Travel Rule: hoe cryptoplatforms de persoonlijke gegevens van hun klanten delen.

Travel Rule: een nieuw kader van kracht sinds 2025

De "Travel Rule" is een maatregel tegen witwassen van geld en financiering van terrorisme, geïntroduceerd door de FATF (Financial Action Task Force). Aanbeveling 16 van de FATF vereist dat financiële instellingen informatie over de verzender en begunstigde doorgeven bij het overmaken van gelden. Oorspronkelijk ontworpen voor traditionele financiën, is deze regel nu ook van toepassing op digitale activadienstverleners (DASPs).

In eenvoudige bewoordingen: zodra een gebruiker crypto-activa van het ene platform naar het andere stuurt, moeten beide de identificerende gegevens van de betrokken klanten uitwisselen. Dit omvat minimaal de naam van de verzender en ontvanger, evenals het adres van de gebruikte wallet, zodra het bedrag hoger is dan $1.000 of €1.000.

Voor Europese partijen betekent dit het verifiëren van tegenpartijen, het verzamelen van informatie, het veilig overdragen ervan, het filteren van transacties via sanctielijsten en het waarborgen van voortdurende monitoring. Dit alles terwijl wordt voldaan aan strikte normen voor de bescherming van persoonsgegevens en getracht wordt operationele fricties te beperken.

Dit kader vereist daarom de implementatie van specifieke infrastructuren die in staat zijn identiteiten te verifiëren, bepaalde regelgevende controles te automatiseren en bewijs van gegevensuitwisseling te bewaren. Het creëert ook nieuwe risico's, zowel op het gebied van informatielekken, interne tekortkomingen als technische incompatibiliteiten.

>> Cryptoregulering in 2025: het jaar van alle veranderingen

Een veelheid aan verschillende tools voor het overdragen van deze gegevens

Om te voldoen aan de eisen van de Travel Rule hebben platforms voor het uitwisselen van digitale activa systemen moeten implementeren die in staat zijn de gevoelige gegevens van hun gebruikers veilig uit te wisselen. Er bestaan vandaag verschillende communicatieprotocollen naast elkaar, elk met een andere benadering van vertrouwelijkheid, interoperabiliteit en governance.

TRUST (Travel Rule Universal Solution Technology) is een van de meest gebruikte protocollen. Ontwikkeld door Coinbase en ondersteund door verschillende grote platforms, maakt het de veilige uitwisseling van gegevens tussen geverifieerde VASPs mogelijk via versleutelde kanalen. Het protocol is gebaseerd op een gesloten model: alleen erkende partijen kunnen deelnemen.

TRP (Travel Rule Protocol) kiest voor een tegenovergestelde benadering met een open source aanpak. Gecreëerd door een consortium waaronder Standard Chartered, ING en BitGo, richt het zich op eenvoud en interoperabiliteit, met als doel de adoptie door een groter aantal partijen te vergemakkelijken.

Sygna Bridge biedt een messaging API ontworpen voor VASPs. De tool richt zich op de bescherming van persoonsgegevens en de nauwkeurigheid van de overgedragen informatie, terwijl wordt voldaan aan de regelgeving.

TRISA (Travel Rule Information Sharing Architecture) is gebaseerd op een gedecentraliseerd peer-to-peer protocol. Het stelt platforms in staat de vereiste informatie uit te wisselen zonder tussenkomst van een centrale partij, terwijl privacybeschermende mechanismen worden geïntegreerd.

CodeVASP Bridge is daarentegen een eigen protocol dat wordt gebruikt door Sumsub, een compliancepartij. Het integreert direct met hun platform om de overdracht en verificatie van gegevens te waarborgen die vereist zijn door de Travel Rule.

GTR (Global Travel Rule) en Email Notification tools maken het ecosysteem compleet.

De laatstgenoemde wordt gebruikt wanneer de tegenpartij niet kan worden bereikt via conventionele protocollen. In dat geval wordt er automatisch een e-mail verzonden (zonder gevoelige gegevens) waarin de VASP wordt uitgenodigd zich te registreren op het Sumsub-platform. Elke poging wordt geregistreerd voor traceerbaarheidsdoeleinden.

Focus op TRUST (Coinbase)

Onder de communicatieprotocollen die zijn aangenomen om te voldoen aan de Travel Rule, neemt TRUST een centrale plaats in, met name in de Verenigde Staten. Gelanceerd op initiatief van Coinbase en een groep partnerbeurzen, is het bedoeld om een gemeenschappelijk kader te creëren voor veilige gegevensdeling tussen platforms. Verschillende Europese VASPs maken er al gebruik van, zoals het Franse Meria.

De werking is gebaseerd op een eenvoudig principe: de informatie die vereist is door de Travel Rule wordt rechtstreeks tussen platforms verzonden, in versleutelde vorm, zonder dat deze wordt opgeslagen op een centrale server. Voor elke overdracht moet het ontvangende platform aantonen dat het het ontvangstadres heeft gecontroleerd, waarmee de juistheid van de uitwisselingen wordt gegarandeerd.

TRUST maakt gebruik van end-to-end versleutelde kanalen en vereist dat al haar leden onafhankelijke audits op het gebied van beveiliging, gegevensbescherming en compliance ondergaan. Dit creëert een gesloten kring van vertrouwde partijen die regelgevende gegevens kunnen uitwisselen met behoud van klantvertrouwelijkheid.

De oplossing is gebaseerd op een infrastructuur genaamd TRUSThub, die fungeert als een compliance-laag die kan worden geïntegreerd in de technische infrastructuur van de platforms. TRUSThub maakt het mogelijk de gegevens die vereist zijn door de Travel Rule te verpakken, te verzenden en te ontvangen op een gestandaardiseerde manier.

Onder de uitgelichte kenmerken:

• Interoperabiliteit, waarmee communicatie met andere VASPs mogelijk is, zelfs als zij niet dezelfde technologie gebruiken
• Eenvoudige integratie, dankzij een open netwerk dat de toetreding van nieuwe leden vergemakkelijkt, ook in nieuwe rechtsgebieden
• Schaalbaarheid, met een architectuur die zich kan aanpassen aan groeiende transactievolumes
• Participatieve governance, aangezien belangrijke beslissingen worden voorgelegd aan een stemming door de netwerkleden

>> Door Deribit over te nemen, tekent Coinbase de grootste overname in de cryptogeschiedenis

De grijze zones van TRUST

Ondanks de toenemende adoptie roept TRUST nog steeds veel vragen op.

Volgens een manager van een Europees handelsplatform: "het feit dat een gigant als Coinbase zich afsplitst om alle gegevens van Europeanen te verzamelen en zijn concurrenten dwingt gevoelige gegevens te communiceren, is niet positief".

Achter een belofte van efficiëntie en naleving van de Travel Rule blijven verschillende grijze zones bestaan, met name op technisch, juridisch en organisatorisch vlak.

Eerste punt: het gebrek aan transparantie. Er is weinig publieke informatie beschikbaar over de technische fundamenten van het protocol.

Gevraagd door The Big Whale en ondanks onze herhaalde verzoeken, wenste Coinbase niet op onze vragen te antwoorden.

De gedetailleerde specificaties, versleutelingsmechanismen of zelfs interne procedures zijn niet openlijk gedocumenteerd. Dit tekort beperkt de mogelijkheden voor onafhankelijke audits en verhindert externe partijen om de robuustheid van het systeem volledig te beoordelen.

Tweede punt: het onduidelijke onderscheid van TRUST ten opzichte van de andere hierboven genoemde protocollen. Hoewel TRUST bepaalde kenmerken claimt, zoals interoperabiliteit en participatieve governance, blijft het moeilijk te begrijpen wat het fundamenteel onderscheidt van alternatieven zoals TRISA of TRP.

Ook de kwestie van governance blijft onduidelijk. We weten dat de toetreding van nieuwe leden een stemming door de bestaande leden vereist, maar de voorwaarden van deze stemming (eenvoudige meerderheid, vetorecht, technische commissie) zijn niet gespecificeerd. Dit gebrek aan duidelijkheid roept de vraag op naar mogelijk controle door een kleine kring van partijen.

Dit risico is des te meer aanwezig omdat het netwerk grotendeels bestaat uit grote platforms, wat de vrees voor een vorm van oligopolistische concentratie aanwakkert. De verplichte uitwisseling van persoonsgegevens tussen deze partijen roept ook vragen op over de naleving van de RGPD, met name met betrekking tot de locatie van gegevens, het recht op verwijdering en de expliciete toestemming van gebruikers.

Een ander problematisch punt: toegang tot het protocol voor nieuwe toetreders. Lidmaatschapscriteria zijn niet openbaar en het integratieproces blijft ondoorzichtig voor kleinere of minder geïnstitutionaliseerde partijen. Dit beperkt het aanpassingsvermogen van het protocol aan een crypto-ecosysteem dat gebaseerd is op gedecentraliseerde innovatie.

Ten slotte blijven er beveiligingsrisico's bestaan. Als een van de aangesloten VASPs wordt gecompromitteerd, kunnen de gegevens die het via TRUST ontvangt of verzendt worden blootgesteld, met ernstige gevolgen: identiteitsdiefstal, financiële fraude of het lekken van gevoelige informatie.

Coinbase zelf was het slachtoffer van een datalek waarbij bijna 1% van de gebruikers van het platform werd getroffen, waaronder namen, adressen, telefoonnummers, e-mails, paspoortfoto's en financiële gegevens... Het is nog niet bekend of TRUST-gegevens door deze hack zijn getroffen.

Het probleem wordt verergerd door de heterogeniteit van gegevensbeschermingsnormen in verschillende rechtsgebieden, wat het risico op mismanagement of misbruik vergroot.

Ondanks zijn opkomst geniet TRUST dus geen unanieme steun. Het model, hoewel operationeel in sommige landen, blijft voorbehouden oproepen in een ecosysteem waar vertrouwen evenzeer gebaseerd is op transparantie als op naleving van regelgeving.

Technologische wegen om compliance en privacy beter te verzoenen

Gezien de uitdagingen die de Travel Rule met zich meebrengt (met name op het gebied van bescherming van persoonsgegevens) komen er verschillende technologische oplossingen op om te proberen de regelgevingseisen en het respect voor de privacy van gebruikers met elkaar te verzoenen.

Onder de meest veelbelovende: geavanceerde cryptografische technieken. Deze tools stellen platforms in staat informatie uit te wisselen of te verifiëren zonder de ruwe gegevens bloot te stellen.

• Zero knowledge disclosure proofs (zero-knowledge proofs of ZKPs) maken het mogelijk te bewijzen dat aan een voorwaarde is voldaan (bijvoorbeeld dat een klant correct is geïdentificeerd) zonder de onderliggende gegevens te onthullen.
• Secure multi-party computation (secure multi-party computation, of MPC) stelt meerdere partijen in staat samen te werken aan een operatie (zoals een compliancecontrole) zonder hun respectieve informatie te onthullen.
• Homomorfe encryptie maakt het tenslotte mogelijk gegevens direct in versleutelde vorm te verwerken, waardoor het niet nodig is deze op enig moment te ontsleutelen.

Gezamenlijk gebruikt, zouden deze technieken digitale activaplatforms in staat kunnen stellen te voldoen aan de verplichtingen van de Travel Rule, terwijl de risico's die gepaard gaan met de circulatie van gevoelige gegevens worden geminimaliseerd.

Een andere aanvullende weg: gedecentraliseerde identiteitsystemen (Decentralised Identity, of DID). Het idee is om gebruikers weer controle te geven over hun identiteitsgegevens, door hen toe te staan deze te beheren via een private cryptografische sleutel.

In dit model delen gebruikers hun persoonlijke informatie niet rechtstreeks met platforms. In plaats daarvan kunnen zij een cryptografisch bewijs leveren dat is gevalideerd door een vertrouwde entiteit. Dit stelt VASPs in staat de identiteit van een gebruiker te verifiëren zonder hun gegevens te hoeven opslaan of zelfs maar te raadplegen.

Het concept van selectieve openbaarmaking staat centraal: alleen informatie die strikt noodzakelijk is om aan de verplichtingen te voldoen wordt gedeeld. Deze werkwijze vermindert het risico op datalekken of misbruik aanzienlijk.

Hoewel deze technologieën zich nog in de experimentele fase bevinden binnen de sector, vormen ze een veelbelovende manier om compliance op te bouwen die meer respect heeft voor de rechten van gebruikers. In een context van toenemende regelgevende controle zouden ze kunnen uitgroeien tot een strategische hefboom voor partijen die innovatie en wettelijke vereisten willen verzoenen.

Het oordeel van The Big Whale

De implementatie van de Travel Rule in de cryptowereld beperkt zich niet tot een eenvoudige technische compliance-oefening. Het kristalliseert een breder dilemma: hoe ver kan de sector gaan om aan de eisen van toezichthouders te voldoen zonder de principes waarop cryptocurrencies zijn gebaseerd (individuele soevereiniteit, pseudonimiteit, decentralisatie) te verloochenen?

Protocollen zoals TRUST, TRP of TRISA zijn de eerste mijlpalen in een compromis dat nog steeds instabiel is. Ze proberen de autoriteiten gerust te stellen en de uitwisselingen tussen platforms te professionaliseren, maar dit gaat ten koste van toenemende standaardisatie, vaak gedreven door de grote spelers.

Achter de beloften van interoperabiliteit en open governance schuilt het risico van een gesloten architectuur, waarin alleen partijen met de middelen om aan de regels te voldoen kunnen deelnemen. Een vorm van centralisatie, ditmaal onder het mom van compliance.

Meer fundamenteel roept deze trend een strategische vraag op: is de cryptosector zichzelf aan het institutionaliseren door absorptie, of is zij in staat haar eigen normen van vertrouwen en transparantie op te leggen? Geavanceerde cryptografische tools en gedecentraliseerde identiteiten bieden uitwegen uit deze impasse, maar ze hebben nog moeite om tractie te krijgen in praktische toepassingen.

>> Coinbase behaalt historische overwinning tegen de SEC: een keerpunt voor de cryptosector

‍

The Travel Rule verplicht cryptoplatforms om de persoonsgegevens van hun gebruikers te verstrekken bij transfers. Deze verplichting verstoort het evenwicht tussen naleving van regelgeving en respect voor privacy.