De speculatieve hype rond non-fungible tokens (NFTs) is sterk afgekoeld, maar dat betekent niet dat hun relevantie voor financial crime compliance verdwenen is. De kernvraag is niet hoe populair NFTs nog zijn, maar hoe ze kunnen worden gebruikt om waarde te verplaatsen, de herkomst van fondsen te verhullen of opbrengsten uit criminaliteit in het financiële systeem te brengen.
Die benadering sluit aan bij de Illicit Finance Risk Assessment of Non-Fungible Tokens, gepubliceerd door het Amerikaanse ministerie van Financiën in 2024. Het rapport wijst vooral op risico’s rond fraude, scams, diefstal en het witwassen van criminele opbrengsten. De relevante AML-vraag is daarom welke rol NFTs kunnen spelen binnen een bredere financiële en on-chain transactieketen.
Waarom kunnen NFTs specifieke AML-risico’s creëren?
Een NFT is een blockchain-token dat een bepaald digitaal of fysiek goed, recht of toegangsbewijs kan vertegenwoordigen. Op publieke blockchains zijn transacties in principe zichtbaar. Dat creëert een zekere transparantie: onderzoekers kunnen bijvoorbeeld zien welke wallet een token heeft verzonden, welke wallet het heeft ontvangen en welke cryptovaluta daarvoor werd betaald.
Die transparantie betekent echter niet automatisch dat de identiteit van de betrokken personen bekend is. Blockchainadressen zijn doorgaans pseudoniem. Eén persoon kan meerdere wallets controleren en een transactie kan via verschillende adressen, blockchains en diensten lopen voordat de opbrengst uiteindelijk bij een gereguleerde financiële instelling terechtkomt.
Daarnaast kan de waardering van NFTs bijzonder subjectief zijn. Voor beursgenoteerde effecten of veel andere financiële activa bestaat doorgaans een observeerbare marktprijs. Voor een uniek digitaal verzamelobject is veel moeilijker objectief vast te stellen waarom het op een bepaald moment bijvoorbeeld 2.000 euro en kort daarna 50.000 euro waard zou zijn.
Die combinatie van pseudonimiteit en moeilijk objectiveerbare waarderingen creëert mogelijkheden voor misbruik. Een persoon zou bijvoorbeeld via verschillende wallets met zichzelf kunnen handelen, een praktijk die doorgaans als wash trading wordt omschreven. Hierdoor kan kunstmatig handelsvolume worden gecreëerd of de indruk ontstaan dat een NFT een hogere marktwaarde heeft dan daadwerkelijk het geval is.
Vanuit AML-perspectief is vooral een mogelijke vorm van self-laundering relevant. Een crimineel zou bijvoorbeeld via een door hem gecontroleerde wallet een NFT kunnen aanbieden en die vervolgens via een andere, eveneens door hem gecontroleerde wallet met illegaal verkregen crypto kunnen aankopen. Zo kan een ogenschijnlijk legitieme verkooptransactie worden gecreëerd die vervolgens als verklaring voor de ontvangen crypto wordt aangevoerd. De illegale herkomst van de middelen verdwijnt daardoor uiteraard niet, maar de transactie kan wel worden gebruikt om een alternatieve economische verklaring voor de geldstroom te construeren.
Een dergelijke transactie is uiteraard niet automatisch witwassen. Een hoge NFT-prijs op zichzelf vormt evenmin bewijs van criminaliteit. Voor compliance is juist de combinatie van indicatoren van belang: verbonden wallets, een onverklaarbare prijsontwikkeling, een onbekende herkomst van de gebruikte crypto, onmiddellijk doorsturen van de opbrengsten of daaropvolgende transacties via privacyverhogende diensten kunnen gezamenlijk aanleiding geven tot verder onderzoek.
Hoe kan NFT-fraude uitmonden in witwassen?
NFTs kunnen niet alleen worden gebruikt om bestaande criminele opbrengsten te verplaatsen, maar ook onderdeel zijn van de fraude waarmee die opbrengsten worden gegenereerd. Een bekend voorbeeld is een rug pull, waarbij een NFT-project wordt verkocht op basis van beloofde voordelen of functionaliteiten en de organisatoren vervolgens met de ontvangen crypto verdwijnen.
Amerikaanse strafzaken tonen hoe dergelijke fraude kan overgaan in witwassen. In de oorspronkelijke Frosties-aanklacht uit 2022 stelden de autoriteiten dat ongeveer 1,1 miljoen dollar aan opbrengsten via verschillende wallets werd verplaatst om de bron van de fondsen te verhullen. In een andere Amerikaanse zaak uit 2024 werden opbrengsten van een frauduleus NFT-project volgens het bewijs tijdens het proces van Solana naar Ethereum verplaatst, onder meer via een cryptomixer, voordat de crypto uiteindelijk in Amerikaanse dollars werd omgezet.
Voor financiële instellingen is vooral dat laatste traject relevant: zij kunnen pas aan het einde van de keten in beeld komen, terwijl de oorspronkelijke opbrengsten meerdere wallets, blockchains en cryptodiensten eerder uit fraude voortkwamen.
Valt een NFT automatisch buiten financiële regelgeving?
Ook de juridische kwalificatie van NFTs verdient nuance.
De Europese Markets in Crypto-Assets Regulation (MiCA) is in beginsel niet van toepassing op cryptoactiva die werkelijk uniek en niet-fungibel zijn. Digitale kunst of een werkelijk uniek verzamelobject kan daardoor buiten het toepassingsgebied van MiCA vallen.
Dat betekent echter niet dat ieder digitaal actief dat als “NFT” wordt aangeboden automatisch van MiCA is uitgesloten.
MiCA benadrukt dat de onderliggende economische kenmerken doorslaggevend zijn. Fractionele delen van een unieke NFT worden bijvoorbeeld niet zonder meer als uniek en niet-fungibel beschouwd. Ook het uitgeven van NFTs in een grote serie of collectie kan een aanwijzing zijn dat de tokens economisch toch een zekere mate van fungibiliteit vertonen. Het simpelweg toekennen van een uniek identificatienummer volstaat dus niet om een token juridisch als uniek en niet-fungibel te kwalificeren.
Nog belangrijker is dat buiten MiCA vallen niet hetzelfde betekent als buiten iedere financiële regelgeving vallen. MiCA bepaalt uitdrukkelijk dat de uitzondering voor unieke en niet-fungibele cryptoactiva geen afbreuk doet aan een eventuele kwalificatie als financieel instrument. Een token kan dus buiten MiCA vallen maar, afhankelijk van de rechten en economische kenmerken ervan, binnen een ander financieelrechtelijk kader terechtkomen.
Ook de Financial Action Task Force (FATF) hanteert een functionele benadering. De naam die aan een digitaal actief wordt gegeven is niet doorslaggevend. Relevant is waarvoor het in de praktijk wordt gebruikt en welke activiteit een dienstverlener rond dat actief uitvoert. FATF heeft daarom uitdrukkelijk aandacht besteed aan NFTs binnen haar guidance over virtual assets en VASPs.
Voor compliance is de juiste vraag dus niet alleen: “Is dit een NFT?” De belangrijkere vragen zijn: “Welke economische functie vervult het token, welke rechten vertegenwoordigt het en welke diensten worden ermee aangeboden?”
Wat betekenen MiCA en de Belgische toezichtstructuur voor financiële instellingen?
In België wordt MiCA aangevuld door de wet van 11 december 2025. Het toezicht op cryptoactiviteiten is verdeeld tussen onder meer de FSMA en de Nationale Bank van België (NBB), afhankelijk van de betrokken instelling en activiteit.
Voor traditionele financiële instellingen is vooral de indirecte blootstelling relevant. Een bank hoeft zelf geen NFT-platform te exploiteren om met NFT-gerelateerde risico’s geconfronteerd te worden. Cliënten kunnen bijvoorbeeld opbrengsten uit NFT-activiteiten ontvangen nadat crypto via verschillende wallets, exchanges, bridges of andere cryptodiensten is verplaatst.
Dat sluit aan bij de risicogebaseerde benadering van het Belgische antiwitwaskader. Voor AML-doeleinden is het daarom belangrijk om niet alleen naar de uiteindelijke fiatbetaling te kijken, maar ook naar de herkomst, het transactieverloop en de economische context van de fondsen.
Wanneer is de Europese Travel Rule van toepassing op NFT-transacties?
De Europese Travel Rule geldt niet automatisch voor iedere NFT-transactie. Verordening (EU) 2023/1113 is relevant wanneer het betrokken cryptoactivum binnen het toepassingsgebied valt en een CASP bij de transfer betrokken is.
Rechtstreekse person-to-person transfers zonder betrokkenheid van een CASP vallen in beginsel buiten de regeling. Ook de juridische kwalificatie van het NFT speelt een rol: een werkelijk unieke en niet-fungibele NFT die buiten MiCA valt, valt niet automatisch onder de crypto-Travel Rule.
Wanneer een CASP wel betrokken is, kunnen aanvullende verplichtingen gelden, onder meer bij transfers van of naar self-hosted wallets. De praktische toepassing hiervan wordt verder verduidelijkt in de richtsnoeren van de European Banking Authority.
Voor compliance moet daarom zowel naar de aard van het actief als naar de structuur van de transfer en de betrokken dienstverleners worden gekeken.
Welke signalen zijn relevant voor financial crime compliance?
Voor instellingen die rechtstreeks of indirect met NFT-gerelateerde geldstromen in aanraking komen, volstaat klassieke identificatie van de cliënt niet altijd.
Een effectieve aanpak combineert KYC met inzicht in de economische activiteit van de klant en, waar het risico dit rechtvaardigt, blockchainanalyse en onderzoek naar de herkomst van fondsen.
Daarbij kunnen verschillende signalen relevant zijn. Denk aan herhaaldelijke koop- en verkooptransacties tussen wallets die technisch of economisch met elkaar verbonden lijken, extreme prijsveranderingen zonder duidelijke verklaring, een hoog transactievolume kort na de creatie van een NFT, crypto afkomstig van gehackte of fraudegerelateerde wallets of verkoopopbrengsten die onmiddellijk worden doorgestuurd naar bridges, mixers of andere diensten die de verdere geldstroom moeilijker te reconstrueren maken.
Ook source of funds en, in risicovollere situaties, source of wealth kunnen belangrijk zijn. Wanneer een klant plots een groot bedrag ontvangt en als verklaring “verkoop van NFTs” geeft, zou dat niet het einde van de analyse moeten zijn. De instelling moet afhankelijk van het risico kunnen begrijpen welke activiteit achter die opbrengst zit en of de verklaring past bij het bekende profiel en normale transactiegedrag van de klant.
Blockchaintechnologie creëert daarbij niet uitsluitend risico’s. De publieke aard van veel blockchains maakt het mogelijk om geldstromen en historische walletinteracties te onderzoeken. Compliance kan daardoor in bepaalde gevallen zelfs informatie reconstrueren die in een volledig cash-gebaseerde context veel moeilijker beschikbaar zou zijn.
De uitdaging ligt vooral in het verbinden van die on-chain informatie met de natuurlijke of rechtspersonen achter de adressen.
Is het AML-risico verdwenen nu de NFT-hype voorbij is?
De afgenomen populariteit van NFTs betekent niet dat hun AML-relevantie verdwenen is. Voor compliance is niet het NFT op zichzelf doorslaggevend, maar de rol die het speelt binnen een bredere financiële keten.
De praktische uitdaging is daarom om verder te kijken dan de laatste transactie. Waar komen de fondsen vandaan, welke wallets en diensten zijn gebruikt en waar wordt de waarde uiteindelijk omgezet? Juist die bredere analyse bepaalt of een NFT-gerelateerde geldstroom een relevant financial crime-risico vormt.
