Sancionar el código: la exclusión de Tornado Cash y el veredicto dividido de Roman Storm

El día en que el Tesoro sancionó al software

El 8 de agosto de 2022, la OFAC sancionó Tornado Cash bajo la Orden Ejecutiva 13694, tras designar Blender.io el 6 de mayo. La medida incluyó contratos inteligentes de código abierto en Ethereum.^[1][2]

El argumento declarado del Tesoro fue la escala. Afirmó que Tornado Cash había lavado más de 7.000 millones de dólares desde 2019, incluidos más de 455 millones robados por el grupo Lazarus, más de 96 millones del robo a Harmony Bridge y al menos 7,8 millones de Nomad. Todas fueron afirmaciones gubernamentales, no conclusiones judiciales.^[1]

A pesar de las garantías públicas en sentido contrario, Tornado Cash ha fallado repetidamente en imponer controles efectivos diseñados para evitar que lave fondos para actores cibernéticos maliciosos de manera regular y sin medidas básicas para abordar sus riesgos.^[1]

— Brian E. Nelson, entonces subsecretario del Tesoro para Terrorismo e Inteligencia Financiera

Su arquitectura dificultó la sanción. El usuario creaba una nota de depósito secreta y enviaba su hash a un fondo de 0,1, 1, 10 o 100 ETH. Al retirar, demostraba mediante pruebas de conocimiento cero la posesión de una nota válida sin revelar el depósito; un relayer procesaba el retiro por una comisión del 0,05% al 0,2%, rompiendo el vínculo. Chainalysis describió el protocolo como descentralizado y no custodio: nunca custodió fondos y la mayoría de sus contratos no podían ser alterados ni destruidos por nadie.^[2]

El código inmutable frente a una ley de emergencia de 1977

Seis usuarios encabezados por Joseph Van Loon alegaron que la sanción excedía la autoridad de la OFAC. El tribunal de distrito falló por el gobierno, pero apelaron. El 26 de noviembre de 2024, los jueces Jones, Willett y Engelhardt del Quinto Circuito revocaron.^[3]

El juez Don R. Willett centró el litigio en dos atributos: la privacidad por anonimización y la inmutabilidad de un código 'inapropiable, incontrolable e inalterable, incluso para sus creadores'. La cuestión era si dicho código constituía 'propiedad' bajo la Ley de Poderes Económicos de Emergencia Internacional (IEEPA) de 1977.^[3]

Tal vez el Congreso actualice la IEEPA, promulgada durante la Administración Carter, para enfocarse en tecnologías modernas como el software de mezcla de criptomonedas. Hasta entonces, sostenemos que los contratos inteligentes inmutables de Tornado Cash (las líneas de código de software que permiten la privacidad) no son 'propiedad' de un nacional o entidad extranjera, lo que significa (1) que no pueden ser bloqueados bajo la IEEPA, y (2) que la OFAC se extralimitó en la autoridad definida por el Congreso.^[3]

— Juez Don R. Willett, Tribunal de Apelaciones de los Estados Unidos para el Quinto Circuito

El tribunal revocó el fallo y ordenó conceder juicio sumario parcial a los demandantes bajo la Ley de Procedimiento Administrativo. Fue una decisión civil sobre sanciones, independiente del proceso penal contra el desarrollador Roman Storm en un tribunal federal de Nueva York.^[3][6]

El día de la exclusión en marzo de 2025

El 21 de marzo de 2025, el Tesoro anunció el retiro de las sanciones, como reflejó en el caso Van Loon. La decisión siguió a una revisión gubernamental sobre los desafíos legales de sancionar actividades en entornos tecnológicos emergentes, manteniendo advertencias sobre el lavado vinculado a Corea del Norte.^[4]

La OFAC eliminó de la lista SDN las entradas de Tornado Cash, incluido el sitio web y las direcciones de Ethereum. La entrada individual de Roman Semenov se actualizó en vez de eliminarse. La medida solo demuestra que las entradas del protocolo y la entrada individual de Semenov recibieron un tratamiento distinto.^[5]

Los activos digitales presentan enormes oportunidades para la innovación y la creación de valor para el pueblo estadounidense. Proteger a la industria de los activos digitales del abuso por parte de Corea del Norte y otros actores ilícitos es esencial para establecer el liderazgo de los Estados Unidos y garantizar que los ciudadanos puedan beneficiarse de la innovación y la inclusión financiera.^[4]

— Scott Bessent, Secretario del Tesoro de los Estados Unidos

Chainalysis actualizó su guía para indicar que los riesgos específicos de las sanciones contra Tornado Cash descritos allí ya no aplicaban después del 21 de marzo de 2025. La actualización cambió el estatus sancionador del protocolo; no afirmó que las empresas debieran abandonar controles más amplios de análisis o contra el lavado de dinero.^[2][4]

Una condena y dos cargos sin veredicto

El proceso penal tuvo su primer veredicto el 6 de agosto de 2025 en el Distrito Sur de Nueva York. Según la carta conjunta del 11 de agosto, el jurado condenó a Storm solo por el Cargo Dos —conspiración para operar un negocio de transmisión de dinero sin licencia— y no alcanzó veredicto en el Cargo Uno (lavado de dinero) ni en el Cargo Tres (violación de sanciones).^[6][7]

El Cargo Dos, única condena emitida, se refirió a operar un negocio de transmisión sabiendo que transmitía fondos ilícitos bajo 18 U.S.C. § 1960. La fiscalía describió un juicio de cuatro semanas con más de 400 pruebas y 21 testigos, detalles tomados de escritos de parte y no de un resumen judicial neutral.^[7]

La carta conjunta indicó que las mociones de Storm podrían afectar el alcance de un nuevo juicio para los Cargos Uno y Tres y también solicitar un nuevo juicio para el Cargo Dos. Las partes acordaron mociones para el 30 de septiembre de 2025, oposiciones para el 31 de octubre y réplicas para el 19 de noviembre, y solicitaron al tribunal excluir ese periodo del plazo de 70 días de la Ley de Juicio Rápido.^[6]

En noviembre de 2025, el gobierno se opuso a la absolución (Regla 29), calificando las pruebas de 'más que suficientes; abrumadoras' y rechazando que fuera un protocolo descentralizado inmutable. Son argumentos de parte: la decisión sobre la Regla 29 permanece pendiente.^[7]

Lo que permanece sin resolver

El 15 de junio de 2026, el gobierno propuso un calendario sujeto al fallo de la Regla 29: informes periciales del gobierno el 7 de agosto, de la defensa el 4 de septiembre y de refutación el 17; mociones Daubert, in limine y enmiendas propuestas a las solicitudes de instrucciones al jurado y de voir dire el 29; oposiciones el 9 de octubre; y conferencia final previa al juicio el 20 de octubre.^[8]

Ningún expediente fija una fecha de nuevo juicio. Al 23 de agosto de 2026, los Cargos Uno y Tres siguen sin veredicto, la Regla 29 sigue pendiente y el cronograma es solo una propuesta. Se trata de preparación pendiente y no de una fecha de juicio fijada.^[8][6]

El caso deja dos vías distintas. En la civil, el Quinto Circuito sostuvo que los contratos inmutables de Tornado Cash no eran propiedad de un extranjero o entidad extranjera bloqueable por la OFAC bajo la IEEPA, y el Tesoro deslistó después el protocolo. En la penal, Storm está condenado solo por el Cargo Dos, mientras los Cargos Uno y Tres siguen sin resolverse. La invitación del tribunal al Congreso muestra que el límite legal permanece abierto al debate legislativo.^[3][4][8]