Le 8 août 2022, le Trésor américain fait quelque chose qu'il n'a jamais fait : il sanctionne un smart contract.
Tornado Cash, protocole de mixage sur Ethereum, est inscrit sur la liste noire de l'OFAC. Concrètement, tout citoyen américain qui interagit avec ses adresses risque des poursuites fédérales. Pas un dirigeant, pas une société. Un bout de code déployé sur une blockchain.
Le dossier à charge
Le Trésor ne mâche pas ses mots. Depuis 2019, Tornado Cash aurait servi à blanchir plus de 7 milliards de dollars en cryptomonnaies. Dans le lot : 455 millions de dollars volés par le groupe Lazarus, la cellule de hackers sponsorisée par la Corée du Nord, lors du plus grand vol crypto connu à l'époque. Puis 96 millions issus du hack Harmony Bridge en juin 2022, et 7,8 millions du vol Nomad quelques semaines plus tôt. Brian E. Nelson, sous-secrétaire au Trésor, annonce la mesure sans ambiguïté : « Tornado Cash blanchit les produits de cybercrimes, y compris ceux commis contre des victimes aux États-Unis. »
L'effet est immédiat. Le volume passant par le protocole chute de 85 %. Les exchanges bloquent les adresses associées. GitHub supprime les dépôts des développeurs. Circle gèle les USDC présents dans les contrats.
Code is law, vraiment ?
Mais la communauté DeFi s'embrase. Sanctionner un smart contract, c'est sanctionner des lignes de code qui ne peuvent pas « décider » de refuser un utilisateur. Des juristes, des développeurs, des défenseurs de la vie privée crient à l'absurde. Certains envoient des ETH depuis les adresses Tornado Cash vers des wallets de personnalités publiques, histoire de démontrer l'absurdité du guilt-by-association.
En août 2023, Roman Storm, cofondateur du protocole, est arrêté pour blanchiment d'argent. La bataille judiciaire commence. En 2024, une cour d'appel juge que certains smart contracts immuables ne peuvent pas légalement être sanctionnés, forçant une levée partielle des restrictions.
Aujourd'hui, avec le bitcoin à 80 186 $, la DeFi pèse des centaines de milliards. La question posée ce 8 août 2022 reste entière : jusqu'où un gouvernement peut-il réguler un protocole que personne ne contrôle vraiment ?