Compliance DeFi 2026: funziona davvero e quanto costa?

Questa settimana l’attenzione di chi si occupa di riciclaggio si sposta a Parigi. Da lunedì 26 ottobre si apre la FATF Week, e tra il 28 e il 30 ottobre si tiene la prima plenaria del GAFI sotto la presidenza britannica di Giles Thomson. Sul tavolo non c’è soltanto la lotta alle frodi o la valutazione reciproca di Messico e Stati Uniti: c’è anche lo stato dell’attuazione degli standard sugli asset virtuali, il capitolo in cui rientra la finanza decentralizzata.

Mentre i delegati si riuniscono, il mercato resta nervoso ma ordinato. Bitcoin viaggia poco sotto i 72.000 euro (circa 71.700 euro, in lieve calo sulla giornata), il valore totale bloccato nei protocolli DeFi si aggira sui 89 miliardi di dollari secondo DefiLlama, e le stablecoin valgono nel complesso circa 297 miliardi di dollari, con Tether e USDC a coprirne oltre l’85% stando a CoinGecko.

La domanda interessante, però, non è più «quali sono le regole per la DeFi». Quelle, in larga parte, sono scritte. Il MiCA è pienamente in vigore in Europa, negli Stati Uniti il GENIUS Act è legge dal luglio 2025, il pacchetto antiriciclaggio europeo scatta nel 2027 e, dato forse più eloquente di tutti, l’83% delle giurisdizioni esaminate dal GAFI ha ormai una legge che recepisce la Travel Rule. La domanda vera è un’altra: queste regole mordono davvero sulla finanza decentralizzata, e a quale prezzo?

Questo articolo prova a mettere in fila i conti, come farebbe un revisore. Da una parte quello che l’apparato di compliance prende davvero; dall’altra quello che costa, a chi, e dove perde pezzi. L’anticipazione, per onestà, sta già nei numeri qui sopra: il manuale è quasi completo, ma si aggancia a una manciata di punti di controllo; i benefici sono reali ma stretti, i costi sono grandi e distribuiti su tutti, e sulla DeFi in senso proprio quasi nessuno lo applica.

La settimana giusta per fare i conti

Il momento per un bilancio non è casuale. La plenaria del GAFI arriva a chiusura di un ciclo regolatorio quasi completo. In Europa la revisione del MiCA ha chiuso la consultazione mirata il 30 settembre, con 86 domande e una sezione interamente dedicata a DeFi, staking, lending e mercati di previsione; i rapporti della Commissione previsti dagli articoli 140 e 142 sono attesi entro il 30 giugno 2027 (finance.ec.europa.eu). L’8 ottobre l’ESMA ha pubblicato un parere che impone ai fornitori di servizi di chiudere entro tre mesi, cioè entro l’8 gennaio 2027, le attività legate a stablecoin non conformi (ESMA75-113276571-1742).

Sull’altra sponda dell’Atlantico il calendario corre parallelo. La SEC ha chiuso il 20 ottobre la finestra dei commenti sulla sua proposta di Regulation Crypto Assets e, con l’organo ridotto a pochi commissari, ora decide di fatto in due; il GENIUS Act entra in vigore il 18 gennaio 2027. Il punto è che, da qualunque lato lo si guardi, la fase della scrittura delle norme sta finendo. Comincia quella della verifica: funziona? La risposta richiede di separare bene due cose che nel dibattito pubblico si confondono di continuo, cioè che cosa sia davvero la «compliance DeFi» e a chi, in concreto, si attacchi.

Compliance DeFi: che cosa vuol dire, e a chi tocca

«Compliance DeFi» non è una cosa sola. È la somma di cinque superfici normative distinte, ognuna con la propria autorità, la propria norma e la propria logica. Un errore ricorrente, anche nei titoli dei giornali, è pensare che «la Consob regola l’antiriciclaggio delle crypto». Non è così. La Consob, nel quadro del MiCA, vigila sulla condotta di mercato e sulla tutela dell’investitore; l’antiriciclaggio in Italia fa capo all’Unità di Informazione Finanziaria presso la Banca d’Italia e, dal 2027, al regolamento europeo AMLR con la nuova autorità AMLA di Francoforte. Sono binari diversi, con sanzioni diverse.

La verifica dell’identità, quella che un utente italiano incontra alla cassa di un gioco o di un exchange, è solo il primo di questi binari. Mettere ordine tra i cinque serve non per pedanteria, ma perché il conto costi-benefici cambia superficie per superficie: alcune funzionano, altre no, e confonderle produce sia falsi allarmi sia falsa tranquillità. La tabella che segue le separa nella versione italiana.

Un dettaglio accomuna tutte e cinque le righe: nessuna si attacca «al codice». Si attaccano a una persona o a un’impresa che esercita un controllo. È questa la chiave di volta di tutto il dibattito, ed è anche la logica con cui il GAFI ha deciso di affrontare la DeFi.

Il perimetro è il controllo: la logica del GAFI

Nel luglio 2026 il GAFI ha pubblicato un rapporto mirato sulle sfide regolatorie poste dalla finanza decentralizzata. Il cuore del documento è un test, riassunto nella sigla COSI, «control or sufficient influence»: un assetto DeFi rientra nel perimetro delle regole ogni volta che una persona fisica o giuridica esercita un controllo o un’influenza sufficiente sul suo funzionamento. Non conta l’etichetta che il progetto sceglie per sé, conta chi tiene le leve.

Da qui discendono tre categorie, ben descritte nell’analisi di Chainalysis. La prima: protocolli con controllori identificabili, che vanno trattati come veri e propri VASP, con obblighi antiriciclaggio pieni. La seconda: protocolli di fatto centralizzati ma con i controllori nascosti, comunque dentro il perimetro, con l’onere per i supervisori di individuarli anche tramite analisi on-chain. La terza: assetti genuinamente senza leader, fuori dalle regole sui VASP ma non esenti da misure di mitigazione del rischio residuo. Gli indicatori di controllo elencati dal GAFI sono concreti: concentrazione dei token di governance, chiavi di amministrazione e di aggiornamento, direzione dei flussi di commissioni e di tesoreria, influenza sul team di sviluppo e sull’infrastruttura di front-end.

È una logica elegante e, sulla carta, quasi inattaccabile: la compliance segue il controllo. Il problema, come vedremo, è che tra la logica e l’applicazione c’è un abisso. Prima però conviene guardare il lato positivo del registro, perché esiste e va riconosciuto.

La colonna dei benefici: cosa prende davvero la rete

La tesi più forte a favore dell’intero apparato è anche la più contro-intuitiva: proprio perché una blockchain è un registro pubblico e permanente, tracciare i fondi è spesso più facile sulla catena che nel sistema bancario tradizionale. Lo dice la stessa Chainalysis nel suo rapporto 2026: la quota illecita di tutto il volume on-chain attribuito resta sotto l’1%. Non significa che il crimine sia sparito, significa che la trasparenza del libro mastro aiuta chi indaga.

Su questa trasparenza si è costruita un’intera industria: Chainalysis, Elliptic e TRM Labs vendono ad autorità ed exchange strumenti per attribuire gli indirizzi e ricostruire i percorsi dei fondi. È un vantaggio reale rispetto al contante, dove la traccia si perde. Con un limite che gli stessi investigatori riconoscono: l’analisi on-chain è probabilistica, non una prova matematica, e un’attribuzione sbagliata può colpire un innocente. Resta comunque la ragione per cui un numero crescente di procure tratta la blockchain come una fonte di prova, non soltanto come una scena del crimine.

I tribunali lo hanno riconosciuto. Nel caso Bitcoin Fog, un giudice federale statunitense, Randolph Moss, ha definito le prove ricavate dall’analisi della catena «altamente affidabili», superando l’esame di ammissibilità sulle prove scientifiche (Chainalysis, blockchain forensics). E il sequestro più eclatante lo conferma: nel febbraio 2022 il Dipartimento di Giustizia americano recuperò circa 3,6 miliardi di dollari in bitcoin legati all’attacco del 2016 a Bitfinex, allora il più grande sequestro finanziario della sua storia, proprio seguendo le tracce lasciate sulla catena (CNBC).

Anche sui front-end la compliance morde. Dopo le sanzioni del 2022 contro Tornado Cash, interfacce come quella di Uniswap, affiancata dagli strumenti di TRM Labs, hanno cominciato a filtrare gli indirizzi segnalati, bloccandone alcune centinaia nel giro di pochi giorni (The Block). Qui sta però il primo asterisco onesto: tutti questi successi avvengono ai bordi del sistema, cioè sugli exchange, sulle rampe fiat e sui siti web, non dentro il protocollo. La rete prende chi passa da un punto di controllo. Chi non ci passa, resta invisibile.

La colonna dei costi: oltre 26 miliardi l’anno

Se i benefici vanno riconosciuti, i costi vanno quantificati. Il riferimento più citato è lo studio di Coin Center firmato da Peter Van Valkenburgh e Ian Miers, «Tear Down this Walled Garden». I numeri sono severi: negli Stati Uniti la spesa per la compliance antiriciclaggio supera i 26 miliardi di dollari l’anno, con le banche più grandi che spendono oltre 10 miliardi ciascuna; a livello globale le Nazioni Unite stimano che venga mai sequestrato o congelato circa lo 0,2% dei proventi criminali, e il criminologo Ronald Pol ha calcolato che il sistema ne intercetti forse lo 0,1%.

Il giudizio di Van Valkenburgh è netto: l’attuale regime antiriciclaggio, scrive, «fa notevolmente poco per prevenire la finanza illecita». È una frase che pesa, perché arriva da chi studia la materia, non da un libertario qualunque. E il costo non è neutro: è regressivo. Grava più sul piccolo utente, sulla startup, sul progetto open source che sulla grande banca, perché i costi fissi di conformità sono gli stessi ma incidono in modo diverso. A questo si aggiunge un costo meno visibile ma reale, l’effetto raffreddamento sullo sviluppo: dopo il caso Tornado Cash, scrivere software che tocca la privacy è diventato un esercizio di calcolo del rischio legale, non solo tecnico.

C’è poi un costo che non appare in nessun bilancio: quello dei falsi positivi. I sistemi antiriciclaggio generano allarmi a valanga, di cui solo una piccola parte si traduce in una segnalazione reale, e la reazione difensiva degli intermediari, segnalare tutto pur di non rischiare, ha prodotto un fenomeno ormai noto: la chiusura preventiva dei conti a interi settori giudicati rischiosi. Le imprese cripto lo chiamano debanking, cioè l’esclusione in blocco dal sistema bancario non per un sospetto specifico, ma perché il rischio di conformità non vale il cliente. Anche questo è un costo, e ricade su chi è perfettamente in regola.

Nessuna di queste cifre, da sola, chiude il discorso. Un apparato può costare molto e intercettare poco e restare comunque utile, se almeno alza il costo del crimine o fornisce prove nei processi. Ma per giudicare serve guardare il dato che mette d’accordo quasi tutti gli osservatori, e che è il vero cuore di questa pagella: il divario tra regole scritte e regole applicate.

Il buco dell’applicazione: la legge c’è, l’applicazione no

Il settimo aggiornamento mirato del GAFI, pubblicato a luglio 2026, fotografa un paradosso. Sulla carta la Travel Rule ha fatto progressi: l’83% delle giurisdizioni esaminate ha ormai una legge che la recepisce, in salita rispetto al 73% del 2025. Ma la legge, da sola, non basta. Delle 91 giurisdizioni che hanno approvato la norma, 55 non hanno mai emesso un rilievo, una direttiva o una qualsiasi azione di vigilanza o sanzione contro un fornitore di servizi per inadempienza (Regulation Tomorrow). Sul piano tecnico il quadro è ancora più crudo: solo il 34% delle giurisdizioni valutate, 51 su 149, risulta ampiamente conforme alla Raccomandazione 15, e una sola in tutta la rete globale è pienamente conforme (Shufti Pro).

Sulla DeFi in senso stretto il divario diventa una voragine. Secondo lo stesso rapporto del GAFI, il 93% delle giurisdizioni non ha individuato alcun protocollo DeFi qualificabile sul proprio territorio; solo 4 hanno imposto obblighi di licenza a un assetto DeFi, e una sola ha avviato un’azione di enforcement. Nel frattempo, i flussi illeciti diretti verso i protocolli DeFi sono cresciuti del 343% su base annua (Chainalysis). In altre parole: la regola esiste quasi ovunque, l’applicazione quasi da nessuna parte, e il rischio corre più veloce di entrambe. Questo è il risultato che qualsiasi revisore sottolineerebbe in rosso.

Perché questo divario? Le ragioni sono prosaiche. Individuare chi controlla davvero un protocollo richiede competenze tecniche che molte autorità non hanno; agire contro un team sparpagliato su più giurisdizioni è lento e costoso; e un protocollo senza una sede legale da nessuna parte sfugge per definizione a un supervisore nazionale. La regola resta sulla carta non perché manchi la volontà, ma perché mancano le risorse e la presa. È esattamente il vuoto che la scommessa europea sulla «porta» prova a riempire.

Lo spostamento: chiudi una porta, il flusso cambia strada

C’è una ragione strutturale per cui l’applicazione ai bordi non basta: il denaro illecito si sposta. Quando si chiude un punto di controllo, il flusso ne cerca un altro. I dati di Chainalysis per il 2025 lo mostrano con nitidezza. Gli indirizzi illeciti hanno ricevuto almeno 154 miliardi di dollari, in crescita del 162% su base annua, spinta soprattutto da un aumento del 694% dei valori ricevuti da soggetti sanzionati. E, soprattutto, le stablecoin sono diventate il binario dominante: oggi rappresentano l’84% di tutto il volume illecito.

Il caso più indicativo è A7A5, una stablecoin agganciata al rublo lanciata in Russia, che in meno di un anno ha movimentato oltre 93,3 miliardi di dollari. È il ritratto perfetto dello spostamento: più i binari occidentali si fanno sorvegliati e congelabili, più l’attività migra verso rotaie resistenti al congelamento o verso giurisdizioni offshore. Tornado Cash è stato delistato dalle sanzioni, ma gli strumenti di privacy non sono scomparsi. La compliance ai bordi, in altre parole, tende a spostare il problema più che a eliminarlo, e lo sposta proprio là dove l’apparato ha meno presa.

Tornado Cash, Storm, Ooki: dove finisce la responsabilità

Se il codice non si può sanzionare, chi risponde quando qualcosa va storto? La risposta è emersa da una trilogia giudiziaria americana che è ormai il manuale implicito di tutto il settore. Primo atto: nel novembre 2024, nella causa Van Loon contro il Tesoro, la Corte d’Appello del Quinto Circuito ha stabilito che gli smart contract immutabili non sono «proprietà» ai sensi della normativa sulle sanzioni, perché nessuno li possiede o li controlla; di conseguenza l’OFAC ha rimosso Tornado Cash dalle liste il 21 marzo 2025 (CoinDesk).

Secondo atto: Roman Storm, sviluppatore di Tornado Cash, è stato condannato nell’agosto 2025 per cospirazione a gestire un’attività di trasmissione di denaro senza licenza; sulle accuse di riciclaggio e violazione delle sanzioni la giuria non ha raggiunto un verdetto, e il nuovo processo è fissato per il 26 aprile 2027 davanti alla giudice Katherine Polk Failla (The Block). In mezzo, la posizione del Dipartimento di Giustizia, espressa da Matthew Galeotti: «scrivere semplicemente del codice, senza intento criminale, non è un reato» (CoinDesk). Terzo atto: la CFTC contro la Ooki DAO, dove nel giugno 2023 un giudice ha accolto una sentenza in contumacia stabilendo che una DAO è una «persona» e che i titolari di token di governance che votano ne sono membri, con una sanzione civile di 643.542 dollari e l’ordine di mettere offline il sito (CFTC).

Il filo conduttore è uno solo: la responsabilità segue il controllo e il profitto, non il nome che un progetto si dà. È la stessa logica COSI del GAFI, vista dal banco di un tribunale. E conduce dritti all’unico punto di controllo che resiste a qualunque decentralizzazione: l’asset con cui si regola tutto.

La scorciatoia dell’asset di regolamento

C’è un punto in cui la compliance entra nella DeFi senza dover toccare il protocollo: la stablecoin con cui si regolano gli scambi. Il GENIUS Act americano impone agli emittenti di stablecoin di pagamento di avere la capacità tecnica di sequestrare, congelare o bruciare token su ordine legittimo, oltre a vietare di girare rendimento ai detentori (Congress.gov, S.1582). In Europa il MiCA impone obblighi analoghi agli emittenti di token di moneta elettronica. Il risultato è che Circle o Tether possono, di fatto, congelare un saldo a un indirizzo specifico, indipendentemente da quanto sia decentralizzato il protocollo che quell’indirizzo sta usando.

È la scorciatoia più efficace e, insieme, la più inquietante: il pulsante di congelamento dell’emittente batte la decentralizzazione del protocollo. Qui la compliance «funziona» sulla DeFi proprio perché non passa dalla DeFi, passa dall’asset. E ha un risvolto economico spesso trascurato: gli emittenti guadagnano sul rendimento delle riserve, lo stesso rendimento dei Treasury che nel 2026 ha ridisegnato i conti di mezzo settore; il divieto di girarlo agli utenti, previsto dal GENIUS, rende la posizione dell’emittente ancora più centrale. La domanda su chi tenga quel pulsante richiama lo stesso nodo di concentrazione che emerge quando si guarda chi custodisce gli ETF cripto: pochi soggetti, enormi poteri di fatto.

La scommessa europea: regolare la porta, non il codice

L’Europa ha fatto una scommessa diversa da quella americana. Invece di inseguire il codice, prova a regolare le porte d’accesso. Nella sua risposta del 30 settembre alla revisione del MiCA, l’ESMA ha proposto un nuovo servizio soggetto a licenza per chi fornisce accesso ai protocolli DeFi (interfacce web, wallet, aggregatori), con criteri di decentralizzazione tarati sul controllo effettivo e un avvertimento esplicito contro il «decentralisation washing», cioè l’uso dell’etichetta decentralizzata per sfuggire alle regole (ESMA). Nello stesso pacchetto, la richiesta di poteri per bloccare siti fraudolenti e congelare asset.

Su quest’ultimo punto l’Italia è, non per caso, il modello. La Consob oscura siti web abusivi dal 2019, grazie all’articolo 7-octies del TUF introdotto dal Decreto Crescita, e a fine settembre 2026 il contatore dei portali oscurati aveva superato quota 1.800 (consob.it). Ciò che l’ESMA chiede per l’intera Unione, la Consob lo pratica da anni. E il segnale politico è ancora più marcato dal 1 novembre, quando alla guida dell’ESMA arriva Carlo Comporti, ex commissario proprio della Consob, a succedere a Verena Ross (FOW): un italiano con un passato da autorità di mercato alla testa del supervisore europeo, mentre il dibattito sulla DeFi entra nel vivo.

Non tutti, a Bruxelles, sono convinti che serva. Peter Kerstens, consigliere della Commissione e tra gli architetti del MiCA, ha liquidato l’idea di una regolazione ad hoc della DeFi con una battuta diventata celebre nel settore: «Non vedo quale sia il problema. E se non c’è un problema, perché dovrebbe essere regolato?» (Cointelegraph). La scommessa europea, in sostanza, è su regole lente ma durature, scritte in una legge, contro il modello americano fatto di regole veloci ma reversibili, scritte da un’agenzia. In mezzo cresce una terza via tecnica, le prove a conoscenza zero, gli stessi strumenti alla base dei mercati di prove per l’AI verificabile, che promettono di dimostrare la conformità senza rivelare l’identità. Promettente, ma ancora lontana dalla scala.

Il pezzo mancante del mosaico europeo è l’antiriciclaggio vero e proprio, che non sta nel MiCA ma nel pacchetto AMLR. Dal 10 luglio 2027 le regole saranno uniformi nei 27 Stati membri e la nuova autorità AMLA di Francoforte vigilerà direttamente sui soggetti obbligati a più alto rischio, coordinando le unità di informazione finanziaria nazionali come l’UIF italiana. Nel frattempo l’ESMA chiede di stringere anche sulla reverse-solicitation, la scappatoia per cui una piattaforma extra-UE sostiene di servire un cliente europeo solo su iniziativa di quest’ultimo, aggirando l’obbligo di licenza.

In Italia: Consob, Banca d’Italia e l’UIF

Portato il discorso a casa, la mappa italiana è più ordinata di quanto sembri. Il decreto legislativo 5 settembre 2024, n. 129, che adatta l’ordinamento al MiCA, affida alla Consob la vigilanza sulla condotta di mercato e sulla tutela dell’investitore, e alla Banca d’Italia i profili prudenziali e quelli relativi alle stablecoin (i token di moneta elettronica e asset-referenced). L’antiriciclaggio operativo passa dall’Unità di Informazione Finanziaria presso la Banca d’Italia, che riceve e analizza le segnalazioni di operazioni sospette. I derivati su cripto, perpetual e future, restano strumenti finanziari sotto la MiFID II e la vigilanza della Consob, non sotto il MiCA. Il fisco, infine, fa capo all’Agenzia delle Entrate, tra quadro RW per il monitoraggio e scambio automatico di informazioni secondo la direttiva DAC8.

Che cosa significa in pratica? Un utente che opera su un exchange autorizzato come CASP, iscritto ai registri e vigilato dalla Consob, incontra tutta la filiera: verifica dell’identità, monitoraggio, eventuali segnalazioni. Un utente che usa un protocollo puramente decentralizzato, invece, dal punto di vista dell’enforcement incontra quasi nulla, perché rientra in quel 93% di casi che nessuna autorità ha ancora agganciato. Resta però esposto a due cose molto concrete: gli obblighi fiscali, che non spariscono con la decentralizzazione, e il rischio che la stablecoin con cui opera venga congelata a monte. La decentralizzazione protegge dal supervisore, non dall’emittente né dal fisco. Vale la pena ricordare che l’Italia ha chiuso il periodo transitorio del MiCA il 1 luglio 2026, nel gruppo di Paesi che hanno scelto la tempistica più breve.

Allora funziona? La pagella

Tirando le somme, obiettivo per obiettivo, il quadro è sfumato ma leggibile. La compliance DeFi non è né il muro invalicabile che promettono i regolatori né la finzione inutile che denunciano i critici più radicali. È un manuale quasi completo agganciato a pochi punti di presa: funziona dove c’è un controllore o un bordo (exchange, front-end, emittenti), e quasi non funziona dove non ce ne sono (il protocollo in sé). La tabella sintetizza il verdetto.

Il verdetto onesto è dunque doppio. Il beneficio esiste ma è stretto, concentrato dove un soggetto responsabile c’è già. Il costo è grande, regressivo e in buona parte sostenuto da chi non delinque. E il fatto dominante, quello che un revisore scriverebbe in cima alla relazione, è il divario di applicazione: la regola c’è ovunque, l’enforcement quasi in nessun luogo. La scommessa europea sulla «porta» potrebbe colmarne una parte, ma lentamente, e solo se le autorità avranno davvero le risorse per fare quello che la Consob fa già con gli oscuramenti.

Cosa cambia per chi usa, costruisce o investe

Dalla teoria alla pratica, il bilancio si traduce in tre indicazioni operative diverse a seconda del ruolo.

• Per chi usa: il protocollo non chiederà i tuoi documenti, ma la rampa fiat e l’exchange sì, l’emittente della stablecoin può congelare un saldo e il fisco vuole comunque il quadro RW. La decentralizzazione non azzera il rischio di compliance, lo sposta.
• Per chi costruisce: il test COSI significa che controllo equivale a responsabilità. Chiavi di amministrazione, interruttori sulle commissioni, hosting del front-end: ognuno di questi è esposizione legale. Il front-end è il soggetto giuridico, va trattato come tale.
• Per chi investe: il punto di controllo che resiste a tutto è l’asset di regolamento. In Europa una stablecoin non conforme va incontro alla chiusura dei servizi entro l’8 gennaio 2027; sapere in che cosa si regolano le operazioni conta quanto sapere su quale protocollo si opera.

La settimana del GAFI non chiuderà questo capitolo. Ma il messaggio che esce da Parigi, da Bruxelles e dai tribunali americani è coerente: la compliance non insegue il codice, insegue chi lo controlla e chi ci guadagna. Finché quei punti di controllo esistono, la rete ha una presa; dove svaniscono davvero, resta solo la trasparenza del libro mastro, che aiuta a ricostruire i fatti dopo, non a impedirli prima.

Domande frequenti

La compliance DeFi funziona davvero?

In parte. Funziona ai bordi del sistema, cioè su exchange, front-end ed emittenti di stablecoin, dove esiste un soggetto responsabile; quasi non funziona dentro i protocolli, dove il 93% delle giurisdizioni non ha ancora individuato un assetto da regolare.

La Consob regola l’antiriciclaggio delle crypto in Italia?

No. La Consob vigila sulla condotta di mercato e sulla tutela dell’investitore nel quadro del MiCA; l’antiriciclaggio fa capo all’UIF presso la Banca d’Italia e, dal 2027, al regolamento europeo AMLR con la nuova autorità AMLA.

Usare un protocollo DeFi mi mette al riparo dalle regole?

No. Protegge dal supervisore di mercato, ma non dal fisco, perché gli obblighi di monitoraggio e sulle plusvalenze restano, né dal rischio che l’emittente congeli la stablecoin con cui operi.

Che cos’è il test COSI del GAFI?

È il criterio «control or sufficient influence»: un assetto DeFi rientra nelle regole ogni volta che una persona o un’impresa esercita un controllo o un’influenza sufficiente. Conta chi tiene le leve, non l’etichetta che il progetto si dà.

Quanto costa l’antiriciclaggio e quanto intercetta?

Negli Stati Uniti la spesa supera i 26 miliardi di dollari l’anno, mentre si stima che venga sequestrato circa lo 0,2% dei proventi criminali e la quota illecita resta sotto l’1% del volume on-chain.

Anneke de Vries scrive di regolamentazione e policy delle criptovalute per HOGE Wire.