行业影响解读及风险合规方案—OFAC宣布制裁Tornado Cash
美国财政部在昨日宣布将混币协议 Tornado Cash 列入 SDN 制裁名单，这也是首例Defi项目被制裁，被指自 2019 年以来，Tornado Cash涉及洗钱超70 亿美元。从Web3 区块链安全公司 Beosin 昨天公布数据显示，在2022 年上半年，大约有 11.407 亿美元的被盗资金被黑客转移至Tornado Cash，占Web3损失总额的60%。在继Tornado Cash被制裁后、Zcash（ZEC）和其他隐私加密货币，甚至关联交易方都可能会面临非常大的被制裁风险。因此我们很有必要了解OFCA的工作机制，来规避相应的风险。
2022 年上半年，約 11.407 億美元的被盜資金被駭客轉移至 Tornado cash。Source：Beosin
一、美国财政部海外资产控制办公室OFAC
美国参与发布和执行制裁政策的职能部门众多，包括但不限于美国总统、国家情报主管、国务院、司法部、OFAC和商务部工业与安全局等。其中，主要负责谁上SDN制裁名单的部门就是美国财政部海外资产控制办公室OFAC，像这次对俄罗斯的经济制裁以及之前对缅甸，古巴、朝鲜、利比亚等国家的制裁也是他们在负责。概括一句就是一切恐怖主义、跨国毒品和麻醉品交易、大规模杀伤性武器扩散等洗钱行为以及他们看不顺眼的国家进行金融领域制裁的负责部门。
二、被列入SDN名单意味什么？
SDN清单用于制裁违反OFAC制裁计划（Sanctions Programs）的实体与个人。根据OFAC制裁规定， SDN主体在美财产会被冻结，任何美国人（包括美国公民、美国绿卡、依美国法律登记设立的机构或法人以及位于美国境内的人等）不得与其交易，这也意味着SDN主体将无法进行美元清算与交易。此外，根据OFAC的“50%规则”，一个或多个SDN主体拥有50％及以上权益的任何其它主体也应被视为受到同等制裁。当然还要看有没次级制裁，如果有，那次级关联交易的主体和个人也是会受到相应的惩罚。
我们先看一下制裁级别及其后果：
像Tornado Cash虽然是Defi没有实体机构，但不妨碍OFAC对他进行制裁，目前来看是属于一级制裁。所以我们能看到OFAC制裁信息的公布后，在美机构Circle随后就冻结了Tornado Cash钱包地址中的USDC资金，陆续我们也能看到相应“美国人”都会禁止与之发生关系，不然除了罚款可能甚至需要付刑事责任。
那么如果是次级制裁那会发生什么样的后果呢？
打个形象比喻，被列入SDN名单的地址会如同当下无症状的新冠病毒感染者，在没有防控的情况下，他们会以极快的速度在人群当中感染开来，而感染方式就是在Defi产品及交易所之间的各种合约交互，最后的结果是大家的钱包地址可能都会中招，也都在OFAC的惩罚名单当中。
三、万一钱包地址被 感染了怎么处理？
跟被红码一样道理，你需要先被隔离然后做核酸观察，然后等待转绿码。同理，你的资产会被冻结，期间你需要向OFCA申请SDN名单移除。具体移除方式流程：
话说回来，虽然最后可能解除了，但中间也费时费力，最好还是做到防患于未然，提前把合规的内容做好，尽量避坑。
四、加密企业合规策略怎么做？
1.管理层承诺（Management Commitment）
2.风险评估（Risk Assessment）
3. 内部控制（Internal Controls）
在虚拟货币行业，公司实施的内部控制取决于其所提供的产品和服务、公司运营地点、用户位置，以及公司在其风险评估过程中发现的具体制裁风险等。一般来说，内部控制包括：
4. 测试与审计（Testing and Auditing）对虚拟货币行业而言，制裁合规计划的测试和审计程序的最佳做法包括：
5.合规培训（Training）
合规培训范围将由公司的规模、复杂程度和风险状况来确定。虚拟货币行业有效的OFAC合规培训应考虑到制裁的频繁变化和更新，以及虚拟货币领域的新技术和新兴技术。应向包括合规、管理和客服人员在内的所有适合的员工提供OFAC培训。合规培训应定期进行，至少每年一次。一个完善的OFAC合规培训计划将根据需要向每位员工提供具体的工作知识，传达制裁合规责任，并通过评估使员工满足合规培训要求。
另外建立健全的合规体系也是企业得以从黑名单中移除的前提条件，设计和执行有效的合规体系可以防范合规风险，也可以在违规事件或行为发生时帮助企业减轻或者免除处罚。
总结
OFAC这次对于Tornado Cash的制裁及后续的演化对于加密行业特别是对于Defi/匿名隐私等项目的发展具有非常高的借鉴意义，这是中心化和去中心化的边界线/原则性的确立问题。我们一起持续关注也欢迎交流！