FATF 報告揭開 DeFi 假面具：中心化元素處處可見，監管遲早找上門

如果你在幣圈待了一段時間，你大概聽過「DeFi 就是要去中心化」這句話。但老實說，太陽底下沒有那麼多新鮮事——FATF（防制洗錢金融行動特別工作組）最近出了一份報告，直接把這個美好的敘事給打臉了。

DeFi 沒有那麼「去中心化」

這份報告最核心的結論是：大多數 DeFi 專案，其實沒有他們自己說的那麼去中心化。FATF 把市場上的 DeFi 專案分成三類：有明確控制者的、名義上去中心化但實際上中心化運作的、以及真正做到無領導的。聽起來有點抽象對不對？

問題在於，很多專案雖然嘴巴上說自己是 DAO、沒有老闆，但實際上靠著幾個關鍵方式維持控制：治理代幣集中在少數人手裡、管理員許可權（升級鑰匙、Kill Switch）、還有手續費和獎勵流進內部人的口袋。這些操作，讓這些「去中心化」的專案，其實跟傳統金融機構沒兩樣。

監管真空地帶：全球93%國家還沒動作

更誇張的還在後面。FATF 調查了 142 個司法管轄區，發現居然有將近 93% 的國家從來沒有把監管標準套用在任何符合條件的 DeFi 專案上。只有 26 個國家曾經做過風險評估，而有執照規則的國家只有 4 個，真正用這些規則來註冊或發放執照的——只有 2 個。

這代表什麼？代表現在全球的 DeFi 市場簡直像個巨大的監管黑洞。雖然 TVL（總鎖定價值）已經衝到 866 億美元，比 2023 年成長了 85%，但大多數國家還在觀望，不知道該怎麼管。

那麼，FATF 到底想怎麼管？

• 有控制者的 DeFi 專案，不管是開發者、大持幣者、前端運營商還是資金提供方，都應該像傳統金融機構一樣取得執照並接受監管
• 即使只是幫專案做前端介面、引流使用者，都可能觸及監管門檻
• 各國應該要求 DeFi 專案在智慧合約或介面裡直接內建洗錢防制機制，比如制裁篩選、KYC 驗證
• 如果專案拒絕合作，最後手段是禁止它在該國境內運作

犯罪分子早就盯上了：北韓駭客不是開玩笑的

說到這裡，你可能會問：真的有人用 DeFi 洗錢嗎？答案不僅是有，而且金額大到嚇人。FATF 報告特別點名北韓國家級駭客，光是今年 4 月的兩次攻擊，就偷走了超過 5.7 億美元：

• Drift Protocol（Solana 上的永續合約交易所）：2.85 億美元，12 分鐘內就被搬空
• KelpDAO：2.92 億美元

這兩筆加起來，佔了今年所有加密貨幣盜竊損失的 76%。除了國家級駭客，勒索軟體團夥、專業洗錢網路、投資詐騙犯，都是 DeFi 混幣器、跨鏈橋、Swap 服務的常客。

美國已經開始抓人了

如果你以為這只是「紙上談兵」，那可能要再想想。今年美國檢方已經對 Bitcoin 混幣器 Samourai Wallet 的兩位創辦人求處重刑，Tornado Cash 的開發者 Roman Storm 也被判有罪。這些案子的核心邏輯很簡單：寫程式的人和運營的人，就是可以被當作受監管的金融機構來處理。

我們現在在哪裡？下一步會怎麼走？

老實說，這份報告出來之後，各國政府的壓力會越來越大。FATF 的指導方針雖然不是法律，但成員國的遵守程度會被評級，長期「擺爛」的國家可能被列入灰名單。對於真正在做 DeFi 的人來說，這既是挑戰也是機會——當監管明確之後，合規的專案反而更容易獲得傳統金融機構的信任和合作。

如果你是在操作 DeFi 專案的團隊，或是考慮進場的投資人，現在是時候認真看待洗錢防制這件事了。否則，等監管真的落地的那一天，說不定連怎麼死的都不知道。

FAQ 常見問題

DeFi 為什麼需要被監管？

因為大多數 DeFi 專案並非真正去中心化，存在控制者或中心化元素。FATF 認為，這些專案的運營者應該像傳統金融機構一樣受到監管，防止犯罪分子利用 DeFi 進行洗錢或資金轉移。

目前有多少國家對 DeFi 實施監管？

根據 FATF 報告，在 142 個受調查的司法管轄區中，只有 4 個國家有 DeFi 執照規則，僅有 2 個國家實際使用過這些規則來註冊或發放執照。全球約 93% 的國家尚未對 DeFi 實施監管。

北韓駭客攻擊 DeFi 的手法是什麼？

北韓國家級駭客主要利用 DeFi 專案的安全漏洞進行閃電攻擊。例如 2024 年 4 月攻擊 Drift Protocol 時，僅用 12 分鐘就盜走 2.85 億美元。這類攻擊往往針對智慧合約漏洞或系統性弱點。

DeFi 投資者該如何保護自己？

除了關注專案的技術安全性，也要注意該專案是否開始積極配合監管要求。選擇有明確團隊背景、有合規意願的專案，相對更能降低未來政策變動帶來的風險。

什麼樣的 DeFi 專案會被視為需要監管？

FATF 指出，只要有「控制權或足夠影響力」的可識別人士存在，不管是開發者、大持幣者、前端運營商還是資金提供方，都可能需要取得執照。即使只是運營前端介面，也可能觸及監管門檻。