FATF merilis Laporan Pembaruan Terfokus tentang Penerapan Standar FATF untuk Aset Virtual dan Penyedia Layanan Aset Virtual: Menjelaskan Kemajuan Regulasi Global dan Ancaman Risiko

Pada 16 Juli, Financial Action Task Force (FATF) merilis Laporan Pembaruan Terfokus Ketujuh mengenai Implementasi Standar FATF untuk Aset Virtual dan Penyedia Layanan Aset Virtual, laporan ini didasarkan pada survei kuesioner terhadap 147 yurisdiksi, 149 laporan saling evaluasi, serta hasil pertemuan VACG, yang secara sistematis mengevaluasi kemajuan implementasi R.15 secara global dan mengungkap ancaman risiko seperti penipuan pig butchering, pencurian aset oleh kelompok peretas Korea Utara, penyalahgunaan stablecoin, transaksi P2P dompet non-terkelola, penyedia layanan aset virtual lepas pantai, dan kekosongan regulasi DeFi.

Beosin akan memberikan interpretasi terhadap konten inti laporan ini, membantu pembaca memahami dengan cepat perkembangan kepatuhan aset virtual global dan tren ancaman risiko, serta meningkatkan kesadaran dan kemampuan merespons risiko kepatuhan terkait aset virtual.

R. Rekomendasi ke-15 dari "Standar Internasional untuk Memerangi Pencucian Uang, Pendanaan Terorisme, dan Pendanaan Penyebaran Senjata Massal: Rekomendasi FATF" menuntut bahwa negara-negara dan lembaga keuangan harus mengidentifikasi, mengevaluasi, dan mencegah risiko pencucian uang, pendanaan terorisme, dan pendanaan penyebaran senjata massal yang ditimbulkan oleh teknologi baru. Pada tahun 2018, FATF merevisi R.15 untuk memasukkan aset virtual (VA) dan penyedia layanan aset virtual (VASP) ke dalam cakupan persyaratan anti-pencucian uang, anti-pendanaan terorisme, dan anti-pendanaan penyebaran senjata massal.

1.1 Data peringkat kepatuhan global

Hingga April 2026, 149 yurisdiksi telah menerima evaluasi kepatuhan R.15. Implementasi global sedikit membaik dibandingkan 2025:

- Sepenuhnya patuh (Compliant): Hanya 1 yurisdiksi (Bahama) - Secara besar patuh (Largely Compliant): Meningkat dari 29% menjadi 34% (51) - Sebagian patuh (Partially Compliant): Turun dari 50% menjadi 43% (64) - Tidak patuh (Non Compliant): Meningkat dari 20% menjadi 22% (33)

Laporan menunjukkan bahwa implementasi bervariasi antar wilayah, dan yurisdiksi dengan kapasitas lebih rendah masih menghadapi kesulitan besar dalam menerapkan R.15.

Tantangan yang dihadapi dalam penilaian risiko 1.2 VA dan VASP

Laporan menunjukkan bahwa 86% yurisdiksi yang disurvei (124 dari 145) telah menyelesaikan penilaian risiko pencucian uang / pendanaan terorisme / pendanaan senjata pemusnah massal untuk industri aset virtual, meningkat signifikan dari 76% pada 2025 (124 dari 163). Namun, sebagian besar yurisdiksi tidak mampu menerapkan langkah-langkah pencegahan dan pengawasan yang sesuai berdasarkan hasil penilaian risiko. Data saling evaluasi menunjukkan bahwa dari 149 yurisdiksi yang disurvei, hanya 48 yang sepenuhnya / pada dasarnya telah menyelesaikan penilaian risiko R15.3 dan menerapkan pendekatan berbasis risiko. Ini menunjukkan bahwa penilaian risiko di banyak negara masih berada pada tingkat pelaporan saja, tanpa mekanisme atau rencana eksekusi untuk mengubah hasil penilaian menjadi langkah-langkah pengawasan konkret.

1.3 Pemilihan Jalur Regulasi VASP dan Tantangan Terkait

Persentase yurisdiksi dengan jalur regulasi yang jelas meningkat dari 82% pada 2025 menjadi 89% pada 2026 (128 dari 144); persentase yurisdiksi yang belum menetapkan kerangka regulasi turun dari 18% menjadi 11% (16). Pola regulasi yang telah ditetapkan meliputi:

(1) Mengizinkan VASP beroperasi secara legal: 66% (95)

(2) Larangan sepenuhnya atau sebagian terhadap VASP: 23%, tren meningkat setiap tahun (2023: 11% → 2024: 14% → 2025: 20% → 2026: 23%)

Beberapa cara umum yang dilarang meliputi larangan penggunaan aset virtual sebagai alat pembayaran, tetapi mengizinkan perdagangan investasi dalam kerangka terkendali; serta pembatasan tambahan terhadap bisnis berisiko tinggi seperti mata uang privasi, penambangan, dan penitipan.

Perlu diperhatikan bahwa penerapan model regulasi yang melarang VASP memiliki celah besar. Dari 33 yurisdiksi yang melarang aset virtual secara menyeluruh/sebagian, hanya 6 yang memenuhi kepatuhan dasar; hanya 1 yurisdiksi larangan yang sepenuhnya menerapkan persyaratan penilaian risiko R15.3. Jika larangan tidak dapat ditegakkan secara efektif tanpa mekanisme identifikasi aktif dan penegakan hukum yang mendukung, masalah pasar gelap dan platform luar negeri akan terus berlanjut, meningkatkan risiko keuangan global.

Di yurisdiksi yang mengizinkan operasi legal VASP, sebanyak 76 yurisdiksi telah menyelesaikan penerbitan izin atau pendaftaran VASP, tanpa peningkatan dibandingkan jumlah tahun 2025. Standar FATF mengharuskan yurisdiksi untuk mewajibkan pendaftaran/izinkan penyedia layanan yang didirikan dan dioperasikan secara lokal; dari 114 yurisdiksi yang telah membangun sistem izin, 44% hanya mencakup penyedia layanan lokal, sementara 34% menerapkan cakupan pengawasan yang lebih luas dengan mewajibkan penyedia layanan luar negeri yang memenuhi syarat untuk mendaftar secara lokal. Saat ini, berbagai negara umumnya menghadapi kesulitan dalam mengidentifikasi entitas sebenarnya yang mengoperasikan bisnis aset virtual.

1.4 Undang-undang Travel Rule bergerak cepat, penegakan hukum tertinggal

Travel Rule memperluas persyaratan transparansi pembayaran FATF (Rekomendasi 16) ke bidang aset virtual: penyedia layanan aset virtual dan lembaga keuangan wajib mengumpulkan, menyimpan, dan mentransmisikan informasi lengkap pengirim dan penerima secara instan dan aman saat melakukan transfer.

Penerapan undang-undang Travel Rule mempercepat secara signifikan, dengan 83% yurisdiksi yang disurvei (91 dari 109) telah mengesahkan undang-undang Travel Rule, dibandingkan hanya 73% pada 2025. Namun, 55 yurisdiksi yang telah mengesahkan undang-undang belum melakukan pemeriksaan regulasi atau tindakan penegakan hukum terkait Travel Rule. Sebagian besar yurisdiksi baru saja menerapkan undang-undang tersebut, dan sistem regulasi masih dalam tahap pembangunan, sehingga penegakan hukum sangat tertinggal.

2.1 Aset virtual digunakan untuk kejahatan hulu, pencucian uang, pembiayaan terorisme, dan pembiayaan penyebaran

Kampung penipuan di Asia Tenggara menjadi sumber utama dana ilegal aset virtual global, dengan kejahatan khas berupa penipuan investasi "pig butchering", yang menghasilkan pendapatan ilegal puluhan miliar dolar AS setiap tahun. Kelompok kriminal mencuci dana melalui berbagai lapisan dompet non-custodial, OTC, dan saluran keuangan bawah tanah regional. Laporan ini mengungkap risiko sistemik di yurisdiksi dengan anti-pencucian uang lemah, dengan contoh grup keuangan besar di Kamboja (Huiwang Group) yang mencuci setidaknya 4 miliar dolar AS uang hasil kejahatan dan dimanfaatkan oleh jaringan peretas Korea Utara; entitas regional tanpa kendali KYC dapat secara bersamaan menyediakan saluran pencucian uang untuk berbagai pelaku ilegal.

Laporan mengungkapkan bahwa pendanaan penyebaran, pendanaan terorisme, dan penghindaran sanksi menggunakan infrastruktur aset virtual dan pola kriminal yang sama. Kelompok penghindar sanksi secara bertahap berpindah dari bursa dalam negeri ke perantara luar negeri, platform global, perdagangan over-the-counter, dan saluran pembayaran stablecoin; Korea Utara terus memanfaatkan bursa, DeFi, jembatan lintas rantai, dompet multi-tanda tangan, dan jaringan OTC untuk mencuci uang hasil kejahatan. Dalam hal pendanaan terorisme, pelaku kriminal secara luas menggunakan stablecoin USDT di blockchain Tron, dilengkapi dengan alat untuk menyembunyikan arus dana biaya transaksi. Laporan tersebut menyebutkan operasi “Borelli” di Spanyol tahun 2025, yang menghancurkan jaringan penipuan kripto lintas batas dengan nilai kerugian 460 juta euro dan lebih dari 5.000 pengguna korban. Kelompok ini menggunakan perusahaan cangkang Hong Kong dan rekening bank untuk menyamar sebagai platform investasi resmi, serta mencuci uang hasil kejahatan melalui transfer tunai, transfer bank, dan multi-lapisan perpindahan aset virtual, menunjukkan karakteristik jaringan penipuan lintas batas yang terstruktur secara hierarkis dan industrialisasi, sekaligus terintegrasi mendalam dengan perdagangan manusia, penghindaran sanksi, dan pencucian uang lintas batas.

Selain itu, penyalahgunaan kecerdasan buatan dapat memperbesar risiko rantai kejahatan aset virtual di atas. AI sedang digunakan untuk menghasilkan video deepfake, menganalisis kerentanan kontrak cerdas, dan menghasilkan kode serangan secara otomatis, mempercepat serangan terhadap DeFi dan infrastruktur lintas rantai. Dana hasil kejahatan secara cepat dipisahkan dan ditransfer melalui stablecoin, pertukaran terdesentralisasi, dan jembatan lintas rantai, sehingga secara signifikan meningkatkan kesulitan pelacakan dan pembekuan. Laporan secara jelas menekankan bahwa regulator di berbagai negara harus memandang kejahatan aset virtual yang didukung AI sebagai risiko struktural, serta menyempurnakan identifikasi deepfake, alat investigasi blockchain asli, dan mekanisme berbagi informasi publik-swasta.

2.2 Stablecoin menjadi media pilihan untuk dana ilegal

Pada tahun 2025, 84% transaksi kripto ilegal dilakukan melalui stablecoin, dengan USDT/USDC menjadi alat utama bagi organisasi teroris, peretas, dan kartel narkoba.

Kelompok kriminal secara khusus mengembangkan stablecoin milik sendiri yang dirancang untuk menghindari pembekuan oleh penegak hukum, menjadi risiko baru, seperti grup keuangan Kamboja (Huiwang Group) yang menerbitkan stablecoin yang dijaminkan dolar AS, dengan klaim tidak tunduk pada pengawasan regulator dan aset tidak dapat dibekukan. Sebelumnya, pihak ketiga yang menerbitkan stablecoin membekukan aset senilai $29 juta dari dompet yang terkait dengan grup tersebut, mendorong kelompok kriminal untuk mengembangkan stablecoin anti-pembekuan sendiri, dengan penyebaran multi-chain yang secara signifikan meningkatkan kesulitan pelacakan. Kasus ini menunjukkan bahwa penyedia aset virtual tidak dapat semata-mata mengandalkan fungsi pembekuan oleh penerbit untuk mengelola risiko; setiap negara harus mewajibkan penerbit stablecoin untuk membangun kemampuan teknis yang dapat mendukung pembekuan dan penyitaan token oleh penegak hukum, serta secara komprehensif memasukkannya ke dalam pengawasan anti-pencucian uang.

Selain itu, kelompok teroris (ISIS, Al-Qaeda) secara bertahap meninggalkan Bitcoin dan lebih memilih stablecoin: dengan mengganti alamat dompet, membagi transfer dalam jumlah kecil, melakukan transaksi OTC bertingkat, serta menggabungkan DeFi dan dompet non-custodial untuk menghindari tinjauan kepatuhan.

2.3 Risiko perdagangan P2P pada dompet non-custodial

Transaksi peer-to-peer pada dompet non-custodial tanpa partisipasi perantara berlisensi dan tidak tunduk pada kewajiban kepatuhan anti-pencucian uang, membentuk celah struktural regulasi. Meskipun transaksi di blockchain dapat dilacak, sifat anonim memungkinkan pelaku kejahatan memisahkan sumber dana melalui banyak lapisan dompet, meningkatkan kompleksitas pelacakan, sementara kliring lintas batas detik-stablecoin memperbesar risiko pencucian uang lintas batas. Transaksi semacam ini tidak memiliki pihak wajib melaporkan transaksi mencurigakan; hanya penerbit stablecoin yang dapat bekerja sama dengan penegak hukum untuk membekukan dompet terkait dan mengirimkan laporan transaksi mencurigakan sebagai tindakan tambahan.

88% dari 66 yurisdiksi yang disurvei mengklasifikasikan perdagangan peer-to-peer sebagai berisiko tinggi; namun hanya 23% (31 dari 133) yang secara konsisten menghitung dan memantau ukuran pasar perdagangan peer-to-peer, sehingga fragmentasi data industri menyulitkan kuantifikasi risiko.

*Untuk pemahaman lebih mendalam mengenai risiko transaksi P2P antara stablecoin dan dompet non-custodial, bacaFATF Merilis Laporan Spesifik tentang Stablecoin dan Dompet Non-Custodial: Analisis Ancaman Risiko dan Strategi Respons》

2.4 Masalah arbitrase regulasi VASP luar negeri

Layanan aset virtual luar negeri (oVASP) merujuk pada platform yang lokasi pendaftaran dan operasinya terpisah dari yurisdiksi klien yang dilayani. Jika yurisdiksi pendaftaran layanan luar negeri memiliki pengawasan anti pencucian uang yang lemah, hal ini akan menimbulkan risiko pencucian uang bagi yurisdiksi pendaftaran maupun yurisdiksi tempat klien berada; jika yurisdiksi klien tidak mewajibkan pendaftaran layanan luar negeri, platform dapat sepenuhnya menghindari pengawasan lokal.

Risiko lebih lanjut terletak pada masalah akun bersarang, di mana penyedia layanan luar negeri menyamar sebagai pengguna ritel biasa untuk membuka akun di bursa kompatibel dalam negeri, sehingga transaksi ilegal dalam jumlah besar jauh melebihi skala ritel normal, sementara pengendalian risiko platform dalam negeri lemah, yang akan membawa risiko serius seperti daftar sanksi dan dana ilegal.

Laporan menekankan bahwa arbitrase regulasi merupakan risiko struktural mendasar: penyedia layanan luar negeri memilih yurisdiksi dengan regulasi longgar untuk pendaftaran, mengurangi biaya kepatuhan seperti due diligence pelanggan dan aturan perjalanan, bersaing dengan harga rendah yang menekan platform yang patuh dan berlisensi, merusak lingkungan regulasi industri yang adil, dan mengganggu sistem regulasi lokal.

Berbagai negara secara bertahap telah menerapkan langkah-langkah pengawasan: mengandalkan analisis blockchain, intelijen terbuka, dan laporan transaksi mencurigakan dari platform lokal untuk mengidentifikasi penyedia layanan luar negeri; menerapkan "pengawasan berbasis lokasi bisnis", di mana platform yang memasarkan diri kepada penduduk lokal atau terhubung ke saluran pembayaran lokal wajib mendaftar; sebagian yurisdiksi mengharuskan penyedia layanan luar negeri menunjuk pejabat kepatuhan lokal dan menyimpan data pelanggan secara lengkap. Terhadap penyedia layanan luar negeri yang menolak bekerja sama, harus diterapkan peringatan publik bertingkat, penarikan dari toko aplikasi, pemutusan saluran keuangan lokal, dan penuntutan pidana; mengandalkan kolaborasi lintas departemen domestik, kunjungan timbal balik antar lembaga pengawas internasional, dan jaringan FIU untuk melakukan kolaborasi lintas batas.

2.5 Celah regulasi keuangan terdesentralisasi (DeFi)

Secara global, sulit untuk mengidentifikasi pihak yang benar-benar mengendalikan proyek DeFi, dan sebagian besar yurisdiksi belum menetapkan persyaratan lisensi atau pendaftaran untuk proyek DeFi yang termasuk dalam lingkup pengawasan FATF. Masalah terputusnya rantai pelacakan dana di blockchain oleh DEX, jembatan lintas rantai, dan alat privasi sulit diatasi, sehingga kesenjangan pengendalian risiko pencucian uang terus membesar.

Dalam survei tahun 2026, hanya 18% (26 dari 142) yang menyelesaikan penilaian risiko industri DeFi, dan 9% sedang memproses penilaian tersebut. 93% (132) tidak dapat mengidentifikasi proyek DeFi dalam negeri yang memenuhi definisi VASP, 31% (44) memiliki aturan manajemen risiko yang mencakup DeFi, tetapi hanya 4 yang mewajibkan izin resmi, hanya 2 yang benar-benar menyelesaikan pendaftaran dan penerbitan izin untuk proyek DeFi, dan hanya 35% (50) otoritas pengawas yang berkomunikasi dengan industri untuk memetakan model bisnis dan risiko DeFi.

Tantangan utama regulasi DeFi adalah operasi lintas batas, tidak adanya badan hukum nyata, dan tidak adanya alat regulasi yang jelas. Otoritas regulasi kurang memiliki kemampuan teknis blockchain untuk menentukan kendali sebenarnya atas proyek, dan hanya ada satu laporan kasus penegakan hukum terhadap proyek DeFi yang melanggar aturan.

3.1 Tugas utama yang ditujukan kepada lembaga regulasi

3.1.1 Evaluasi risiko secara menyeluruh

Baik dengan pendekatan izin maupun larangan, harus dibangun pemahaman yang jelas dan komprehensif terhadap risiko pencucian uang/pendanaan terorisme/pendanaan penyebaran senjata massal untuk VA/VASP. Penilaian risiko harus mencakup entitas/skenario seperti VASP domestik, VASP luar negeri, penerbit stablecoin, DeFi, dompet non-custodial, teknologi baru industri, dan model bisnis kriminal baru.

3.1.2 Membangun sistem regulasi VASP yang lengkap

- Mekanisme wajib lisensi / pendaftaran: VASP lokal, penerbit stablecoin yang memenuhi standar, dan DeFi yang patuh harus memiliki izin; penyedia layanan lintas batas luar negeri wajib mendaftar secara bersamaan ketika memenuhi syarat.

Pemeriksaan regulasi rutin: pemeriksaan ganda, daring dan luring, untuk memverifikasi penerapan aturan perjalanan, KYC, dan kepatuhan anti-pencucian uang, serta memberikan panduan perbaikan kepada institusi.

Mekanisme hukuman untuk kegiatan ilegal: Membangun identifikasi saluran, serta penindakan terhadap individu dan perusahaan yang menjalankan bisnis aset virtual tanpa izin.

3.1.3 Memperkuat kolaborasi publik-swasta lintas batas, membangun saluran pembekuan dan penarikan aset ilegal

Membangun saluran berbagi informasi resmi dan tidak resmi lintas batas serta lintas departemen untuk dengan cepat mengidentifikasi pelaku kejahatan dan dana hasil kejahatan; menyempurnakan kerangka hukum untuk pembekuan dan penyitaan cepat terhadap stablecoin dan aset kripto guna mengatasi dana ilegal lintas wilayah yang berasal dari luar negeri dan DeFi.

3.2 Kewajiban kepatuhan untuk VASP, penerbit stablecoin, dan DeFi yang patuh

3.2.1 Membangun sistem kepatuhan AML/CFT lengkap, menerapkan aturan perjalanan secara ketat

- Terus mengevaluasi dinamis risiko bisnis sendiri, dengan fokus memantau stablecoin, dompet non-custodial, penyedia layanan luar negeri, dan risiko baru terkait DeFi;

- Alat manajemen risiko terkait: KYC pelanggan, pemindaian dompet blockchain, daftar putih dan daftar hitam, fitur pemblokiran dan pembekuan aset, yang dapat diiterasi cepat untuk menghadapi penipuan dan metode pencucian uang baru;

Bekerja sama secara aktif dengan otoritas regulasi dan lembaga sejenis, berbagi ciri-ciri transaksi mencurigakan dan sinyal peringatan risiko, serta mendukung penyelidikan dan pengumpulan bukti oleh penegak hukum.

3.2.2 Terapkan langkah pengendalian khusus untuk skenario berisiko tinggi

- Tingkatkan pemantauan transaksi dompet non-custodial, dan lakukan enhanced due diligence (EDD) pada transaksi dompet berisiko tinggi;

- Menerapkan alat pemantauan on-chain dan analisis blockchain (seperti Beosin KYT) untuk mengidentifikasi dan memperingatkan secara otomatis terhadap perilaku mencurigakan seperti transfer dana besar secara cepat dan pencucian uang bertingkat, menganalisis dan melacak lebih dari 120 protokol lintas rantai dan transaksi pencampuran yang kompleks untuk menilai risiko pencucian uang pada protokol DeFi, jembatan lintas rantai, dan pencampur uang;

- Lakukan due diligence ketat terhadap VASP luar negeri, identifikasi akun platform luar negeri yang menyamar sebagai ritel biasa, batasi saluran kerja sama berisiko tinggi, dan pantau saluran pembayaran fiat yang terhubung ke platform luar negeri tanpa izin.

Laporan pembaruan terarah ke-7 FATF menunjukkan kemajuan dalam regulasi aset virtual global, tetapi risiko inti seperti ketidaktepatan penegakan hukum, kekosongan regulasi DeFi, arbitrase platform luar negeri, serta kerentanan P2P pada stablecoin dan dompet self-custody tetap ada. Laporan ini menekankan logika inti: aset virtual tidak mengenal batas negara, celah regulasi di satu yurisdiksi merupakan lubang dalam sistem keuangan global. Bagi yurisdiksi dengan aktivitas VASP penting, FATF menuntut percepatan implementasi efektif R.15. Yurisdiksi yang belum memulai harus memprioritaskan penilaian risiko dan pembangunan kerangka hukum; yurisdiksi yang telah membuat kemajuan harus memprioritaskan tindakan regulasi substantif. Dalam konteks pasar aset virtual global yang terus membesar dan metode kejahatan yang semakin kompleks, kecepatan regulasi harus sejalan dengan kecepatan evolusi risiko. Ini bukan hanya seruan FATF, tetapi juga kebutuhan nyata bagi sistem keamanan keuangan aset virtual global.

Tautan laporan: https://www.fatf-gafi.org/en/publications/Fatfrecommendations/targeted-updated-virtualassets-vasps-2026.html

Beosin merupakan salah satu perusahaan keamanan blockchain pertama di dunia yang fokus pada verifikasi formal, menawarkan layanan komprehensif berbasis "keamanan + kepatuhan" dengan kehadiran di lebih dari 10 negara dan wilayah. Layanan kami mencakup audit keamanan kode sebelum peluncuran proyek, pemantauan dan pencegahan risiko keamanan selama operasi proyek, pemulihan aset yang dicuri, anti-pencucian uang (AML) untuk aset virtual, serta penilaian kepatuhan yang sesuai dengan persyaratan regulasi setempat—semuanya dalam satu paket solusi kepatuhan blockchain dan layanan keamanan. Silakan kunjungi kotak pesan公众号 kami untuk menghubungi kami.