Durante años, la relación entre los organismos de supervisión financiera en todo el mundo y el ecosistema de las finanzas descentralizadas (DeFi) se mantuvo en un terreno de ambigüedad, debido a que muchas de estas plataformas descentralizadas operan sin intervención humana.
De hecho, las DeFi, están basadas en la promesa técnica de ejecutar un sistema financiero sin intermediarios, gobernado únicamente por código inmutable en la cadena de bloques, lo que desafiaba la lógica misma de las regulaciones tradicionales contra el blanqueo de capitales y la financiación del terrorismo (ALD/CFT).
Sin embargo, Chainalysis dice en su Blog, que la publicación del primer informe exhaustivo sobre DeFi por parte del Grupo de Acción Financiera Internacional (GAFI/FATF) redefine el tratamiento de los protocolos descentralizados, eliminando de cuajo cualquier exención regulatoria soportada en el argumento de la “descentralización”.
El organismo regulador global en lugar de dejarse llevar por la terminología publicitaria o las etiquetas corporativas, ha establecido un principio operativo que determina que las obligaciones legales de un protocolo no es cómo se autodenomina, sino la realidad técnica y financiera de su estructura de mando.
Este criterio busca cerrar la brecha normativa en un sector donde, de acuerdo con datos recientes de análisis on-chain, el volumen de flujos ilícitos ha mostrado un crecimiento sostenido, impulsado por la explotación de vulnerabilidades técnicas y la opacidad en la gobernanza.
El núcleo de la propuesta del GAFI/FATF radica en la prueba de Control o Influencia Suficiente (Control or Sufficient Influence, o COSI, «por sus siglas en inglés»), porque mediante este mecanismo, los supervisores financieros evalúan si un protocolo opera de manera verdaderamente autónoma o si, por el contrario, existen personas físicas o jurídicas que ejercen una dirección efectiva sobre la actividad económica del sistema.
Para determinar esta condición, el organismo internacional no se limita a revisar la documentación legal existente en el mundo físico, sino que en su lugar, insta a aplicar indicadores cualitativos y cuantitativos directamente en la cadena de bloques (on-chain).
Primero, evalúa la concentración de la gobernanza, para determinar si un número reducido de direcciones recopila los tokens necesarios para inclinar las votaciones operativas, en cuyo caso el protocolo muestra signos explícitos de centralización.
Los reguladores han sido instruidos por el GAFI/FATF para analizar la agrupación de billeteras (wallet clustering) con el fin de detectar si identidades aparentemente distintas responden en realidad a un mismo actor que se beneficia de ese protocolo.
Segundo analiza los privilegios administrativos de la plataforma, así como la retención de claves privadas con capacidad para modificar contratos inteligentes, ajustar parámetros de riesgo, pausar el protocolo o activar paradas de emergencia (kill switches) lo que constituye una prueba objetiva de control sobre la infraestructura financiera.
Tercero, identifica la gestión de tesorerías y comisiones, a través de la extracción o redireccionamiento de los flujos económicos generados por la red hacia entidades o individuos específicos, lo que sitúa de inmediato al protocolo dentro del alcance de la supervisión tradicional.
Bajo la metodología COSI, el marco clasifica los protocolos en tres categorías funcionales, haciendo que aquellos esquemas centralizados (con controladores identificados o por identificar) queden catalogados bajo la figura de Proveedores de Servicios de Activos Virtuales (VASP, «por sus siglas en inglés»).
Y como cualquier VASP, estos protocolos deben asumir obligaciones estrictas como el registro de licencias, los procesos de verificación de identidad (KYC, «por sus siglas en inglés»), el monitoreo continuo de transacciones y la aplicación de la Travel Rule.
Sin embargo, en los protocolos verdaderamente descentralizados —aquellos que carecen por completo de intervención o control humano— quedan fuera de la definición directa de VASP, aunque permanecen bajo vigilancia mediante la regulación indirecta de sus puntos de acceso.
Uno de los aportes teóricos más relevantes de la postura del GAFI/FATF es la convergencia explícita entre la ciberseguridad y la prevención del delito financiero, que en las finanzas tradicionales, el robo o la brecha de datos suele considerarse un problema operativo o informático distinto del blanqueo de capitales.
Pero, en el ecosistema de las finanzas descentralizadas, ambas dimensiones son inseparables, por lo que la explotación de un error en un contrato inteligente genera de manera instantánea fondos ilícitos que deben ser movilizados, lavados e integrados en el sistema económico mundial.
A partir de este diagnóstico, la doctrina del GAFI/FATF despeja un dilema histórico para los desarrolladores, ya que con anterioridad, la inclusión de herramientas de pausado o mitigación de riesgos se interpretaba con frecuencia como un indicio indeseable de centralización.
Pero la nueva orientación aclara que la implementación de salvaguardias técnicas para defender el protocolo o prevenir maniobras ilícitas no debe ser sancionada per se, siempre que su objetivo sea la protección de la red y no el control discrecional del servicio financiero subyacente.
De allí que, la seguridad del código se transforma así en un requisito estructural para la integridad financiera. No obstante, a pesar de la claridad conceptual del marco, el desafío principal reside en su aplicación uniforme a escala global.
La abrumadora mayoría de las jurisdicciones nacionales aún no ha identificado formalmente qué protocolos operan en sus territorios, lo que refleja una notable asimetría entre las intenciones normativas y las capacidades técnicas locales.
La ejecución práctica de la prueba COSI requiere herramientas analíticas sofisticadas. Los supervisores estatales y las instituciones financieras que interactúan con DeFi deberán recurrir de forma sistemática a la inteligencia de datos on-chain para auditar los flujos transaccionales, rastrear la exposición a herramientas de anonimización (como mezcladores o bridges) y mapear las dinámicas reales de votación.
Asimismo, la presión regulatoria se desplazará fuertemente hacia la infraestructura periférica: los operadores de interfaces Web (front-ends), los proveedores de oráculos y los emisores de stablecoins, a quienes se exigirá la incorporación de controles automatizados, geobloqueos y funciones de congelación de activos.
El GAFI/FATF apunta con su nuevo enfoque hacia un nuevo estándar de evaluación de la descentralización ya como una propiedad técnica medible y auditable, que además puede ser clasificada para determinar su tipo.
En lo que respecta al ecosistema digital, este cambio de paradigma del GAFI/FATF implica que el cumplimiento normativo y la mitigación de riesgos de ciberseguridad dejarán de ser obstáculos administrativos para convertirse en requisitos indispensables de diseño e infraestructura, determinantes para la viabilidad a largo plazo del capital institucional en el entorno descentralizado.