Gedecentraliseerde financiering (DeFi) en witwassen in België: het juridische vacuüm van MiCA

Belangrijkste punten

• 1Verordening MiCA (EU) 2023/1114 sluit diensten die op volledig gedecentraliseerde wijze worden verleend, zonder identificeerbare tussenpersoon, uit van haar toepassingsgebied (overweging 22), waardoor **gedecentraliseerde financiering** als dusdanig buiten het Europese toezicht op crypto-activa valt.
• 2Die uitsluiting is strikt: gedeeltelijke decentralisatie, waarbij een actor controle blijft uitoefenen over een deel van het protocol, volstaat niet om ervan te genieten, volgens diezelfde overweging 22.
• 3De GAFI past sinds oktober 2021 een afzonderlijke toets toe, gebaseerd op controle of voldoende invloed (owner/operator): een ontwikkelaar, een stichting of een protocoluitbater kan worden gekwalificeerd als crypto-activadienstverlener, ongeacht het opgeëiste label « DeFi ».
• 4In België ontslaat het ontbreken van een specifiek DeFi-regime geen enkele onderworpen entiteit: een door de FSMA vergunde CASP blijft onderworpen aan de travel rule van verordening (EU) 2023/1113 voor overdrachten naar niet-gehoste adressen, en artikel 35 van de wet van 18 september 2017 legt een voortdurende waakzaamheid op de herkomst van de fondsen op, met weigering of beëindiging van de relatie als die niet kan worden vastgesteld.
• 5De Europese Commissie opende in mei 2026 een gerichte raadpleging over de reikwijdte van de DeFi-uitsluiting van MiCA (artikelen 140 en 142): de uitkomst is niet bekend, maar de huidige omvang wordt opnieuw onderzocht.
• 6De goede praktijk voor een Belgische AMLCO bestaat er niet in een specifiek kader af te wachten, maar om telkens een analyse per geval van elk DeFi-protocol te documenteren: wie er voordeel uit haalt, wie de parameters ervan kan wijzigen, en welk identificeerbaar contactpunt in de transactieketen bestaat.

Gedecentraliseerde financiering (DeFi) duidt een geheel van protocollen aan, meestal gebouwd op Ethereum of vergelijkbare blockchains, die financiële diensten (lenen, ontlenen, ruilen, liquiditeitsbeheer) nabootsen zonder via een klassieke bancaire tussenpersoon te gaan. Het witwasrisico dat daarmee gepaard gaat, is geen academische hypothese: voor een Belgische AMLCO is de vraag niet langer theoretisch: cliënten ontvangen overschrijvingen waarvan de herkomst teruggaat op een gedecentraliseerd kredietprotocol, CASP's moeten beslissen of ze fondsen aanvaarden die uit een geautomatiseerd ruilplatform (automated market maker) komen, en geen enkele Belgische tekst benoemt DeFi uitdrukkelijk als een afzonderlijke categorie. Die stilte is geen tolerantie: het is een juridisch vacuüm dat deze gids analyseert om te bepalen wat werkelijk van toepassing is.

Het probleem komt niet voort uit een leemte van de Europese wetgever, maar uit een bewuste keuze. MiCA is ontworpen om identificeerbare dienstverleners te omkaderen, geen technologie. Een protocol dat geen enkele natuurlijke of rechtspersoon telt om te superviseren, ontsnapt mechanisch aan een tekst die rond het begrip crypto-activadienstverlener (CASP) is opgebouwd. Maar die architectuur creëert een grijze zone die onderworpen Belgische entiteiten niet kunnen negeren: de vraag is niet of DeFi als dusdanig gereguleerd is, maar wie, in de transactieketen, identificeerbaar blijft en dus aan AML-verplichtingen onderworpen is.

Waarom MiCA gedecentraliseerde financiering in beginsel uitsluit

Verordening (EU) 2023/1114 betreffende de markten in crypto-activa (MiCA) dekt niet alles wat op een blockchain circuleert. Overweging 22 bepaalt dat diensten die op volledig gedecentraliseerde wijze worden verleend, zonder enige tussenpersoon, buiten het toepassingsgebied van de verordening zouden moeten blijven. De bedoeling van de wetgever is duidelijk: een tekst die de vergunning en het toezicht van dienstverleners organiseert, veronderstelt het bestaan van een identificeerbare persoon om te vergunnen en te superviseren. Een open source protocol, eens en voorgoed uitgerold en door niemand nog te wijzigen, voldoet niet aan die voorwaarde.

Dezelfde overweging voegt een precisering toe die rechtstreeks Belgische CASP's aanbelangt: crypto-activa die door gedecentraliseerde financiering worden uitgegeven, zonder identificeerbare uitgever, ontsnappen zelf aan bepaalde verplichtingen die eigen zijn aan uitgevers. Maar een CASP die diensten verleent met betrekking tot die crypto-activa, bijvoorbeeld door de aankoop of de bewaring ervan mogelijk te maken, blijft voor die activiteit volledig onderworpen aan MiCA, ongeacht het gedecentraliseerde karakter van de onderliggende uitgifte.

Criterium	Kenmerk	Protocol uitgesloten van MiCA	Protocol binnen het toepassingsgebied van MiCA
Actor die het protocol kan wijzigen
Persoon die vergoedingen of inkomsten int
Interface (front-end) uitgebaat door een identificeerbare entiteit
Effectief bestuur via een token zonder reële controle
Waarschijnlijke MiCA-kwalificatie	Buiten toepassingsgebied (overweging 22)	CASP of crypto-activadienst

De GAFI-toets: controle primeert op het label

Het Europese kader maakt de analyse niet volledig. De bijgewerkte richtsnoeren van de Financiële Actiegroep (GAFI) van oktober 2021 wijden een specifiek onderdeel aan DeFi. De GAFI voert daarin een zogenaamde owner/operator-toets in: een persoon die controle of voldoende invloed behoudt over de onderliggende activa of over aspecten van het protocol, en die daartoe een voortdurende zakelijke relatie onderhoudt met de gebruikers, kan worden gekwalificeerd als crypto-activadienstverlener (VASP), zelfs wanneer het geheel zich als gedecentraliseerd voordoet.

Deze toets levert soms een contra-intuïtief resultaat op: twee protocollen die vanuit het oogpunt van de gebruiker identiek lijken, kunnen een andere kwalificatie krijgen naargelang het ene over een beheerder beschikt die het slimme contract kan bijwerken (en dus over een identificeerbaar controlepunt), terwijl het andere definitief afstand heeft gedaan van elke beheersleutel. De GAFI preciseert ook dat de onderliggende technologie of software op zich nooit een VASP is: het zijn de personen die ze ontwikkelen, uitbaten of er voordeel uit halen die het kunnen zijn, nooit de code zelf.

DAO's en bestuur via tokens: diffuse controle, geen afwezige controle

Een deel van de DeFi-protocollen vertrouwt haar beslissingen formeel toe aan een gedecentraliseerde autonome organisatie (DAO), waarbij houders van een bestuurstoken stemmen over de parameters van het protocol, de evoluties van de code of de bestemming van een gemeenschappelijke schatkist. Deze architectuur wordt vaak voorgesteld als het ultieme bewijs van decentralisatie: geen enkele onderneming zou het protocol besturen, enkel een diffuse gemeenschap van tokenhouders zou collectief beslissen.

De GAFI stopt de analyse daar niet. Haar richtsnoeren preciseren dat een gewone houder van een bestuurstoken, zonder reële capaciteit om alleen de beslissingen te beïnvloeden, geen crypto-activadienstverlener is. Maar de vraag verandert van aard wanneer de verdeling van de tokens geconcentreerd blijft in handen van een oprichtersteam, een investeringsfonds of een stichting die, de facto, een blokkeringsminderheid of een voldoende meerderheid behoudt om de stemmen te sturen. In dat geval schaft de DAO de controle niet af: ze bekleedt ze met een procedureel vernisje dat niets verandert aan de economische realiteit van de uitgeoefende macht.

Voor een Belgische entiteit die overweegt een door een DAO bestuurd protocol in haar aanbod te integreren, of het nu gaat om een CASP die een token referentieert of een bank die fondsen uit een DAO-schatkist aanvaardt, is deze concentratieanalyse geen academische oefening: ze bepaalt rechtstreeks of het protocol moet worden behandeld als een gedecentraliseerde derde in de zin van overweging 22 van MiCA, of als een feitelijke dienstverlener wiens oprichtende entiteit identificeerbaar en ondervraagbaar blijft.

Wat dit betekent voor een onderworpen Belgische entiteit

Voor een door de FSMA vergunde CASP, een bank of elke andere instelling onderworpen aan de wet van 18 september 2017, verandert het ontbreken van een specifiek DeFi-regime niets aan de waakzaamheidsplicht die op de entiteit zelf rust. Drie situaties komen het vaakst terug in de praktijk van een Belgische AMLCO:

Praktische situaties waarin DeFi de AML-waakzaamheid van een Belgische entiteit aanspreekt

• Ontvangst van fondsen afkomstig van een niet-gehost adres

  Een cliënt ontvangt crypto-activa vanuit een zelf-gehoste portefeuille die heeft gehandeld met een gedecentraliseerd krediet- of ruilprotocol: de travel rule van verordening (EU) 2023/1113 verplicht de CASP om informatie over de afzender te verzamelen, zonder minimumdrempel.

• Herkomst van de fondsen niet te documenteren voorbij het protocol

  Wanneer de transactiegeschiedenis verloren gaat in een opeenvolging van gedecentraliseerde contracten zonder KYC, legt artikel 35 van de wet van 18 september 2017 een voortdurende waakzaamheid op die herkomst op en, als ze niet kan worden vastgesteld, verbiedt het de zakelijke relatie aan te gaan of verplicht het ze te beëindigen.

• Rechtstreekse interactie met een protocol met een identificeerbare operator

  Een instelling die haar cliënten via haar eigen interface toegang geeft tot een protocol, of die een commissie int op die stroom, stelt zichzelf bloot aan een analyse in het licht van de GAFI-toets en kan het controlepunt worden dat het onderliggende protocol niet biedt.

Onze gids over de AML-verplichtingen van CASP's in België behandelt het vergunningsregime van de FSMA dat van toepassing is op crypto-activadienstverleners: het geldt zonder wijziging voor een CASP die als tussenpersoon optreedt tussen een cliënt en een DeFi-protocol, zelfs als het protocol zelf buiten het toepassingsgebied van MiCA blijft. DeFi creëert geen afwijkend statuut: het verlegt gewoon het punt waarop de risicoanalyse zich moet concentreren, van het protocol naar de identificeerbare entiteiten eromheen.

Stablecoins, travel rule en DeFi: grenzen die elkaar kruisen

De meeste DeFi-protocollen gebruiken stablecoins als voornaamste rekeneenheid, wat dit onderwerp rechtstreeks dichter brengt bij het regime dat van toepassing is op uitgevers van elektronischgeldtokens (EMT) en van tokens die naar activa verwijzen (ART), behandeld in onze gids over de AML-verplichtingen van stablecoin-uitgevers. Een stablecoin die door een identificeerbare entiteit wordt uitgegeven, blijft aan de kant van de uitgifte volledig onderworpen aan MiCA, zelfs wanneer hij nadien circuleert in DeFi-protocollen die zelf aan het rechtstreekse toezicht ontsnappen.

Verordening (EU) 2023/1113, die de travel rule invoert voor overdrachten van fondsen en crypto-activa, is van toepassing vanaf de eerste overgedragen euro tussen CASP's, zonder minimumdrempel, sinds 30 december 2024. Een overdracht die van een DeFi-protocol naar een Belgische CASP gaat, blijft onderworpen aan die verplichting aan de kant van de ontvangende CASP, die dan moet documenteren wat hij kan over de herkomst van de stroom, zelfs als de formele afzender slechts een adres van een slim contract zonder aangegeven identiteit is.

In de praktijk beschikken weinig Belgische entiteiten intern over de middelen om handmatig een keten van transacties over meerdere gedecentraliseerde protocollen te traceren. De blockchainanalysetools die CASP's en banken gebruiken om een risiconiveau te objectiveren, steunen op heuristieken voor het groeperen van adressen en op databanken van adressen die al aan bekende illegale activiteiten zijn gekoppeld: ze laten toe, zonder het ooit volledig te garanderen, in te schatten welk deel van een stroom afkomstig is van een crypto-mixer, een gesanctioneerd platform of een DeFi-protocol dat al als witwasvector is gedocumenteerd. Een compliance-programma dat op die tools steunt, moet niettemin de beperkingen ervan documenteren: een nog niet gesignaleerd adres is niet, per constructie, een adres zonder risico, en het uitblijven van een alarm ontslaat de AMLCO nooit van zijn eigen beoordeling van het dossier.

Een tijdlijn opgebouwd via opeenvolgende verduidelijkingen

De behandeling van DeFi heeft nooit het voorwerp uitgemaakt van een autonome tekst: ze is het resultaat van een opeenstapeling van verduidelijkingen, die elk een beetje meer de contouren preciseren van een kader dat, per constructie, een uitsluiting blijft eerder dan een positief regime.

1. 1

   Bijgewerkte richtsnoeren van de GAFI

   Oktober 2021

   De GAFI voert de owner/operator-toets in voor DeFi-regelingen en preciseert dat de onderliggende software op zich nooit een crypto-activadienstverlener is.

2. 2

   Aanneming van verordening MiCA

   31 mei 2023

   Verordening (EU) 2023/1114 wordt gepubliceerd met haar overweging 22, die volledig gedecentraliseerde diensten zonder tussenpersoon uitsluit van haar toepassingsgebied.

3. 3

   Toepassing van MiCA, de travel rule en het CASP-statuut

   30 december 2024

   Crypto-activadienstverleners vallen binnen het toepassingsgebied van de CASP-vergunning en van verordening (EU) 2023/1113, wat de verwachte waakzaamheid op stromen uit gedecentraliseerde protocollen versterkt.

4. 4

   Belgische wet tot omzetting van MiCA

   11 december 2025

   België verdeelt de bevoegdheid tussen de FSMA (gedrag en vergunning) en de NBB (prudentieel), zonder specifiek regime voor DeFi.

5. 5

   Gerichte raadpleging van de Europese Commissie

   Mei 2026

   De Commissie opent een raadpleging over de werking van de artikelen 140 en 142 van MiCA, die onder meer betrekking heeft op de reikwijdte van de uitsluiting van volledig gedecentraliseerde diensten.

6. 6

   Toepassing van de AMLR

   10 juli 2027

   Verordening (EU) 2024/1624 neemt onder MiCA vergunde CASP's op in de lijst van onderworpen entiteiten (art. 3), zonder een afzonderlijke categorie te creëren voor actoren die met DeFi omgaan.

Documenteren bij gebrek aan specifiek kader

Bij gebrek aan een expliciet DeFi-regime is de beste verdediging van een Belgische entiteit niet het afwachten van een regelgevende verduidelijking die mogelijk nooit de vorm van een autonome tekst zal aannemen, maar het actief documenteren van de analyse die de bestaande kaders al mogelijk maken.

Aanbevolen compliance-aanpak tegenover een DeFi-protocol

• Identificeren wie inkomsten uit het protocol int

  Protocolvergoedingen, commissies, of vergoeding van een verbonden stichting: het innen van inkomsten is een sterke aanwijzing van controle in de zin van de GAFI-toets.

• Nagaan wie het slimme contract kan wijzigen

  Het bestaan van een beheersleutel, van een multisignature die niet volledig door de gebruikers wordt gecontroleerd, of van een bijwerkingsmechanisme wijst op een identificeerbaar controlepunt.

• De uitbater van de interface (front-end) opsporen

  Een webinterface die door een identificeerbare onderneming wordt uitgebaat, zelfs als het onderliggende protocol gedecentraliseerd is, kan het contactpunt vormen dat aan de CASP-analyse is onderworpen.

• De herkomst van de fondsen voorbij het laatste protocol documenteren

  Zo ver mogelijk de keten van transacties teruggaan om het risiconiveau te objectiveren, eerder dan te stoppen bij het laatste niet-gehoste adres.

• De travel rule toepassen zonder een geïdentificeerde tegenpartij af te wachten

  Verordening (EU) 2023/1113 is van toepassing op de ontvangende CASP, ongeacht het vermogen van het DeFi-protocol om de gebruikelijke informatie over de afzender te verstrekken.

• Een schriftelijk spoor van elke analyse bewaren

  Bij een controle van de FSMA of de NBB weegt het aantonen van een gedocumenteerde analyse per geval zwaarder dan de afwezigheid van een standpunt over een onderwerp waarvan de toezichthouder weet dat het complex is.

Deze aanpak vervangt geen toekomstige verduidelijking van de FSMA, de NBB of de Europese Commissie over de exacte omvang van de DeFi-uitsluiting. Maar ze vormt, in afwachting, de enige ernstige verdedigingslinie van een Belgische entiteit die haar standpunt moet kunnen verantwoorden als een toezichthouder haar ooit over een bepaalde stroom zou ondervragen.

Om verder te gaan

• AML-verplichtingen van CASP's in België: MiCA, travel rule en AMLR 2027: het volledige regime dat van toepassing is op crypto-activadienstverleners, met inbegrip van degenen die als toegangs- of uitgangspunt naar DeFi-protocollen dienen.
• NFT's en witwassen in België: wat MiCA niet dekt: een ander voorbeeld van een grijze zone die ontstaat uit de manier waarop MiCA is opgebouwd via uitsluiting eerder dan via opname.
• Stablecoins in België: AML-verplichtingen van uitgevers van EMT en ART onder MiCA: het regime dat van toepassing is op de rekeneenheid die de meeste DeFi-protocollen gebruiken.
• Verscherpte waakzaamheid (EDD): AML-risicofactoren in België: het algemene kader van verscherpte waakzaamheid dat van toepassing is wanneer de herkomst van de fondsen onzeker blijft.

Veelgestelde vragen

Is gedecentraliseerde financiering (DeFi) onderworpen aan AML-verplichtingen in België?

Niet rechtstreeks, en dat is precies het probleem. Verordening MiCA (EU) 2023/1114 sluit diensten die op volledig gedecentraliseerde wijze worden verleend, zonder enige tussenpersoon, uit van haar toepassingsgebied (overweging 22). Maar die uitsluiting beschermt noch de Belgische entiteiten die fondsen ontvangen die via een DeFi-protocol zijn gegaan, noch de actoren die controle of voldoende invloed uitoefenen op dat protocol: in beide gevallen gelden AML-verplichtingen, via een ander kanaal dan MiCA.

Waarom sluit MiCA DeFi uit van haar toepassingsgebied?

Overweging 22 van verordening (EU) 2023/1114 legt uit dat de regelgeving identificeerbare crypto-activadienstverleners beoogt, en geen technologie als dusdanig. Een protocol dat geen enkele rechtspersoon telt om te superviseren, voldoet niet aan die voorwaarde. Maar dezelfde overweging preciseert dat gedeeltelijke decentralisatie, waarbij een deel van de activiteit door een identificeerbare actor wordt uitgevoerd, niet volstaat om van de uitsluiting te genieten.

Wat is de GAFI-toets om een DeFi-actor als crypto-activadienstverlener te kwalificeren?

De bijgewerkte richtsnoeren van de GAFI van oktober 2021 voeren een zogenaamde owner/operator-toets in: een persoon die controle of voldoende invloed behoudt over de activa of over aspecten van het protocol, en die daartoe een voortdurende zakelijke relatie onderhoudt met de gebruikers, kan worden gekwalificeerd als crypto-activadienstverlener, zelfs als het geheel zich als gedecentraliseerd voordoet. Het loutere feit zich als DeFi-project te bestempelen, is voor de GAFI niet doorslaggevend.

Moet een Belgische bank of CASP verscherpte waakzaamheid toepassen op fondsen die uit een DeFi-protocol komen?

Ja, in de meeste praktische gevallen. Een door de FSMA vergunde CASP blijft onderworpen aan de travel rule van verordening (EU) 2023/1113 voor elke overdracht van of naar een niet-gehost adres, en artikel 35 van de wet van 18 september 2017 legt een voortdurende waakzaamheid op de herkomst van de fondsen op die, als ze niet tot een goed einde kan worden gebracht, verbiedt om de zakelijke relatie aan te gaan of voort te zetten: een situatie die vaak voorkomt bij fondsen die via meerdere DeFi-protocollen zonder KYC zijn gegaan.

Wie draagt de AML-verantwoordelijkheid wanneer een DeFi-protocol geen identificeerbare operator heeft?

In dat geval verschuift de verantwoordelijkheid naar de identificeerbare contactpunten in het transactietraject: de Belgische CASP die de fondsen ontvangt of verzendt, de stichting of ontwikkelingsonderneming die vergoedingen int of controle over het protocol behoudt, of de interface (front-end) die toegang tot het protocol geeft als die door een identificeerbare entiteit wordt uitgebaat. De afwezigheid van een centrale operator schaft de waakzaamheidsplicht niet af: ze verlegt ze naar de onderworpen Belgische entiteit die met die fondsen omgaat.

Gaat een Europese raadpleging de DeFi-uitsluiting van MiCA wijzigen?

De Europese Commissie opende in mei 2026 een gerichte raadpleging over de werking van de artikelen 140 en 142 van MiCA, die onder meer betrekking heeft op de reikwijdte van de uitsluiting van volledig gedecentraliseerde diensten. Op de publicatiedatum van dit artikel heeft die raadpleging nog niet tot een wijziging van de tekst geleid: de principiële uitsluiting blijft van kracht, maar haar omvang wordt opnieuw onderzocht zonder dat de uitkomst bekend is.