FinCEN et OFAC annoncent des accords avec l’opérateur de plateforme de crypto-monnaie Bittrex

Le 11 octobre 2022, le réseau de lutte contre la criminalité financière du Trésor (« FinCEN ») et l’Office of Foreign Assets Control (« OFAC ») ont annoncé des résolutions avec Bittrex, Inc. (« Bittrex ») pour violation de la loi sur le secret bancaire/lois anti-blanchiment. et les sanctions de l’OFAC.[1] L’OFAC a annoncé une pénalité de 24 280 829,20 $, tandis que le FinCEN a annoncé une pénalité de 29 280 829,20 $, bien que le FinCEN ait crédité le montant total que Bittrex a accepté de payer à l’OFAC contre sa propre pénalité, ce qui porte le montant total que Bittrex a accepté de payer 29 280 829,20 $.

Les sanctions combinées représentent l’amende la plus élevée jamais infligée par le gouvernement américain à une entreprise de cryptographie pour avoir enfreint les sanctions.[2] Cela représente également le premier ensemble d’actions d’application coordonnées par FinCEN et OFAC dans l’espace crypto, et est une preuve supplémentaire de l’accent accru du gouvernement fédéral sur l’application liée à la crypto, notamment avec la formation par le ministère de la Justice d’une équipe nationale d’application de la crypto-monnaie par le vétéran DOJ officiel Eun Young Choi plus tôt cette année.[3]

Les principales notes de pratique pour les entreprises américaines – et les entreprises non américaines qui s’engagent dans des transactions de lien aux États-Unis – incluent les éléments suivants :

• Le filtrage par rapport à la liste des ressortissants spécialement désignés et des personnes bloquées de l’OFAC (la « liste SDN ») n’est pas suffisant pour garantir le respect des sanctions américaines. L’OFAC s’attend à ce que les entreprises utilisent les informations qu’elles obtiennent dans le cours normal pour rechercher également des personnes ou des entités situées dans des juridictions sanctionnées de manière globale.
• Les entités qui effectuent des transactions dans des crypto-monnaies «à anonymat amélioré» («AEC») doivent veiller à traiter pleinement les risques accrus posés par ces devises.
• Des améliorations substantielles et des améliorations apportées au programme de conformité d’une entité peuvent aider à atténuer l’ampleur d’une pénalité même si un régulateur a déterminé que des violations se sont produites au cours de la période pertinente.

Bittrex est un propriétaire et opérateur basé aux États-Unis d’une plate-forme de trading de crypto-monnaie, qui facilite le trading de plus de 250 crypto-monnaies et comprend un service de portefeuille numérique pour stocker et transférer diverses crypto-monnaies.[4] Au cours d’une période de près de cinq ans, de février 2014 à décembre 2018, Bittrex a facilité près de 546 millions de transactions, y compris des transactions impliquant plus de 17 milliards de dollars de bitcoins.[5]

L’ordonnance de consentement du FinCEN avec Bittrex était centrée sur l’insuffisance du programme de conformité de Bittrex et son incapacité à surveiller et à signaler les activités suspectes. L’enquête de l’OFAC a déterminé que Bittrex avait accès aux informations d’adresse IP et physique collectées auprès des clients lors de l’intégration, ce qui lui donnait des raisons de savoir qu’un certain nombre de ses clients se trouvaient dans des juridictions soumises à des sanctions globales, notamment l’Iran, le Soudan,[6] Syrie et Crimée. L’OFAC a constaté, cependant, que Bittrex n’a pas pris de mesures pour filtrer les informations de ses clients pour les termes associés à ces juridictions, ce qui a conduit à plus de 260 millions de dollars de transactions liées à la cryptographie effectuées par des personnes apparemment situées dans des juridictions sanctionnées de mars 2014 à décembre. 2017. L’action de l’OFAC est l’une des nombreuses actions de ces dernières années, y compris dans le domaine de la cryptographie, qui ont reproché aux organisations de ne pas avoir correctement filtré les clients en fonction de leurs adresses IP et d’autres informations d’adresse disponibles.

Ordonnance de consentement FinCEN

En raison de ses activités commerciales, Bittrex était qualifiée d’«entreprise de services monétaires» («ESM») et était donc tenue de se conformer aux réglementations du FinCEN applicables aux ESM, y compris le maintien d’un programme AML efficace.[7] L’ordonnance du FinCEN conclut que les pratiques de surveillance des transactions de Bittrex étaient « inadéquates et inefficaces ». En 2016, par exemple, Bittrex a effectué en moyenne 11 000 transactions par jour sur sa plate-forme avec une valeur quotidienne d’environ 1,54 million de dollars, mais plutôt que d’utiliser un logiciel de surveillance des transactions, Bittrex s’est plutôt appuyé sur « deux employés avec une formation et une expérience minimales en matière d’AML pour examiner manuellement tous les transactions pour activités suspectes.[8] De plus, cette responsabilité s’ajoutait aux autres tâches des employés. En 2017, le volume de transactions quotidiennes de Bittrex a augmenté pour atteindre une moyenne de 23 800 transactions par jour avec une valeur quotidienne de 97,9 millions de dollars, mais les pratiques de surveillance des transactions de la société sont restées inchangées.[9] Bittrex n’a pas déposé un seul SAR depuis sa création en 2014 jusqu’en mai 2017, et un seul de mai 2017 à novembre 2017.[10] Malgré cela, l’ordonnance du FinCEN a noté qu’il y avait eu des transactions suspectes non détectées au cours de la période pertinente qui comprenaient des « transactions directes avec des marchés en ligne du darknet tels qu’AlphaBay, Agora et Silk Road 2″, des marchés connus pour être utilisés pour le commerce d' »identification volée ». données, stupéfiants illégaux et pornographie juvénile.[11]

L’ordonnance note qu’en octobre 2017, l’IRS a informé Bittrex qu’il serait examiné pour sa conformité à la BSA, et qu’un mois plus tard, Bittrex a déposé 119 SAR auprès du FinCEN et a embauché du personnel de conformité supplémentaire. Son premier « agent BSA qualifié » a été embauché fin 2017, mais l’ordonnance note que le programme AML est resté gravement sous-financé et a continué à utiliser un système d’examen manuel jusqu’en décembre 2018.[12]

L’ordonnance note également que Bittrex, en effectuant des transactions dans certains AEC qui présentent « des risques et des défis uniques en matière de blanchiment d’argent pour les ESM », avait un profil de risque amélioré. L’ordonnance notait les crypto-monnaies monero, zcash, pivx et dash par leur nom, et distinguait monero comme un « AEC particulièrement difficile ». Le FinCEN déclare que Bittrex était conscient des risques posés par ces crypto-monnaies, mais n’a pas pleinement pris en compte ces risques, que ce soit dans la pratique ou dans son programme de conformité écrit.[13]

Le FinCEN a également reproché à Bittrex de ne pas avoir déposé de SAR concernant certaines violations des sanctions. Alors que Bittrex avait embauché un fournisseur tiers en 2016 pour installer et intégrer un logiciel dans sa plate-forme qui effectuerait certains contrôles OFAC, le logiciel ne contrôlait que les transactions pour identifier les correspondances potentielles avec des listes telles que la liste SDN. Il n’a pas examiné « les clients ou les transactions pour un lien avec les juridictions sanctionnées avant au moins octobre 2017 ».[14] L’ordonnance note qu’en conséquence, Bittrex a effectué plus de 116 000 transactions, d’une valeur de plus de 260 millions de dollars, avec des entités et des individus situés dans des juridictions soumises à des sanctions globales de l’OFAC, notamment l’Iran, le Soudan, la Syrie et la Crimée, au cours de la période concernée et a échoué. de déposer des SAR sur cette activité.[15]

L’ordonnance sur consentement du FinCEN a examiné huit des dix facteurs d’application décrits dans sa déclaration du 18 août 2020 sur l’application de la loi sur le secret bancaire.[16] Concernant l’étendue des violations et le préjudice causé au public, le FinCEN a noté que les violations étaient «graves» et «exposaient le public à un risque important de préjudice éventuel», soulignant le volume de transactions à haut risque, le défaut de embaucher et former le personnel approprié, et le fait que Bittrex a fonctionné en tant que MSB pendant près de trois ans avant de déposer un seul SAR. L’ordonnance stipulait que le FinCEN bénéficiait financièrement de ses actions en obtenant un avantage concurrentiel déloyal par rapport à d’autres entreprises qui investissaient dans la technologie et le personnel appropriés pour se conformer à la BSA. L’ordonnance a crédité Bittrex d' »investissements substantiels et d’améliorations de son programme de conformité après la période pertinente » et, par conséquent, le FinCEN n’a pas exigé de mesures correctives supplémentaires dans le cadre de l’ordonnance par consentement. L’ordonnance a également noté que, parce que les violations du FinCEN découlaient de « certaines des mêmes conduites sous-jacentes » que celles qui faisaient l’objet de l’enquête de l’OFAC, le crédit complet de la sanction de l’OFAC était approprié.

Règlement OFAC

L’OFAC a noté que Bittrex avait à sa disposition des informations d’adresse IP et physique pour ses clients, mais n’a pas pris les mesures appropriées pour filtrer ces informations afin de déterminer l’existence de tout lien avec des juridictions sanctionnées de manière globale.[17] L’OFAC a noté que les défauts de conformité de Bittrex ont conduit à 116 421 violations apparentes des sanctions contre la Crimée, Cuba, l’Iran, le Soudan et la Syrie.

Cette incapacité à effectuer le filtrage ou le blocage des adresses IP a récemment été un objectif important pour l’OFAC dans ses mesures d’application. Il y a plusieurs semaines, l’OFAC a annoncé un règlement de 116 048 $ avec Tango Card, Inc. après que l’OFAC a déterminé que Tango Card avait autorisé des transactions sur sa plate-forme impliquant des personnes avec des adresses IP ou e-mail associées à des juridictions sanctionnées.[18] Les deux premières actions d’application de la loi de l’OFAC dans l’espace cryptographique – contre Bitpay et BitGo – impliquaient également, entre autres problèmes, l’échec du filtrage des adresses IP et d’autres informations disponibles, telles que les adresses e-mail et les numéros de téléphone, pour un lien avec des juridictions pleinement sanctionnées. Le message clair de l’OFAC est que les entreprises se trompent si elles pensent que le filtrage par rapport à la liste SDN est suffisant ; l’OFAC s’attend plutôt à ce que les entreprises utilisent les informations qu’elles obtiennent dans le cours normal pour rechercher également des personnes ou des entités situées dans des juridictions sanctionnées de manière globale.

Nous continuerons de surveiller les mesures d’application prises et les directives émises par le FinCEN et l’OFAC et fournirons d’autres mises à jour, le cas échéant.