El caso Tornado Cash

El pasado martes 14 de mayo la justicia holandesa condenó a 64 meses de cárcel a Alexey Perstev, por blanqueo de capitales, concluyendo que es responsable de dicho delito. Perstev es uno de los principales programadores y consejero delegado de PepperSec, empresa que desarrolló el software “Tornado Cash” para combinar transacciones de ethereum.

A imagen y semejanza de Bitcoin, las transacciones de ethereum son públicas y se puede realizar un seguimiento de cada una de ellas. Esto supone un grave problema de privacidad y para mitigarlo existen herramientas que combinan las transacciones de varios usuarios, de manera que a partir de la combinación en adelante se dificulta muchísimo su seguimiento. En Bitcoin también existen estas herramientas de combinación o coinjoin como por ejemplo whirlpool de Samourai, que también ha sufrido un ataque por parte del Departamento de Justicia de los Estados Unidos acusando también a sus desarrolladores de blanqueo de capitales.

Servicios coinjoin y servicios de mixers

Es importante distinguir los protocolos que pretenden ser descentralizados, como coinjoin, de los servicios de mixers. En el segundo caso estarían incluidos individuos o entidades que reciben unidades de Bitcoin en custodia que mezclan y redistribuyen de vuelta a los usuarios a cambio de una comisión.  Son servicios centralizados en los que hay que confiar la custodia a un tercero. No es lo mismo porque un coinjoin es simplemente software libre que los usuarios deciden usar, mientras que un mezclador centralizado es un servicio.

Para que se entienda correctamente, no es lo mismo inventar el concepto de sobre inviolable para detectar la manipulación de un envío, que el servicio de mensajería que transporta el sobre. Y si estuviéramos en un circuito de mercancías ilegales, en lugar de “mensajeros” hablaríamos de “mulas”. Pues bien, los programadores de software como coinjoin o tornado cash son los inventores del sobre inviolable, mientras que a los gestores de mixers centralizadas serían las “mulas”.

La utilidad principal de los protocolos de combinación es proporcionar privacidad o anonimato a los poseedores de activos digitales al portador. Atención ¡al por-ta-dor!. En este contexto es esencial tener en cuenta la característica de ser al portador, y es lo que en mi opinión tanto los legisladores como los tribunales están obviando de manera extremadamente imprudente o más bien temeraria.

La privacidad

La privacidad es uno de nuestros derechos fundamentales, pero es que cuando se trata de activos al portador es además un elemento absolutamente crucial para la integridad física del propietario y la de su familia, poniendo en serio peligro el derecho a no ser coaccionado, extorsionado o agredido e incluso amenazando el derecho a la vida. Cuando se trata de activos al portador, es crítico que a los delincuentes les resulte muy difícil saber cuánta riqueza al portador posee un individuo y relacionarla con su nombre y/o domicilio.

La privacidad es una medida de seguridad elemental en este caso. Por eso el tópico y pésimo argumento de “si no has hecho nada malo, no tienes nada que ocultar” es más disparatado si cabe en este contexto, porque evidentemente sí que existe un más que legítimo motivo para que los individuos oculten su riqueza al portador. 

La dervergüenza del FBI

Se podría argumentar que no hay mayor problema si la entidad que custodia los datos personales lo hace de forma segura. Pero es precisamente en ese argumento donde reside el disparate. Es un hecho total y absolutamente contrastado que custodiar de forma segura un volumen relevante de datos personales es material y técnicamente imposible. Todas las bases de datos con datos personales acaban resultando comprometidas. No es una cuestión de si lo serán o no, sino de cuando. Hace pocos días le pasó al Banco Santander y a la Dirección General de Tráfico. También le ha pasado a la agencia tributaria, al punto neutro judicial. Incluso el Pentágono, la NSA, el FBI, la NASA o el departamento de defensa de los EEUU han sido hackeados en una o varias ocasiones. 
Por tanto, basta con relacionar  la cadena de bloques con una base de datos que contenga datos de activos digitales al portador y datos personales de las muchas que custodian exchanges y otras entidades financieras para poder hacer un seguimiento relativamente sencillo de dichos activos. En este sentido y a raíz de la detención de los desarrolladores de Samourai, la alerta del FBI advirtiendo a los ciudadanos para que no adquieran criptoactivos sin facilitar sus datos personales es absolutamente vergonzosa viniendo de quien viene. Precisamente el FBI conoce perfectamente la cantidad de bases de datos con datos personales que resultan comprometidas día sí y día también.

Tornado Cash

Pues bien, Tornado Cash es una herramienta para romper la trazabilidad de unidades de ether, que son activos digitales al portador. Si por ejemplo un usuario compra unidades de ethereum a otro particular sin dejar rastro en una base de datos centralizada de un exchange, usando después la herramienta Tornado Cash puede romper la pista para que el vendedor no pueda hacerle ya ningún seguimiento.

Otro uso es que nadie pueda averiguar a qué causas políticas o sociales haces donaciones ¿Está bien que el gobierno de Nicolás Maduro pueda saber qué personas donan a partidos de la oposición? ¿O que Santiago Abascal si llegara al poder pudiera saber qué ciudadanos apoyan financieramente a Podemos, Sumar o el PSOE?

También puede servir para asegurar que nadie pueda relacionar saldos pequeños si estos están identificados cuando se unifican con otros saldos grandes que el mismo usuario atesora anónimamente. Si dichos saldos los filtras previamente mediante esta herramienta, nadie podrá relacionar que el saldo grande anónimo es de la misma persona que el saldo pequeño anteriormente identificado. Sin ser exhaustivo, estos son ejemplos de uso totalmente legítimos de Tornado Cash, pero podría haber infinitos ejemplos.

¿Servicio o simple programa de ordenador?

Es cierto que los desarrolladores de Tornado Cash pueden haber cometido el error de que la puesta a disposición del público de este software libre pueda parecer un servicio. Que pueda interpretarse que Tornado Cash operaba como una corporación y no tanto como un simple programa de ordenador que cualquiera pueda utilizar libremente. Si su actividad se puede interpretar como la provisión de un servicio y no como simple programación de software, entonces la acusación tiene más fácil argumentar que han violado las leyes al no implantar la normativa aplicable para las entidades que proporcionan servicios financieros.
En cualquier caso, teniendo en cuenta que la privacidad es absolutamente legítima por las razones de seguridad elemental que he explicado, proporcionar un servicio de anonimato o privacidad para un activo que carece de forma inherente de esta característica es un servicio legítimo. Y debería ser más que obvio que la propia naturaleza del servicio requiere que no se recopile ni un solo dato personal, pues sería una contradicción absoluta del servicio.

Los jueces tienen que aplicar la ley, pero el problema aquí es que claramente las leyes de prevención de blanqueo de capitales (PBC, o AML por sus siglas en inglés), obligan a unos procedimientos de identificación que si bien pueden tener efectos netos positivos en activos nominativos, son no ya absurdas sino temerarias y contraproducentes cuando se trata de activos al portador Las bases de datos centralizadas que están obligados a mantener los sujetos obligados por esta ley, y que relacionan nombre y domicilio con activos al portador, son una verdadera alfombra roja a disposición de los delincuentes para saber qué familias y domicilios es más rentable asaltar. 

El ejemplo del cuchillo de cocina

En todo caso, la motivación de la sentencia deja abierta la duda jurídica de si en la legislación europea actual sería legal un servicio que anonimice totalmente fondos sin recopilar ningún dato personal, y siempre y cuando el proveedor de servicios impida, o haga lo técnicamente posible por impedir, que fondos sospechosos puedan entrar en el mezclador.

Por otro lado, la ley holandesa no parece muy garantista en cuanto a la intencionalidad en la comisión de delitos. A la vista de la sentencia parece suficiente la mera previsión de un uso ilícito de tu software para ser responsable de un delito de blanqueo de capitales. Es decir, que en la fase de desarrollo pudiera haberse considerado posible que otros terceros totalmente ajenos a los desarrolladores de Tornado Cash podrían usarlo para el blanquear activos. En la nota de prensa en inglés de la sentencia publicada por el tribunal podemos leer: “Tornado Cash no impone ninguna barrera para blanquear activos procedentes de delitos” (traducción libre). ¿Deben los diseñadores de cuchillos de cocina establecer barreras técnicas para impedir que alguien los use para asesinar? Perplejo me quedo.

Funcionalidades voluntarias

La realidad es que los desarrolladores sí implementaron barreras. Pero para el tribunal las medidas no fueron suficientes porque no eran obligatorias. Hasta donde sabemos en la industria, las únicas medidas que se pueden implantar en este caso es que la herramienta rechace entradas de fondos provenientes de direcciones de criptoactivos ya identificadas como ilícitas. Por ejemplo direcciones en las que se han depositado criptoactivos procedentes de un robo de un exchange. Por resumir, que el sistema tenga en cuenta listas negras para excluirlas de participar en las combinaciones de activos digitales al portador.

Sin embargo, el tribunal se toma este asunto con extremada ligereza como si la gestión de listas negras fuera una cuestión sencilla. ¿Cuántas transacciones hacía atrás hay que tener en cuenta? Además, las listas negras tienen el gran problema de quién las gestiona. Si son descentralizadas cualquiera podría incluir a cualquiera, serían un caos, inservibles. Y si son centralizadas, ¿Quiénes serán los “ángeles” que las gestionen? ¿Qué pasa si el gestor o el regulador decide que toda salida de un coinjoin entra automáticamente en la lista negra? ¿Estarían esas listas exentas de los intereses ideológicos, políticos o económicos de sus gestores? No padre. Es muy posible que precisamente por esta razón los desarrolladores de Tornado Cash incluyeran esta funcionalidad como voluntaria. De manera que, por ejemplo, como usuario puedas elegir entrar solo en aquellos lotes de mezcla con direcciones que no están en ningún blacklist.

Implicaciones de la sentencia

En definitiva, el enfoque de la justicia holandesa en este caso es extremadamente preocupante porque demuestra que no hay ni la más mínima voluntad de defender el derecho al anonimato de los usuarios legítimos de activos digitales al portador, que de hecho son el 99,99% de los usuarios. Lo que queda después de esta sentencia es:

• Meter a un programador en la cárcel por haber ejercido su libertad de conciencia y de invención.
• Que los delincuentes que blanquearon activos con Tornado Cash sigan impunes, y sigan blanqueando capitales con Tornado Cash (es un smart contract que no se puede parar) o mediante otras alternativas.
• Que el 99,99% de usuarios legítimos, ciudadanos honestos e inocentes, no puedan o teman usar herramientas para salvaguardarpara salvaguardad su privacidad. Y es que dificultar o encarecer el uso de estas herramientas perjudica principalmente los usuarios honestos, que son el 99,99%, y apenas incomoda a los delincuentes que son el 0,01%, pues pues no tienen mayor problema en gastar buena parte del dinero robado en formas más costosas o peligrosas de ofuscar los activos.
• Inseguridad jurídica total sobre el uso de herramientas para la privacidad de activos digitales. ¿Es en cualquier caso ilegal? ¿Si un usuario inocente combina sus activos con los de un delincuente sin saberlo, es cómplice del delincuente? 

El derecho a permanecer anónimo

Al ciudadano honesto se le conculca el derecho al anonimato, dejándolo a merced de los criminales si estos enlazan su riqueza al portador con su domicilio. Convirtiendo el derecho al anonimato en un privilegio de facto reservado solo para los delincuentes, igual que los traficantes de drogas tienen hoy el monopolio de comerciar con ellas. La realidad es que esto no es más que la consecuencia de aplicar unas leyes que no están pensadas para combatir la delincuencia, sino que utilizan la excusa del crimen para limitar o eliminar los instrumentos negociables al portador para controlar al ciudadano con el verdadero objetivo de satisfacer la voracidad fiscal del Estado.

En los años 90 tuvimos una batalla similar al respecto de los algoritmos de cifrado que un pequeño grupo de héroes, los cypherpunks, consiguió ganar doblegando al mismísimo gobierno de los EEUU alegando que el software es free speech y por tanto está protegido por la primera enmienda. Fueron las llamadas guerras cripto o “cryptowars”.

El cerco a la libertad por medio de la tecnología

Es importantísimo tener en cuenta lo acertadísimo de la decisión de los tribunales, pues independientemente del uso que se pueda hacer del software, no podemos perder de vista que el software no son más que un conjunto de reglas abstractas como puede ser el algoritmo de euclides o el teorema de Pitágoras. Es decir, se trata de información, de ideas.  Y pretender prohibir o regular el software es pretender meterse en nuestras cabezas, prohibir ideas o regular nuestro pensamiento. Y esto es una de las formas de totalitarismo más terroríficas.

A la vista de estos hechos recientes, queda claro que lo que se ganó en los 90 no fue ninguna guerra sino tan solo una batalla. Estas batallas pasan desapercibidas porque los medios de comunicación apenas les prestan atención, pero son absolutamente esenciales para nuestra libertad. 

El caso Tornado Cash es una muestra más del peligrosísimo cerco de los gobiernos a la tecnología como herramienta para la libertad. Tenemos múltiples ejemplos, recientemente a nivel nacional tuvimos el intento de cerrar Telegram, el control de los influencers en redes sociales, o el modelo de hacienda 721 para la declaración de monedas virtuales. Este cerco es un ataque continuo e incansable a nuestras libertades pero no por ello los amantes de la libertad debemos dejar de denunciarlo y combatirlo con todas nuestras fuerzas.

Ver también

El dinero como tecnología y bitcoin como mejora (I). (Eduardo Blasco).

El dinero como tecnología y bitcoin como mejora (y II). (Eduardo Blasco).