Hak asuh diri, kontrol, dan identitas: Bagaimana regulator melakukan kesalahan

Proposal Uni Eropa baru-baru inimembutuhkan pertukaran crypto terpusat dan penyedia dompet kustodian untuk mengumpulkan dan memverifikasi informasi pribadi tentang pemegang dompet kustodian menunjukkan bahaya daur ulang aturan keuangan tradisional (TradFi) dan menerapkannya ke crypto tanpa menghargai perbedaan konseptual. Kita dapat berharap untuk melihat lebih banyak dari ini karena negara-negara ingin mengimplementasikan Satuan Tugas Aksi Keuangan (FATF)Aturan Perjalanan , awalnyadirancang untuk transfer kawat, hingga transfer aset kripto.

Tautan (hilang) antara hak asuh diri, kontrol dan identitas

Tujuan dari UE yang diusulkanaturan adalah “untuk memastikan aset kripto dapat dilacak dengan cara yang sama seperti transfer uang tradisional.” Ini mengasumsikan bahwa setiap dompet kustodian mandiri dapat dikaitkan dengan identitas seseorang yang dapat diverifikasi dan bahwa orang tersebut harus mengontrol dompet tersebut. Asumsi ini salah.

Terkait:Pihak berwenang ingin menutup celah pada dompet yang tidak dihosting

Di TradFi, rekening bank ditautkan ke identitas terverifikasi pemegangnya, memberi mereka kendali atas akun tersebut. Misalnya, berbagi detail perbankan online Anda dengan mitra tidak menjadikan mereka pemegang rekening. Bahkan jika partner Anda mengubah detail login, Anda dapat memperoleh kembali kendali dengan membuktikan identitas Anda ke bank dan memintanya mengatur ulang detailnya. Identitas Anda memberi Anda kendali penuh yang tidak dapat hilang atau dicuri secara permanen. Tentu saja, sebagai ganti perlindungan hak asuh bank, Anda kehilangan kedaulatan atas aset Anda.

Hak asuh sendiri atas aset kripto berbeda. Kontrol (yaitu, kemampuan untuk bertransaksi) atas dompet kustodian mandiri dipegang oleh siapa pun yang memiliki kunci pribadi untuk dompet itu. Kontrol tidak terkait dengan identitas siapa pun dan tidak ada yang membuktikan identitas Anda. Yang Anda butuhkan hanyalah mengunduh perangkat lunak dan menyimpan kunci pribadi Anda dengan aman. Sebagai imbalan atas tanggung jawab ini, Anda mempertahankan kepemilikan berdaulat sendiri.

Menerapkan aturan yang diusulkan

Mari kita lihat bagaimana penyedia dompet kustodian akan mematuhi proposal UE. Asumsikan Alice ingin mengirim 0,3 Ether (ETH ) dari akun dompet hak asuhnya ke dompet hak asuh Bob untuk membayar layanan konsultasi Bob. Sebelum transfer selesai, penyedia dompet kustodian harus 1) mengumpulkan nama Bob, alamat dompet, alamat tempat tinggal, nomor identifikasi pribadi, serta tanggal dan tempat lahir; dan 2) memverifikasi keakuratan perincian ini. Secara umum, detail yang sama akan diperlukan untuk transfer dari dompet Bob ke akun dompet kustodian Alice. Alice mungkin perlu meminta Bob untuk mengirimkan detailnya, dan Alice kemudian akan memberikannya kepada penyedia dompet kustodian — baru-baru inidirekomendasikan oleh penyedia dompet kustodian dalam konteks yang serupa.

Aturan akan berlaku bahkan untuk transaksi terkecil — tidak ada batas minimum. Penyedia dompet kustodian mungkin juga perlu menahan transfer masuk (menciptakan risiko kustodian yang lebih besar) dan mengembalikannya ke dompet kustodian sendiri jika verifikasi tidak berhasil.

Terkait:Crypto di Kanada: Di mana kita hari ini, dan kemana tujuan kita?

Identitas tidak sama dengan kontrol, membuat kepatuhan menjadi tidak mungkin

Meskipun mengumpulkan data dan berpotensi menahan transfer masuk secara operasional tidak praktis, risiko kewajiban verifikasi berpotensi tidak mungkin untuk dipatuhi. Di TradFi, inti dari verifikasi identitas adalah untuk memastikan bahwa orang yang mengendalikan rekening bank dan mengaku melakukannya adalah orang yang sama. Tetapi bagaimana penyedia dompet kustodian dapat memenuhi kewajiban verifikasi jika kendali atas dompet kustodian Bob tidak bergantung pada identitasnya?

Meskipun penyedia dompet kustodian berhasil mengonfirmasi bahwa Bob adalah orang yang dimaksudkannya, ini tidak berarti bahwa dia mengendalikan dompet tersebut. Itu bisa dikendalikan oleh organisasi otonom terdesentralisasi yang mendistribusikan kembali pembayaran kepada anggota seperti Bob atau kelompok kriminal, dengan Bob hanya menjadi bagal uang mereka. Tidak ada pihak ketiga yang membuktikan identitas Bob untuk bertransaksi — siapa pun yang mengontrol kunci privat adalah "bank".

Mengekspos pengguna yang sah terhadap risiko keamanan yang tidak proporsional

Mari kita asumsikan bahwa penyedia dompet kustodian berhasil mematuhi aturan yang diusulkan, atau versi yang tidak terlalu ketat yang tidak memerlukan verifikasi. Penyedia dompet kustodian perlu menyimpan basis data besar pengguna dompet kustodian sendiri, membuat pengguna berisiko mengalami pelanggaran data. Untuk pengguna yang sah, yaitu mereka yang menyatakan identitas aslinya dan juga benar-benar mengontrol dompet swasembada terkait, risiko ini memiliki konsekuensi yang jauh lebih besar daripada pengumpulan data TradFi (mis. Aturan Perjalanan FATF untuk transfer kawat).

Di TradFi, jika seorang kriminal membobol rekening bank atau kartu seseorang, mereka tidak akan terlalu jauh karena bank dapat memblokir akun tersebut. Menurut definisi, dompet kustodian mandiri tidak memiliki fitur ini. Kepemilikan berdaulat sendiri, diamankan melalui kriptografi dan kewaspadaan pengguna sendiri, dipandang sebagai keuntungan oleh puluhan juta pengguna di seluruh dunia, termasuk mereka yang dikecualikan dari sistem perbankan. Namun, kedaulatan diri mengandaikan privasi pribadi.

Setelah privasi dikompromikan — misalnya, dengan meretas database penyedia dompet kustodian dari pengguna dompet kustodian mandiri — pengguna dibiarkan terkena tingkat risiko yang tidak adil dibandingkan dengan TradFi. Mengetahui nama, alamat, tanggal lahir, dan nomor ID seseorang, bersama dengan aktivitas on-chain mereka, akan memudahkan penjahat untukmeluncurkan serangan phishing yang sangat dipersonalisasi, menargetkan perangkat pengguna untuk mengambil kunci pribadi, atau memerasnya, termasuk ancaman terhadap keamanan fisik. Setelah kunci pribadi dikompromikan, pengguna kehilangan kendali atas dompet mereka secara permanen.

Terkait:Hilangnya privasi: Mengapa kita harus berjuang untuk masa depan yang terdesentralisasi

Karena penjahat akan menemukan jalan di sekitar aturan — misalnya, dengan menjalankan node mereka sendiri untuk berinteraksi dengan blockchain tanpa harus bergantung pada penyedia dompet kustodian atau perangkat lunak dompet kustodian mandiri — hanya pengguna yang sah yang harus menanggung risiko keamanan ini.

Inkonsistensi dengan kerangka kebijakan UE sendiri

Selain keamanan, proposal tersebut menimbulkan masalah privasi yang lebih luas. Kewajiban pelaporan akan berbenturan dengan prinsip Peraturan Perlindungan Data Umum (GDPR) seperti minimalisasi data, yang mengharuskan data yang dikumpulkan memadai, relevan, dan terbatas pada apa yang diperlukan untuk tujuan pengumpulannya. Mengabaikan sejenak argumen bahwa pengumpulan data tidak banyak gunanya, mengingat hilangnya mata rantai antara kontrol hak asuh diri dan identitas, sulit untuk melihat — bahkan menurut standar TradFi — bagaimana alamat tempat tinggal, tanggal lahir, dan nomor ID seseorang relevan atau perlu untuk melakukan transfer. Sementara bank secara teratur menyimpan data tersebut tentang pemegang rekening mereka, Anda sebagai pemegang rekening tidak perlu menanyakan (dan mengetahui!) detail ini saat mengirim uang atau membayar layanan.

Juga tidak jelas berapa lama penyedia dompet kustodian perlu menyimpan data — di bawah GDPR, data pribadi hanya boleh disimpan selama diperlukan untuk memenuhi tujuan pengumpulan. Juga tidak jelas bagaimana hak individu pengguna di bawah GDPR seperti "hak untuk dilupakan" dan "hak untuk perbaikan" dapat dihormati jika detail pribadi mereka ditautkan ke riwayat on-chain mereka, yang tidak dapat diubah.

Terkait:Cookie browser bukan persetujuan: Jalur baru menuju privasi setelah regulasi data UE gagal

Kurangnya penilaian berbasis risiko atau ambang minimum (tidak seperti ambang batas 1.000 euro untuk transfer fiat) juga tidak sesuai dengan prinsip kebijakan UE. Proposal tersebut tampaknya memperlakukan semua transfer crypto dengan kecurigaan hanya karena melibatkan aset crypto.

Sekarang saatnya untuk terlibat dengan pembuat kebijakan

Dihadapkan dengan prospek mengembangkan proses kepatuhan yang mahal yang kemungkinan besar akan gagal menerapkan peraturan secara efektif, dan mempertaruhkan hukuman atas ketidakpatuhan dan potensi pelanggaran data, penyedia dompet kustodian yang berbasis di UE dapat memutuskan untuk membatasi transfer dari dan ke dompet kustodian sendiri sama sekali . Mereka juga dapat mulai melayani pengguna UE dari luar UE. Ini mengirimkan sinyal buruk ke industri crypto dan berisiko mengecilkan bakat teknologi dan modal dari UE, mirip dengankepergian baru-baru ini dari beberapa operator crypto dari Inggris.

Terkait:Konsolidasi dan sentralisasi: Bagaimana peraturan AML baru Eropa akan memengaruhi crypto

Lebih banyak pengguna juga dapat beralih ke transaksi peer-to-peer dan pemain terdesentralisasi untuk menghindari aturan yang memberatkan. Meskipun hal ini dapat bermanfaat bagi sebagian pengguna, UE harus mendorong interkoneksi yang mulus antara pemain terpusat dan terdesentralisasi serta mempromosikan kebebasan pengguna untuk memilih cara mereka ingin bertransaksi.

Proposal sekarang telah pindah ke negosiasi antara badan legislatif Uni Eropa mulai 28 April, dengan teks akhir diharapkan pada akhir Juni. Jika aturan lolos dalam bentuknya saat ini, masih ada kesempatan untuk meninjaunya dalam waktu 12 bulan setelah mulai berlaku. Namun, kami tidak dapat mengandalkan ini — sekaranglah waktunya bagi industri crypto Eropa untuk berkoordinasi dan terlibat dengan pembuat kebijakan. Alih-alih menerapkan aturan TradFi secara paksa pada teknologi yang sedang berkembang, kita harus mempromosikan kebijakan berbasis hasil yang memungkinkan munculnya solusi kepatuhan baru yang menghormati cara kerja crypto.

Artikel ini tidak mengandung saran atau rekomendasi investasi. Setiap langkah investasi dan perdagangan melibatkan risiko, dan pembaca harus melakukan penelitian sendiri saat mengambil keputusan.

Pandangan, pemikiran, dan pendapat yang diungkapkan di sini adalah milik penulis sendiri dan tidak serta merta mencerminkan atau mewakili pandangan dan pendapat Cointelegraph.