Custodia crypto: la SEC apre all’autocustodia e cambia l’enforcement

Per anni il vero campo di battaglia dell’enforcement crypto negli Stati Uniti non è stato il test di Howey né la definizione di «security». È stato un problema molto più concreto: chi tiene le chiavi. Dietro quasi tutti i grandi fallimenti del settore, da FTX a Celsius, non c’è una disputa dottrinale sulla natura di un token, ma una domanda elementare, cioè dove siano finiti i fondi dei clienti e chi controllasse le private key. La custodia, non la qualificazione giuridica, è il luogo in cui l’azione della SEC ha davvero morso.

Il 1 ottobre 2026 la Securities and Exchange Commission ha deciso di cambiare strumento. Invece di perseguire caso per caso chi sbaglia la custodia, ha proposto per la prima volta una regola organica che spiega agli operatori come custodire legalmente i crypto-asset. La proposta, annunciata con il comunicato 2026-100, riscrive le norme sulla custodia contenute nell’Investment Advisers Act del 1940 e nell’Investment Company Act dello stesso anno, apre a una autocustodia condizionata e trasforma le trust company di diritto statale in custodi riconosciuti. È il passaggio, ormai sistematico sotto la presidenza di Paul Atkins, dall’enforcement al rulebook.

Per il lettore italiano la vicenda conta due volte. Da un lato racconta come stia cambiando la filosofia regolatoria del mercato più grande del mondo, con il Bitcoin che intorno all’11 ottobre viaggia poco sopra i 74.000 euro, in flessione di circa il 2% sulla settimana, un contesto di prezzi che l’edizione italiana ha seguito nelle ultime settimane fra i verbali della Fed e il freno dell’Uptober. Dall’altro offre un contrasto netto con il modello europeo, dove la custodia dei crypto-asset per conto dei clienti è già disciplinata, da mesi, dall’articolo 75 del regolamento MiCA, con Consob e Banca d’Italia a vigilare.

Cosa ha proposto la SEC il 1 ottobre

La proposta interviene su due leggi che hanno quasi un secolo di vita. L’Investment Advisers Act del 1940 impone ai consulenti finanziari registrati di affidare i beni dei clienti a un «custode qualificato» (qualified custodian), tipicamente una banca o un broker-dealer; l’Investment Company Act regola la custodia per i fondi. Entrambe le norme sono state scritte pensando ad azioni e obbligazioni depositate presso intermediari tradizionali, non a beni al portatore che si controllano con una chiave crittografica. Il risultato, per anni, è stato un vuoto: consulenti e fondi che volevano offrire esposizione ai crypto-asset non sapevano come farlo restando dentro la regola.

Il testo presentato il 1 ottobre prova a colmare quel vuoto su tre fronti. Primo, estende lo status di custode qualificato alle trust company di diritto statale, non solo alle banche nazionali e ai broker-dealer. Secondo, crea un percorso di autocustodia condizionata per i casi in cui nessun custode qualificato sia disposto a conservare un determinato asset. Terzo, elimina alcuni oneri considerati obsoleti, come l’obbligo che il revisore indipendente sia iscritto al PCAOB, allunga alcune scadenze di audit per i fondi privati e codifica l’eccezione della Standing Letter of Authorization.

«Oggi la Commissione ha proposto di colmare una lacuna che ha lasciato consulenti e fondi a indovinare come effettuare una custodia legittima», ha dichiarato il presidente Atkins nella sua dichiarazione ufficiale. Atkins ha ricordato che dall’avvento del Bitcoin nel 2008 il mercato dei crypto-asset è cresciuto fino a diventare una classe di attività da migliaia di miliardi, mentre «le nostre regole non hanno tenuto il passo». La finestra per i commenti pubblici è di 60 giorni dalla pubblicazione sul Federal Register.

C’è un dettaglio istituzionale che pesa. La proposta è stata uno degli ultimi atti di Hester Peirce come commissaria: la storica sostenitrice della custodia personale ha lasciato la SEC il 2 ottobre, il giorno dopo il voto. «I regolatori dovrebbero proteggere con zelo il diritto degli investitori all’autocustodia», aveva ribadito Peirce secondo The Block. La Commissione resta così a due soli membri, Atkins e Mark Uyeda, con tre poltrone su cinque vacanti, un particolare che tornerà utile quando si parlerà della solidità della riforma.

L’autocustodia condizionata, punto per punto

Il cuore politico della proposta è l’autocustodia. Per la prima volta un consulente registrato o un fondo potrebbe detenere direttamente i crypto-asset dei clienti, cioè custodire le chiavi in proprio, invece di affidarli a un terzo. Ma non è una porta spalancata: è un’eccezione stretta, non la regola, e resta subordinata a una serie di condizioni che vanno verificate di continuo.

Letta nel dettaglio, la struttura è prudente. L’autocustodia non è un diritto che il consulente sceglie di esercitare a piacimento, ma una via d’uscita per i casi in cui il mercato non offre un custode adeguato, per esempio token nuovi o poco liquidi che nessuna trust company vuole conservare. La verifica trimestrale incorpora una sorta di clausola di scadenza: appena nasce un’alternativa di mercato, l’eccezione si chiude. La doppia autorizzazione e la separazione dei beni, intanto, importano nel diritto statunitense due principi che il settore conosce bene, il multisig e la segregazione dei fondi.

Non è un caso che proprio Peirce abbia spinto su questo punto fino all’ultimo giorno di mandato. L’industria chiedeva da tempo che l’autocustodia non fosse trattata come un’anomalia sospetta ma come una pratica legittima, a patto di presidi adeguati. Il testo prova a dare forma giuridica a quella richiesta, trasformando lo slogan «not your keys, not your coins» in un insieme di obblighi verificabili.

Le trust company statali diventano custodi qualificati

Il secondo pilastro è meno appariscente ma forse più rilevante per il mercato istituzionale. La proposta riconosce alle trust company di diritto statale lo status di custode qualificato ai fini dell’Advisers Act e di custode ammesso ai fini dell’Investment Company Act. In pratica codifica in norma vincolante quanto la SEC aveva già concesso con una no-action letter del 30 settembre 2025, trasformando una tolleranza amministrativa in una regola stabile, come osserva l’analisi dello studio legale Faegre Drinker.

La mossa si incastra con un cambiamento più ampio dell’architettura statunitense. Dal 2023 sono nati nuovi charter bancari di tipo trust, sia a livello statale sia federale: l’OCC, l’autorità che vigila sulle banche nazionali, ha concesso charter condizionati a operatori crypto, e diversi Stati (New York in testa) rilasciano licenze di trust company specializzate nella custodia digitale. Riconoscendo questi soggetti come custodi qualificati, la SEC amplia di colpo la platea di chi può legalmente conservare crypto-asset per conto di consulenti e fondi, un collo di bottiglia che per anni aveva frenato i prodotti istituzionali.

Nel concreto, parliamo di soggetti come le trust company di New York dedicate alla custodia digitale o le banche-trust con charter federale dell’OCC, che da tempo conservano Bitcoin ed Ether per clienti istituzionali. Finora la loro ammissibilità come custodi qualificati era materia di interpretazione; la proposta la mette nero su bianco, dando ai consulenti la certezza giuridica che mancava e riducendo lo spazio per quelle contestazioni a posteriori che avevano caratterizzato l’era dell’enforcement.

È lo stesso filo che lega questa proposta all’ondata di nuovi prodotti quotati. La possibilità di affidare asset a un custode riconosciuto è la precondizione di qualsiasi ETP o fondo regolamentato, e non a caso la SEC ha appena aperto anche al segmento più aggressivo di questi strumenti, come raccontato nell’analisi degli ETF crypto a leva 3x che la SEC ha approvato ma che non partono ancora.

Perché la custodia è il vero campo dell’enforcement

Per capire il peso della proposta bisogna tornare alla domanda iniziale: perché la custodia conta più della qualificazione giuridica. Nel dibattito pubblico l’enforcement crypto è stato raccontato come una guerra sul test di Howey, cioè su quali token siano «securities». Erano cause importanti (Coinbase, Kraken come exchange, Ripple) e hanno fatto i titoli dei giornali. Ma il danno agli investitori, quello vero, quasi mai nasceva dalla qualificazione sbagliata di un token. Nasceva dal fatto che qualcuno teneva i soldi dei clienti e li ha persi, prestati o sottratti.

Il mantra dell’autocustodia personale, «not your keys, not your coins», è la versione retail dello stesso problema. Se non controlli le chiavi, stai dando fiducia a un custode, e la qualità di quel custode è ciò che separa un conto sicuro da un buco di bilancio. La proposta del 1 ottobre, spostando il baricentro dalla repressione alla regola, prova ad agire proprio lì, sul punto in cui l’enforcement interveniva sempre troppo tardi, a crac avvenuto, quando i fondi erano già evaporati.

Lo confermano gli stessi numeri della SEC. Nell’era Gensler le azioni di enforcement crypto erano in larga parte cause sulla registrazione dei token; sotto Atkins quel filone si è quasi azzerato, mentre sono rimaste in piedi le incriminazioni per frode, appropriazione e manipolazione, cioè proprio i reati che ruotano attorno alla custodia dei fondi altrui. Il messaggio implicito è che la Commissione non intende più discutere se un token sia una «security», ma vuole assicurarsi che chi detiene i soldi dei clienti li tenga davvero al sicuro e separati.

Il filo che unisce i grandi crac: le chiavi e la commistione

La storia recente è una sequenza di fallimenti di custodia travestiti da altro. Se si guarda al nodo tecnico di ciascun crollo, non alla narrativa che lo ha accompagnato, il filo rosso è quasi sempre lo stesso: fondi dei clienti mescolati con quelli della società, chiavi gestite male, assenza di separazione patrimoniale.

FTX non è crollata perché FTT fosse una «security» mal registrata, ma perché i fondi dei clienti erano stati mescolati con quelli di Alameda e usati per scommesse rovinose; Bankman-Fried è stato condannato a 25 anni per aver sottratto circa 8 miliardi di dollari. Celsius prometteva rendimenti e intanto reimpiegava i depositi: Mashinsky ha avuto 12 anni per appropriazione dei fondi e manipolazione del token CEL, e il 9 ottobre 2026 ha chiuso con il procuratore generale di New York un accordo fino a 35 milioni di dollari con bando a vita dal settore. Kraken ha pagato 30 milioni e chiuso lo staking statunitense dopo che la SEC aveva contestato un programma in cui, secondo la denuncia, gli investitori americani avevano oltre 2,7 miliardi di dollari sulla piattaforma.

In ogni caso il problema non era filosofico. Era operativo e fiduciario: separazione dei beni assente, controlli sulle chiavi inesistenti, reimpiego opaco dei depositi. Una regola di custodia seria, con segregazione e doppia firma, avrebbe intercettato molti di questi schemi prima del collasso. È la tesi implicita della proposta Atkins: meglio una regola che fissa gli obblighi in anticipo di una causa che arriva quando il denaro non c’è più.

La regola della custodia del 1940 e perché non bastava

La norma che la SEC vuole aggiornare, la celebre custody rule dell’Advisers Act (regola 206(4)-2), è stata concepita per un mondo di certificati azionari e conti presso banche depositarie. Impone al consulente di non detenere direttamente i beni del cliente ma di affidarli a un custode qualificato, con verifiche periodiche e rendiconti. Funziona bene per le azioni di una società quotata depositate in banca; fatica con un asset al portatore che vive su una blockchain e si muove con una chiave privata.

La ragione tecnica è semplice. Nel mondo tradizionale i titoli sono dematerializzati e registrati presso depositari centrali, con conti omnibus e catene di intermediari che permettono di ricostruire sempre chi possiede cosa. Un crypto-asset, invece, è un bene al portatore: chi conosce la chiave privata può spostarlo in modo irreversibile, senza bisogno di un intermediario che validi l’operazione. La custodia, qui, non è una scrittura contabile ma il controllo fisico di un segreto crittografico, ed è per questo che le vecchie categorie faticano ad applicarsi.

Il paradosso è che la regola, pensata per proteggere, finiva per vietare di fatto. Molti custodi crypto non rientravano nella definizione di custode qualificato, e i consulenti che volevano offrire Bitcoin o Ether si trovavano senza una via conforme. Da qui l’espressione usata da Atkins, una «lacuna» che costringeva gli operatori a «indovinare». La proposta non abolisce la logica della custody rule, la adatta: aggiunge soggetti ammessi (le trust company) e una valvola di sfogo (l’autocustodia) per quando il mercato non offre alternative.

SAB 121, SAB 122 e il muro contabile

C’è un capitolo contabile che spiega perché, fino a poco fa, quasi nessuna banca voleva custodire crypto. Nel 2022 lo staff della SEC pubblicò lo Staff Accounting Bulletin 121 (SAB 121), che imponeva a chi custodiva crypto-asset per conto terzi di iscrivere quei beni in bilancio come passività, con un attivo corrispondente. Per una banca significava gonfiare lo stato patrimoniale e quindi assorbire capitale di vigilanza: un costo proibitivo che teneva gli istituti lontani dalla custodia digitale.

Il 23 gennaio 2025 la SEC ha cancellato quella impostazione con lo SAB 122, che ha abrogato il SAB 121 con effetto dalle dichiarazioni depositate dal 30 gennaio 2025. Tolto il muro contabile, banche e trust company hanno ripreso a guardare alla custodia crypto come a un business praticabile. La proposta del 1 ottobre è il passo successivo: dopo aver rimosso il disincentivo contabile, la SEC prova a definire le regole operative di quella custodia.

Il fantasma di Gensler: la proposta Safeguarding del 2023

La parte più politica della storia è che una regola sulla custodia crypto la SEC l’aveva già provata, con segno opposto. Nel febbraio 2023, sotto la presidenza di Gary Gensler, la Commissione propose il «Safeguarding Advisory Client Assets», un ampliamento della custody rule a tutti i beni dei clienti, crypto compresi. Il testo restringeva la definizione di custode qualificato a banche, trust company, broker-dealer registrati e futures commission merchant, escludendo di fatto gran parte delle piattaforme crypto.

Gensler non lasciò margini: «Non ci si sbagli: dato come operano in genere le piattaforme crypto, i consulenti non possono fare affidamento su di esse come custodi qualificati», dichiarò allora, come ricorda CoinDesk. L’industria reagì con durezza. La società di venture capital a16z bollò la proposta come «illegale, impraticabile e pericolosa», mentre persino la Small Business Administration avvertì che il testo sottostimava gli impatti sulle imprese minori. La proposta non arrivò mai al voto finale e fu ritirata nel 2025.

Atkins ha ripreso lo stesso veicolo, la custody rule, ma ne ha invertito il contenuto. Dove Gensler stringeva fino a escludere i custodi crypto, Atkins allarga, riconoscendo le trust company e aprendo all’autocustodia. È la rappresentazione plastica del cambio di filosofia: non una regola che serve a chiudere, ma una regola che serve ad ammettere. CoinDesk, ad agosto, aveva descritto l’operazione come la SEC che «resuscita una regola di custodia che l’amministrazione precedente non era riuscita a far atterrare».

Dall’enforcement al rulebook: cosa significa davvero

La proposta sulla custodia è l’ultimo tassello di una traiettoria che l’edizione italiana segue da mesi: la SEC che abbandona la regolazione fatta a colpi di cause per passare alle regole scritte. Non significa però che l’enforcement sia morto. Significa che ha cambiato bersaglio.

La frode, infatti, resta perseguita con decisione. Il 29 settembre 2026 la SEC ha incriminato più soggetti per schemi che avrebbero sottratto oltre 15 milioni di dollari a investitori retail con finte credenziali regolamentari e falsi bot di trading «ad AI», contattando le vittime via WhatsApp, come riporta il comunicato 2026-95. Il caso, affidato alla nuova unità CETU, è il tipo di azione che la SEC di Atkins rivendica: non teorie sulla registrazione dei token, ma frode pura e semplice. Lo stesso vale per la condanna storica di Do Kwon e Terraform, chiusa con sanzioni per 4,47 miliardi di dollari.

Nel vuoto lasciato dalla SEC sul fronte della registrazione, poi, si muovono gli Stati. L’accordo del 9 ottobre fra Mashinsky e il procuratore di New York è un promemoria: anche quando l’enforcement federale arretra, le procure statali possono colpire, soprattutto sulle frodi di custodia. È un punto che intreccia questa vicenda con la battaglia, tutta separata, sulla preemption federale delle regole statali, uno dei nodi ancora aperti del dossier crypto americano.

I limiti e i rischi della proposta

Non tutto nella proposta convince. Il primo problema è operativo: consentire a un consulente di tenere in proprio le chiavi dei clienti crea un punto di fallimento unico. La doppia autorizzazione e i controlli contabili mitigano il rischio, ma la storia recente insegna che la gestione delle chiavi è difficile anche per operatori sofisticati. L’autocustodia riduce la dipendenza da terzi, però sposta sul consulente una responsabilità tecnica pesante, dalla protezione delle chiavi ai piani di continuità in caso di incidente.

Il secondo problema è politico e riguarda la solidità della riforma. La Commissione ha solo due membri, Atkins e Uyeda, con tre poltrone vacanti; una regola approvata da un collegio così ridotto, per quanto formalmente valida, è più esposta a contestazioni e a futuri ripensamenti. Dopo la sentenza della Corte Suprema che nel 2026 ha reso i commissari delle agenzie indipendenti rimovibili dal presidente, la domanda su quanto sia duratura questa stagione regolatoria è tutt’altro che oziosa: ciò che una Commissione scrive, un’altra può riscrivere.

C’è infine un rilievo di merito: la verifica trimestrale sull’indisponibilità di un custode è un presidio «morbido», affidato in buona parte all’autovalutazione del consulente. E codificare una no-action letter non equivale a costruire da zero un regime di tutele paragonabile a quello europeo. Molto dipenderà dai dettagli tecnici e dalle risposte che arriveranno nei 60 giorni di consultazione, quando i grandi custodi, gli studi legali e le associazioni dei consumatori faranno sentire la loro voce.

Il contrasto con l’Europa: MiCA e l’articolo 75

Mentre gli Stati Uniti discutono come colmare un vuoto, l’Unione Europea quel vuoto lo ha già riempito. Il regolamento MiCA, all’articolo 75, disciplina la «custodia e amministrazione di crypto-asset per conto dei clienti» e impone ai prestatori di servizi (i CASP) obblighi che il testo americano sta solo ora proponendo.

Le differenze contano. L’articolo 75 chiede ai custodi europei di tenere un registro per singolo cliente, di separare i crypto-asset dei clienti dalla propria massa patrimoniale (così che in caso di fallimento i creditori non possano aggredirli) e, soprattutto, stabilisce una responsabilità precisa: il CASP risponde della perdita dei crypto-asset o dei mezzi di accesso quando l’incidente è a lui imputabile, entro il limite del valore di mercato al momento della perdita. È una tutela che la proposta americana, concentrata su consulenti e fondi, affronta in modo più indiretto.

In Italia la cornice è nota. Consob vigila su condotta e trasparenza, Banca d’Italia sui profili prudenziali e sulle stablecoin (gli ART e gli EMT), secondo il decreto legislativo 129 del 2024; il periodo transitorio MiCA si è chiuso il 30 giugno 2026 e oggi nel Paese operano pochi CASP pienamente autorizzati. La stessa logica di separazione e responsabilità che l’articolo 75 impone ai custodi è il motivo per cui l’UE ha potuto stringere su altri fronti, come nel caso della stretta ESMA che spinge USDT fuori dai circuiti europei conformi.

Cosa cambia per l’investitore italiano

In concreto, un risparmiatore italiano non si affiderà a un consulente registrato presso la SEC: userà un exchange o un custode autorizzato in UE sotto MiCA. Perché allora seguire una proposta americana? Perché il modello statunitense fa da standard globale. Le regole di custodia della SEC plasmano i prodotti istituzionali (ETP, fondi) che poi arrivano, in forme diverse, anche sui mercati europei, e orientano le prassi dei grandi custodi internazionali che servono clienti di mezzo mondo.

C’è poi una lezione trasversale, valida ovunque: la custodia è un problema di prove, non di promesse. Un custode serio deve poter dimostrare, con controlli e attestazioni, che i beni ci sono e sono separati. È la stessa esigenza che spinge il settore verso le prove di riserva verificabili, un terreno dove tecnologie come quelle descritte nella nostra analisi di zk-ML, che permette di provare senza mostrare i dati, promettono attestazioni crittografiche più robuste dei vecchi certificati di un revisore.

Infine, chi sceglie l’autocustodia personale si prende in casa esattamente la responsabilità che la proposta SEC codifica per i professionisti: la gestione delle chiavi. E qualunque sia la forma di custodia, resta il nodo fiscale, perché i crypto-asset detenuti vanno comunque dichiarati e tassati; sul punto l’edizione italiana ha seguito il dibattito sulla Manovra 2027 e il nodo dell’aliquota al 26%.

Il calendario e cosa aspettarsi

I prossimi passaggi sono scanditi da alcune date. La consultazione sulla proposta di custodia resta aperta 60 giorni dalla pubblicazione sul Federal Register, quindi grosso modo fino a fine novembre o inizio dicembre. In parallelo, il 20 ottobre 2026 si chiude la finestra di commenti sulla più ampia Regulation Crypto Assets, l’altro grande cantiere regolatorio della SEC. E sullo sfondo c’è il lavoro congiunto con la CFTC sulla struttura di mercato, che le due agenzie contano di tradurre in regole fra la fine del 2026 e il 2027.

La variabile decisiva resta la stessa: una Commissione a due membri che corre a trasformare in regole scritte la propria linea prima che la finestra politica si chiuda. Se la proposta sulla custodia reggerà alla consultazione e a eventuali ricorsi, sarà la prova che il passaggio dall’enforcement al rulebook è davvero compiuto, almeno sul terreno che più di ogni altro ha fatto danni agli investitori: chi tiene le chiavi.

Domande frequenti

Che cosa ha proposto la SEC sulla custodia dei crypto-asset?

Il 1 ottobre 2026, con il comunicato 2026-100, la SEC ha proposto una regola che aggiorna le norme sulla custodia dell’Investment Advisers Act e dell’Investment Company Act del 1940. Riconosce le trust company di diritto statale come custodi qualificati, ammette un’autocustodia condizionata quando non è disponibile un custode qualificato e rimuove alcuni oneri contabili ritenuti obsoleti. La consultazione pubblica dura 60 giorni.

Che cos’è l’autocustodia condizionata prevista dalla proposta?

È la possibilità, per un consulente o un fondo, di detenere direttamente le chiavi dei crypto-asset dei clienti solo quando nessun custode qualificato è disposto a conservare quel bene. Deve essere verificata per iscritto ogni trimestre, richiede il controllo esclusivo delle chiavi, la doppia autorizzazione per i trasferimenti, la separazione dei beni e controlli contabili. Non è la regola, ma un’eccezione subordinata a presidi stringenti.

Perché si dice che la SEC passa «dall’enforcement al rulebook»?

Fino al 2025 la SEC regolava il settore soprattutto attraverso cause ed enforcement, contestando caso per caso la mancata registrazione dei token. Sotto Atkins ha spostato l’azione verso regole scritte, come la proposta sulla custodia e la Regulation Crypto Assets. L’enforcement non sparisce, ma si concentra sulle frodi vere e proprie, mentre le regole generali vengono definite con la procedura di consultazione.

Come viene regolata la custodia dei crypto-asset in Europa e in Italia?

Nell’Unione Europea la custodia per conto dei clienti è disciplinata dall’articolo 75 del regolamento MiCA, già in vigore, che impone segregazione dei beni, un registro per cliente, protezione in caso di insolvenza e una responsabilità del custode per le perdite a lui imputabili, nel limite del valore di mercato. In Italia vigilano Consob e Banca d’Italia secondo il decreto legislativo 129 del 2024.

La nuova regola americana riguarda chi fa autocustodia personale?

No, la proposta si rivolge ai consulenti registrati e ai fondi, non ai privati che custodiscono i propri crypto-asset con un wallet personale. Tuttavia il principio è lo stesso: chi controlla le chiavi si assume la responsabilità della loro gestione. Per il singolo investitore restano validi i soliti presidi, cioè backup delle chiavi, eventuale multisig e attenzione alla sicurezza.

Anneke de Vries è senior editor di HOGE Wire e segue la regolamentazione dei crypto-asset per l’edizione italiana.