OFAC vs Tornado Cash: van verbanning in augustus 2022 tot de onverwachte wending bij het Treasury in november 2025

De dag dat code op de sanctielijst belandde

Op 8 augustus 2022 deed het Office of Foreign Assets Control van het Amerikaanse ministerie van Financiën iets wat het nooit eerder had gedaan. Het plaatste een reeks Ethereum smart contract-adressen op de Specially Designated Nationals-lijst. Geen persoon, geen bedrijf, geen stichting, geen wallet onder beheer van een bekende operator, maar een geïmplementeerd, onveranderlijk stuk software: Tornado Cash. Vanaf die ochtend liep elke Amerikaanse gebruiker die met die contracts communiceerde, op papier, hetzelfde secundaire sanctierisico als wapenhandelaars en staatssponsors van terrorisme. Het Treasury rekende voor dat Tornado Cash sinds 2019 meer dan zeven miljard dollar had witgewassen, waarvan ongeveer 455 miljoen dollar gestolen door de Noord-Koreaanse Lazarus-groep. De conclusie: de code zelf moest als gesanctioneerde entiteit worden behandeld.

Wat volgde was een veertig maanden durend geschil, gelijktijdig gevoerd in twee federale rechtbanken, één Nederlandse strafrechtbank en de commentaarsecties van elke crypto-policyblog die een pols had, over een vraag die nooit eerder beantwoord hoefde worden: kan een overheid software sanctioneren zoals zij een mens sanctioneert.

Wat OFAC precies deed

De oorspronkelijke aanwijzing noemde tientallen contractadressen en drie bijbehorende domeinen. Binnen enkele uren schakelde de Amerikaanse compliance-keten om. Circle bevroor diezelfde dag circa 75.000 USDC op gesanctioneerde adressen. GitHub deactiveerde de repositories van Tornado Cash-maintainers, inclusief het persoonlijke account van Roman Semenov. Infura en Alchemy blokkeerden RPC-toegang tot de contractadressen. Coinbase, dat stilletjes een deel van de Coin Center-zaak had gefinancierd die later de maatregel zou aanvechten, nam een afwachtende houding aan; verschillende van zijn gebruikers werden eisers in wat uiteindelijk Van Loon v. Treasury zou heten.

Het praktische effect op gewone gebruikers was merkwaardig en ingrijpend. Iedereen die ooit had gestort bij Tornado Cash, zelfs jaren vóór enige Noord-Koreaanse hack, werd op 9 augustus wakker met het besef dat zijn wallet mogelijk besmet was. Een handvol grappenmakers stuurde kleine hoeveelheden gemixte ETH naar bekende adressen om te testen of sancties zichzelf konden wapenen via ongevraagde overboekingen. Strafrechtelijk lukte dat niet, maar het afschrikwekkende effect was onmiddellijk. Privacy op Ethereum, voor wie het protocol om niet-criminele redenen had gebruikt, werd iets waar je je met een advocaat uit moest praten.

De zaak-Pertsev

Twee dagen na de SDN-aanwijzing, op 10 augustus 2022, arresteerde de Nederlandse Fiscale Inlichtingen- en Opsporingsdienst Alexey Pertsev bij zijn huis buiten Amsterdam. Pertsev was een van de genoemde ontwikkelaars van het protocol en sinds de implementatie in 2019 betrokken. Hij bracht de meeste van de volgende twintig maanden in voorarrest door.

Op 27 april 2024 veroordeelde de Rechtbank Oost-Brabant in 's-Hertogenbosch hem wegens witwassen tot vijf jaar en vier maanden. De theorie van de rechtbank verdient nauwgezette aandacht, want die steunt geheel buiten de Amerikaanse sanctiewetgeving. De rechtbank vond dat Pertsev het protocol was blijven onderhouden, updaten en promoten nadat duidelijk was geworden dat een substantieel deel van de doorvoer gestolen fondsen betrof; dit actieve onderhoud kwam neer op een witwasoperatie onder de Nederlandse strafwet. De uitspraak stelde niet dat het schrijven van het protocol illegaal was. Wel dat het runnen ervan, eenmaal op de hoogte van het misbruik, dat wel was.

Het Amerikaanse spoor

De Amerikaanse zaak kreeg een ander verloop. Zes Tornado Cash-gebruikers, georganiseerd en deels gefinancierd door Coin Center en de Blockchain Association, daagden het Treasury voor de rechtbank in Texas. Ze verloren bij de districtrechtbank, gingen in beroep bij het Fifth Circuit. Op 26 augustus 2024 vernietigde een panel van drie rechters het vonnis.

Het arrest, van de hand van rechter Don Willett, ging niet in op het Eerste Amendement-vraagstuk waar amicus curiae-brieven van EFF, a16z, Coin Center en de Blockchain Association jarenlang op hadden aangedrongen. In plaats daarvan besliste het op het engere en vernietigendere statutaire grond dat de International Emergency Economic Powers Act simpelweg niet voorzag in wat OFAC had gedaan. De redenering was definitieel. IEEPA laat de president "eigendom" blokkeren waarin een buitenlander belang heeft. De immutable smart contracts van Tornado Cash, vond de rechtbank, zijn geen eigendom. Ze kunnen door niemand worden bezeten, overgedragen of gecontroleerd, ook niet door hun oorspronkelijke deployers. Zoals het panel het formuleerde, had OFAC voorbij de tekst van de wet gereikt en geprobeerd software rechtstreeks te sanctioneren, in plaats van de roekeloze personen en entiteiten die het misbruiken.

Wat de rechtbank expliciet niet besliste, is even belangrijk als wat ze wel besliste. Ze besliste niet of code spraak is onder het Eerste Amendement. Ze besliste niet of het Treasury een upgradeable smart contract, een multisig-beheerd protocol of een DAO met een werkend governance-token kon sanctioneren. Ze besliste niet of Roman Storm, die toen in SDNY een proces afwachtte wegens samenzwingsaanklachten, strafrechtelijk aansprakelijk was voor het schrijven van dezelfde code. Het arrest was een zuivere statutaire overwinning op een smalle vraag, precies het soort uitspraak dat en banc review en aandacht van het Supreme Court overleeft.

De delisting en de richtlijn van november 2025

OFAC deed er zeven maanden over om op het arrest te reageren. Op 21 maart 2025 verwijderde het Treasury Tornado Cash van de SDN-lijst, met de stille toevoeging dat het transacties zou blijven monitoren die kwaadwillende cyberactoren zouden kunnen bevoordelen. De delisting was geen erkenning van een fout, maar een administratieve opruiming.

De echte terugdraaiing volgde acht maanden later. Op 18 november 2025 gaf het Treasury een formele interpretatieve richtlijn uit waarin werd bepaald dat immutable smart contracts, gedefinieerd als smart contracts waarvan de code door geen enkele partij kan worden gewijzigd, geen "eigendom" zijn in de zin van IEEPA en dus niet als zodanig kunnen worden gesanctioneerd. De richtlijn past de Van Loon-redenering prospectief toe op alle OFAC-programma's, niet alleen het Tornado Cash-dossier. De bevoegdheid van het agentschap over upgradeable contracts, signing keys, frontends, deployer-adressen en elke menselijke actor die met een protocol is geassocieerd, blijft onverlet.

Voor code-auteurs die privacysoftware schrijven, is deze verandering betekenisvol. Voor gebruikers van een specifieke mixer is die veel kleiner. De veroordeling van Pertsev blijft in Nederland staan. De vervolging van Roman Storm, die op 7 augustus 2025 eindigde in een hung jury en een mistrial, kan worden heropend; het Department of Justice heeft laten weten dat dit het voornemen is. Wie Tornado Cash vandaag gebruikt, is nog steeds onderworpen aan bankgeheimrapportage, meldingen van verdachte activiteiten van elke grote exchange, en de hardnekkige sociale veronderstelling dat gemixte ETH vuile ETH is.

Belangrijke data

• 8 augustus 2022: OFAC plaatst Tornado Cash-contractadressen op de SDN-lijst
• 10 augustus 2022: Alexey Pertsev gearresteerd in Nederland
• 27 april 2024: Pertsev veroordeeld wegens witwassen door de Rechtbank Oost-Brabant
• 26 augustus 2024: Fifth Circuit beslist Van Loon v. Treasury
• 21 maart 2025: OFAC verwijdert Tornado Cash van de SDN-lijst
• 7 augustus 2025: Roman Storm-proces eindigt in mistrial in SDNY
• 18 november 2025: Treasury geeft formele richtlijn uit dat immutable smart contracts geen sanctioneerbaar eigendom zijn

Wat dit verandert voor de Directory

Tornado Cash zelf staat niet in onze directory, en de richtlijn van november 2025 verandert dat niet. Wij vermelden services die we kunnen beoordelen, contacteren en toetsen aan een gedocumenteerde operationele standaard. Een protocol zonder operator en zonder servicedesk valt buiten ons bestek, ongeacht de juridische status. Wat wel verandert, is het redactionele kader.

Vier jaar lang heerste in privacy-tooling de veronderstelling dat elk project dat een toezichthouder genoeg mishaagde, van het internet kon worden geveegd met een veeg van de OFAC-pen, en dat deze verwijdering een permanent architectonisch gegeven was waarmee je rekening moest houden. Van Loon en de november-richtlijn maken van die veronderstelling iets minder definitiefs. Sancties op code kunnen worden aangevochten, vernauwd en teruggedraaid door gewone statutaire procedures, op een tijdlijn van ongeveer drie jaar, zonder ooit een Eerste Amendement-argument te hoeven winnen. Dat is een ander dreigingsmodel. Het ligt dichter bij de trade compliance-houding die gewone software-exporteurs dertig jaar hebben gehad, en verder af van het existentiële kader dat de privacy-gemeenschap sinds 2022 hanteerde. Wij zullen dienovereenkomstig schrijven. De zaak-Pertsev blijft ondertussen de operationele waarschuwing. Het onderhouden van een protocol nadat het materieel is overgenomen door gesanctioneerde actoren vormt een persoonlijk strafrechtelijk risico in jurisdicties die het eigendomsargument niet hoeven te winnen om het onderhoudsargument te winnen.

Bronnen

• US Treasury persbericht JY0916, Tornado Cash-sancties (8 aug 2022)
• Van Loon v. Department of the Treasury, Fifth Circuit (26 aug 2024)
• Coin Center, Tornado Cash-litigatie en beleid
• Electronic Frontier Foundation, code-is-speech-berichtgeving
• Chainalysis, Tornado Cash-sanctiesanalyse

Bewerkingslog

• 2025-11-25 : Eerste concept nadat de richtlijn van het Treasury van 18 november circuleerde. De Willett-arresttaal rechtstreeks uit het slip opinion gehaald in plaats van secundaire berichtgeving om de gebruikelijke parafrasedrift te vermijden. Een geplande sectie over Samourai Wallet geschrapt omdat die zijn eigen stuk verdient.
• 2025-12-02 : Het detail over de Circle USDC-freeze toegevoegd nadat een lezer erop wees dat we de on-chain compliancerespons van augustus 2022 hadden overgeslagen. De Pertsev-sectie herschreven om duidelijk te maken dat de Nederlandse theorie onderhoud was, niet auteurschap, wat het deel is dat de meeste Amerikaanse lezers verkeerd begrijpen.
• 2025-12-09 : Ongeveer 180 woorden uit de Van Loon-sectie getrimd nadat juridische review aangaf dat we af dreven naar Eerste Amendement-terrein dat de rechtbank expliciet vermeed. Vervangen door het letterlijke citaat "rogue persons and entities who abuse it".
• 2025-12-14 : Het signaal over de Roman Storm-heropname toegevoegd na de statusconferentie-indiening van het DOJ op 11 december. Afgezien van het noemen van de aanklagers omdat het docket nog in beweging is.
• 2025-12-18 : Laatste pass op de Directory-sectie. De threat model-paragraaf verscherpt na een intern meningsverschil over of de nieuwe houding "trade compliance" of "sanctierisico" moest heten. Trade compliance gehouden omdat het nauwkeuriger is en minder alarmerend, wat de redactionele positie is die we vooruit willen houden.