全球反洗钱核心机构——金融行动特别工作组（FATF）在最新发布的报告中指出，绝大多数所谓“去中心化金融”（DeFi）项目并非如其宣称的那样真正去中心化，其背后的运营平台应当像其他金融业务一样接受监管。报告强调，只要存在可识别的个人或实体对项目保持“控制或足够影响力”，无论项目自称多么去中心化，FATF的规则均适用。
这份于周二发布的报告将DeFi项目划分为三类：存在明确控制者的平台；实际操作中中心化但运营者身份隐藏的平台；以及真正没有领导者的少数派。只有最后一类可以免于FATF标准的约束。报告发现，尽管许多DeFi项目标榜自身完全去中心化，但通过集中的治理代币、管理员权限、升级控制权以及流向内部人员的费用和奖励，中心化元素“在实践中经常持续存在”。
FATF主席吉尔斯·汤姆森在随报告发布的声明中表示，目标是在“支持负责任的金融创新”的同时，阻止犯罪分子利用新技术“清洗黑钱”，并强调强有力的公私信息共享是应对措施的核心。
仅名义上去中心化？报告列出了链上与链下的控制迹象，包括升级密钥和“终止开关”功能、设定费用或风险参数的权力、集中的投票权、对公共网站或应用程序的控制权，以及雇佣核心开发人员或持有财库的公司实体。FATF指出，当存在此类控制时，背后的开发者、大额代币持有者、前端运营者或出资方均应像任何金融公司一样获得许可并接受监管。即使只是运营一个将用户引导至协议的前端，也可能足以构成监管对象。
然而，实践中几乎无人执行。在FATF近期调查中，近93%的受访司法管辖区尚未将相关标准应用于任何符合条件的DeFi项目，142个受访国家中仅有26个曾评估过相关风险。四个国家制定了许可规则，而只有两个国家曾利用这些规则注册或许可过一个平台。FATF的指导并非法律，但成员国将根据其遵守程度接受评估，持续存在的漏洞可能导致该国被列入观察“灰名单”。
禁令作为最后手段FATF希望各国通过要求或至少鼓励DeFi项目将反洗钱控制直接嵌入其智能合约或界面中——从制裁筛查到在特定功能运行前进行KYC（了解你的客户）检查——来缩小差距。对于真正没有领导者的项目，FATF引导监管机构关注其周围的“瓶颈点”：可以冻结代币的稳定币发行方、处理法币出入金通道的交易所，以及前端运营者。报告称，如果平台拒绝合作，司法管辖区可以采取最后手段，禁止其在其领土内运营。银行和交易所则被要求对其接触的任何DeFi平台进行尽职调查，否则停止与其交易。
朝鲜黑客的DeFi“收获”报告大量引用犯罪分子如何利用该领域。它特别点名朝鲜，称其国家背景的黑客在4月发动了两起攻击，合计盗走超过5.7亿美元：对Solana永续合约交易所Drift Protocol的2.85亿美元利用（仅用12分钟完成），以及对KelpDAO的2.92亿美元黑客攻击。两者合计约占当年加密货币黑客损失总额的76%。报告还指出，勒索软件团伙、专业洗钱网络和投资者欺诈行为是DeFi混币器、跨链桥和兑换工具的频繁使用者。
打击行动已在进行美国检察官今年已为比特币混币器Samourai Wallet的两名联合创始人争取到监禁刑期，并判定Tornado Cash开发者Roman Storm有罪，这些案件均基于与FATF相同的理念：构建和运行代码的人可以被视为受监管的货币业务。报告数据显示，DeFi的总锁仓价值今年达到866亿美元，自2023年以来增长约85%，前12个协议持有超过60%的份额。报告呼吁监管机构执行FATF规则手册，而不是留下可能助长大规模非法金融的漏洞。