DeFi conforme: conoscere tutti o non conoscere nessuno

Ogni regola antiriciclaggio del pianeta parte dallo stesso presupposto: che da qualche parte, in mezzo a una transazione, ci sia un intermediario. Una banca, un exchange, un prestatore di servizi che identifica il cliente, conserva i registri, segnala le operazioni sospette e, se arriva un ordine, congela i fondi. La finanza decentralizzata nasce proprio per cancellare quell’intermediario. È qui che la compliance della DeFi smette di essere una questione di moduli da compilare e diventa un problema di progettazione: se non c’è un gatekeeper, come si costruisce un protocollo che resti dentro le regole?

Nel 2026 due risposte opposte si sono affermate, e non potrebbero essere più diverse. La prima costruisce la DeFi in modo da conoscere tutti: liste bianche, identità verificata, soldi che si muovono solo tra portafogli approvati. La seconda la costruisce in modo da non conoscere nessuno: prove crittografiche che dimostrano la pulizia dei fondi senza rivelare chi li possiede. Capire queste due architetture, e il perché una stia raccogliendo miliardi mentre l’altra resta minuscola, è il modo migliore per capire dove sta andando la regolamentazione della DeFi in Europa e negli Stati Uniti.

Il problema di progettazione: conformità senza intermediario

Lo sfondo di mercato aiuta a inquadrare la posta in gioco. A metà ottobre 2026 Bitcoin viaggia poco sopra i 72.000 euro (CoinGecko), il mercato delle stablecoin supera i 300 miliardi di dollari con USDT e USDC a fare da padroni (CoinGecko), e il valore complessivo bloccato nei protocolli DeFi è sceso di quasi il 40% dall’inizio dell’anno (DefiLlama). In un anno di contrazione, il capitale che resta on-chain diventa più esigente: cerca protocolli che un’istituzione possa toccare senza violare le proprie regole interne. La conformità, insomma, è diventata una leva competitiva, non solo un obbligo.

Il nodo è strutturale. L’intero impianto antiriciclaggio, dalla normativa europea alle linee guida del GAFI, presuppone un soggetto obbligato che faccia KYC, conservi i dati e possa bloccare un conto. Uno smart contract immutabile non ha un ufficio compliance, non chiede documenti e non risponde al telefono quando un’autorità chiede di congelare un indirizzo. Il legislatore ha due strade: dichiarare la DeFi fuori perimetro (e rinunciare a presidiarla) oppure trovare un punto di controllo a cui agganciare le regole. L’Unione europea ha scelto la seconda via. Il 30 settembre 2026 si è chiusa la consultazione sulla revisione della MiCA, e nel suo parere l’ESMA ha proposto di creare un nuovo servizio regolamentato per chi fornisce accesso ai protocolli DeFi (ESMA); la relazione della Commissione ai sensi degli articoli 140 e 142 è attesa entro il 30 giugno 2027 (Commissione europea). Da qui al 2027, quindi, non si decide solo se la DeFi vada regolata, ma dove e come la regola riuscirà ad agganciarsi al codice.

Perché il perimetro segue il controllo

Per capire le due architetture serve un concetto solo: il controllo. Il GAFI lo ha messo nero su bianco nel suo rapporto di luglio 2026 sulle sfide regolamentari della DeFi, con il cosiddetto test del controllo o dell’influenza sufficiente (control or sufficient influence). La regola è semplice nell’enunciato: ovunque una persona fisica o giuridica eserciti controllo o influenza sufficiente su un protocollo, quel protocollo rientra nel perimetro dei soggetti obbligati, a prescindere dall’etichetta «decentralizzato» che si è data (Chainalysis). Gli indicatori di controllo sono concreti: chiavi di amministrazione, capacità di aggiornare i contratti, direzione dei flussi di commissioni e tesoreria, influenza sul team di sviluppo e sull’infrastruttura di front-end.

Il rapporto distingue tre casi: protocolli con controllori identificabili (soggetti pieni agli obblighi), protocolli di fatto centralizzati ma con i controllori nascosti (comunque dentro il perimetro, con l’onere per le autorità di scovarli) e protocolli realmente senza leader (fuori dalle regole sui VASP, ma con un rischio residuo da mitigare). I numeri raccontano quanto sia teorico tutto questo: circa il 93% delle giurisdizioni esaminate non ha ancora applicato gli standard ai protocolli DeFi qualificabili, e solo una manciata ha licenziato o registrato un singolo soggetto DeFi. Nella MiCA il principio è lo stesso: il Considerando 22 tiene fuori i servizi «pienamente decentralizzati» privi di un intermediario, ma tutto ciò che ha un operatore identificabile rientra. Ne discende una conseguenza che guida l’intero articolo: se la responsabilità segue il controllo, allora il modo in cui progetti il controllo, concentrandolo in una lista bianca o dissolvendolo in una prova crittografica, decide se e come sarai regolato. Le due architetture che seguono sono, in fondo, due risposte alla stessa domanda: dove metto il controllo?

Primo polo: la DeFi permissioned, conoscere tutti

La prima architettura risolve il problema del controllo abbracciandolo. Se la regola richiede un gatekeeper, allora il protocollo diventa il gatekeeper: ammette solo portafogli che hanno superato una verifica, tiene fuori gli altri e sa in ogni momento chi c’è dentro. È la DeFi permissioned, e la sua incarnazione più nota è Aave. Il primo esperimento, Aave Arc, usava un whitelister (Fireblocks) per ammettere solo istituzioni già sottoposte a KYC. L’evoluzione del 2026 si chiama Aave Horizon, lanciata nell’agosto 2025 e pensata per il collaterale tokenizzato del mondo reale (RWA).

Horizon è interessante proprio perché è un ibrido calibrato. Solo soggetti inseriti nella lista bianca possono fornire o prendere a prestito contro collaterale RWA, ma qualunque portafoglio può fornire liquidità in stablecoin (USDC, RLUSD, GHO) senza alcun KYC. In altre parole, il lato istituzionale è chiuso, il lato retail della liquidità resta aperto. La traiettoria dei numeri è istruttiva: i depositi hanno superato i 600 milioni di dollari entro gennaio 2026, rendendo Horizon il più grande mercato di prestito RWA permissioned on-chain, per poi ripiegare a circa 255 milioni di dollari di valore bloccato a un anno dal lancio (Sentora Research). La DAO di Aave ha fissato per il 2026 l’obiettivo di superare il miliardo di depositi, con GHO come asset di prestito preferito (Aave). È l’esatto opposto dello spirito originario della DeFi: niente accesso senza permesso, ma in cambio un mercato che una banca può usare senza infrangere le proprie regole.

Il prezzo da pagare è evidente e vale la pena nominarlo subito: la DeFi permissioned reintroduce esattamente l’intermediario che la DeFi era nata per rimuovere. Chi tiene la lista bianca esercita controllo, e il controllo, come abbiamo visto, attira la responsabilità. Ma è una responsabilità che le istituzioni sanno gestire, perché è lo stesso mestiere che fanno fuori dalla blockchain.

Lo standard del token conforme: ERC-3643 e ONCHAINID

Se la DeFi permissioned ha bisogno di sapere chi muove i fondi, la cosa più pulita è scrivere quella regola dentro il token stesso. È ciò che fa ERC-3643, lo standard dei token permissioned noto anche come T-REX. A differenza di un normale ERC-20, un token ERC-3643 può essere trasferito solo tra portafogli la cui identità è stata verificata on-chain: la conformità non è un controllo esterno aggiunto a valle, è una proprietà del token che viaggia con esso a ogni transazione. L’identità è gestita da un registro separato, ONCHAINID, che associa a un portafoglio una serie di credenziali verificabili (ha superato il KYC, è un investitore qualificato, risiede in una certa giurisdizione) senza esporre i documenti sottostanti.

I numeri qui sono di un ordine di grandezza diverso rispetto a qualunque protocollo nativo DeFi. L’associazione che cura lo standard dichiara oltre 32 miliardi di dollari di asset tokenizzati su ERC-3643, in più di 180 giurisdizioni, con adottanti istituzionali del calibro di DTCC, Apex Group, Invesco, Franklin Templeton e Fasanara Capital (ERC3643 Association). Lo standard è stato presentato alla SEC statunitense nel 2025, usato nei progetti pilota Project Guardian di Singapore e ha avviato un percorso di standardizzazione ISO (Tokeny). È il segnale più chiaro di dove sta andando il denaro serio: non verso protocolli anonimi, ma verso binari dove ogni partecipante è noto per costruzione. Per il regolatore è una manna, perché individua immediatamente l’operatore responsabile; per il purista della DeFi è una resa, perché un token che decide da solo chi può possederlo somiglia molto a un titolo gestito da un depositario, solo scritto in Solidity.

Il DeFi mullet: front-end regolato, motore on-chain

Tra la DeFi aperta e la finanza tradizionale sta crescendo una terza forma, che gli addetti ai lavori chiamano con ironia il «DeFi mullet»: ordinato e presentabile davanti, selvaggio dietro. Davanti c’è un’interfaccia fintech regolata, con KYC e contratti; dietro, il motore è un protocollo on-chain. Il credito privato tokenizzato è il caso d’uso che ha fatto esplodere questa formula. Maple Finance, la piattaforma di prestito istituzionale, ha chiuso la prima metà del 2026 con circa 4,6 miliardi di dollari di masse gestite e ha riferito a metà settembre 4,8 miliardi di AUM e 7,4 miliardi di erogazioni da inizio anno, con un obiettivo dichiarato di 10 miliardi (Maple Finance, KuCoin News). In un anno in cui la DeFi complessiva perdeva quasi il 40%, Maple cresceva dell’81% su base annua.

Centrifuge racconta una storia simile, con i suoi alti e bassi. Ha chiuso il terzo trimestre 2026 intorno al miliardo di dollari di valore bloccato, in calo del 38% sul trimestre dopo aver toccato circa 2 miliardi a inizio anno (crypto.news). Ma i segnali istituzionali sono forti: Coinbase lo ha scelto come infrastruttura di tokenizzazione preferita, entrando nel capitale, ed Ethena ha allocato 250 milioni di dollari al fondo di credito JAAA (Janus Henderson Anemoy AAA CLO) sulla piattaforma (Crypto Briefing). Sid Powell, amministratore delegato di Maple, riassume la tesi di fondo del polo permissioned: in un paio d’anni, sostiene, le istituzioni non distingueranno più tra DeFi e TradFi, e alla fine tutta l’attività dei mercati dei capitali finirà on-chain (CoinDesk). È una visione in cui la conformità non è un ostacolo ma il biglietto d’ingresso per il capitale che conta. Chi segue da vicino la mossa delle banche italiane verso la custodia e gli ETP cripto riconoscerà lo stesso schema: l’istituzione entra solo dove può identificare la controparte.

Secondo polo: le Privacy Pools, non conoscere nessuno

L’altra architettura parte dalla convinzione opposta: che la privacy non sia incompatibile con la legalità, e che si possa dimostrare la pulizia dei propri fondi senza rivelare la propria identità. Il riferimento teorico è un paper del 6 settembre 2023, «Blockchain Privacy and Regulatory Compliance: Towards a Practical Equilibrium», firmato tra gli altri da Vitalik Buterin insieme a Jacob Illum di Chainalysis e ai ricercatori Matthias Nadler e Fabian Schar dell’Università di Basilea e ad Ameen Soleimani (The Block). L’idea è quella degli association set: un utente prova con una dimostrazione a conoscenza zero (zero-knowledge) che i propri fondi provengono da un insieme di depositi leciti, e cioè che NON provengono da fonti illecite note, senza dover svelare quale deposito sia esattamente il suo. È il rovescio esatto della lista bianca: invece di dire «so chi sei», il sistema dice «so che non sei sporco».

L’implementazione concreta è Privacy Pools, costruita da 0xbow e lanciata sulla mainnet di Ethereum il 31 marzo 2025 (The Block). Qui arriva la parte onesta della storia, quella che separa l’eleganza tecnica dall’adozione reale. Secondo il cruscotto di L2BEAT, Privacy Pools conta circa 9 milioni di dollari di valore bloccato e poche migliaia di utenti complessivi tra le varie catene su cui è presente (L2BEAT); 0xbow ha chiuso un round seed da 3,5 milioni di dollari guidato da Starbloom Capital (National Law Review). Sono cifre minuscole accanto ai 32 miliardi di ERC-3643 o ai 4,8 miliardi di Maple. Il polo che non conosce nessuno è tecnicamente brillante e commercialmente marginale; il polo che conosce tutti è concettualmente scomodo e finanziariamente enorme. Questa asimmetria è, da sola, la fotografia più nitida di dove il mercato ritiene che stia la conformità vendibile.

Resta anche una domanda legale aperta e scomoda: chi cura l’association set, cioè chi decide quali depositi sono «leciti», esercita una forma di controllo? E un mixer che filtra i fondi illeciti è comunque trasmissione di denaro? È l’ombra lunga del caso Tornado Cash, di cui parliamo più avanti.

La via di mezzo: zk-KYC e le credenziali verificabili

Tra i due poli sta maturando un compromesso che prova a prendere il meglio di entrambi: la zk-KYC. L’idea è separare la verifica dall’uso. Un emittente fidato (una banca, un fornitore di identità) verifica una volta i documenti e rilascia una credenziale verificabile; da quel momento l’utente può dimostrare a un protocollo un singolo attributo (ho superato il KYC, ho più di 18 anni, non sono in una lista di sanzioni, risiedo nel SEE) con una prova a conoscenza zero, senza che il protocollo veda mai passaporto o volto. Lo stack si appoggia alle credenziali verificabili del W3C e a reti come Privado ID (ex Polygon ID) o zkMe, pensate per allinearsi alle raccomandazioni del GAFI (Chainlink).

Sulla carta è la quadratura del cerchio: conformità senza sorveglianza, identità senza honeypot di dati. Nella pratica c’è un ostacolo normativo preciso: né l’AMLR europeo né il GAFI hanno finora riconosciuto una prova a conoscenza zero come adempimento sufficiente e autonomo degli obblighi di adeguata verifica. Il soggetto obbligato resta responsabile e deve poter ricostruire l’identità reale in caso di richiesta dell’autorità (il cosiddetto meccanismo di break-glass). Finché quel riconoscimento non arriva, la zk-KYC vive in una zona grigia utile ma non risolutiva, ed è anche il motivo per cui la gran parte del denaro istituzionale sceglie ancora la lista bianca esplicita.

Il livello che sta sotto a entrambi: la stablecoin congelabile

C’è un punto di controllo che le due architetture condividono, perché sta sotto a entrambe: l’asset di regolamento. Quasi tutta la DeFi gira su stablecoin, e la stablecoin è emessa da un soggetto privato che, per legge, deve poter intervenire sul proprio token. Il GENIUS Act statunitense, firmato il 18 luglio 2025, impone agli emittenti di stablecoin di pagamento la capacità tecnica di congelare, sequestrare o bruciare unità su ordine legittimo (Casa Bianca). La MiCA ottiene lo stesso effetto per altra via: solo le stablecoin autorizzate come EMT possono circolare sulle piattaforme europee, e dal 1 luglio 2026 USDT è stata di fatto esclusa dai listini SEE perché Tether non ha chiesto l’autorizzazione, mentre USDC ed EURC di Circle sono conformi. Il GAFI, nel suo rapporto di marzo 2026, raccomanda agli emittenti di incorporare funzioni di congelamento e deny-list direttamente nello smart contract e di monitorare il mercato secondario.

La conseguenza è dirompente per il dibattito sulla decentralizzazione: non importa quanto sia decentralizzato il protocollo di prestito o lo scambio, se il valore che vi scorre dentro è una stablecoin congelabile, l’autorità ha già il suo pulsante. Il controllo non è stato eliminato, è stato spostato di un livello, dall’applicazione all’asset. È il tema che abbiamo analizzato parlando di come il bottone di congelamento degli emittenti sia diventato la vera regola antiriciclaggio. Per chi costruisce DeFi conforme è un’arma a doppio taglio: la stablecoin regolata porta fiducia istituzionale, ma consegna a un emittente privato il potere di bloccare fondi che transitano sul tuo protocollo.

Il banco di prova giudiziario: Tornado Cash, Storm, Ooki

Perché l’architettura conta davvero lo ha deciso un’aula di tribunale, non un white paper. La vicenda Tornado Cash ha fissato il principio che il codice, da solo, è intoccabile, ma un servizio costruito attorno al codice è condotta. Nel novembre 2024 la Corte d’appello del Quinto Circuito (caso Van Loon) ha stabilito che gli smart contract immutabili non sono «proprietà» sanzionabile ai sensi dell’IEEPA, e nel marzo 2025 l’OFAC ha rimosso Tornado Cash dalla lista (CoinDesk). Ma lo sviluppatore Roman Storm è stato condannato nell’agosto 2025 per aver gestito un’attività di trasmissione di denaro senza licenza; sui capi di riciclaggio e violazione delle sanzioni la giuria non ha raggiunto un verdetto, e il nuovo processo è fissato per il 26 aprile 2027 davanti alla giudice Katherine Polk Failla (Decrypt). La linea del Dipartimento di Giustizia, nelle parole del vice procuratore generale aggiunto Matthew Galeotti, è netta: scrivere codice senza intento criminale non è reato (CoinDesk).

Il secondo caso chiave riguarda le DAO. Nel giugno 2023 la CFTC ha ottenuto una sentenza contumaciale contro Ooki DAO, trattando la DAO come un’associazione non riconosciuta e quindi una «persona» ai sensi della normativa sui derivati, con i detentori dei token di governance assimilati ai membri; sanzione civile da 643.542 dollari e ordine di mettere offline il sito (CFTC). La lezione, che collega i due casi, è quella che abbiamo già visto all’opera: la responsabilità segue il controllo e il profitto, non l’etichetta. Ed è esattamente qui che le due architetture divergono nel rischio. Un sistema permissioned concentra il controllo in un operatore noto che però ha una licenza e sa gestirlo; un sistema a conoscenza zero prova a dissolvere il controllo, ma se un curatore dell’association set o un front-end finisce per esercitarlo di fatto, si ritrova nella stessa posizione di Storm. Avevamo mappato questo intreccio nel nostro pezzo su chi risponde quando resta solo il codice.

La risposta europea: il servizio di accesso dell’ESMA

L’Unione europea ha capito che non serve regolare il codice se si regola la porta. È la proposta più rilevante uscita dalla revisione MiCA: l’ESMA chiede un nuovo servizio regolamentato per i soggetti che forniscono accesso ai protocolli DeFi, cioè interfacce web, portafogli e aggregatori (The TRADE). Il principio è coerente con il test del controllo: gli obblighi vanno calibrati su quanto controllo il soggetto esercita sul protocollo, e l’ESMA precisa che lo sviluppo open-source, la self-custody e l’infrastruttura permissionless non dovrebbero, da soli, qualificare qualcuno come intermediario regolato. L’autorità mette in guardia anche contro il «decentralisation washing», l’etichetta di piena decentralizzazione usata da operatori in realtà identificabili per restare fuori dal perimetro (CryptoTicker).

Qui le due architetture si leggono in trasparenza. Un protocollo permissioned ha, per definizione, un operatore che fornisce accesso controllato: sarebbe il primo a rientrare nel nuovo servizio regolamentato. Un protocollo a conoscenza zero realmente senza leader potrebbe restarne fuori, a patto che nessuno (curatore dell’association set, gestore del front-end) eserciti di fatto il controllo. La zona più incerta è quella dei nuovi attori che accedono alla DeFi in modo automatico: gli agenti AI che operano on-chain da soli, un tema che abbiamo esplorato parlando di DeFAI e di quando sono gli agenti a gestire la DeFi. Non tutti in Europa sono convinti che serva un nuovo impianto. Peter Kerstens, consigliere della Commissione e tra gli architetti della MiCA, al WAIB Summit di Monaco ha liquidato la questione con un interrogativo: non vede quale sia il problema, e se non c’è un problema, perché regolamentarlo? (Cointelegraph). La sua tesi è di dare priorità alla tokenizzazione piuttosto che a una MiCA-2 sulla DeFi.

Gli strumenti duri: oscuramenti Consob e il front-end

Se la porta è il punto di controllo, l’Italia ha già in mano una chiave che l’ESMA vorrebbe estendere a tutta l’Unione: il potere di oscurare i siti. Dal 2019, con l’articolo 7-octies del TUF introdotto dal Decreto Crescita, la Consob può ordinare ai provider di inibire l’accesso ai portali che offrono servizi finanziari abusivi. Il contatore corre: a fine settembre 2026 i portali oscurati erano 1.829, dei quali circa 235 a tema cripto (Consob). È esattamente il tipo di leva che l’ESMA ha chiesto di generalizzare: rilevare, bloccare e disattivare i siti fraudolenti e congelare le cripto collegate ad abusi di mercato o finanziamento del terrorismo.

Il meccanismo funziona perché colpisce ciò che è aggredibile. Lo smart contract on-chain non si può censurare, ma il front-end ospitato su un dominio è un soggetto giuridico, con un responsabile e un hosting. È la stessa logica per cui negli Stati Uniti Uniswap Labs filtra gli indirizzi segnalati da OFAC tramite TRM Labs: il contratto resta neutro, l’interfaccia obbedisce. Per il lettore italiano il doppio binario è quello disegnato dal D.lgs. 5 settembre 2024 n. 129: Consob per la condotta di mercato e la tutela dell’investitore, Banca d’Italia per gli aspetti prudenziali e sulle stablecoin. Un protocollo permissioned con sede identificabile è facilmente raggiungibile da questi strumenti; un front-end di un protocollo a conoscenza zero lo è altrettanto, nel momento in cui qualcuno lo ospita e lo gestisce.

Lo stack antiriciclaggio UE: TFR, AMLR e AMLA

Attenzione a non confondere i piani: la MiCA non è una normativa antiriciclaggio. L’AML europeo viaggia su un binario separato, fatto di tre pezzi. Il primo è il Regolamento sui trasferimenti di fondi (TFR), in vigore dal 30 dicembre 2024, che per le cripto non prevede soglia minima (la Travel Rule si applica a qualsiasi importo) e impone controlli rafforzati sui trasferimenti da e verso portafogli self-hosted sopra i 1.000 euro. Il secondo è l’AMLR, il regolamento antiriciclaggio unico, che si applicherà in tutti i 27 Stati dal 10 luglio 2027 e vieterà i conti anonimi e le monete che oscurano le transazioni. Il terzo è l’AMLA, la nuova autorità europea con sede a Francoforte, che coordinerà le FIU e vigilerà direttamente sui soggetti a più alto rischio (Financial Regulations).

C’è una nota tutta italiana che vale la pena segnalare: a presiedere l’AMLA è Bruna Szego, già a capo dell’unità antiriciclaggio della Banca d’Italia. E in Italia le segnalazioni di operazioni sospette passano dalla UIF, l’unità di informazione finanziaria presso la Banca d’Italia. Per le due architetture, questo stack cambia il calcolo in modo asimmetrico: un protocollo permissioned può integrare nativamente la Travel Rule e la segnalazione, perché conosce le controparti; un protocollo a conoscenza zero, invece, è strutturalmente in tensione con un regime che pretende di poter risalire all’identità e che dal 2027 metterà al bando l’anonimato. La via di mezzo, la zk-KYC, è pensata proprio per questo mondo, ma come abbiamo visto non ha ancora il riconoscimento formale che la renderebbe sufficiente.

Funziona? Il prezzo delle due architetture

Resta la domanda scomoda: tutta questa ingegneria della conformità serve davvero a fermare il crimine? La risposta onesta è che il beneficio è più incerto di quanto il dibattito suggerisca. Peter Van Valkenburgh del Coin Center sostiene, dati alla mano, che l’attuale regime antiriciclaggio fa notevolmente poco per prevenire la finanza illecita, a fronte di costi di compliance che superano i 26 miliardi di dollari l’anno solo negli Stati Uniti, mentre la quota di proventi criminali effettivamente sequestrati resta una frazione di punto percentuale (Coin Center). Le due architetture ereditano questo dubbio in modo diverso. La DeFi permissioned offre al regolatore un interlocutore vero e un registro pulito, ma lo fa reintroducendo l’intermediario che la DeFi voleva eliminare: è conformità che funziona perché smette di essere DeFi. Le Privacy Pools promettono conformità senza sorveglianza, ma restano minuscole e trascinano la questione irrisolta del «mixer conforme», con l’ombra di Storm sempre presente.

C’è poi un costo nascosto che tocca da vicino il risparmiatore italiano, ed è fiscale. La MiCA e la stretta dell’ESMA stanno spingendo fuori dai listini europei le stablecoin non conformi: chi detiene USDT dovrà convertirla in USDC, EURC o euro. Ma in Italia una conversione da cripto a cripto è una cessione, e quindi un evento potenzialmente imponibile, non un semplice cambio di binario. È il tipo di dettaglio che trasforma un adempimento regolamentare in un conto da pagare, e che abbiamo analizzato nel confronto sulle aliquote cripto tra Italia ed Europa, con l’anomalia del 33%. Scegliere un’architettura conforme, per l’utente, non è mai gratis: o paghi in privacy (lista bianca) o paghi in incertezza legale (conoscenza zero) o paghi in tasse (conversione dell’asset).

Cosa significa per chi costruisce e chi usa in Italia

Per chi costruisce, la bussola è una sola: il controllo è la responsabilità. Se tieni chiavi di amministrazione, puoi aggiornare i contratti, indirizzi le commissioni o gestisci il front-end, sei un operatore identificabile e, nel disegno europeo che sta prendendo forma, molto probabilmente un soggetto regolato. Da lì due strade coerenti. La prima è abbracciare il polo permissioned: lista bianca, ERC-3643, Travel Rule nativa, e una licenza CASP come costo d’ingresso per raccogliere capitale istituzionale. La seconda è una decentralizzazione autentica: niente chiavi, niente front-end proprietario, niente commissioni dirette, accettando che il protocollo resti fuori perimetro ma anche privo di quelle tutele che attraggono i grandi. La terza via, quella pigra, è il «decentralisation washing», ed è proprio quella che l’ESMA ha dichiarato di voler colpire.

Per chi usa, la scelta dell’architettura è una scelta di valori travestita da scelta tecnica. Un mercato permissioned come Aave Horizon ti chiede l’identità ma ti offre controparti note e la cornice della MiCA; un protocollo a conoscenza zero ti offre privacy ma ti lascia in una zona grigia legale che in Europa, dal 2027, diventerà più stretta. In entrambi i casi, lo strato della stablecoin resta congelabile, quindi l’idea di una DeFi del tutto fuori dalla portata di un’autorità è, per l’utente medio che opera in euro e passa da un CASP italiano, più un desiderio che una realtà. La compliance della DeFi, nel 2026, non si gioca più sul fatto che il codice sia incensurabile: si gioca su dove hai messo il controllo quando hai costruito il sistema, e su chi conosce chi quando il denaro si muove.

Domande frequenti

Che cos’è la DeFi permissioned?

La DeFi permissioned è un modello in cui solo portafogli con identità verificata possono accedere al protocollo o a parte delle sue funzioni. L’accesso passa da una lista bianca o da token conformi come ERC-3643, in cui la verifica dell’identità è incorporata nel token stesso. È l’approccio scelto da mercati istituzionali come Aave Horizon e dalle piattaforme di credito tokenizzato come Maple.

Le Privacy Pools sono legali in Europa?

Le Privacy Pools non sono vietate in quanto tali, ma vivono in una zona grigia. Usano prove a conoscenza zero per dimostrare che i fondi non provengono da fonti illecite senza rivelare l’identità, un approccio pensato per la conformità. Il punto aperto è se chi cura l’insieme dei depositi leciti o chi gestisce il front-end eserciti un controllo tale da diventare un soggetto regolato, e dal 10 luglio 2027 l’AMLR europeo vieterà comunque gli strumenti che anonimizzano le transazioni.

La MiCA si applica alla DeFi?

La MiCA non si applica ai servizi pienamente decentralizzati e privi di un intermediario, come chiarisce il Considerando 22. Si applica però ai prestatori di servizi (CASP), agli emittenti e ai front-end identificabili. Nella revisione del 2026 l’ESMA ha proposto di creare un nuovo servizio regolamentato per chi fornisce accesso ai protocolli DeFi, così da agganciare la regola alla porta di ingresso anziché al codice.

Che cos’è la prova a conoscenza zero nella conformità crypto?

Una prova a conoscenza zero (zero-knowledge) permette di dimostrare che un’affermazione è vera senza rivelare i dati sottostanti. Nella conformità serve a provare un attributo (ho superato il KYC, non sono in una lista di sanzioni, risiedo nel SEE) senza mostrare documenti o identità. È la base sia delle Privacy Pools sia della zk-KYC, anche se nessuna autorità ha ancora riconosciuto questa prova come adempimento autonomo degli obblighi antiriciclaggio.

Convertire una stablecoin non conforme come USDT è un evento fiscale in Italia?

Sì. In Italia una conversione da cripto a cripto, come passare da USDT a USDC o a EURC, è considerata una cessione e quindi un evento potenzialmente imponibile. Poiché la stretta dell’ESMA spinge fuori dai listini europei le stablecoin non autorizzate entro l’inizio del 2027, molti detentori italiani si troveranno a dover convertire, con le relative conseguenze fiscali.

Anneke de Vries è senior editor per la regolamentazione di HOGE Wire e segue l’attuazione della MiCA e il diritto cripto europeo.