Tornado Cash: Fyrtiomånaders strid om kod som fiende, från OFAC:s svartlistning till finansdepartementets vändning

Dagen då koden hamnade på sanktionslistan

Den 8 augusti 2022 gjorde den amerikanska finansdepartementets kontor för utländska tillgångskontroll, OFAC, något de aldrig gjort tidigare. De lade till en uppsättning adresser till Ethereum-smartkontrakt på listan över särskilt utpekade medborgare. Inte en person, inte ett företag, inte en stiftelse eller en plånbok som kontrollerades av en känd operatör, utan en distribuerad, oföränderlig programvara som går under namnet Tornado Cash. Från och med den morgonen var varje amerikansk person som interagerade med dessa kontrakt, åtminstone på papperet, utsatt för samma sekundära sanktionsregim som används mot vapensmugglare och statssponsorer av terrorism. Motiveringen var att Tornado Cash, enligt finansdepartementets egna beräkningar, hade tvättat mer än sju miljarder dollar sedan 2019, däribland cirka 455 miljoner dollar som stulits av den nordkoreanska Lazarus-gruppen. Botemedlet blev att behandla själva koden som en sanktionerad enhet.

Det som följde blev en debatt på fyrtio månader, förd parallellt i två federala domstolar i USA, en nederländsk brottmålsdomstol och i kommentarsfälten på varje kryptopolicyblogg med minsta livstecken, om en fråga som aldrig tidigare hade krävt ett svar: kan en regering sanktionera mjukvara på samma sätt som den sanktionerar en människa?

Vad OFAC faktiskt gjorde

Den ursprungliga klassificeringen omfattade dussintals kontraktsadresser och tre tillhörande domäner. Inom timmar agerade de stora amerikanska efterlevnadsaktörerna. Circle frös samma dag cirka 75 000 USDC som fanns på sanktionerade adresser. GitHub inaktiverade Tornado Cash-utvecklarnas repositorier, däribland Roman Semenovs personliga konto. Infura och Alchemy blockerade RPC-åtkomsten till kontraktsadresserna. Coinbase, som hade finansierat delar av Coin Centers stämning som senare skulle utmana åtgärden, intog en mer försiktig hållning, och flera av plattformens användare blev kärande i den stämning som så småningom skulle bli Van Loon v. Treasury.

Den praktiska effekten för vanliga användare blev både märklig och omfattande. Alla som någonsin hade satt in medel i Tornado Cash, även år innan något nordkoreanskt intrång ägt rum, vaknade den 9 augusti upp till att deras plånböcker potentiellt var utsatta. Ett fåtal skämtare skickade små belopp av mixad ETH till kändisadresser för att testa om sanktionerna kunde vapenisera sig själva genom oombedda överföringar. Så var inte fallet, åtminstone inte i någon åtalsbar bemärkelse, men avskräckningseffekten var omedelbar. Integritet på Ethereum, för den genomsnittliga person som hade använt protokollet av icke-kriminella skäl, blev något man var tvungen att juridiskt argumentera sig ur.

Fallet Pertsev

Två dagar efter SDN-klassificeringen, den 10 augusti 2022, arresterade den nederländska skatte- och utredningstjänsten Alexey Pertsev i hans hem utanför Amsterdam. Pertsev var en av protokollets namngivna utvecklare och hade varit involverad sedan distributionen 2019. Han tillbringade de följande tjugo månaderna till största delen i häkte.

Den 27 april 2024 dömde tingsrätten i Östra Brabant i 's-Hertogenbosch honom för penningtvätt till fem år och fyra månaders fängelse. Den nederländska domstolens resonemang var centralt, och det förtjänar att läsas noggrant, eftersom det inte alls bygger på amerikansk sanktionslagstiftning. Domstolen fann att Pertsev hade fortsatt att underhålla, uppdatera och främja protokollet sedan det blivit uppenbart att en avsevärd andel av genomströmningen utgjordes av stulna medel, och att detta aktiva underhåll utgjorde en penningtvättsoperation enligt nederländsk brottsbalk. Domen fastslog inte att det var olagligt att skriva protokollet. Den fastslog att det var olagligt att driva det när man visste.

Den amerikanska linjen

Det amerikanska fallet tog en annan form. Sex Tornado Cash-användare, organiserade och delvis finansierade av Coin Center och Blockchain Association, stämde finansdepartementet i Texas. De förlorade i tingsrätten. De överklagade till Fifth Circuit. Den 26 augusti 2024 ogiltigförklarade en tremannadomstol domen.

Yttrandet, skrivet av domare Don Willett, nådde inte den första tilläggsfråga som amicus curiae-briefen från EFF, a16z, Coin Center och Blockchain Association hade drivit i åratal. Istället avgjordes målet på den snävare och mer förödande statliga grunden att den internationella nödlagstiftningen om ekonomiska befogenheter, IEEPA, helt enkelt inte auktoriserade vad OFAC hade gjort. Anledningen var definitionsmässig. IEEPA ger presidenten rätt att blockera "egendom" i vilken en utländsk medborgare har ett intresse. Tornado Cashs oföränderliga smartkontrakt, fann domstolen, är inte egendom. De kan inte ägas, överföras eller kontrolleras av någon, däribland deras ursprungliga distributörer. Som panelen uttryckte det hade OFAC sträckt sig förbi lagtexten och försökt sanktionera mjukvara direkt, i motsats till de skurkaktiga personer och enheter som missbrukar den.

Det som domstolen uttryckligen inte avgjorde spelar lika stor roll som det den faktiskt gjorde. Den avgjorde inte huruvida kod är tal enligt första tillägget. Den avgjorde inte huruvida finansdepartementet kunde sanktionera ett uppgraderbart smartkontrakt, ett multisig-kontrollerat protokoll eller en DAO med en fungerande styrningstoken. Den avgjorde inte huruvida Roman Storm, som då avvaktade rättegång i SDNY på konspirationsanklagelser, var straffrättsligt ansvarig för att ha skrivit samma kod. Domen blev en ren statlig seger på en snäv fråga, vilket är exakt den typ av dom som överlever enhetsöversyn och Högsta domstolens uppmärksamhet.

Avlistningen och november 2025 års vägledning

OFAC tog sju månader på sig att agera på domen. Den 21 mars 2025 tog finansdepartementet bort Tornado Cash från SDN-listan och noterade tyst att man skulle fortsätta övervaka transaktioner som kunde gynna skadliga cyberaktörer. Avlistningen var inte ett erkännande av fel. Det var en administrativ uppstädning.

Den verkliga omprövningen kom åtta månader senare. Den 18 november 2025 utfärdade finansdepartementet formell tolkningsvägledning som fastställde att oföränderliga smartkontrakt, definierade som smartkontrakt vars kod inte kan ändras av någon part, inte är "egendom" i IEEPA:s mening och därför inte kan sanktioneras som sådan. Vägledningen tillämpar Van Loon-resonemanget prospektivt över samtliga OFAC-program, inte bara i Tornado Cash-ärendet. Den lämnar orörd myndighetens befogenhet över uppgraderbara kontrakt, signeringsnycklar, frontendar, distributörsadresser och alla mänskliga aktörer som associeras med ett protokoll.

För kodförfattare som skriver integritetsmjukvara är förändringen betydelsefull. För användare av någon specifik mixer är den betydligt mindre. Pertsev-domen står fast i Nederländerna. Åtalet mot Roman Storm, som slutade i en oenig jury och en återvändsgränd den 7 augusti 2025, kan prövas på nytt, och justitiedepartementet har signalerat att man avser att göra det. Alla som använder Tornado Cash idag är fortfarande föremål för banksekretessrapportering, misstänkt aktivitetsflaggor från varje större börs, och den kvarstående sociala föreställningen att mixad ETH är smutsig ETH.

Viktiga datum

• 8 augusti 2022: OFAC lägger till Tornado Cash-kontraktsadresser på SDN-listan
• 10 augusti 2022: Alexey Pertsev arresteras i Nederländerna
• 27 april 2024: Pertsev döms för penningtvätt av tingsrätten i Östra Brabant
• 26 augusti 2024: Fifth Circuit avgör Van Loon v. Treasury
• 21 mars 2025: OFAC tar bort Tornado Cash från SDN-listan
• 7 augusti 2025: Roman Storms rättegång slutar i återvändsgränd i SDNY
• 18 november 2025: Finansdepartementet utfärdar formell vägledning att oföränderliga smartkontrakt inte är sanktionsbar egendom

Vad detta förändrar för katalogen

Tornado Cash i sig finns inte i vår katalog, och november 2025 års vägledning ändrar inte det. Vi listar tjänster vi kan granska, kontakta och hålla till en dokumenterad operativ standard. Ett protokoll utan operatör och utan servicedisk är inte något vi kan utvärdera, oavsett dess juridiska status. Det som förändras är den redaktionella ramen.

I fyra år var den rådande föreställningen inom integritetsverktyg att alla projekt som en tillsynsmyndighet ogillade tillräckligt mycket kunde tas bort från internet med ett pennstreck från OFAC, och att denna borttagning var ett permanent arkitektoniskt faktum man var tvungen att designa runt. Van Loon och novembervägledningen förvandlar denna föreställning till något mindre definitivt. Sanktioner på kod kan utmanas, begränsas och omprövas genom ordinär lagstiftningsprocess, på en ungefärlig tremånaders tidslinje, utan att någonsin behöva vinna ett första tilläggsargument. Det är en annan hotmodell. Den ligger närmare den handelsefterlevnadshållning som vanliga mjukvaruexportörer har levt under i trettio år, och längre från den existentiella inramning som integritetsgemenskapen har använt sedan 2022. Vi kommer att skriva därefter. Fallet Pertsev återstår under tiden den operativa varningen. Att underhålla ett protokoll sedan det i avsevärd utsträckning har fångats upp av sanktionerade aktörer är en personlig kriminell risk i jurisdiktioner som inte behöver vinna egendomsargumentet för att vinna underhållsargumentet.

Källor

• US Treasury press release JY0916, Tornado Cash sanctions (Aug 8, 2022)
• Van Loon v. Department of the Treasury, Fifth Circuit (Aug 26, 2024)
• Coin Center, Tornado Cash litigation and policy
• Electronic Frontier Foundation, code-is-speech coverage
• Chainalysis, Tornado Cash sanctions analysis

Redigeringslogg

• 2025-11-25 : Första utkast efter att finansdepartementets vägledning från den 18 november cirkulerade. Hämtade Willetts yttrandespråk direkt från slip opinion snarare än sekundär rapportering för att undvika den vanliga parafrasdriften. Strök en planerad sektion om Samourai Wallet eftersom den förtjänar en egen artikel.
• 2025-12-02 : Lade till detaljen om Circles USDC-frysning efter att en läsare påpekade att vi hade hoppat över kedjebaserade efterlevnadsåtgärder från augusti 2022. Ombearbetade Pertsev-sektionen för att klargöra att den nederländska teorin var underhåll, inte författarskap, vilket är den del som de flesta amerikanska läsare misstar.
• 2025-12-09 : Strök cirka 180 ord från Van Loon-sektionen efter att juridisk granskning flaggat att vi drev in på första tilläggsområdet som domstolen uttryckligen undvikit. Ersatte med ordagrant citat av "rogue persons and entities who abuse it".
• 2025-12-14 : Lade till signalen om Roman Storms omprövning efter justitiedepartementets statuskonferensansökan den 11 december. Avstod från att nämna åklagarna eftersom docket fortfarande rör sig.
• 2025-12-18 : Sista genomgången av katalogsektionen. Vässade hotmodellparagrafen efter en intern oenighet om huruvida den nya hållningen skulle kallas "handelsefterlevnad" snarare än "sanktionsrisk". Behöll handelsefterlevnad eftersom det är mer korrekt och mindre larmande, vilket är den redaktionella position vi vill hålla framöver.