De jacht op crypto: een verhaal van Don Quichot?

De eerste voorbereidende teksten rond het nieuwe federale regeerakkoord sijpelen langzaam binnen. Zoals bekend wordt de jacht op cryptorekeningen opnieuw geopend. Het crypto-ecosysteem komt opnieuw in het vizier van wetgevende initiatieven, meer bepaald via een uitbreiding van de meldingsplicht aan het Centraal Aanspreekpunt van rekeningen en financiële contracten (CAP). In de voorbereidende documenten wordt onder meer verwezen naar de opname van zogenaamde cryptoactivarekeningen in het CAP-register.

We excuseren ons alvast bij de cryptopuristen voor eventuele onnauwkeurigheden of veralgemeningen in dit artikel. Wegens de beperkte omvang is dit artikel geen technische verhandeling omtrent crypto, maar een poging om de vaagheid, verwarring en het absurdisme in de huidige wetgevingsvoorstellen bloot te leggen.

Volgens de voorlopige ontwerpteksten zou een cryptoactivarekening worden omschreven als:

“een rekening waarop crypto-activa zoals gedefinieerd in artikel 2, § 1, punt 7, van het reglement (EU) 2024/1624 van het Europees Parlement en van de Raad tot voorkoming van het gebruik van het financiële stelsel voor witwassen of terrorismefinanciering kunnen worden gecrediteerd of waarvan deze crypto-activa kunnen worden gedebiteerd.”

Verder wordt er in de ontwerpteksten gesproken over het "openen" of de "afsluiting" van crypto-activarekeningen.

Hieruit blijkt dat de wetgever klassieke financiële begrippen toepast op een gedecentraliseerd systeem. Termen als “rekening”, “openen” en “afsluiten” veronderstellen structuren die in het crypto-ecosysteem eenvoudigweg niet bestaan en dan voornamelijk wanneer we spreken over non-custodial wallets.

1. Aangaande het begrip ‘cryptorekening’

Het gebruik van het woord "rekening" vertrekt vanuit een klassiek, centralistisch (centralised) rekeningbegrip zoals dat gangbaar is in de traditionele bancaire sector. In het crypto-ecosysteem bestaat er echter in de regel geen "rekening" waarop crypto-activa worden aangehouden. De wetgever lijkt ervan uit te gaan dat een wallet functioneert zoals een bankrekening, met een saldo dat eenvoudigweg toebehoort aan een geïdentificeerde persoon en waaruit het bezit van activa blijkt. Dat is een fundamenteel misverstand.

Cryptoactiva blijken enkel uit de blockchain zelf, in een gedecentraliseerde ledger. De "rekening" is geen juridisch of technologisch gedefinieerde entiteit, maar een verkeerde projectie van het traditionele financiële denkkader op een totaal andere (gedecentraliseerde) infrastructuur.

In het bijzonder is Bitcoin een duidelijk voorbeeld van hoe de klassieke notie van een “rekening” niet van toepassing is. Bitcoin werkt namelijk niet met een account-gebaseerd systeem. In plaats daarvan gebruikt Bitcoin het zogenaamde Unspent Transaction Output-model (UTXO). Binnen dit model bestaan er geen rekeningen, saldi of identiteiten die aan adressen gekoppeld zijn. Wat men als “bezit” beschouwt, is in werkelijkheid de controle over een verzameling van niet-uitgegeven transacties (UTXO’s) die vermeld staan op de blockchain.

Deze UTXO’s worden uitsluitend op de blockchain zelf bijgehouden. Er bestaat geen extern systeem of centrale administratie die vastlegt wie welke cryptoactiva bezit. Het “bezit” blijkt dus enkel uit de chain zelf: wie een geldige digitale handtekening kan leveren bij een transactie, bewijst daarmee controle over de desbetreffende output en kan deze uitgeven. Bij een transactie met cryptomunten op een bepaalde blockchain zal men dan ook altijd de blockchain zelf raadplegen om te zien of een persoon daadwerkelijk over bepaalde cryptomunten bezit.

Als er al een systeem is dat “bezit” tracht te reconstrueren, dan gebeurt dat door de (publieke) blockchain te analyseren en de transacties op de blockchain te raadplegen. Zo’n systeem volgt en groepeert alle transacties die verband houden met een bepaalde publieke sleutel (of meerdere sleutels die vermoedelijk bij één entiteit horen). Maar het bezit blijkt enkel en alleen uit de blockchain zelf.

Om dergelijke rekening dan nog in het buitenland te gaan situeren is al helemaal absurd. De blockchain wordt gedecentraliseerd bijgehouden. Onafhankelijk van landsgrenzen.

2. Aangaande het begrip ‘cryptowallet’

Een cryptowallet – zeker een non-custodial wallet – bevat geen cryptoactiva, maar in essentie een private key. Die private key is een unieke hexadecimale string van 64 karakters die nodig is om transacties te ondertekenen op de blockchain (zie hieronder onder punt 3). Met andere woorden: de wallet is niet meer dan een beveiligd sleutelbeheermechanisme dat de gebruiker in staat stelt om bepaalde transacties op de blockchain rechtsgeldig te autoriseren. Er worden géén cryptoactiva op een wallet aangehouden.

De wallet belichaamt dus geen recht op zich, maar enkel het vermogen om bepaalde transacties te valideren binnen het netwerk. Het recht blijkt, zoals reeds aangehaald, enkel uit de blockchain.

3. Aangaande het ‘openen’ en 'afsluiten' van een non-custodial cryptorekening

Het concept van het “openen” van een cryptorekening is fundamenteel misleidend. Zeker wanneer er sprake is van non-custodial wallets, wordt er in essentie niets geopend in de zin van een juridische of technische aanmaak door een instelling of dienstverlener. Wat in realiteit gebeurt, is dat een gebruiker zelf een private key kiest of genereert, d.m.v. een softwareprogramma. Dit gebeurt echter zonder actieve tussenkomst van derden die deze 'rekening' als het ware zouden creëren. Het begrip ‘kiezen’ verdient hier aandacht: technisch gezien bestaan alle mogelijke private keys reeds. Technisch gezien is de volledige sleutelruimte wiskundig gedefinieerd en eindig. Een private key ‘genereren’ is in wezen niets anders dan het willekeurig selecteren (meestal via software die zorgt voor voldoende toeval) van één sleutel uit de volledige sleutelruimte. Op die manier kan men volledig gedecentraliseerd, zonder tussenkomst van een centrale entiteit, een adres genereren.

De private key op de Bitcoin-blockchain is in haar meest eenvoudige vorm niets meer dan een hexadecimale string van 64 tekens, goed voor 256 bits. Elk teken is een cijfer tussen 0 en 9 of een letter tussen a en f.

Een voorbeeld van een private key (BTC): e331b6d69882b4d14a5d4a0f8e6c597f8a24b19c76b96e0b4c1f8a7d8e8f1f70

In tegenstelling tot wat vaak wordt gedacht, hoeft deze sleutel niet per se te worden gegenereerd door gespecialiseerde software of een algoritme (al is dit wel aan te raden). Iedereen kan in theorie manueel een reeks van 64 hexatekens samenstellen, deze opschrijven op een stuk papier, en dat gebruiken als private key. Meer nog iedereen kan bovenstaande private key nemen en één of enkele willekeurige tekens aanpassen en een nieuwe key genereren.

Op basis van die private key wordt via een wiskundige formule (elliptische krommecryptografie en in het geval van bitcoin: secp256k1) een bijbehorende public key afgeleid, en vervolgens een adres. Voor wie over de nodige basiskennis wiskunde beschikt, zijn er bovendien tal van open source-programma’s beschikbaar die dit volledige proces lokaal kunnen uitvoeren, zonder internetverbinding of enige afhankelijkheid van een externe partij. Daarnaast zijn er eveneens bepaalde online websites die dit voor je kunnen doen. Hierbij dient wel opgemerkt te worden dat dit dient te gebeuren door een betrouwbaar programma (deel nergens zomaar je private keys!) .

Het spreekt vanzelf dat het niet aangeraden is om zelf een “eenvoudige” of voorspelbare private key samen te stellen (of een variant te nemen op bovenstaande key), gezien het reële risico op 'bruteforce'-aanvallen. Daarnaast zijn transacties op de blockchain onomkeerbaar, wat betekent dat toegang tot de private key volledige en onherroepelijke controle verleent over de bijhorende activa.

Maar het juridische en technische punt blijft overeind: de creatie van een (non-custodial) wallet, in essentie het beschikken over een private key en de daaruit afgeleide publieke adressen, is een volledig lokale en autonome handeling. Er is geen registratie, geen validatie, geen ‘openingsverzoek’ en zelfs geen nood aan een derde partij. Men kiest of creëert een sleutel, en verkrijgt daardoor automatisch toegang tot de infrastructuur van de blockchain.

De notie van het “openen” van een 'cryptorekening' is dan ook niet op zijn plaats en aangezien alle private keys daarnaast reeds voorhanden zijn is het onmogelijk om deze af te sluiten. Wat enkel mogelijk is, is om een bepaalde set keys niet meer te gebruiken.

4. Aangaande de doelstelling van de wetgeving (bestrijden van witwassen en terrorismefinanciering)

Crypto is per definitie gedecentraliseerd. Tussenpersonen zoals exchanges of custodial wallets zijn in veel gevallen louter een gebruiksvriendelijke interface om toegang tot de blockchain te vergemakkelijken. Ze bieden gemak, maar zijn technisch gezien geen noodzakelijke schakel.

Iedereen met minimale softwarekennis en toegang tot het internet kan in enkele minuten software downloaden – zoals Electrum, Sparrow of zelfs command line tools – die rechtstreeks toegang verleent tot de blockchain, zonder enige tussenpersoon of registratieverplichting.

Meer nog: lang voordat er sprake was van platformen zoals Coinbase, Kraken of Bitvavo, werden er reeds op grote schaal cryptomunten gehandeld, gemined en beheerd, volledig peer-to-peer en zonder enige centrale infrastructuur. Het is dan ook naïef te denken dat een meldingsplicht zoals voorgesteld enige impact zal hebben op georganiseerde criminele netwerken, die in de praktijk zelden beroep zullen doen op gereguleerde, traceerbare platformen zoals Kraken, Binance of Bitvavo.

De doelgroep waarop deze wetgeving voornamelijk lijkt te mikken, heeft doorgaans net belang bij anonimiteit en autonomie, en beschikt meestal over de nodige kennis en tools om volledig buiten de reikwijdte van gereguleerde dienstverleners te opereren. Dit soort regelgeving treft dan ook vooral de goedbedoelende beginnende traders, terwijl de meer ervaren traders en werkelijk malafide gebruikers onverminderd blijven opereren via volledig self-custody infrastructuur en wallets. ​Zelfs bij beginnende investeerders merken we een groeiende voorkeur voor cold storage en non-custodial wallets. Dit vaak ingegeven door het principe not your keys, not your coins en een toenemend wantrouwen tegenover gecentraliseerde exchanges, die nog steeds geregeld ten prooi vallen aan hacks (zoals Bybit in 2025), wanbeheer (zoals FTX, dat in november 2022 failliet ging na het misbruik van klantentegoeden), of een combinatie van beide (zoals Mt. Gox, dat in februari 2014 instortte).

Finaal is er nog het punt dat iedereen, zonder enige toestemming of tussenkomst, crypto – bijvoorbeeld bitcoin – kan ontvangen op een gegenereerd adres. Zoals hierboven reeds uiteengezet, kan een private key volledig offline worden gegenereerd, zelfs op papier. Niets belet dus een criminele organisatie om een hot wallet aan te maken en de ontvangen middelen vervolgens door te sturen naar een cold wallet, zoals een papieren wallet, die geen enkel spoor nalaat. Wanneer daarenboven gebruik wordt gemaakt van een mixer, wordt het spoor al helemaal ondoorzichtig.

Het is dan ook pas bij de omzetting van crypto naar fiat dat het spoor opnieuw zichtbaar wordt. Op heden willen criminelen hun cryptogelden immers vaak nog omzetten naar traditioneel geld om deze vrij te kunnen besteden. Die gelden worden daarbij doorgaans overgezet naar een klassieke bankrekening. De vraag rijst dan of de bestaande meldingsplicht voor financiële bankrekeningen bij het CAP niet volstaat. Indien het de bedoeling is van de wetgever om criminele netwerken te viseren, zouden de huidige regels op dat vlak mogelijk reeds voldoende zijn.

Conclusie aangaande de vernieuwde jacht op crypto

Hoewel we uiteraard moeten wachten op de finale wetteksten alvorens een definitief oordeel te vellen, hopen we met bovenstaande uiteenzetting te hebben aangetoond dat, hoewel blockchain in essentie eenvoudig is, de onderliggende technisch-juridische realiteit allerminst banaal is. Het is dan ook cruciaal dat wetgevende initiatieven vertrekken vanuit een correct begrip van de technologie, eerder dan vanuit analoge denkbeelden ontleend aan het klassieke financiële stelsel. Doen we dat niet, dan riskeren we wetgeving te creëren die meer vragen oproept dan ze oplost.

Op basis van de huidige ontwerpteksten lijkt het er bovendien op dat voornamelijk custodial wallets geviseerd worden door de uitbreiding van de CAP-meldingsplicht, en dat non-custodial wallets – voorlopig – buiten schot blijven. Voor wie als investeerder niet onderworpen wil worden aan deze meldingsplicht, kan het dan ook in de praktijk volstaan om over te stappen van een custodial naar een non-custodial wallet, wat technisch gezien relatief eenvoudig is.

Alleen wanneer diezelfde investeerder zijn crypto opnieuw wil omzetten in fiatgeld, zal hij opnieuw “opduiken” in de gecentraliseerde financiële markten waarvoor vandaag al een meldingsplicht bestaat. De vraag rijst dan ook wat deze bijkomende meldingsplicht precies hoopt te bereiken.

Bij vragen of opmerkingen omtrent de inhoud van deze blogpost of andere vragen over cryptofiscaliteit, kan u steeds contact met ons opnemen per e-mail of door het inplannen van een afspraak.

Afspraak

Christophe Romero Senne Verholle

christophe.romero@aeacus.be  senne.verholle@aeacus.be