Într-o seară obișnuită de august, un investitor din Cluj deschide aplicația din telefon, schimbă niște euro în stablecoin și îi depune într-un protocol de împrumut. Dobânda curge secundă de secundă. Nimeni nu i-a cerut buletinul, nimeni nu l-a întrebat de unde are banii. Interfața are un logo, site-ul are termeni și condiții, iar undeva pe un canal de Discord câțiva dezvoltatori discută despre următorul upgrade. Pentru utilizator, totul pare o mașinărie care merge singură. Pentru un supraveghetor financiar, aceeași scenă ridică întrebarea pe care nimeni nu a reușit să o închidă în ultimii cinci ani: cine răspunde, de fapt, dacă lucrurile o iau razna?
Pe 21 iulie 2026, Grupul de Acțiune Financiară Internațională, cunoscut după acronimul FATF, a publicat la Paris primul său raport dedicat exclusiv finanțelor descentralizate. Are 49 de pagini, nu introduce nicio recomandare nouă și tocmai de aceea contează mai mult decât pare. Documentul nu inventează reguli. Explică felul în care regulile deja existente se aplică unei tehnologii care s-a obișnuit să se prezinte drept imposibil de reglementat. Mesajul încape într-o propoziție: descentralizarea este o afirmație care se verifică, nu o etichetă care scoate un serviciu financiar din raza autorităților.
De ce un raport care nu schimbă nicio regulă contează atât de mult?
FATF stabilește standardele globale împotriva spălării banilor și a finanțării terorismului. Nu emite legi. Recomandările lui ajung însă, prin directive europene și legislație națională, în procedurile zilnice ale băncilor, ale caselor de schimb și, de câțiva ani, ale platformelor de criptoactive. Din 2019, Recomandarea 15 acoperă și activele virtuale. În 2021, organizația a spus pentru prima dată că un aranjament DeFi intră sub incidența standardelor atunci când o persoană fizică sau juridică exercită control ori influență suficientă asupra lui.
Timp de cinci ani, formularea a rămas un principiu fără instrucțiuni de folosire. Între timp sectorul a crescut, a atras capital instituțional și a devenit interesant pentru cine are de spălat bani. Raportul Chainalysis privind criminalitatea cripto din 2026 indică o creștere de 343% de la an la an a fluxurilor ilicite care ajung în protocoale descentralizate. Cifra nu justifică panica, fiindcă vine pe o bază încă mică raportat la ansamblul pieței de active virtuale. Explică însă de ce FATF a decis că principiul are nevoie de o metodă.
Metoda poartă numele de test al controlului sau al influenței suficiente, prescurtat COSI după inițialele din engleză. Ideea din spatele ei e veche de când lumea în dreptul financiar. Dacă cineva poate schimba regulile jocului în folos propriu, acel cineva are și obligații. Diferența e că, în DeFi, acel cineva trebuie căutat în distribuția tokenurilor de guvernanță, în cheile private care controlează contractele inteligente și în drumul pe care îl fac comisioanele prin trezoreria protocolului.
Cum funcționează testul COSI?
Raportul împarte universul DeFi pe trei paliere, nu pe două. Distincția e deliberată. Cel mai probabil derapaj în implementare ar fi ca o autoritate mai puțin familiarizată cu tehnologia să tragă concluzia că orice urmă de control înseamnă centralizare totală.
Primul palier cuprinde aranjamentele în care persoane sau entități identificabile dețin controlul. Acestea intră direct în sfera standardelor și sunt tratate ca furnizori de servicii de active virtuale, cu tot ce presupune asta: autorizare, verificarea identității clienților, monitorizarea tranzacțiilor, respectarea sancțiunilor internaționale și aplicarea regulii călătoriei acolo unde e cazul.
Al doilea palier e cel mai delicat. Sunt protocoale controlate real, dar de oameni care nu au fost încă identificați. FATF spune limpede că anonimatul fondatorilor nu creează o zonă liberă de obligații, iar recomandarea pentru supraveghetori e să lucreze cu autoritățile interne, cu omologii din alte state și cu firmele de analiză blockchain până când numele apar.
Al treilea palier adună protocoalele cu adevărat descentralizate, acolo unde nimeni nu exercită control sau influență suficientă. Ele rămân în afara standardelor, dar nu în afara riscului. Pentru ele documentul recomandă monitorizare prin analiză on-chain, diligență sporită la punctele de contact cu sistemul reglementat și controale la nivelul emitenților de stablecoin.
Indicatorii care se văd pe blockchain
Primul semnal urmărit e concentrarea guvernanței: câteva portofele care dețin destule tokenuri cât să decidă singure direcția financiară a protocolului. FATF cere supraveghetorilor să analizeze gruparea adreselor aparent fără legătură între ele și comportamentul de vot, fiindcă un singur actor poate opera prin zeci de portofele. Nuanța, subliniată explicit în text, e că simpla concentrare nu dovedește prin ea însăși centralizarea.
Al doilea ține de privilegiile administrative. Cine deține cheile private care permit actualizarea unui contract inteligent, modificarea parametrilor, oprirea protocolului sau restricționarea accesului deține o pârghie reală de control, indiferent cum se numește în documentația proiectului. Al treilea urmărește banii, și e probabil cel mai greu de contestat: cine încasează comisioanele, cine administrează trezoreria, cine direcționează valoarea economică produsă de sistem.
Indicatorii din afara blockchainului
Aici intră interfața web prin care ajung utilizatorii, depozitul de cod unde se scrie și se aprobă software-ul, și comunicarea publică prin care o echipă își asumă capacitatea de a modifica protocolul. Un proiect care anunță pe rețelele sociale că a oprit temporar o piață pentru a proteja fondurile utilizatorilor a spus, fără să vrea, ceva foarte relevant despre propriul nivel de control.
O precizare traversează tot documentul și merită reținută. Testul măsoară cine controlează serviciul financiar, nu dacă protocolul a ales să implementeze practici bune de securitate. FATF încurajează explicit mecanismele de oprire de urgență, filtrarea adreselor la nivel de interfață și verificările împotriva listelor de sancțiuni, pentru toate cele trei categorii. Un proiect nu trebuie penalizat fiindcă se apără.
Protocoale cu stăpâni cunoscuți
Exemplele ajută mai mult decât definițiile. Niciunul dintre proiectele de mai jos nu a fost clasificat de FATF și niciunul nu este acuzat de ceva. Sunt ilustrări ale unor structuri de guvernanță publice, verificabile de oricine are răbdare să citească documentația.
Aave, unul dintre cele mai mari protocoale de împrumut din lume, rulează pe contracte care pot fi actualizate, are guvernanță prin tokenul AAVE și un multisig de gardă care poate opri anumite piețe în situații de urgență.
Compound, protocolul care a popularizat dobânda algoritmică, funcționează cu un contract de guvernare și un mecanism de temporizare prin care propunerile aprobate ajung să modifice sistemul.
Lido, care administrează o parte semnificativă din ETH-ul aflat în staking, lucrează cu o listă curatoriată de operatori de noduri și cu o distribuție a tokenului de guvernanță în care câțiva deținători mari cântăresc enorm.
Sky, protocolul cunoscut până acum câțiva ani drept MakerDAO, are un mecanism de oprire de urgență și emite un stablecoin cu funcție de înghețare scrisă direct în contract.
Ondo Finance, care tokenizează titluri de trezorerie americane, cere verificarea identității înainte de acces și operează, în esență, ca o companie financiară cu produse pe blockchain.
Pentru un supraveghetor care aplică testul, întrebarea nu e dacă aceste proiecte sunt bune sau rele. Întrebarea e dacă influența identificată privește un serviciu financiar esențial ori doar un detaliu tehnic minor. Un multisig care poate opri o piață în caz de atac nu are aceeași greutate ca unul care poate redirecționa comisioanele.
Control real, controlori nevăzuți
Istoria recentă a sectorului oferă exemple limpezi pentru situația în care cineva chiar decidea, dar nimeni nu știa cine.
În septembrie 2020, o persoană cunoscută publicului doar ca Chef Nomi a convertit fondul de dezvoltare al protocolului SushiSwap, aproximativ 14 milioane de dolari la cursul de atunci, în ether. Banii au fost returnați ulterior, iar controlul a trecut la un multisig. Episodul a arătat însă cât de subțire era granița dintre o comunitate și o singură cheie privată.
În martie 2021, protocolul Meerkat Finance de pe BNB Chain a rămas fără zeci de milioane de dolari la o zi după lansare, iar echipa, anonimă, a susținut că a fost victima unui atac. O lună mai târziu, Uranium Finance a pierdut o sumă comparabilă în timpul unei migrări de cod, într-un incident care a ridicat suspiciuni serioase privind implicarea cuiva din interior. În octombrie același an, proiectul AnubisDAO a strâns peste treisprezece mii de ether de la investitori, iar fondurile au dispărut în câteva ore.
Cel mai instructiv rămâne cazul Wonderland, din ianuarie 2022. Administratorul trezoreriei, cunoscut sub pseudonimul 0xSifu, s-a dovedit a fi cofondatorul unei burse canadiene prăbușite cu ani în urmă. Comunitatea a aflat, în cel mai neplăcut mod cu putință, că descentralizarea nominală poate ascunde o persoană foarte concretă, cu un trecut foarte concret.
Exact acest tip de situație are în vedere FATF când recomandă supraveghetorilor să colaboreze cu firmele de analiză on-chain, capabile să lege adrese aparent independente și să urmărească traseul comisioanelor până la un punct de contact din lumea reală.
Descentralizare autentică, demonstrabilă tehnic
Există și protocoale unde nimeni nu poate schimba nimic, iar asta se poate proba prin cod.
Liquity, în versiunea inițială, e exemplul de manual: contracte imuabile, fără guvernanță, fără chei de administrator, fără posibilitatea de a modifica parametrii după lansare. Contractele de bază ale Uniswap v2 nu pot fi actualizate, deși există o pârghie de guvernanță asupra comisioanelor și o companie care operează interfața principală.
Morpho Blue a fost proiectat cu un nucleu care nu poate fi înlocuit, chiar dacă guvernanța păstrează atribuții limitate. Reflexer, protocolul din spatele stablecoinului RAI, a parcurs deliberat un proces prin care și-a eliminat propriile puteri de guvernanță.
Tornado Cash rulează pe contracte imuabile încă de la o ceremonie de configurare din 2020, iar sancțiunile impuse de Trezoreria americană în 2022 au fost retrase în martie 2025, după o decizie a unei curți federale de apel potrivit căreia un contract inteligent imuabil nu poate fi tratat drept proprietatea cuiva.
Ultimul caz explică de ce raportul insistă că lipsa competenței de reglementare nu înseamnă lipsa riscului. Un protocol pe care nimeni nu îl controlează nu poate fi obligat să facă nimic. Poate fi în schimb observat permanent, iar ușile prin care banii intră și ies din el rămân integral reglementate.
Aceeași regulă, infrastructuri foarte diferite
Discuția despre control se schimbă considerabil în funcție de rețeaua pe care rulează un protocol. Pe Ethereum, majoritatea proiectelor mari au guvernanță publică, propuneri arhivate și voturi verificabile, ceea ce face testul relativ ușor de aplicat. Pe BNB Chain, viteza de lansare a atras un număr mare de proiecte replicate, multe cu echipe anonime, ceea ce plasează o bună parte a ecosistemului direct în a doua categorie.
Pe Solana, costul redus al tranzacțiilor a produs aplicații cu volume uriașe și o concentrare puternică a lichidității în câteva locuri, ceea ce ridică întrebări despre influența operatorilor de infrastructură. Pe Tron, dominanța stablecoinului USDT în transferurile transfrontaliere a transformat rețeaua într-o rută preferată deopotrivă pentru remitențe legitime și pentru fluxuri ilicite.
Pe MultiversX, rețeaua construită de o echipă din România, guvernanța și dezvoltarea sunt concentrate în jurul unei entități identificabile, ceea ce simplifică enorm identificarea responsabilului dacă se pune vreodată problema.
Ecosistemul MultiversX oferă și o listă utilă de aplicații pentru cine vrea să vadă cum arată DeFi în vecinătate. xExchange funcționează ca bursă descentralizată nativă a rețelei, Hatom oferă împrumuturi și depozite purtătoare de dobândă, AshSwap s-a specializat pe schimburi între active cu preț apropiat, iar OneDex și JEXchange completează zona de tranzacționare cu modele diferite de listare și de execuție a ordinelor. Fiecare are o echipă care poate fi contactată, un site care poate fi accesat și conturi publice pe rețelele sociale. În limbajul raportului, asta înseamnă indicatori off-chain destul de vizibili.
Distanța dintre reguli și aplicarea lor
Cea mai dură cifră publicată de FATF în iulie nu apare în raportul despre DeFi, ci în actualizarea țintită lansată în aceeași săptămână. Din 142 de jurisdicții analizate în rețeaua globală a organizației, 132 nu au identificat niciun protocol descentralizat care să îndeplinească criteriile de reglementare pe teritoriul lor. Patru state au impus cerințe de autorizare. Unul singur a luat vreo măsură de aplicare.
Nu vorbim despre un sistem care aplică prost regulile, ci despre unul care încă nu a început să le aplice. De aici și tonul insistent al recomandărilor: evaluări de risc dedicate DeFi, analiză blockchain continuă pentru supraveghere, colaborare cu furnizorii de instrumente analitice atunci când controlorii nu pot fi identificați, atenție sporită față de operatorii de interfețe și de oracoluri, auditarea contractelor inteligente însoțită de controale integrate și monitorizare permanentă.
Ce se schimbă pentru bănci și pentru emitenții de stablecoin?
Instituțiilor financiare, fie ele tradiționale sau native în cripto, raportul le cere o abordare bazată pe risc. Concret, înseamnă evaluarea structurii de guvernanță a contrapărții, verificarea controalelor sale interne și estimarea capacității de a rezista unui atac informatic. Acolo unde riscul crește, prin expunere la punți între lanțuri, la servicii de amestecare a tranzacțiilor sau la protocoale cu controale minime, se aplică diligență sporită: analiză mai adâncă a traseului fondurilor și praguri mai joase pentru semnalarea activității suspecte.
Emitenții de stablecoin primesc o responsabilitate aparte, și pe bună dreptate. Aceleași calități care fac stablecoinurile atât de utile, transferul instantaneu de valoare oriunde în lume și la orice oră, îi atrag și pe cei care mută bani murdari. Datele Chainalysis pentru 2026 arată că stablecoinurile reprezintă 84% din volumul total al tranzacțiilor ilicite. FATF așteaptă de la emitenți capacitatea de a îngheța și de a distruge tokenuri ca standard minim, iar actualizarea din iulie semnalează un fenomen care ar trebui să dea de gândit: unele rețele criminale proiectează deja stablecoinuri construite special ca să reziste înghețării.
România, între un regulament european și o autoritate care încă nu există
Aici discuția devine foarte concretă pentru cititorul român. Perioada de tranziție prevăzută de Regulamentul european MiCA s-a încheiat pe 1 iulie 2026. De la acea dată, furnizorii de servicii de criptoactive nu mai pot deservi clienți din Uniunea Europeană fără autorizație. Piața locală e departe de a fi marginală: potrivit datelor Asociației Administratorilor de Fonduri și ale Fondului de Compensare a Investitorilor, la 31 martie 2026 existau aproximativ 600.000 de investitori români în criptomonede, aproape dublul numărului total de investitori de la Bursa de Valori București.
Problema e că, la expirarea termenului, România nu avea desemnată o autoritate competentă pentru aplicarea MiCA. Prim-vicepreședintele Autorității de Supraveghere Financiară a explicat public, la începutul lui iulie, că în lipsa desemnării nu pot fi primite și nu pot fi soluționate cereri de autorizare. Un proiect de ordonanță de urgență, prezentat în primă lectură în Guvern pe 2 aprilie 2026, prevede ca ASF să preia o parte dintre atribuții. Regulamentul se aplică direct, ca orice regulament european, însă mecanismul prin care o firmă locală ar putea obține autorizația a rămas blocat.
Pentru un utilizator obișnuit, consecința practică e că platformele reglementate cu care lucrează sunt, cel mai probabil, autorizate în alte state membre și operează în România prin pașaportare europeană. Cadrul antispălare rămâne cel din Legea 129/2019, cu raportare către Oficiul Național de Prevenire și Combatere a Spălării Banilor. Din 10 iulie 2027 intră în vigoare noul regulament european antispălare, care interzice conturile anonime de criptoactive și interacțiunea furnizorilor autorizați cu monedele ce ascund tranzacțiile.
Ce se schimbă pentru un investitor din Cluj, Galați sau Timișoara?
Fiscalitatea s-a modificat deja. Pentru câștigurile realizate începând cu 1 ianuarie 2026, cota de impozit pe transferul de monedă virtuală a urcat de la 10% la 16%, cu declarare prin formularul 212 până pe 25 mai a anului următor. Se păstrează scutirea pentru câștiguri sub 200 de lei pe tranzacție, cu condiția ca totalul anual să rămână sub 600 de lei.
Vizibilitatea s-a schimbat și ea. Tot din 1 ianuarie 2026 se aplică directiva europeană DAC8, care obligă platformele de criptoactive să raporteze automat autorităților fiscale tranzacțiile utilizatorilor. Cine tranzacționează pe o platformă autorizată în Uniunea Europeană ar face bine să pornească de la premisa că ANAF primește datele oricum, fără ca cineva să fie nevoit să întrebe.
Aici intervine partea legată direct de raportul FATF. Un protocol cu adevărat descentralizat nu raportează nimic nimănui, din simplul motiv că nu există nimeni care să raporteze. Asta nu șterge obligația fiscală a utilizatorului și nu îl protejează în clipa în care fondurile se întorc pe o platformă reglementată, unde vor fi verificate oricum. Pentru cine își imaginează DeFi ca pe o portiță fiscală, vestea proastă e că portița se închide dinspre celălalt capăt.
Riscul mai apropiat de buzunar rămâne însă altul. Dacă un protocol care se prezintă drept descentralizat are în realitate o echipă anonimă capabilă să modifice contractele, pericolul de a pierde banii e mult mai mare decât pericolul de a intra în vizorul unei autorități. Cazurile Meerkat și AnubisDAO nu au fost sancționate de nimeni. Banii pur și simplu au dispărut, iar oamenii care i-au depus nu au avut pe cine să reclame.
Ultimul lucru care merită pregătit din timp ține de dovada provenienței. Cine depune într-un cont bancar românesc sume rezultate din activitate DeFi ar trebui să poată reconstitui traseul fondurilor cu extrase, adrese și date exacte. Băncile aplică deja proceduri de verificare, iar în lipsa unei documentații coerente întrebările pot bloca operațiunea săptămâni întregi.
Întrebările pe care raportul le lasă deschise
Descentralizarea progresivă rămâne cea mai spinoasă. Multe proiecte pornesc cu o echipă care controlează absolut tot și cedează puterea treptat, pe parcursul câtorva ani. Nu există un moment clar în care un protocol iese din sfera reglementării, iar documentul nu propune un prag. Ce spune, în schimb, e că implementarea unor măsuri solide de reducere a riscului rămâne o practică sănătoasă indiferent de etapă.
Jurisdicția e a doua problemă. Când contractele rulează pe o rețea globală, interfața e operată dintr-o țară, fundația e înregistrată în alta, iar deținătorii de tokenuri sunt răspândiți pe cinci continente, întrebarea despre cine reglementează nu are un răspuns evident. Datele de pe blockchain trec granițele fără efort. Mandatele autorităților, nu.
A treia ține de convergența dintre securitatea cibernetică și combaterea spălării banilor. În finanțele clasice, cele două domenii stau în birouri separate. În DeFi sunt inseparabile: un atac asupra unui contract inteligent produce instantaneu fonduri care trebuie spălate, iar pentru actori statali precum Coreea de Nord acele fonduri ajung să finanțeze programe de înarmare. Cazul Venus Protocol e ilustrarea perfectă. Detectarea atacului și oprirea protocolului au fost, simultan, o reacție de securitate și una antispălare, permițând recuperarea a aproximativ 13 milioane de dolari înainte ca banii să fie mutați.
Rămâne, în fine, riscul aplicării mecanice. Dacă o autoritate decide că orice funcție tehnică păstrată pentru siguranță echivalează cu centralizare, rezultatul va fi exact opusul celui dorit: proiectele vor renunța la mecanismele de protecție pentru a evita încadrarea, iar utilizatorii vor rămâne mai expuși decât înainte. Cele trei categorii din raport există tocmai pentru a preveni acest deznodământ, iar indicatorii sunt descriși explicit drept orientativi și neexhaustivi.
Dincolo de text, se vede deja o schimbare de piață. Capitalul instituțional se îndreaptă preferențial către protocoalele care au implementat filtrare, monitorizare și guvernanță transparentă. Conformitatea a încetat să fie doar o obligație impusă din exterior și a devenit un argument comercial. Pentru un sector care a petrecut ani buni explicând de ce regulile vechi nu i se potrivesc, transformarea asta spune mai mult decât orice document de 49 de pagini.
Întrebări frecvente despre raportul FATF privind DeFi
Este primul document dedicat exclusiv sectorului DeFi publicat de Grupul de Acțiune Financiară Internațională, apărut pe 21 iulie 2026, cu 49 de pagini. Nu introduce recomandări noi, ci explică felul în care standardele existente, în special Recomandarea 15, se aplică protocoalelor descentralizate.
COSI vine de la control sau influență suficientă. Este metoda prin care o autoritate stabilește dacă cineva controlează suficient un protocol DeFi încât acel cineva să fie tratat drept furnizor de servicii de active virtuale, cu obligații de autorizare, verificare a clienților și monitorizare a tranzacțiilor.
Prima cuprinde protocoalele centralizate cu controlori identificabili, care intră sub reglementare. A doua cuprinde protocoalele controlate de persoane încă neidentificate, care intră și ele sub reglementare. A treia adună protocoalele cu adevărat descentralizate, aflate în afara standardelor, dar monitorizate prin analiză blockchain.
Perioada de tranziție s-a încheiat pe 1 iulie 2026, iar furnizorii fără autorizație nu mai pot deservi clienți din Uniunea Europeană. România nu avea desemnată o autoritate competentă la acea dată, iar proiectul de ordonanță de urgență care ar da atribuții Autorității de Supraveghere Financiară a fost prezentat în Guvern pe 2 aprilie 2026.
Pentru câștigurile realizate începând cu 1 ianuarie 2026, cota este de 16%, față de 10% anterior, și se declară prin formularul 212 până pe 25 mai a anului următor. Se menține scutirea pentru câștiguri sub 200 de lei pe tranzacție, dacă totalul anual rămâne sub 600 de lei.
Nu. Lipsa unui operator care să raporteze nu elimină obligația de declarare a câștigurilor și nu oferă protecție în momentul în care fondurile revin pe o platformă reglementată, unde vor fi verificate.
