从 OFAC 及 FinCEN，看 Web3 隐私与金融监管的冲突

在 Web2 数字信息时代，数据安全与隐私保护已经成为我们最关注的问题之一。由于互联网平台的垄断性，以及用户对自身数据价值的模糊，造成了用户在 Web2 时代没有任何隐私，互联网平台肆意占有用户数据，大量用户的数据隐私被贩卖、泄漏或者滥用，持续对用户的人身与财产造成伤害。所幸全球关于网络安全、数据保护、个人信息保护的立法也在这几年逐步完善，在法律层面为 Web2 数字时代的用户提供了保障。

随着我们逐步进入到 Web3 时代，用户直接喊出了“数据主权（包括数字资产主权和用户数据主权）”的口号，基于区块链加密匿名的特性，我们仿佛找到了自由平等的乌托邦。但随着各种链上分析工具以及其他技术手段的出现，用户的身份、财产等敏感信息也随之暴露，造成用户在 Web3 裸奔的现实。Web3 用户急需隐私保护。

（来自 Manta 联创的 Polkadot Decoded Talk 2022）

在此背景下，众多隐私项目得到发展，包括隐私币（如 Monero、Zcash 等）、隐私平台（如 Oasis Network、Secret Network、Aztec Network 等）以及隐私应用（如 Tornado Cash 等）。这些隐私项目旨在为用户提供隐私保护，以阻止恶意行为者根据链上记录获取的个人和企业的敏感信息，但是这却成为犯罪分子的洗钱天堂。

从 OFAC 制裁隐私混币应用 Blender.io 以及 Tornado Cash，到 FinCEN 对隐私混币应用 Helix 创始人进行 6000 万美金的处罚，可以看出 Web3 的隐私保护与监管合规之间存在剧烈冲突。一方面，尽管区块链默认透明公开，但是用户仍然需要（急需）隐私方面的保护；另一方面，监管机构也需要在宏观上出于国家安全利益的考虑，进行防范非法金融活动、防范恐怖主义风险的合规监管。

本文首先来看 Web3 隐私是什么，再试图通过分析 OFAC 以及 FinCEN 的金融监管逻辑，来理解 Web3 隐私保护与金融监管的冲突在哪，最后通过了解 A16Z 提出的一个能够平衡隐私保护与监管合规的方案，来看今后 Web3 隐私的发展。

一、Web3 的隐私是什么

基于 Web3 的区块链技术架构，用户所有的交互数据都会被公开透明地记录在一个个区块中。根据 Foresight Ventures: 读懂 Web3 的另一面「隐私」一文中提到：“Web3 时代的隐私 = 保密（身份数据）+ 匿名（行为数据）”。

我们以一次购买 NFT 的交互为例，做简单理解：

通过简单隐私处理之后，用户爽了（别人再也看不到我因为阿根廷输球而亏钱），但是监管急了（犯罪分子疯狂洗钱 70 亿资助恐怖主义国家买核弹）。

二、OFAC 与 FinCEN 对 Web3 的金融监管

由于区块链目前的应用主要在金融交易场景，那么对于隐私项目来说，金融监管部门以反洗钱和打击恐怖主义融资为由进行监管合规就无可厚非。

2.1 美国金融犯罪执法局（FinCEN）

美国金融犯罪执法局（Financial Crimes Enforcement Network，以下简称“FinCEN”）成立于 1990 年，在 2001 年 9.11 事件后，因《美国爱国者法案》的要求被纳入美国财政部，成为其下属机构。FinCEN 主要负责监督和实施关于反洗钱（Anti-Money Laundering (AML))、打击恐怖主义融资（Combating the Financing of Terrorism (CFT)）和客户尽调（Know-Your-Customer (KYC)）等方面的工作，一方面，负责防范和惩罚国内外洗钱活动、打击恐怖主义融资和其他金融犯罪，另一方面负责收集和分析金融交易信息，通过研究金融机构的强制性披露信息，追踪可疑人员和活动。

FinCEN 的权利来自于美国《银行保密法》（Bank Secrecy Act，以下简称“BSA”），FinCEN 将虚拟货币视为货币，根据 FinCEN 于 2019 年 5 月 9 日发布的《Application of FinCEN’s Regulations to Certain Business Models Involving Convertible Virtual Currencies》，明确了向美国人提供服务的虚拟货币“管理方”（如代币发行方，ICO 相关项目方）和“兑换方”（如 CEX、DEX 这些虚拟货币交易所），如满足“资金传输者”（Money Transmitter）的定义，则属于 BSA 下的货币服务企业（Money Service Business，MSB）。所以，所有从事虚拟货币交易业务的主体都需要遵守 BSA 以及相关金融监管的规定并履行合规义务。FinCEN 的合规义务包括要根据 BSA 向 FinCEN 进行登记、报告、接受 FinCEN 的监管、建立相应的反洗钱合规体系、收集客户信息并报告可疑的金融活动等一系列要求。