Custodia crypto in banca: chi tiene le chiavi (e chi ti tutela)

Per anni la domanda che i risparmiatori italiani rivolgevano alla propria banca era una sola: posso comprare Bitcoin? Nel 2026 la domanda è cambiata. Da quando Banca Sella è diventata la prima banca italiana autorizzata a offrire servizi di custodia, e da quando Intesa Sanpaolo, UniCredit e i grandi custodi globali hanno iniziato a costruire infrastrutture per gli asset digitali, sempre più istituti terranno cripto per conto dei clienti. La domanda vera non è più «posso comprarlo tramite la mia banca», ma «chi lo detiene davvero, e cosa mi protegge se qualcosa va storto».

La distinzione conta, perché la custodia bancaria di cripto-attività funziona su regole che quasi nessun risparmiatore ha letto. Un Bitcoin in custodia non è un deposito, non è coperto dalla garanzia sui depositi e, dettaglio decisivo, spesso non è la banca a detenere fisicamente le chiavi. A proteggerti è una catena di norme (la segregazione e la responsabilità imposte da MiCA, la resilienza operativa richiesta da DORA) e una manciata di fornitori tecnologici nascosti dietro il logo dell’istituto.

Con Bitcoin intorno ai 66.500 euro e una settimana densa di appuntamenti (il voto sul CLARITY Act il 15 settembre, la decisione della Fed il 16, l’avvio di Pontes a fine mese), è facile perdersi tra i prezzi. Ma al di là delle oscillazioni, la custodia è la corsia che le banche stanno davvero costruendo, perché è il modo meno costoso in termini di capitale per stare nelle cripto. Questa guida spiega chi tiene le chiavi e quale tutela hai davvero.

Perché le banche custodiscono invece di comprare

Il punto di partenza è una regola contabile che vale più di mille comunicati. Dal 1 gennaio 2026 è in vigore lo standard prudenziale di Basilea sulle cripto-attività (SCO60), che colloca Bitcoin ed Ethereum nel gruppo 2b degli asset non garantiti e vi applica un coefficiente di ponderazione del rischio del 1.250%. In pratica una banca che detiene Bitcoin in proprio deve mettere da parte capitale per un valore quasi pari a quello dell’esposizione: un euro di capitale per un euro di Bitcoin. È un costo che rende antieconomico, per un istituto vigilato, comprare e tenere cripto sul proprio bilancio.

La custodia è tutt’altra cosa. Quando una banca detiene cripto per conto di un cliente, l’asset resta di proprietà del cliente, è segregato e resta fuori dal bilancio della banca. Non è un’esposizione dell’istituto, quindi non fa scattare il 1.250%: si applicano soltanto requisiti di capitale per il rischio operativo e obblighi di gestione del rischio, come per la custodia di oro, azioni o obbligazioni. È il motivo per cui la regola del capitale, che allontana le banche dal detenere Bitcoin, le spinge contemporaneamente verso la custodia.

Ecco perché la prima mossa di Banca Sella è stata la custodia e il trasferimento, non l’acquisto in proprio; perché Intesa custodisce tramite un fornitore terzo; perché colossi come BNY e State Street stanno costruendo piattaforme di custodia più che portafogli direzionali. La custodia è la corsia a basso assorbimento di capitale, e per questo è quella che cresce più in fretta.

Custodia non è deposito: la differenza che cambia tutto

Il fraintendimento più comune è trattare le cripto in custodia come se fossero soldi sul conto. Non lo sono, e la differenza determina cosa ti protegge. Un deposito è un prestito che fai alla banca: il denaro entra nel suo bilancio, la banca te lo deve restituire ed è coperto dal Fondo Interbancario di Tutela dei Depositi (FITD) fino a 100.000 euro per depositante. Se la banca fallisce, sei un creditore garantito entro quella soglia.

La custodia funziona al contrario. L’asset resta tuo, non entra nel bilancio della banca, che lo detiene per tuo conto. Proprio perché non è un deposito, non è coperto dal FITD. A proteggerti è la segregazione: in caso di insolvenza gli asset segregati non entrano nella massa fallimentare e ti spettano per intero, senza il tetto dei 100.000 euro. È una tutela per certi versi più forte di quella di un deposito elevato (nessun limite di importo), ma priva di una rete di sicurezza pubblica se la segregazione non viene rispettata o se le chiavi vengono perse.

Un esempio rende l’idea. Se tieni 250.000 euro sul conto e la banca fallisce, il FITD ne copre 100.000 e per il resto sei un creditore in coda con gli altri. Se invece tieni in custodia Bitcoin per 250.000 euro correttamente segregati, quell’intero valore non appartiene alla banca e non finisce nel fallimento: ti spetta per intero. La contropartita è che, se la segregazione non è reale o le chiavi vanno perse, non esiste alcun fondo che intervenga al posto tuo.

Chi tiene davvero le chiavi

Quasi nessuna banca costruisce da sola il caveau digitale: lo affitta. Dietro il logo dell’istituto lavora una manciata di fornitori di tecnologia di custodia. Banca Sella ha avviato la propria attività appoggiandosi a Fireblocks; Intesa Sanpaolo ha scelto Ripple Custody (l’ex Metaco), che serve anche BBVA, DBS e DZ Bank; State Street e Deutsche Bank lavorano con Taurus. È una mappa di poche aziende che reggono l’infrastruttura di molte banche.

Il caso Zodia illustra bene la distinzione tra marchio e infrastruttura. Standard Chartered ha rilevato l’attività di custodia di Zodia Custody, mentre la parte tecnologica è stata separata in una società dedicata che vende infrastruttura di livello bancario ad altre istituzioni. La banca mette la faccia e la responsabilità; l’impianto tecnico, spesso, è di qualcun altro.

Perché affittare invece di costruire? Perché la custodia sicura richiede competenze, hardware certificato e processi che una banca impiegherebbe anni a sviluppare, mentre un fornitore specializzato li offre già pronti. Il rovescio è che la responsabilità verso il cliente resta della banca, ma una parte decisiva del rischio operativo vive presso terzi. Chi tiene le chiavi, in pratica, è spesso una società di cui il correntista non ha mai sentito il nome.

La chiave privata è il vero attivo

Nelle cripto il controllo coincide con la chiave privata. Chi controlla la chiave può muovere l’asset, in modo irreversibile. Per un custode bancario, quindi, tutto il mestiere si riduce a proteggere una stringa segreta che può trasferire valore senza possibilità di annullamento, a differenza di un bonifico che si può stornare.

Le tecnologie principali sono tre. Il cold storage con moduli HSM tiene le chiavi in hardware dedicato e offline. Il multisig richiede più chiavi (per esempio 2 su 3) per autorizzare un’operazione, così nessun singolo punto di guasto può bastare. La MPC (multi-party computation) divide la chiave in frammenti calcolati insieme da più parti, senza che venga mai ricomposta in un solo luogo. Su Bitcoin, lo script path di Taproot permette anche una custodia programmabile: time-lock, multisig a decadimento, eredità e vault.

Per il risparmiatore la conseguenza è semplice: la sicurezza operativa della banca e del suo fornitore è la tua tutela concreta. Una singola compromissione delle chiavi significa perdita irreversibile. Ecco perché il profilo di rischio della custodia crypto è diverso da quello di qualunque altro servizio bancario, e perché la vigilanza si concentra sui processi tecnici prima ancora che sui bilanci.

Qui si apre anche la scelta di fondo per il risparmiatore: delegare le chiavi alla banca o gestirle da sé. La custodia bancaria offre comodità, assistenza e un quadro giuridico di tutele, ma richiede fiducia nell’istituto e nel suo fornitore. L’autocustodia, con un wallet hardware, elimina il rischio di controparte ma sposta tutto il peso della sicurezza (e degli errori) sulle spalle dell’utente. Non esiste una risposta giusta in assoluto: dipende da importi, competenze e orizzonte temporale.

Cosa dice MiCA: segregazione e responsabilità senza colpa

Il regolamento europeo MiCA disciplina i fornitori di servizi per le cripto-attività (i CASP) e, nel titolo V, dedica alla custodia l’articolo 75. Le tutele sono tre e vale la pena conoscerle. La prima è la segregazione: gli asset dei clienti devono essere tenuti separati da quelli del prestatore, sia nella contabilità sia sulla blockchain, in modo che restino indenni in caso di insolvenza del custode.

La seconda è la responsabilità senza colpa. L’articolo 75 stabilisce che il custode risponde della perdita delle cripto-attività dei clienti, e questa responsabilità non è subordinata alla dimostrazione di una sua colpa. È una protezione forte, anche se con limiti (l’importo è di norma commisurato al valore di mercato e sono esclusi eventi fuori dal controllo del custode). La terza riguarda i diritti collegati: fork e airdrop maturano a favore del cliente, e un contratto standard non può privartene senza il tuo consenso esplicito e specifico.

È la differenza tra un «fidati di me» e un «la legge mi rende responsabile». Un custode vigilato sotto MiCA non è un intermediario qualsiasi: opera dentro un perimetro di obblighi che rendono la tutela del cliente un fatto giuridico, non una promessa commerciale. Per il risparmiatore, questo è il salto di qualità più importante degli ultimi anni.

Il caso Banca Sella: la prima banca italiana con la licenza

Il 27 maggio 2026 Banca Sella, gruppo con circa 50 miliardi di euro di attività e oltre tre milioni di clienti, è diventata la prima banca italiana autorizzata a offrire servizi su cripto-attività, in particolare custodia e trasferimento. Il percorso è importante da capire, perché è quello che seguiranno molti altri istituti. Le banche non hanno bisogno di una licenza CASP separata: MiCA, all’articolo 60, consente agli enti creditizi di notificare l’attività all’autorità competente (in Italia la Banca d’Italia) e di partire dopo una verifica di 40 giorni lavorativi. È una scorciatoia rispetto alla piena autorizzazione CASP richiesta agli operatori non bancari.

Sul piano tecnico, Banca Sella si appoggia a Fireblocks per l’infrastruttura e a Chainalysis per la conformità, dopo un pilota interno del 2025 riservato ai dipendenti e limitato alla sola custodia. L’apertura dei servizi è prevista nel corso del 2026, con un primo perimetro di clientela selezionata. L’istituto è anche membro fondatore di Qivalis, il consorzio di banche europee che sta costruendo una stablecoin in euro.

Andrea Tessera, responsabile del Digital Banking di Banca Sella, ha descritto l’autorizzazione come un passaggio rilevante nel più ampio percorso europeo verso pagamenti istantanei, interoperabili e programmabili e verso la tokenizzazione della moneta e degli asset, come si legge nel comunicato del gruppo. Tradotto: la custodia è il primo mattone di un’infrastruttura più grande.

Intesa, i grandi custodi globali e la corsa alle infrastrutture

Banca Sella non è un caso isolato. Intesa Sanpaolo utilizza Ripple Custody per la propria attività in asset digitali, un portafoglio fatto soprattutto di strumenti quotati come gli ETF; lo stesso fornitore serve BBVA, DBS e DZ Bank. Sul piano globale la scala è enorme: BNY, il maggiore custode al mondo, gestisce circa 62.600 miliardi di dollari in custodia e ha aggiunto lo staking di asset digitali tramite Galaxy; State Street, secondo custode globale, ha lanciato la propria piattaforma di asset digitali con Taurus.

Il messaggio degli addetti ai lavori è netto. Julian Sawyer, amministratore delegato di Zodia Custody, ha dichiarato che «ogni singola banca dovrà presto detenere asset digitali». Margaret Harwood-Jones, responsabile Financing and Securities Services di Standard Chartered, ha presentato l’acquisizione di Zodia come un modo per accelerare la crescita del portafoglio di custodia del gruppo, un ponte tra finanza tradizionale e cripto.

Dietro questa corsa c’è una combinazione di fattori. La domanda istituzionale è cresciuta con gli ETF su Bitcoin ed Ethereum, che hanno portato asset digitali nei portafogli di fondi e assicurazioni; il quadro regolatorio, con MiCA in Europa e le nuove regole negli Stati Uniti, ha ridotto l’incertezza; e la regola del capitale ha reso la custodia l’unico modo davvero conveniente, per una banca, di offrire esposizione alle cripto senza appesantire il bilancio. Il risultato è che la custodia è diventata un servizio strategico, non più un esperimento.

La custodia, insomma, si sta istituzionalizzando su scala massiccia. Il rovescio della medaglia è che i vincitori sono pochi: poche banche depositarie di dimensione globale e pochissimi fornitori di tecnologia. Una concentrazione che, come vedremo, diventa essa stessa un tema di vigilanza.

La lezione di FTX e Celsius: quando la segregazione è finta

Per capire perché queste regole contano, basta ricordare come sono andate le cose senza. Nel crollo di FTX gli asset dei clienti erano mescolati con quelli della società e dirottati verso il fondo collegato Alameda: mancavano un custode indipendente, un audit e la segregazione più elementare, e miliardi di dollari di asset dei clienti sono spariti. Nel caso di Celsius, i termini d’uso rendevano i depositi del programma remunerato proprietà della società: al momento del fallimento i clienti si sono ritrovati semplici creditori chirografari.

Il denominatore comune è sempre lo stesso: nessuna segregazione, nessuna separazione dal patrimonio dell’operatore, il custode che si comporta da proprietario. Le autorità americane hanno reagito con linee guida che impongono di separare gli asset dei clienti, non mescolarli e detenerli nell’interesse del cliente e non come proprietari. È esattamente ciò che MiCA ha codificato per l’Europa.

La conseguenza pratica: un custode bancario vigilato sotto MiCA è strutturalmente diverso da un exchange che tiene i tuoi asset in base a un contratto capestro. Ma resta una condizione: le regole proteggono solo se vengono davvero applicate e se la banca, e il suo fornitore, segregano sul serio. La vigilanza serve esattamente a questo.

Per il risparmiatore italiano la lezione è concreta. Affidare cripto a un exchange non regolato significa fidarsi di un contratto e della buona fede di chi lo scrive; affidarle a una banca vigilata sotto MiCA significa poter contare su obblighi di segregazione e su una responsabilità che la legge impone al custode. La differenza non è di marketing, ma di diritti esigibili quando qualcosa va storto.

DORA e il rischio di concentrazione

C’è un secondo strato di regole, meno noto ma cruciale: il regolamento DORA sulla resilienza operativa digitale, in vigore dal 17 gennaio 2025. Tutti i CASP e le banche che offrono servizi crypto sono soggetti a DORA, e il fornitore della tecnologia di custodia è, ai suoi occhi, un fornitore terzo di servizi ICT. Questo attiva un intero quadro di gestione del rischio: due diligence, controlli sul ciclo di vita delle chiavi, strategie di uscita e valutazione del rischio di concentrazione.

Il rischio di concentrazione è il vero nodo. Se Fireblocks, Ripple Custody e Taurus reggono l’infrastruttura di decine di banche, un guasto, un’interruzione o una compromissione presso uno solo di essi si propaga su molti istituti contemporaneamente. È un rischio che la regola del capitale di Basilea non cattura: lo presidia DORA. A questo si aggiunge il livello della conformità antiriciclaggio, dove strumenti come Chainalysis fanno lo screening delle transazioni, un costo crescente che pesa sul conto economico dei servizi crypto.

Il regolamento prevede anche che i fornitori terzi ritenuti critici per il sistema finanziario siano designati e sottoposti a una sorveglianza europea diretta, con poteri di ispezione e raccomandazioni vincolanti. Finora l’elenco dei fornitori critici è dominato dai grandi provider cloud, ma la logica è chiara: se pochi custodi tecnologici diventano l’ossatura della custodia bancaria europea, la loro affidabilità smette di essere un affare privato tra banca e fornitore e diventa una questione di stabilità.

Cosa non copre la tutela

Essere chiari sui limiti è più utile di qualsiasi rassicurazione. Primo: le cripto in custodia non sono coperte dalla garanzia sui depositi. Nessun FITD, nessun rimborso pubblico fino a 100.000 euro. La tua tutela è la segregazione e la responsabilità del custode, non un fondo di garanzia.

Secondo: la perdita delle chiavi o un attacco informatico restano rischi reali. La responsabilità senza colpa dell’articolo 75 aiuta, ma il recupero effettivo dipende dalla solidità del custode e dalle sue coperture assicurative. Terzo: le catene di sub-custodia. La tua banca potrebbe affidare gli asset a un sub-custode, e allora contano la trasparenza e la catena di responsabilità. Quarto: staking e prestito. Se gli asset vengono messi in staking o dati in prestito, potrebbero non essere pienamente segregati o al riparo dal fallimento; è indispensabile leggere le condizioni. Infine, la custodia protegge l’asset, non il suo prezzo: la volatilità di Bitcoin resta tutta a tuo carico.

Come leggere il contratto di custodia

Prima di affidare cripto alla tua banca, vale la pena controllare alcune voci del contratto. Non serve essere giuristi: bastano le domande giuste.

• Segregazione: gli asset sono separati sulla blockchain e nella contabilità? Esistono attestazioni o prove delle riserve?
• Sub-custodia: chi è il custode ultimo? Qual è la catena di responsabilità se il sub-custode fallisce?
• Clausole sui diritti: il contratto ti fa rinunciare a fork e airdrop? L’articolo 75 richiede il tuo consenso esplicito, quindi diffida delle clausole standard.
• Assicurazione: c’è una copertura per furto o compromissione delle chiavi? Con quali massimali?
• Staking e prestito: gli asset restano segregati o vengono impiegati? In quest’ultimo caso, con quali rischi?
• Insolvenza: qual è la procedura e quali sono i tempi di restituzione?
• Autorizzazione: la banca è vigilata e ha completato la notifica (articolo 60) o l’autorizzazione CASP?

Sono domande a cui una banca seria è in grado di rispondere per iscritto. Se le risposte sono vaghe, o se il contratto sposta su di te i rischi che la legge assegna al custode, è un segnale da non ignorare.

L’autunno che conta: perché la custodia cresce comunque

Il calendario delle prossime settimane è fitto. Il 15 settembre il Senato statunitense vota la cloture sul CLARITY Act, la legge che ridisegna la ripartizione dei poteri tra SEC e CFTC; la procedura di voto è fissata per il pomeriggio. Il 16 la Fed decide sui tassi; a fine mese l’Eurosistema avvia Pontes, il binario per il regolamento wholesale in moneta di banca centrale. Sullo sfondo, il trilogo sull’euro digitale punta a un accordo entro fine anno e le regole finali del GENIUS Act statunitense sono attese a novembre.

Sono appuntamenti che muovono prezzi, flussi e aspettative. Ma nessuno di essi cambia la logica di fondo della custodia. Qualunque cosa accada ai tassi e alla struttura del mercato, le banche continueranno a non poter detenere Bitcoin in proprio (per la regola del capitale) e a poterlo custodire per i clienti (con un assorbimento di capitale minimo). La custodia è la corsia che cresce a prescindere dai titoli dei giornali.

Consob, Banca d’Italia e cosa deve sapere il risparmiatore

In Italia la vigilanza è divisa. La Consob presidia la trasparenza e la tutela dell’investitore (oltre ai derivati su cripto, che ricadono sotto la MiFID II), mentre la Banca d’Italia cura gli aspetti prudenziali, la notifica degli enti creditizi ai sensi dell’articolo 60 e i profili legati alle stablecoin. Sopra c’è il livello europeo, con MiCA e il coordinamento dell’ESMA. Per il cliente, verificare che la banca sia nel perimetro vigilato è il primo controllo, non l’ultimo.

Vale la pena ricordare che la vigilanza non elimina il rischio, lo rende governabile. La Consob e la Banca d’Italia possono imporre requisiti, ispezionare e sanzionare, ma non possono garantire che un attacco informatico non avvenga o che un fornitore non sbagli. La tutela nasce dalla combinazione di regole, controlli e scelte informate del cliente, non da una singola autorità che risponde al posto di tutti.

Il messaggio da portare a casa è duplice. Da un lato, la custodia di cripto presso una banca vigilata sotto MiCA è un salto di qualità reale rispetto a un exchange non regolato: segregazione, responsabilità senza colpa, resilienza operativa. Dall’altro, è una tutela per segregazione, non per assicurazione: nessun fondo pubblico interviene se qualcosa va storto, e il rischio di prezzo resta interamente tuo. Sapere chi tiene le chiavi, e con quali regole, è la nuova alfabetizzazione finanziaria di chi tiene cripto in banca.

Domande frequenti

La custodia crypto in banca è coperta dalla garanzia sui depositi fino a 100.000 euro?

No. Le cripto-attività in custodia non sono un deposito, quindi non rientrano nel Fondo Interbancario di Tutela dei Depositi. Sono protette in modo diverso: la segregazione dagli asset della banca e la responsabilità del custode prevista dall’articolo 75 di MiCA. In caso di insolvenza gli asset segregati non entrano nella massa fallimentare e ti spettano per intero, senza il tetto dei 100.000 euro.

Chi detiene davvero le chiavi private quando una banca offre custodia di cripto-attività?

Spesso non la banca in prima persona. La maggior parte degli istituti utilizza le infrastrutture di fornitori specializzati come Fireblocks, Ripple Custody o Taurus, che gestiscono le chiavi con tecnologie come MPC, multisig e moduli HSM. La banca resta responsabile verso il cliente, ma il rischio operativo e di concentrazione si concentra su pochi fornitori, vigilati sotto il regolamento DORA.

Che differenza c’è tra la custodia in banca e un exchange come quelli falliti nel 2022?

La differenza sta nella segregazione e nella responsabilità imposte dalla legge. FTX e Celsius mescolavano gli asset dei clienti con i propri e, in un caso, i termini d’uso rendevano i depositi proprietà della società. Sotto MiCA un custode deve tenere separati gli asset dei clienti e ne risponde anche senza colpa. Resta però decisivo che le regole vengano davvero applicate.

Quali banche italiane offrono o offriranno la custodia di cripto-attività?

Banca Sella è la prima banca italiana autorizzata dalla Banca d’Italia a offrire custodia e trasferimento di cripto-attività sotto MiCA, con avvio dei servizi nel 2026. Intesa Sanpaolo si appoggia a Ripple Custody per la propria attività in asset digitali, mentre UniCredit ha scelto finora la strada dei certificati. Molte altre banche europee stanno costruendo servizi analoghi.

Cosa dovrei controllare nel contratto di custodia crypto della mia banca?

Verifica come vengono segregati gli asset (sulla blockchain e nella contabilità), chi è l’eventuale sub-custode, se ci sono clausole che ti fanno rinunciare a fork e airdrop (l’articolo 75 richiede il tuo consenso esplicito), la copertura assicurativa, se gli asset vengono messi in staking o prestito e la procedura di restituzione in caso di insolvenza. Controlla infine che la banca sia vigilata e autorizzata.

A cura di Liam Brennan, redazione macro e mercati di HOGE Wire.