Pourquoi l'affaire Tornado Cash bouleverse l'écosystème crypto

Le service de "mixage" de cryptomonnaies a été placé sous liste noire des autorités américaines. Or, certaines voix du secteur soulignent une atteinte à la vie privée des utilisateurs.

Le bataille entre les régulateurs et la finance décentralisée (DeFi) se durcit aux Etats-Unis. Le 8 août, le service dit de "mixage" de cryptomonnaies Tornado Cash a été placé sous liste noire de l'office of foreign assets control (OFAC), une autorité américaine de régulation. 40 adresses de portefeuilles associées à Tornado Cash, comportant des stablecoins USDC et des ethers, figurent également sur la liste.

Tornado Cash est accusée d'avoir blanchi plus de 7 milliards de dollars de cryptomonnaies depuis sa création en 2019, dont plus de 455 millions de dollars auraient été volés par le groupe de piratage Lazarus lié à la Corée du Nord.

"Bien qu'il affirme publiquement le contraire, Tornado Cash a échoué à plusieurs reprises à imposer des contrôles efficaces conçus pour l'empêcher de blanchir des fonds pour des cyberacteurs malveillants et sans mesures de base pour faire face à ces risques", a déclaré le sous-secrétaire au Trésor pour le terrorisme et le renseignement financier Brian Nelson, dans un communiqué.

Lancé en 2019, Tornado Cash est un "mixeur" (ou mélangeur) de smarts contracts dans la DeFi qui permet d'anonymiser les transactions. Concrètement, un utilisateur peut déposer des fonds sur un smart contract qui se retrouvent "mélangés" avec d'autres fonds. Après ce mélange, Tornado Cash génère une clé privée à l'utilisateur qui lui permet de retirer ses fonds de manière anonyme.

Selon les données du site spécialisé Defi Llama, la valeur totale bloquée (TVL) sur Tornado Cash est d'environ 362 millions de dollars, avec principalement de l'ether bloqué.

Le patron d'Ethereum a utilisé Tornado Cash

De nombreuses voix de l'écosystème crypto ont réagi à la suite de la décision de l'OFAC. Immédiatement après cette décision, le patron de la blockchain Ethereum Vitalik Buterin, a admis avoir utilisé Tornado Cash afin de faire un don anonyme à l'Ukraine.

De même, la société Circle, qui émet le stablecoin USDC, a dû geler 75.000 USDC appartenant à des utilisateurs de Tornado Cash. Dans un thread sur Twitter, le patron de Circle, Jérémy Allaire, a précisé que l'OFAC avait "franchi un seuil majeur dans l’histoire d’internet", mais que sa société était dans l'obligation de se soumettre à une telle décision sous peine de fortes sanctions.

"L’OFAC a outrepassé son autorité légale"

Ce dernier a appelé l'industrie crypto à se réunir dans les prochains jours "pour contribuer à faire progresser les cadres juridiques et les politiques visant à protéger la vie privée et la sécurité des utilisateurs tout en faisant évoluer les règles d’intégrité financière pour traiter les protocoles open source". Pour ce dernier, un tel cas de figure est un "pilier dans la lutte pour protéger la DeFi et l'avenir de la monnaie numérique".

De manière plus frontale, l'association américaine Coin Center qui défend le secteur crypto a publié ce lundi une analyse intitulée "qu’est-ce qui est et qu’est-ce qui n’est pas une entité passible de sanctions dans l’affaire Tornado Cash?".

"Nous pensons que l’OFAC a outrepassé son autorité légale en ajoutant certaines adresses de contrats intelligents Tornado Cash à la liste noire, que cette action viole potentiellement les droits constitutionnels liés à une procédure régulière et à la liberté d’expression, et que l’OFAC n’a pas agi de manière adéquate pour atténuer l’impact prévisible que son action aurait sur des Américains innocents" a écrit Coin Center.

Ce n’est pas la première fois que les Etats-Unis sanctionnent des "mixeurs" de cryptomonnaies: en mai, la société Blender.io a également été accusée d'avoir permi de blanchir de l'argent.

Mais ce cas resterait différent de l'affaire Tornado pour certains observateurs du secteur.

"L’entité Tornado Cash, qui a vraisemblablement déployé l’application Tornado Cash, n’a aujourd’hui aucun contrôle sur l’application. Contrairement à Blender, elle ne peut pas choisir si l’application Tornado Cash s’engage ou non dans le mixage, et elle ne peut pas choisir quels 'clients' prendre et lesquels rejeter. Dans le cas de Blender, l’entité et l’application sont une seule et même chose. Mais dans le cas de Tornado Cash, ce sont deux choses complètement distinctes. C’est la différence subtile mais importante que l’OFAC ne reconnaît pas en traitant les deux comme une seule et même chose (comme pour Blender) et en ajoutant les deux à la liste noire comme une seule", considère Coin Center.

Selon la société spécialisée dans les transactions sur la blockchain Chainalysis, 18% des fonds qui ont transité par Tornado Cash provenaient d'entités sanctionnées et moins de 11 % étaient identifiées comme des fonds volés.

"En tant que mélangeur basé sur un smart contract, sanctionner Tornado Cash n'est pas aussi simple que de sanctionner un service centralisé comme Blender.io ou Hydra Market, car il ne peut pas simplement être arrêté. Le code du smart contract peut fonctionner à perpétuité sans maintenance de la part des développeurs", souligne Chainalysis dans une note.

Pour la société, si une telle décision de la part de l'OFAC est importante, elle suggère que les protocoles décentralisées, au même titre que les plateformes centralisées, peuvent être soumis à des règlementations.

Par ailleurs, dans un rapport publié mi-juillet, Chainalysis a observé que les sociétés de "mixage" avaient gagné en popularité en 2022 par rapport à l'année précédente. Si la société reconnaît certaines raisons "légitimes" d'avoir recours à un tel service, elle met en avant les dérives associées à de tels services.

"La confidentialité financière est importante, en particulier pour les personnes vivant sous des gouvernements oppressifs ou qui ont besoin de pouvoir effectuer des transactions légales de manière anonyme. Cependant, la fonctionnalité de base des mixeurs de crypto-monnaies, combinée au fait qu'ils ne demandent que rarement, voire jamais, d'informations KYC ("know your customer", ce qui correspond à un processus d'identification des clients, NDLR), les rend naturellement attrayants pour les cybercriminels", souligne Chainalysis.

Pauline Armandet