用和偿还。由于闪电贷不存在违约风险，用户无需提供抵押品且无被清算之虞；参见美国财政部《加密资产：对消费者、投资者和企业的启示》（2022年9月），https://home.treasury.gov/system/files/136/CryptoAsset_EO5.pdf，脚注118。

美国商品期货交易委员会，“CFTC指控Avraham Eisenberg实施操纵性和欺骗性计划，从数字资产交易所Mango Markets挪用逾1.1亿美元”（2023年1月9日），https://www.cftc.gov/PressRoom/PressReleases/864723#:~:text=The%20complaint%20alleges%20that%20on,Mango%20Markets%2C%20which%20he%20used。

去中心化金融的非法融资风险评估

操纵市场及电信诈骗。81 艾森伯格还因涉嫌操纵MNGO代币而被美国证券交易委员会（SEC）指控。82 •

2022年11月，美国司法部（DOJ）宣布，詹姆斯·钟于2012年9月犯下电信诈骗罪，当时他非法从“丝绸之路”暗网交易平台获取了超过5万枚比特币。2012年9月，钟实施了一项欺诈计划，旨在骗取“丝绸之路”平台的资金和财产：（a）以掩盖其身份的方式创建了约九个“丝绸之路”账户；（b）连续快速地发起超过140笔交易，诱使“丝绸之路”的提款处理系统将约5万枚比特币从其基于比特币的支付系统转入钟控制的账户；（c）随后将这些比特币转移至多个同样由钟掌控的独立地址，所有操作均旨在逃避侦查、隐藏身份与所有权，并混淆比特币的来源。83 在此过程中，钟还涉嫌通过去中心化比特币混币器转移了约750枚比特币的犯罪所得。84 2021年11月，执法部门在其住所查获了超过5万枚比特币，这一数量成为美国司法部历史上最大规模的加密货币扣押案，截至2022年11月亦为该部门有史以来第二大金融资产扣押案。85

诈骗与骗局

美国多个政府机构持续追踪并公布公众针对虚拟资产的相关投诉，数据显示与虚拟资产相关的损失呈显著上升趋势。86 联邦机构亦就其调查结果发布警示，指出虚拟资产作为各类诈骗支付手段的使用大幅增加。87 事实上，2021年，联邦调查局（FBI）互联网犯罪投诉中心（IC3）报告称，尽管当年与虚拟资产相关的投诉数量仅下降约3%，但由此造成的损失金额却在

美国司法部：涉嫌实施价值1亿美元的加密货币市场操纵计划者在纽约南区法院首次出庭，（2023年2月2日），https://www.justice.gov/usao-sdny/pr/alleged-perpetrator-100-million-cryptomarket-manipulation-scheme-make-initial。

美国证券交易委员会：操纵Mango Markets“治理代币”窃取价值1.16亿美元的加密资产，（2023年1月20日），https://www.sec.gov/news/press-release/2023-13。

美国司法部：美国检察官宣布史上最大规模的33.6亿美元加密货币扣押及与“丝绸之路”暗网诈骗相关的定罪，（2022年11月7日），https://www.justice.gov/usao-sdny/pr/us-attorney-announces-historic-336-billioncryptocurrency-seizure-and-conviction。

美国司法部：支持政府没收动议的宣誓书，案号14 Cr. 68 (LGS)，（2022年11月7日），https://www.justice.gov/usao-sdny/press-release/file/1549821/download，第17页。

美国司法部：美国检察官宣布史上最大规模的33.6亿美元加密货币扣押及与“丝绸之路”暗网诈骗相关的定罪，（2022年11月7日），https://www.justice.gov/usao-sdny/pr/us-attorney-announces-historic-336-billioncryptocurrency-seizure-and-conviction。

86 美国财政部：加密资产对消费者、投资者及企业的影响，（2022年9月），https://home.treasury.gov/system/files/136/CryptoAsset_EO5.pdf，第25–26页；另见来自联邦调查局、消费者金融保护局及联邦贸易委员会的汇总统计数据。

美国特勤局：打击数字资产的非法使用，https://www.secretservice.gov/investigation/DigitalAssets。

去中心化金融的非法融资风险评估

与虚拟资产相关的IC3投诉数量增长了近600%，从2020年的2.46亿美元增至2021年的超过16亿美元。88 这些骗局往往给受害者造成重大损失。

“在与虚拟资产相关的IC3投诉中，报告的损失金额增长了近600%，从2020年的2.46亿美元增至2021年的超过16亿美元。” 这些诈骗行为由各类主体实施，并采用多种手法，包括“拉地毯”和“杀猪盘”等骗局。•

在“拉地毯”骗局中，诈骗者在一个看似合法的项目中筹集投资资金，随后终止该项目并窃取投资者的资金。此类骗局可能涉及诈骗者以新型虚拟资产（通常是稳定币）的形式，在去中心化金融（DeFi）服务中创建并注入流动性池。一种典型的“拉地毯”手法是：在创作者向投资者宣传该资产以提升需求、推高价格后，突然将自己投入流动性的资金全部撤出，导致该新型虚拟资产价格暴跌。此外，“拉地毯”还可能通过限制投资者出售资产，或在新虚拟资产的智能合约中植入明确且恶意的后门，使开发者能够一次性将流动性池中的资产全部提取。89

“杀猪盘”是指诈骗者主动与受害者建立关系，并施压使其在虚假投资平台上进行投资，从而窃取受害者的资金。90 这类诈骗者通常通过约会软件、社交媒体网站，甚至伪装成误发至错误号码的短信接触受害者。在经过数周或数月的逐步建立信任后，诈骗者会提出利用虚拟资产进行投资的想法，并运用各种心理技巧让受害者相信其投资的是一个合法的虚拟资产机会。常见的作案手法是引导用户通过虚拟资产钱包应用程序访问欺诈性投资网站，而这些应用存在漏洞，使诈骗者得以完全掌控受害者的钱包。

案例示例

2022年6月，美国司法部及执法伙伴宣布，越南籍男子黎英俊（26岁）因涉嫌参与一项涉及“Baller Ape”的骗局，被加利福尼亚州中区法院指控犯有一项共谋实施电信诈骗罪以及一项共谋实施国际洗钱罪。

美国联邦调查局，《2021年互联网犯罪报告》（2021年），https://www.ic3.gov/Media/PDF/AnnualReport/2021_IC3Report.pdf

美国金融稳定监督委员会（FSOC），《关于数字资产金融稳定风险与监管的报告》（2022年），https://home.treasury.gov/system/files/261/FSOC-Digital-Assets-Report-2022.pdf，第32页。

美国司法部，《法院批准查封用于推进加密货币“杀猪盘”骗局的域名》（2022年11月21日），https://www.justice.gov/usao-edva/pr/court-authorizes-seizure-domains-used-furtherance-cryptocurrency-pigbutchering-scheme；美国金融业监管局（FINRA），《杀猪盘骗局：是什么以及如何防范》（2022年12月13日），https://www.finra.org/investors/insights/pig-butchering-scams。

去中心化金融的非法融资风险评估

非同质化代币（NFT）。91 据称，Tuan 参与了“Baller Ape Club”这一 NFT 投资项目，该项目以各种卡通形象的形式出售 NFT，其中常包含猿猴的形象。根据起诉书内容，在“Baller Ape Club”NFT 首日公开销售后不久，Tuan 及其共谋者实施了一起“跑路”行为，即终止该所谓投资项目、删除其网站并窃取投资者资金。根据区块链分析结果，跑路发生后，Tuan 及其共谋者通过“链跳”手段对投资者资金进行洗钱。“链跳”是一种洗钱方式，即将一种加密货币转换为另一种，并在多个加密货币区块链之间转移资金，同时利用去中心化加密货币兑换服务来掩盖“Baller Ape Club”投资者被盗资金的流向。总计，Tuan 及其共谋者从投资者处获取约 260 万美元。•

2022 年 3 月，美国司法部、美国国税局刑事调查部门、美国国土安全部以及美国邮政检查局联合宣布，Ethan Nguyen 和 Andre Llacuna 因涉嫌参与一项针对购买被宣传为“Frosties”的 NFT 买家的百万美元诈骗计划，被控以共谋实施电信诈骗罪及共谋实施洗钱罪。据称，Nguyen 和 Llacuna 并未向“Frosties”NFT 购买者提供广告中所承诺的权益，而是将该计划所得的加密货币转入其控制下的多个加密货币钱包。92 根据刑事起诉书指控，在“Frosties”NFT 销售活动因社交媒体上被广泛揭露为欺诈后，大量以太币（ETH）从与被告相关的钱包被发送至 Tornado Cash 智能合约；随后，这些智能合约又将 ETH 转入一个最终由被告持有的钱包地址。

毒品贩运

根据执法部门评估及区块链分析公司的研究，毒品贩运组织正日益习惯于使用暗网市场93 以及虚拟资产进行资金洗钱，其中包括越来越多地使用 DeFi 服务。例如，某区块链分析公司指出，专注于毒品交易的暗网市场在 2021 年通过销售活动创造了近 20 亿美元的虚拟资产收入，自 2018 年以来收入呈稳步增长态势。94 然而，与现金为主的街头零售相比，暗网上产生的毒品收益及其通过虚拟资产完成的洗钱规模仍相对较小。95 除暗网市场销售外，91

美国司法部宣布采取执法行动，对六名涉案人员提起指控，涉及的加密货币诈骗案造成的预期损失超过 1 亿美元。（2022 年 6 月 30 日），https://www.justice.gov/usao-cdca/pr/justice-departmentannounces-enforcement-action-charging-six-individuals-cryptocurrency。

美国司法部宣布对两名被告提起非同质化代币（NFT）诈骗及洗钱案的指控。（2022 年 3 月 24 日），https://www.justice.gov/usao-sdny/pr/two-defendants-charged-non-fungible-token-nft-fraud-and-money-launderingscheme-0；https://www.justice.gov/usao-sdny/press-release/file/1486846/download。

美国司法部开展的国际执法行动针对暗网上的阿片类药物贩运者，全球范围内逮捕 150 人，并查获武器、毒品及超过 3,100 万美元。（2021 年 10 月 26 日），https://www.justice.gov/opa/pr/internationallawenforcement-operation-targeting-opioid-trafickers-darknet-results-p. 150。

Chainalysis，《2022 年加密货币犯罪报告》，第 100 页。

美国司法部开展的国际执法行动针对暗网上的阿片类药物贩运者，全球范围内逮捕 150 人，并查获武器、毒品及超过 3,100 万美元。（2021 年 10 月 26 日），https://www.justice.gov/opa/pr/internationallawenforcement-operation-targeting-opioid-trafickers-darknet-results-p. 150。

去中心化金融的非法资金风险评估

在毒品领域，执法部门评估认为，某些毒品贩运者正日益将法定货币收益转换为虚拟资产以进行洗钱。96

扩散融资 在美国和联合国强有力的制裁压力下，朝鲜已诉诸非法活动，包括通过网络手段从VASP及其他金融机构实施盗窃，以为其非法的大规模杀伤性武器（WMD）和弹道导弹项目筹集资金。97 美国政府

“2022年3月23日，受美国制裁的、由朝鲜国家支持的网络黑客组织Lazarus集团，从与在线游戏Axie Infinity相关联的区块链项目中实施了迄今为止最大规模的虚拟资产盗窃案，涉案金额近6.2亿美元。” 政府观察到，朝鲜网络行为体正将目标对准虚拟资产行业的各类机构，包括DeFi服务（见下文说明框）。98 例如，2022年3月23日，受美国制裁的、由朝鲜国家支持的网络黑客组织Lazarus集团，从与在线游戏Axie Infinity相关联的区块链项目中实施了迄今最大规模的虚拟资产盗窃案，涉案金额近6.2亿美元。99 此外，该组织还从名为Horizon的跨链桥中窃取了价值1亿美元的虚拟资产。100 除盗窃之外，与朝鲜有关的行为体还参与其他与虚拟资产相关的非法活动，包括勒索软件攻击101以及利用经恶意修改的虚拟资产应用程序实施虚拟资产盗窃。102 朝鲜还向全球派遣了数千名技术精湛的互联网技术人员，他们经常承接涉及虚拟资产的项目。这些IT人员为朝鲜赚取收入，从而为其武器计划提供资金；

同时，作为承包商所获得的特权访问权限也可能使朝鲜得以实施恶意网络入侵或支持其洗钱活动。103 美国政府已观察到，朝鲜行为体正使用上述手法对其相关活动所获非法收益进行洗钱。96

联合国毒品和犯罪问题办公室，《2021年世界毒品报告：全球概览——毒品需求与供给》（2021年6月），https://www.unodc.org/res/wdr2021/field/WDR21_Booklet_2.pdf，第76页。

97 美国财政部首次对虚拟货币混币器实施制裁，旨在打击朝鲜网络威胁（2022年5月6日），https://home.treasury.gov/news/press-releases/jy0768。

CISA，《TraderTraitor：朝鲜国家支持的APT组织瞄准区块链公司》（2022年4月18日），https://www.cisa.gov/uscert/ncas/alerts/aa22-108a。

FBI，《关于朝鲜民主主义人民共和国所发动的恶意网络活动归因的声明》（2022年4月14日），https://www.fbi.gov/news/press-releases/fbi-statement-on-attribution-of-malicious-cyber-activity-posed-by-thedemocratic-peoples-republic-of-korea；财政部，《指定朝鲜武器代表》（2022年11月8日），https://home.treasury.gov/news/press-releases/jy1087。

100 财政部首次对虚拟货币混币器实施制裁，旨在打击朝鲜网络威胁（2022年5月6日），https://home.treasury.gov/news/press-releases/jy0768；FBI确认Lazarus集团网络行为体对Harmony的Horizon桥货币盗窃事件负责（2023年1月23日），https://www.fbi.gov/news/press-releases/fbi-confirms-lazarusgroup-cyber-actors-responsible-for-harmonys-horizon-bridge-currency-theft。101 网络安全与基础设施安全局（CISA），《朝鲜国家支持的网络行为体利用Maui勒索软件攻击医疗与公共卫生领域》（2022年7月6日），https://www.cisa.gov/uscert/ncas/alerts/aa22-187a。102 CISA，《AppleJeus：朝鲜加密货币恶意软件分析》（2021年2月17日），https://www.cisa.

gov/uscert/ncas/ alerts/aa21-048a。103 美国国务院、财政部及FBI联合发布的《关于朝鲜民主主义人民共和国信息技术人员的指导意见》（2022年5月16日），https://home.treasury.gov/system/files/126/20220516_dprk_it_worker_advisory.pdf。

去中心化金融领域的非法融资风险评估

TraderTraitor：朝鲜国家支持的高级持续性威胁（APT）组织瞄准区块链企业，包括去中心化金融协议 美国联邦调查局（FBI）、网络安全和基础设施安全局（CISA）以及美国财政部联合发布了一份网络安全通告（CSA），旨在强调与虚拟资产盗窃相关的网络威胁，以及自2020年以来由朝鲜民主主义人民共和国（DPRK）国家支持的APT组织所采用的攻击手段。美国政府观察到，朝鲜网络行为体将目标锁定在区块链技术和虚拟资产行业的各类机构，其中包括虚拟资产交易平台、去中心化金融协议、边玩边赚类虚拟资产电子游戏平台、加密货币交易公司、投资于虚拟资产的风险投资基金，以及持有大量虚拟资产或高价值非同质化代币（NFT）的个人用户。该通告中描述的活动涉及利用多种通信平台对受害者实施社会工程攻击，诱使用户在Windows或Mac操作系统上下载被植入木马的虚拟资产应用程序。随后，这些网络行为体通过相关应用获取受害者的计算机访问权限，在其网络环境中传播恶意软件，并窃取私钥或利用其他安全漏洞。此类活动为进一步实施欺诈性区块链交易提供了便利。案例示例

2022年11月，美国财政部海外资产控制办公室（OFAC）依据经修订的第13722号行政命令及第13694号行政命令，重新将Tornado Cash列为制裁对象，因其在支持朝鲜大规模杀伤性武器计划的恶意网络活动中扮演了重要角色。Tornado Cash是一家提供虚拟资产混币服务的实体，曾掩盖了2022年3月由OFAC认定的、受朝鲜控制的Lazarus组织所窃取的价值超过4.55亿美元的虚拟资产流动，这也是迄今为止已知的最大规模虚拟货币盗窃案。此后，恶意网络行为体又利用Tornado Cash的智能合约，洗白了2022年6月24日Harmony Bridge桥被盗资金中的逾9,600万美元，以及2022年8月2日Nomad黑客事件中至少780万美元的资金。106 在2022年11月的相关行动中，OFAC指出，此次制裁针对的是名为“Tornado Cash”的实体；同时说明，Tornado Cash借助被称为“智能合约”的计算机代码来实现其治理架构、提供混币服务、向用户提供经济激励、扩大用户群体，并促进其用户及开发人员的经济收益。

此外，OFAC还解释称，Tornado Cash的组织结构主要由以下两部分组成：（1）其创始人及其他相关开发者，他们共同启动了Tornado Cash混币服务，开发了新的混币功能，创建了Tornado Cash DAO，并积极推广该平台以扩大用户基础；（2）Tornado Cash DAO，负责对开发者所设计的新功能进行投票并予以实施。107 104

该组织通常被网络安全行业追踪为Lazarus组织、APT38、BlueNoroff以及Stardust Chollima。

CISA，《TraderTraitor：朝鲜国家支持的APT组织瞄准区块链企业》（2022年4月18日），https://www.cisa.gov/uscert/ncas/alerts/aa22-108a。

106 财政部，《财政部指定朝鲜武器代表》（2022年11月8日），https://home.treasury.gov/news/pressreleases/jy1087。107

OFAC，《常见问题解答：1095》（2022年11月8日），https://home.treasury.gov/policy-issues/financial-sanctions/faqs/added/2022-11-08。

去中心化金融领域的非法融资风险评估

4. 美国境内不合规的DeFi服务漏洞 当前，DeFi服务往往未实施反洗钱/反恐怖融资（AML/CFT）管控措施或其他客户身份识别程序，致使资金转移得以通过长串字母数字字符而非姓名或其他个人身份信息，以即时且匿名的方式进行。从事受《银行保密法》（BSA）覆盖活动的DeFi服务负有反洗钱/反恐怖融资义务；而所有受美国司法管辖的DeFi服务，无论其是否属于受监管的金融机构，均须履行制裁合规义务。当这些实体未能向相应监管机构注册、未能建立并维持充分的反洗钱/反恐怖融资控制机制，或未能遵守制裁相关义务时，犯罪分子更易成功利用其服务，包括规避美国及联合国的制裁措施。

“当前，DeFi服务往往未实施反洗钱/反恐怖融资（AML/CFT）管控措施或其他客户身份识别程序，致使资金转移得以通过长串字母数字字符而非姓名或其他个人身份信息，以即时且匿名的方式进行。” 尽管存在上述要求，一些DeFi项目却明确将缺乏反洗钱/反恐怖融资管控作为去中心化的主要目标之一。例如，某VASP于2021年宣布，为停止收集用于反洗钱/反恐怖融资合规的客户信息，拟从传统公司架构转型为DAO，尽管实际上此举并未改变该服务在《银行保密法》下的义务。108 同样地，一家未注册的FCM创始人声称，转向DAO可使其免受美国监管审查，并规避遵守美国法律的责任。上述案例表明，这种不合规现象部分源于行业与监管机构之间对相关法律法规（包括证券、商品及货币传输法规）如何适用于DeFi服务的认知差异。评估认为，区块链的公开性以及中心化VASP在接入法定货币中的作用，可在一定程度上缓解此类及其他漏洞。这些因素将在第5.2节和第5.3节中分别结合其他缓解措施予以进一步探讨。

监管机构已针对在美国运营但未向相关监管机构注册、亦未为其提供的服务实施必要反洗钱/反恐怖融资计划的DeFi服务提起诉讼。案例示例

如上所述，美国商品期货交易委员会（CFTC）于2022年9月发布命令，同时对bZeroX LLC公司及其两名创始人提出指控并达成和解，因其非法

参见Gary Silverman，《加密货币：去中心化金融兴起引发“脏钱”担忧》，《金融时报》（2021年9月15日），https://www.ft.com/content/beeb2f8c-99ec-494b-aa76-a7be0bf9dae6；William Foxley，《ShapeShift全面转向DeFi以摆脱KYC规则》，《CoinDesk》（2021年1月6日），https://www.coindesk.com/business/2021/01/06/shapeshift-is-going-full-defi-to-lose-kyc-rules/；美国司法部，《根据第14067号行政命令第5(b)(iii)条发布的总检察长报告：执法部门在发现、调查及起诉与数字资产相关的犯罪活动中的作用》（2022年9月），https://www.justice.gov/d9/2022-12/The%20Report%20 of%20the%20Attorney%20General%20Pursuant%20to%20Section.

pdf，第10页。

去中心化金融的非法金融风险评估

提供以杠杆和保证金方式进行的数字资产零售商品交易；从事仅经注册的期货佣金商（FCM）方可合法开展的活动；以及未按照《银行保密法》（BSA）的要求，将客户身份识别计划纳入其合规体系。109 同时，美国商品期货交易委员会（CFTC）在美国加州北区联邦地区法院提起了一起联邦民事执法诉讼，指控一个DAO——即原运营相同软件协议公司的继承者——违反了与原公司及创始人相同的法律。无论是原公司还是该DAO，均未建立法定要求的客户身份识别程序，且其缺乏反洗钱措施还被明确宣传为服务的一大优势。作为该案的一部分，CFTC的命令认定bZeroX已将该协议的控制权转移至bZx DAO，而后者现以Ooki DAO之名开展业务。通过将控制权移交给DAO，bZeroX的创始人向社区成员宣称此举可使运营免受监管审查，从而使得Ooki DAO得以不受惩罚地违反《商品期货交易法》（CEA）及CFTC的相关规定，正如联邦法院诉讼所指控的那样。

CFTC的命令进一步认定，该DAO系一非公司制社团组织，其两名创始成员均为积极参与的成员，并应对Ooki DAO违反CEA及CFTC规定的行径承担法律责任。同样，在联邦法院的诉讼中，加州北区联邦地区法院在支持CFTC针对Ooki DAO的裁定时指出，依据适用法律，Ooki DAO具备作为非公司制社团组织被起诉的资格。110 •

2022年1月，CFTC发布一项命令，同时对一家特拉华州注册公司作出处罚决定，因其提供场外基于事件的二元期权合约，且未取得指定合约市场（DCM）的指定或作为掉期执行设施（SEF）进行注册。111 该公司创建、定义并结算了通过其网站提供、并在区块链上记录的各类事件型二元期权合约。市场参与者只需使用电子邮件地址和用户名即可开设账户，并为其“Polymarket钱包”充值，以使用一种与美元价值挂钩的以太坊基础“稳定币”进行交易。为运营其市场，该公司部署了智能合约，即托管于区块链上的可编程自执行合约。尽管用户可以直接与这些智能合约交互，但若要理解其所参与的事件型市场合约的具体条款，仍需通过Polymarket的官方网站进行操作；该网站由这家总部位于纽约、面向美国客户的特拉华州公司所有并运营。

2021年8月，美国证券交易委员会（SEC）指控两名个人及其位于开曼群岛的公司，因利用智能合约实施超过3,000万美元的未经注册证券销售行为。

CFTC，《CFTC对bZeroX, LLC及其创始人处以25万美元罚款，并指控其继任者Ooki DAO提供非法场外数字资产交易、违反注册规定及未遵守《银行保密法》》，（2022年9月22日），https://www.cftc.gov/PressRoom/PressReleases/8590-22。

CFTC诉Ooki DAO案，案号3:22-cv-05416-WHO，2022 WL 17822445，第*5-12页（加州北区联邦地区法院，2022年12月20日）。

CFTC，《CFTC责令事件型二元期权市场运营商支付140万美元罚款》，（2022年1月3日），https://www.cftc.gov/PressRoom/PressReleases/8478-22。

去中心化金融的非法资金风险评估

合同以及所谓的DeFi技术，并因就其业务“DeFi货币市场”的运营与盈利能力误导投资者而受到指控。112 美国证券交易委员会的命令认定，被申请人利用智能合约销售了两类数字代币：一类可使用指定的数字资产购买，并支付固定比例的利息；另一类所谓“治理代币”，据称赋予持有者特定的投票权、超额利润分成以及在二级市场上通过转售代币获利的能力。该命令认定，上述两类代币均以证券形式发行并销售，且被申请人违反了联邦证券法中的注册及反欺诈规定。此外，该命令还指出，被申请人虚假陈述公司运营情况，违反了SEC的反欺诈条款，并公开宣称无需提供“了解你的客户”相关文件。被申请人未对命令中的认定予以承认或否认，但同意接受停止和终止令，其中包括总计超过1,200万美元的不当得利返还，以及对每位个人被申请人的12.5万美元罚款。在某些情况下，由于缺乏明确的组织架构，可能难以识别任何实际运营DeFi服务的个人、群体或实体，这或是因为根本不存在此类主体，或是由于组织结构分散、不完善，甚至故意造成混淆。

这一现象给监管工作带来了严峻挑战，尤其是在针对未能履行反洗钱/反恐怖融资义务的DeFi服务开展监督乃至执法时尤为突出。113 此种挑战还因虚拟资产行业的快速变革、DeFi服务数量庞大且持续增长，以及部分监管机构资源有限等因素而进一步加剧。114

去中介化 许多虚拟资产可以由用户自行托管并直接转移，无需经由任何中间金融机构参与，这种现象被称为去中介化。例如，非托管钱包的用户可在无需受监管金融机构介入的情况下，自主保管并转移其虚拟资产。许多DeFi服务亦宣称实现了去中介化，通过自动化点对点交易，无需开设账户或建立托管关系。然而，某一实体是否属于《银行保密法》（BSA）项下的受监管金融机构，需视其具体金融活动的事实与情形而定。若某DeFi服务超出当前BSA所界定的金融机构范围，则可能存在漏洞，因为此类DeFi服务采取实施反洗钱/反恐怖融资措施的可能性较低，例如评估非法融资风险、建立反洗钱计划或报告可疑交易等。112

美国证券交易委员会（SEC），SEC指控一家去中心化金融借贷平台及其高管通过欺诈性发行筹集3,000万美元，（2021年8月6日），https://www.sec.gov/news/press-release/2021-145。

美国司法部（DOJ），根据第14067号行政命令第5(b)(iii)条发布的总检察长报告：执法部门在发现、调查及起诉与数字资产相关的犯罪活动中的作用，（2022年9月），https://www.justice.gov/d9/2022-12/The%20Report%20of%20the%20Attorney%20General%20Pursuant%20to%20Section.pdf，第10页。

114 美国财政部，《打击恐怖主义及其他非法融资国家战略》，（2022年5月），https://home.treasury.gov/system/files/136/2022-National-Strategy-for-Combating-Terrorist-and-Other-Illicit-Financing.pdf，第14页：“FinCEN、IRS以及各州和属地金融监管机构面临的严重资源限制，已实质性影响其有效监督和审查某些非银行金融机构的能力，其中可能包括高风险机构。”

对去中心化金融的非法融资风险评估

活动。在某些情况下，如果一项DeFi服务不属于《银行保密法》（BSA）的适用范围，可能会导致可疑活动报告出现漏洞，并限制监管机构收集和获取对支持金融调查至关重要的信息。DeFi服务声称其目前或计划实现“完全去中心化”，并不影响其根据《银行保密法》所具有的金融机构身份。

跨境性质与各国反洗钱/反恐怖融资制度的漏洞 2022年各国风险评估报告指出，与虚拟资产相关的最重大非法融资风险源自在境外运营且反洗钱/反恐怖融资体系严重不足的虚拟资产服务提供商（VASP），尤其是在那些针对虚拟资产的反洗钱/反恐怖融资标准尚不存在或未得到有效实施的司法管辖区。这一问题在去中心化金融（DeFi）服务领域尤为突出，因为DeFi服务可能被纳入FATF所确立的VASP定义范围之内。国际上监管与监督的不均衡乃至普遍不足，使非法行为人得以进行监管套利；加之虚拟资产转账几乎瞬时完成且跨越国界，进一步加剧了这一风险。这使得美国金融体系有可能暴露于境外运营、反洗钱/反恐怖融资管控措施缺失或薄弱的VASP（包括部分DeFi服务）之下。VASP可能选择在反洗钱/反恐怖融资要求极低甚至完全不存在、法律框架监管力度薄弱或两者兼有的司法管辖区开展业务。截至2022年6月，FATF对53个司法管辖区进行了评估；在FATF将相关标准修订并适用于虚拟资产及VASP四年后，其中大多数仍需在落实这些标准方面作出重大改进。

115 在接受评估的司法管辖区中，33个获得“部分合规”评级，8个则被评为“不合规”。此外，在2022年3月由FATF组织的一项自愿调查中，回应的司法管辖区中，仅有不到一半已针对虚拟资产及VASP建立了许可或注册制度。鉴于许多国家目前仍处于构建虚拟资产及VASP反洗钱/反恐怖融资制度的初期阶段，能够对DeFi服务相关风险进行评估、考虑其如何融入本国监管框架，并为虚拟资产领域配置监管与执法资源的司法管辖区恐怕寥寥无几。尤其值得注意的是，各司法管辖区普遍反映，在识别哪些DeFi实体应受监管以及如何一致执行本国有关此类实体的FATF标准义务方面面临诸多挑战。116 此外，部分VASP还声称并未设立总部或明确归属某一司法管辖区以承担监管义务，包括反洗钱/反恐怖融资要求。这种情况在一些宣称采用分布式治理模式的DeFi服务中尤为常见。其他虚拟资产服务提供商已采用分布式组织架构，据此在某一国家注册，在另一国家配备人员，并在多个法律与监管制度对虚拟资产采取不同做法的国家提供服务。

例如，某些国家的反洗钱/反恐怖融资制度适用于向其境内客户提供服务或在其管辖范围内开展业务的去中心化金融（DeFi）服务。而在其他地区，触发许可或注册的关键因素则在于该司法管辖区是否为服务的主要所在地 115

金融行动特别工作组，《关于实施金融行动特别工作组虚拟资产及虚拟资产服务提供商标准的定向更新》（2022年6月），https://www.fatf-gafi.org/media/fatf/documents/recommendations/Targeted-Update-ImplementationFATF%20Standards-Virtual%20Assets-VASPs.pdf。

同上，第20页。

去中心化金融的非法资金风险评估

在开展业务的地点、商业账簿或记录的实际存放地，或其他相关场所。这些做法之间的差异与空白可能使监管、监督和执法工作更加复杂，而这些工作往往需要各主管机关之间进行大量协作。

与网络相关的漏洞：去中心化金融（DeFi）服务由于多种因素的共同作用，往往特别容易遭受大规模盗窃，这些因素包括资金规模庞大、DeFi领域缺乏网络安全要求与审计机制、管理员权限高度集中，以及DeFi服务智能合约代码普遍开源等。如上所述，这些漏洞可能被黑客通过安全漏洞、代码利用及闪电贷攻击等方式加以利用。已有文献记载显示，国家支持的网络组织或其他非法行为体曾试图窃取或以欺诈手段获取资金，其中包括

“已 documented 的国家支持的网络组织或其他非法行为体为窃取或以欺诈手段获取资金（包括虚拟资产）所采取的行动，构成了国家安全方面的重大关切。”虚拟资产，构成了国家安全方面的重大关切。DeFi服务存在的上述网络安全漏洞使其运营极易受到盗窃与欺诈的威胁，同时也给消费者及整个虚拟资产行业带来了风险。

特别是跨链桥，由于其通常设有用于存储支撑接收区块链上桥接资产的资金的中央存储点，因而成为黑客青睐的目标。117 不论这些资金是以何种方式存储——锁定在智能合约中还是由中心化托管方保管——该存储点都可能成为攻击目标。出于类似原因，DeFi服务的国库与流动性池也常常成为常见的攻击对象。

即便在最佳情况下，安全代码开发也是一项艰巨的任务，大型软件公司也可能难以推出安全可靠的产品。相反，DeFi服务多为小型企业，且其所处市场缺乏强制性或规范性的网络安全要求。尽管部分服务会进行代码审计，但审计标准尚未统一，而且即便声称已完成审计，仍有多家DeFi服务遭到利用。为向用户及DeFi服务开发者普及相关漏洞知识，美国联邦调查局（FBI）于2022年8月发布了一份公共服务公告，建议用户在使用DeFi服务前应做好调研，确认相关服务是否已通过审计，并警惕由众包方式开展的漏洞识别与修复方案所带来的风险。118 公告还鼓励DeFi服务建立实时分析、监控机制，并对代码实施严格测试，以便及时发现并应对

Chainalysis，《跨链桥协议中的漏洞已成为首要安全风险》（2022年8月2日），https://blog.chainalysis.com/reports/cross-chain-bridge-hacks-2022/；TRM Labs，《DeFi与跨链桥攻击推动加密货币黑客与漏洞利用创纪录损失》，（2022年12月16日），https://www.trmlabs.com/post/defi-cross-chain-bridge-attacks-drive-record-haul-from-cryptocurrency-hacks-and-exploits。

FBI，《网络犯罪分子日益利用去中心化金融平台的漏洞获取加密货币，致使投资者蒙受经济损失》（2022年8月29日），https://www.ic3.gov/Media/Y2022/PSA220829。

去中心化金融的非法融资风险评估

脆弱性，并在适当情况下制定并实施事件响应计划。根据上文所述，美国政府于2022年4月发布了一份关于朝鲜针对虚拟资产企业的网络安全通告，向虚拟资产行业的利益相关方提供了有关攻击手段、技术与程序以及入侵指标的信息，以帮助其识别并缓解网络威胁。119 •

如上所述，DeFi服务基础设施的管理权可能比宣传的更为集中，这使得拥有管理员权限的个人或小团体能够对整个网络发起攻击。120

许多DeFi服务声称其代码可供公众查看，这有助于提高透明度和用户对该服务的信心，并使观察者能够发现代码改进的机会。然而，这也可能为网络犯罪分子提供机会，使其审查代码并识别潜在漏洞，从而实施盗窃或其他非法用途。121 如果智能合约编写不严谨，或者缺乏在发现严重漏洞时迅速停用或修改的机制，这种脆弱性将进一步加剧。因此，DeFi服务必须及时识别并修复开源代码中的漏洞及潜在利用途径。不过，根据具体案情的不同，此类代码漏洞未必总能完全对应于欺诈或计算机入侵案件中最常适用的刑事罪名构成要件，尤其是在代码本身即允许相关行为发生的情况下。122

许多DeFi服务源代码的公开性还为他人提供了将该代码重新用于其他DeFi服务智能合约的机会。如果多个DeFi服务中重复使用的代码存在漏洞，则可能导致大规模的安全事件。此外，这也意味着有人可以“分叉”这些智能合约，创建一个DeFi服务源代码的克隆版本，甚至可能进行一些修改。因此，即便某个DeFi服务或相关主体受到执法行动而被迫停止运营，其他人仍可简单地“复制粘贴”该代码来重建同一DeFi服务。另外，除非有意愿且有能力的人主动停用，否则原DeFi服务的源代码仍可继续运行并供使用。然而，由于缺乏流动性或用户群体，这些重构后的服务及其源代码的实际效用可能会受到限制。

5. 缓解措施 美国政府的风险评估会考虑各类缓解措施的影响，包括监管、监督与执法等。下文将阐述全球及国内层面针对DeFi服务的监管框架，并探讨虚拟资产与DeFi生态系统中特有的缓解因素，如公链的透明性、中心化虚拟资产服务提供商（VASP）在接入法定货币方面的作用，以及行业内部可能存在的风险。119

CISA，《TraderTraitor：朝鲜国家支持的APT组织瞄准区块链公司》，（2022年4月18日），https://www.cisa.gov/uscert/ncas/alerts/aa22-108a。

120 为了获取控制Ronin桥网络所需的五个验证节点中的四个并窃取价值6.2亿美元的加密货币，与朝鲜有关联的人员向一名工程师发送了一封包含恶意软件的PDF文件；Cnet.com，《一份虚假的工作邀约据称导致Axie Infinity遭受6亿美元黑客攻击》，（2022年7月6日），https://www.cnet.com/personalfinance/crypto/a-fake-job-offer-reportedly-led-to-axie-infinitys-600m-hack/。 121 美国司法部，《根据第14067号行政命令第5(b)(iii)条提交的司法部长报告：执法部门在侦测、调查及起诉与数字资产相关的犯罪活动中的作用》，（2022年9月），https://www.justice.gov/d9/2022-12/The%20Report%20of%20the%20Attorney%20General%20Pursuant%20to%20Section.pdf，第10页。 122

同上。

去中心化金融的非法金融风险评估

解决方案。评估认为，这些措施虽可部分缓解非法金融风险，但未能充分应对已识别的脆弱性。

监管框架 上文第2.2节所述的美国反洗钱/反恐怖融资监管框架，是应对在美国境内运营的去中心化金融（DeFi）服务相关非法金融风险的基础性缓解措施。此外，在国际论坛中开展的工作，尤其是金融行动特别工作组（FATF），亦可在制定标准并推动其实施方面发挥重要作用，从而有效应对与DeFi服务相关的非法金融风险。

金融行动特别工作组（FATF）

2018年，FATF修订了其标准，将适用于虚拟资产及虚拟资产服务提供商（VASPs）的相关规则，与适用于其他类型金融服务提供者的规则保持一致。随后在2019年及2021年，FATF又通过指导文件进一步细化了上述标准。在其2021年发布的《基于风险的虚拟资产及VASPs方法更新指南》（以下简称“更新指南”）中，FATF分析了虚拟资产活动及VASPs（包括部分DeFi服务）如何纳入FATF标准的适用范围。关于DeFi服务，FATF明确指出，软件程序本身并不属于FATF标准所界定的VASP范畴，这意味着相关标准不适用于底层软件或技术。然而，该更新指南同时强调，DeFi服务通常存在一个具有一定程度参与或控制的中心方，例如创建并发行虚拟资产、开发账户管理功能及用户界面以持有管理“密钥”，或收取费用等情形。在此类情况下，DeFi服务可能符合FATF对VASP的定义，因而需承担反洗钱/反恐怖融资义务。

尤其值得注意的是，由于DeFi服务在实践中往往并非完全去中心化，因此仅凭营销术语、自我宣称的“DeFi服务”身份或具体技术特征，并不能决定其所有者或运营者是否构成VASP。尽管如此，根据FATF标准，若DeFi服务缺乏对自身运行具备充分控制或影响力的实体，则可能不会被明确纳入FATF标准下的反洗钱/反恐怖融资义务范围，这可能导致其他司法管辖区针对此类DeFi服务出现监管空白。

公共区块链的透明性 如前所述，涉及DeFi服务的交易通常发生在公共区块链上，这意味着任何拥有互联网接入的人都可以查看该区块链公共账本中的假名交易数据。由于大多数DeFi服务还通过智能合约进行交易，且结算过程直接在区块链上完成，而非借助内部订单簿或账本，因此这些假名交易信息均可在区块链的公共账本上被查阅并追踪。公共账本能够为主管机关调查非法资金流向提供有力支持。尽管这些账本并不包含姓名或传统意义上的账户标识符，123

无论结构如何，适用于所有个人的FATF标准（如定向金融制裁）仍将继续适用于DeFi服务。

去中心化金融的非法金融风险评估

在任何特定地址的情况下，监管机构和执法部门在某些情形下可以获取可查看的假名用户及交易信息，并将其与其他相关信息进行比对，从而识别交易参与方。区块链的透明性可能会使即使以假名方式进行的资金转移或掩饰变得更加复杂。124 例如，一个因黑客攻击而被公开披露的钱包地址可能受到公众的强烈关注，这使得即便该钱包的所有者仍不为人知，也难以通过该钱包洗白非法所得。金融机构、监管机构以及执法部门可以利用多种互补的第三方工具，在大多数虚拟资产区块链上识别、追踪并归因于虚拟资产交易。125 目前，这些工具支持数百种虚拟资产，并运用聚类算法、网络爬虫、诈骗数据库监测以及其他方法，使调查人员能够将广泛的交易与现实世界中的个人和实体关联起来并加以归因。126 这些工具还能生成交易图谱，帮助用户直观地呈现复杂的关联关系。区块链上的记录已被法院案件采纳为证据，且区块链分析也被认定为申请搜查令时确立合理根据的可靠依据。127 区块链分析对于私营部门而言亦是一项有用工具，可用于提供风险信息、支持基于风险的合规方法，并在客户开户阶段以及定期或事件触发的基础上审查客户活动。

128 然而，在DeFi领域依赖公共区块链信息及追踪来降低非法金融风险仍存在一些局限性。首先，如前所述，公共区块链上的数据具有假名性质。尽管监管机构、执法部门以及公共区块链公司有时能够识别交易参与方，但在其他情况下，他们可能仅掌握参与者的钱包地址而缺乏其他身份识别信息。此外，用户还可通过使用混币器、跨链桥或增强匿名性的加密货币（AEC）等方式掩盖其在公共区块链上的交易追踪，这给区块链追踪工作带来挑战。其次，区块链追踪与分析通常需要以某一已确认的非法交易或地址作为起点，尽管新型工具已能基于区块链数据识别潜在可疑活动。第三，DeFi服务中的关键活动往往发生在链外，而获取并定位此类数据则面临诸多困难。此外，若干虚拟资产行业参与者正在探索旨在提升虚拟资产交易隐私性的措施，其中包括采用第二层技术或私有区块链，此类技术将使公共账本不可被查看，且区块链追踪亦不适用。124 美国财政部，《应对数字资产非法融资风险行动计划》（2022年9月），https://home.treasury.

美国司法部，《根据第14067号行政命令第5(b)(iii)条提交的司法部长报告：执法部门在发现、调查和起诉与数字资产相关的犯罪活动中的作用》（2022年9月），https://www.justice.gov/ d9/2022-12/The%20Report%20of%20the%20Attorney%20General%20Pursuant%20to%20Section.pdf，第32页

同上

关于依据《美国联邦法典》第18编第2703条对多个电子邮件账户进行搜查以调查违反《美国联邦法典》第18编第1956条等行为的案件，案号20-sc-3310（哥伦比亚特区联邦地区法院）（2021年8月26日），https://www.dcd.uscourts.gov/sites/dcd/ files/20sc3310-Opinion.pdf。

金融犯罪执法网络，《执法与合规司副司长阿莱西奥·埃万杰利斯塔在Chainalysis Links会议上的准备发言》（2022年5月19日），https://www.fincen.gov/news/speeches/prepared-remarks-alessio-evangelistaassociate-director-enforcement-and-compliance；美国财政部，《虚拟货币行业制裁合规指南》（2021年10月），https://home.treasury.gov/system/files/126/virtual_currency_guidance_brochure.pdf，第16页。

去中心化金融的非法金融风险评估

美国政府支持能够同时实现或甚至促进反洗钱/反恐怖融资义务合规的隐私增强技术；然而，那些不遵守反洗钱/反恐怖融资义务的实体使用非公开区块链，或者提供可能游离于现行监管之外的服务，都将加剧反洗钱/反恐怖融资风险。此外，用于追踪的区块链许可费用高昂且需要大量培训；正如上文所述，这些区块链追踪工具所采用的交易数据分析方法未必适用于所有区块链或虚拟资产，这意味着行业对涉及此类区块链或虚拟资产的交易缺乏足够的透明度。129

作为进出通道的中心化虚拟资产服务提供商（VASP）尽管DeFi用户可能需要通过中心化VASP将虚拟资产兑换成法定货币以购买商品和服务，但依赖中心化VASP的反洗钱/反恐怖融资项目仅能部分缓解与不合规DeFi服务相关的风险。许多中心化VASP本身并不符合国际反洗钱/反恐怖融资标准，且往往位于反洗钱/反恐怖融资要求薄弱或缺失的司法管辖区。此外，已有案例表明，一些受《银行保密法》（BSA）约束的中心化VASP并未为其提供的服务实施必要的反洗钱程序。130 更为重要的是，即便一家拥有健全反洗钱体系的中心化VASP，在用户利用DeFi服务掩盖资金来源时，也可能面临难以追踪虚拟资产的挑战。目前，许多交易仍需借助中心化VASP作为进出通道，但随着虚拟资产进一步普及，这种需求未来可能会逐步减少。现阶段，大多数商家、企业以及许多金融机构尚不接受虚拟资产作为支付手段，消费者也通常无法使用虚拟资产购买商品和服务。因此，虚拟资产用户往往需要先将其兑换成法定货币才能购买商品和服务，而DeFi服务用户则经常需要通过中心化VASP获取法定货币。

不过，虚拟资产用于支付商品和服务的能力正在不断提升。131 尽管部分商家可能使用具有反洗钱/反恐怖融资义务的第三方服务，但随着虚拟资产在商品和服务支付领域应用的日益广泛，中心化VASP的作用或将逐渐减弱。美国政府将继续努力推动海外落实国际反洗钱/反恐怖融资标准，并督促VASP切实履行反洗钱/反恐怖融资及制裁相关义务。129 美国司法部，《根据第14067号行政命令第5(b)(iii)条发布的总检察长报告：执法部门在发现、调查和起诉与数字资产相关的犯罪活动中的作用》（2022年9月），https://www.justice.gov/d9/2022-12/The%20Report%20of%20the%20Attorney%20General%20Pursuant%20to%20Section.pdf，第43–44页。

例如，请参阅美国财政部网站：美国财政部外国资产控制办公室与Payward, Inc.（“Kraken”）达成的和解协议，https://home.treasury.gov/policy-issues/financial-sanctions/recent-actions/20221128；（2022年11月28日）；美国财政部宣布针对虚拟货币交易平台Bittrex, Inc.采取两项执法行动，涉案金额分别为超过2,400万美元和2,900万美元，https://home.treasury.gov/news/press-releases/jy1006；金融犯罪执法网络（FinCEN）首次对一家比特币“混币器”因违反反洗钱法律予以处罚，https://www.fincen.gov/news/news-releases/first-bitcoin-mixer-penalized-fincen-violating-anti-money-laundering-laws。

例如，Bitpay与PYMNTS.com联合发布的《使用加密货币支付：消费者与商家对数字货币的期望》，https://www.pymnts.com/wp-content/uploads/2022/06/PYMNTS-Paying-With-Cryptocurrency-June-2022.pdf；德勤发布的《商家为加密货币做准备：数字货币支付采纳情况调查》，https://www2.deloitte.com/content/dam/Deloitte/us/Documents/technology/us-cons-merchant-getting-ready-for-crypto.pdf。

去中心化金融的非法金融风险评估

美国及海外。然而，目前依赖中心化的虚拟资产服务提供商（VASPs）来履行反洗钱/反恐怖融资（AML/CFT）及制裁义务的做法，不太可能充分降低与去中心化金融（DeFi）服务相关的非法金融风险。

行业潜在解决方案 虚拟资产行业的多家机构正在开发针对DeFi服务或其他工具的反洗钱/反恐怖融资及制裁合规解决方案，以期降低与DeFi相关的非法金融风险。此类技术创新有望提升美国金融体系的可访问性、透明度和安全性，但多数工具仍处于早期阶段，尚无法对其前景作出明确结论。许多潜在解决方案旨在支持符合反洗钱/反恐怖融资义务的各项要求，同时最大限度地保护用户隐私，例如通过数字身份技术实现DeFi服务对用户身份的验证，并结合用户在公共区块链上的交易历史进行身份确认。零知识证明132亦可使DeFi服务用户在无需披露个人信息的情况下证明其身份已获验证。此外，行业解决方案还可将非法金融风险的缓解措施嵌入智能合约代码中，例如限制交易频率、为特定客户类型设定限额，或利用预言机133筛查出现在制裁名单上的虚拟资产钱包地址，从而防止受制裁地址使用DeFi服务。尽管其中部分解决方案可能适用于更广泛的虚拟资产生态系统及整个金融体系，但由于DeFi服务广泛采用智能合约并依托公共区块链获取海量数据，其应用场景尤为值得关注。

此类解决方案不仅有助于负有义务的DeFi服务遵守《银行保密法》（BSA）及制裁相关要求，也可由不受反洗钱/反恐怖融资义务约束的DeFi服务自愿采用，以降低风险。然而，需要特别注意的是，犯罪分子很可能试图利用这些潜在解决方案中的漏洞，且许多工具尚需进一步的技术开发与调整，方能满足反洗钱/反恐怖融资的相关要求。因此，在推出之前，相关虚拟资产主体必须审慎评估并妥善应对潜在的非法金融风险。私营部门的企业与开发者就如何有效履行反洗钱/反恐怖融资及制裁合规义务提出了诸多问题，其中部分问题仍有待解决；公私部门的协作将在上述解决方案的开发过程中发挥关键作用。美国财政部正致力于提升虚拟资产领域反洗钱/反恐怖融资监管框架及制裁合规项目的整体效能，并将与私营部门密切合作，支持DeFi领域的负责任创新。

一种密码学方案，其中证明者能够在不透露任何额外信息（仅限于该陈述为真而非假这一单一比特）的情况下，使验证者确信某一陈述的真实性；美国国家标准与技术研究院，《术语表：零知识证明》，https://csrc.nist.gov/glossary/term/zero_knowledge_proof。

关于“预言机”的定义，请参见表1。

去中心化金融的非法金融风险评估

6. 结论、建议行动及待解问题 本风险评估发现，犯罪分子利用去中心化金融（DeFi）服务从事非法活动并牟利，尤其是勒索软件攻击、盗窃、诈骗、毒品贩运以及扩散融资等。关键因素，如不合规的DeFi服务、去中介化、部分国家未能有效落实国际反洗钱与反恐怖融资（AML/CFT）标准，以及DeFi服务自身的网络安全薄弱环节，持续构成漏洞，使犯罪分子得以通过DeFi服务实施非法活动并获取利益。尽管现行监管框架、公共区块链带来的透明性、中心化虚拟资产服务提供商（VASP）在虚拟资产生态系统中的作用，以及行业解决方案能够在一定程度上缓解上述部分漏洞，但已识别的这些漏洞仍导致与DeFi服务相关的残余非法金融风险。然而，本报告同时指出，非法活动仅是DeFi领域整体活动的一部分，且目前DeFi领域在整个虚拟资产生态系统中仍属较小规模。此外，洗钱、扩散融资和恐怖主义融资通常更多地借助法定货币或其他传统资产而非虚拟资产进行。美国财政部已确定以下需进一步开展工作的重点领域，以应对相关风险。

建议行动

加强美国对虚拟资产活动的反洗钱与反恐怖融资监管：美国政府应着力强化现有监管与执法职能，提升并统一各类反洗钱与反恐怖融资及其他监管要求的合规水平，包括针对负有《银行保密法》（BSA）义务的DeFi服务。作为此项工作的一部分，监管机构应面向行业开展更多宣导活动，进一步阐释适用法规如何适用于DeFi服务，并与此前发布的相关规定及指引保持一致。同时，根据业界反馈，监管机构还应考虑采取额外的监管措施并发布补充指引，以进一步明确相关要求。

评估美国反洗钱与反恐怖融资监管制度在DeFi服务领域的潜在改进：美国财政部将持续评估美国反洗钱与反恐怖融资相关要求，确保美国监管框架能够有效防范各类威胁及非法金融活动，无论其系由法定货币还是虚拟资产所促成。评估建议通过填补《银行保密法》中存在的漏洞，进一步完善针对DeFi服务的反洗钱与反恐怖融资制度，特别是消除那些可能导致部分DeFi服务游离于《银行保密法》关于金融机构定义之外的监管空白。

继续开展研究并加强与私营部门的互动，以支持对DeFi生态系统发展态势的理解：DeFi服务在其演进过程中可能呈现不同程度的去中心化特征；例如，许多项目最初为集中式架构，最终目标则是实现去中心化。美国政府应持续监测DeFi生态系统的任何变化，以评估其是否会对非法金融风险或该领域实体的反洗钱与反恐怖融资义务之适用产生影响。为此，美国政府应通过研究与私营部门的密切协作来实现这一目标。

继续与外国伙伴开展合作：美国政府将继续通过双边渠道及多边机制，与各国伙伴携手合作，以弥补监管漏洞。

去中心化金融的非法金融风险评估

在落实与虚拟资产及VASP相关的国际标准方面。这将包括分享本报告的研究成果，并鼓励各合作伙伴评估与DeFi服务相关的非法金融风险，制定并实施相应的缓解措施。此外，美国将在FATF框架内推动立即落实FATF标准，并倡导FATF成员持续关注DeFi领域的最新发展，促进就共同的反洗钱/反恐怖融资（AML/CFT）实施挑战、风险评估及最佳实践开展对话与相互支持。•

倡导虚拟资产企业提升网络韧性、加强代码测试并实现稳健的威胁信息共享：美国应继续推动DeFi服务建立实时分析、监测机制，并对代码进行严格测试，以便更迅速地发现漏洞并应对可疑活动的迹象。同时，美国政府应在条件允许且适当的情况下，向虚拟资产企业及公众分享潜在威胁信息，并提供企业可采取的防御措施建议。

推动缓解措施的负责任创新：虚拟资产行业内的多家机构正在开发针对DeFi服务的反洗钱/反恐怖融资解决方案或其他工具，这些工具有望帮助虚拟资产行业降低与DeFi相关的非法金融风险。美国政府应通过技术冲刺活动以及可能提供的研发资助等方式，与相关开发者展开合作，推动旨在降低DeFi服务非法金融风险的创新举措。同时，政策制定者和监管机构也应积极寻求并评估必要的法规或指引调整，以支持上述创新进展。

待讨论的问题 以下所列问题将作为上述建议行动的一部分予以考虑，财政部欢迎社会各界就此提出意见。•

在确定DeFi服务是否属于《银行保密法》（BSA）项下的金融机构时，应当考虑哪些因素？

美国政府如何鼓励采用各类措施以降低非法金融风险，例如报告第5.4节中所列举的措施，尤其是针对那些不属于BSA所界定的金融机构范畴的DeFi服务？

评估结果显示，受监管的DeFi服务未能遵守反洗钱/反恐怖融资义务，部分原因在于其对相关法规如何适用于DeFi服务缺乏充分理解。对于那些属于BSA所界定的金融机构范畴的DeFi服务，是否有其他建议能够进一步明确并提醒其履行现行的反洗钱/反恐怖融资监管义务？

美国的反洗钱/反恐怖融资监管框架如何有效应对目前尚不属于BSA所界定的金融机构范畴的DeFi服务所带来的风险？

针对DeFi服务所提供的不同类型服务，其反洗钱/反恐怖融资义务应当如何相应调整？

去中心化金融的非法金融风险评估

附件A 方法论 本报告整合了已发表及未发表的研究与分析、见解，以及美国政府各机构管理人员和工作人员的观察意见。在起草本评估报告的过程中，美国财政部反恐融资与金融犯罪办公室（TFFC）与下列美国政府机构的工作人员进行了磋商，并由其对本报告予以审阅：•

美国国土安全部 ŠŠ 国土安全调查局 ŠŠ 美国特勤局

美国司法部 ŠŠ 刑事司 −− 洗钱与资产追回处 −− 全国加密货币执法团队 −− 美国联邦检察官执行办公室 ŠŠ 药物执法管理局 ŠŠ 联邦调查局 ŠŠ 虚拟资产部门

美国国务院 ŠŠ 经济与商业事务局

美国财政部 ŠŠ 国内金融处 ŠŠ 美国国税局刑事调查处 ŠŠ 国际事务处 ŠŠ 反恐与金融情报办公室 −− 财政部金融犯罪执法网络（FinCEN）−− 美国海外资产控制办公室（OFAC）−− 情报与分析办公室

联邦职能监管机构工作人员134

其中包括商品期货交易委员会（CFTC）、货币监理署（OCC）以及证券交易委员会（SEC）的工作人员。

去中心化金融非法资金风险评估

本报告的作者与美国政府各业务机构举行了多次会议，并参考了美国财政部风险评估中的公开信息、美国司法部的公开资料以及现有的法院文件。135 此次风险评估还基于与多个美国政府部门和机构的磋商，以及针对美国财政部在发布《降低数字资产非法金融风险行动计划》时所发出的征求意见函而收到的75余份回复。本风险评估所采用的术语与方法部分源自反洗钱/反恐怖融资（AML/CFT）国际标准制定机构——金融行动特别工作组（FATF）的相关指引。本风险评估中使用了以下概念： 威胁：就本次评估而言，威胁是指与洗钱活动相关的上游犯罪，以及可能造成特定损害的个人或实体，或由这些个人和实体实施的活动。上游犯罪的发生环境及犯罪所得的产生方式，对于理解为何某些特定犯罪会与特定洗钱手段相关联具有重要意义。脆弱性：脆弱性是指那些为滥用去中心化金融（DeFi）服务以转移或挪用资金、用于洗钱、资助恐怖主义，或获取物资、支持大规模杀伤性武器（WMD）项目相关收入等活动提供了便利或创造了机会的因素。这些脆弱性可能涉及某一特定金融领域或产品，也可能源于法律、监管、监督或执法方面的不足。

后果：后果包括对美国公民造成的损害或成本，以及对美国经济产生的影响，从而进一步阐明威胁的本质。风险：风险是威胁、脆弱性和后果三者共同作用的结果，是对整体情况的综合评估，并考虑了包括监管、监督和执法在内的各类缓解措施所产生的效果。

起诉书中的指控仅属指控。所有被告均推定无罪，除非且直至其在法庭上被证明超越合理怀疑地有罪。

去中心化金融非法金融风险评估

O ENT F THE E TR

ASURY

E DEPA TH RT

M