Três anos de recomendações e 93% de inação. O diagnóstico da FATF sobre DeFi expõe uma lacuna global

A FATF publicou um relatório nesta semana, e a conclusão principal não surpreende quem acompanha o setor. A maioria dos projetos que se autodenominam descentralizados mantém estruturas de controle centralizadas. Tokens de governança nas mãos de poucos, equipes com poder de alterar contratos, chaves de upgrade que permitem mudanças unilaterais. São mecanismos que turvam a fronteira entre o que é realmente autônomo e o que tem dono.

Nesse mapa, o relatório enxerga três cenários. Há plataformas onde o controlador é identificável, uma pessoa, uma empresa, um grupo, e que já se enquadram nas regras existentes. Há projetos que funcionam como centralizados mas escondem quem opera. Essa zona opaca é exatamente o que o organismo quer eliminar. E há uma parcela pequena, que o documento chama de verdadeiramente descentralizada, onde não existe controlador identificável e que, por isso, fica fora do alcance das regras.

Dos 142 países consultados, 132 não implementaram as diretrizes para DeFi. Apenas 26 fizeram avaliações de risco. Quatro têm regras de licenciamento no papel. Dois de fato concederam registro a alguma plataforma. Os números são da própria FATF e revelam um fosso entre a retórica e a prática.

As recomendações existem, os países as aprovam em assembleia, mas na hora de aplicar quase nada acontece. Quem descumpre pode ir para a lista cinzenta do órgão, mas até hoje a ameaça não acelerou a adoção.

Para mapear onde o controle se esconde, a FATF lista indicadores dentro e fora da blockchain. No lado interno, chaves que permitem atualizar contratos, mecanismos de interrupção de emergência, poder unilateral de definir taxas e tokens de voto concentrados. No lado externo, páginas web e aplicativos controlados por uma única empresa, domínios centralizados, times de desenvolvimento que agem como administradores.

O relatório também sugere que os países exijam dos projetos a incorporação de controles contra lavagem de dinheiro nos próprios contratos inteligentes, com verificação de sanções e checagem de identidade antes de certas operações. Uma recomendação ousada, mas que esbarra no mesmo problema. Quem vai exigir, se 132 países ainda não têm estrutura para isso?

Os dados de urgência não faltam. Em abril, ataques ligados à Coreia do Norte levaram mais de US$ 570 milhões em duas operações. O Drift Protocol na Solana perdeu US$ 285 milhões em 12 minutos, e o KelpDAO perdeu US$ 292 milhões. Os dois crimes somam 76% de todas as perdas com hacks no ano. O valor total bloqueado em DeFi chega a US$ 86,6 bilhões, e doze protocolos concentram mais de 60% desse montante.

A FATF acertou no diagnóstico, mas errou na dosagem. As regras existem, os países sabem o que fazer, mas a aplicação é quase zero. Se o setor não se organizar para mostrar que é possível operar com transparência, a regulação virá. Não pela via que a FATF desenhou, mas na esteira do próximo grande hack, quando a pressão política for maior que a paciência dos reguladores.