Санкции против Tornado Cash: когда под санкции попал код

Обычно санкции вводят против людей, компаний или стран — против тех, кого можно арестовать, оштрафовать или к чему-то принудить. Но летом 2022 года США сделали то, чего никогда не делали раньше: внесли в санкционный список программу. Не человека, не фирму, а набор смарт-контрактов — автономный код, работающий в блокчейне сам по себе. Так началась история Tornado Cash — дело, которое сплело воедино отмывание миллиардов Lazarus, фундаментальный спор о праве на приватность и правовую «серую зону», в которой мы находимся до сих пор.

▶ Видеоразбор: санкции Tornado Cash (озвучка на русском).

Август 2022: беспрецедентное решение

В августе 2022 года OFAC (управление Минфина США по контролю за иностранными активами) ввёл санкции против Tornado Cash — самого известного миксера сети Ethereum. Мы уже разбирали механику миксеров: Tornado принимает депозиты фиксированными номиналами (0,1 / 1 / 10 / 100 ETH), смешивает их в общем пуле и позволяет вывести средства на новый адрес, криптографически разорвав связь «вход↔выход».

Уникальность санкций была не в том, что санкционировали, а в том, чем является объект санкций. Tornado Cash — это не компания с офисом и директором. Это набор автономных смарт-контрактов, которые после публикации работают сами по себе, без оператора, которого можно «выключить». Впервые в истории под санкции попал смарт-контракт, а не человек или организация. Это породило вопрос, на который до сих пор нет единого ответа: как санкционировать код, который никому не подчиняется и который нельзя ни арестовать, ни остановить?

Смарт-контракт Tornado Cash в обозревателе блокчейна: однотипные депозиты фиксированного номинала и метка санкций. Именно такой автономный код и стал объектом санкций OFAC.

Связь с Ronin: почему именно Tornado

Санкции против Tornado Cash не возникли на пустом месте. Как мы видели в разборе Ronin, именно через Tornado Cash группа Lazarus отмывала украденные $625 млн. Миксер был ключевым звеном в конвейере отмывания северокорейских хакеров — и в других их операциях тоже. С точки зрения США, инструмент, который систематически используется для отмывания денег государственной кибергруппы враждебного режима, представляет угрозу национальной безопасности, независимо от того, «живой» это оператор или автономный код.

Спор о приватности: две правды

Здесь дело перестаёт быть чисто техническим и превращается в философский спор, который расколол сообщество. Проблема Tornado Cash в том, что приватность — обоюдоострый инструмент.

С одной стороны — очевидное зло: миксер идеально подходит для отмывания краденого, и Lazarus этим активно пользовалась. С другой стороны, у приватности есть совершенно законные применения. Публичность блокчейна — не только благо для следователей, но и проблема для обычного пользователя: если кто-то знает ваш адрес, он видит весь ваш баланс и всю историю операций. Не каждый хочет, чтобы его зарплата, донаты или покупки были видны всему миру.

Самый известный аргумент в защиту такого использования привёл Виталик Бутерин, сооснователь Ethereum. Он публично заявлял, что сам пользовался Tornado Cash для анонимных пожертвований Украине. Логика проста: если бы он жертвовал с открытого адреса, связанного с его именем, это могло бы раскрыть получателей и подвергнуть их риску. Это наглядный пример того, что приватность нужна не только преступникам, но и людям с абсолютно легальными мотивами.

Так возникает дилемма, у которой нет простого решения. Запретить инструмент целиком — значит наказать легальных пользователей за грехи преступников. Разрешить — значит оставить открытым канал отмывания для Lazarus. Именно на этом противоречии и держится вся правовая неопределённость вокруг миксеров.

2024: суд ограничивает санкции

Правовая уязвимость решения OFAC проявилась в суде. Санкции против автономного кода вызвали иски: критики утверждали, что нельзя санкционировать программу так же, как санкционируют человека или компанию, поскольку у смарт-контракта нет «владельца», на которого распространяются ограничения, и что это затрагивает права законопослушных пользователей.

В 2024 году суд ограничил часть санкций, обозначив ту самую правовую «серую зону». Речь не о том, что отмывание вдруг стало легальным, а о более тонком вопросе: применимы ли существующие санкционные механизмы к автономному коду в их изначальном виде. Точная граница между «санкционировать организацию» и «санкционировать строки кода» оказалась юридически неочевидной — и этот спор продолжается.