Scam compound e KYC: la frode nel punto cieco dei controlli

Mentre Bitcoin scivolava sotto i 63.000 euro il 13 novembre, in calo di oltre il 6% in ventiquattro ore durante una delle settimane più nervose dell’autunno, la notizia più importante per chi si occupa di antiriciclaggio non arrivava dai mercati. Arrivava da Parigi e da Bangkok.

Il 5 novembre il GAFI (Financial Action Task Force, l’organismo intergovernativo che scrive gli standard mondiali contro il riciclaggio) ha pubblicato il suo primo rapporto interamente dedicato agli scam compound, i complessi fortificati del Sud-est asiatico dove centinaia di migliaia di persone, spesso vittime di tratta, vengono costrette a truffare risparmiatori di tutto il mondo. Il messaggio è netto: la frode non è più un reato di contorno, è diventata il motore principale del riciclaggio, e le cripto-attività sono la sua corsia di lavaggio.

Per il lettore italiano la distanza geografica è ingannevole. Nelle stesse settimane in cui il prezzo di Bitcoin cedeva insieme all’oro, sotto la spinta di un dollaro forte, i server di quei complessi macinavano bonifici partiti da conti italiani. L’antiriciclaggio del 2026, da Washington a Francoforte fino a via Nazionale, si sta riorganizzando attorno a una domanda scomoda: a che serve verificare l’identità di chi apre un conto, se la truffa viaggia su conti perfettamente in regola?

È il paradosso al centro di questo articolo. La KYC (Know Your Customer, la verifica della clientela) risponde alla domanda «chi sei»; la frode vive nello spazio di un’altra domanda, «ti stanno ingannando», che nessun documento d’identità può chiarire. Capire come il denaro delle truffe entra, si muove e sparisce nella blockchain, e perché i controlli attuali lo intercettano così di rado, è il modo migliore per leggere la svolta regolatoria in corso.

La notizia: il GAFI sposta il mirino sulla frode

Il primo luglio 2026 la presidenza del GAFI è passata al Regno Unito, con Giles Thomson alla guida. Il suo primo atto, lo stesso giorno, è stato lanciare una roadmap 2026-2028 contro la frode. I numeri che la giustificano sono imponenti: secondo il GAFI le truffe hanno provocato quasi 500 miliardi di dollari di perdite globali tra il 2024 e il 2025, e nell’ultimo ciclo di valutazioni reciproche la frode è risultata il reato presupposto prevalente in circa il 90% dei Paesi esaminati. Thomson ha avvertito, come riportato da AML Intelligence, che sul fronte delle truffe il peggio deve ancora venire.

Il 5 novembre quella roadmap ha prodotto il suo primo risultato concreto: il rapporto «Combating End-to-End Illicit Financial Flows Linked to Scam Compounds», approvato dalla plenaria del GAFI chiusa a Parigi il 30 ottobre. Il documento analizza l’intera catena finanziaria delle fabbriche della truffa: come i proventi vengono generati, trasferiti, ripuliti e reinvestiti. Propone una classificazione di 54 dipendenze operative, di cui 14 potenzialmente critiche, cioè punti in cui un intervento mirato può spezzare il modello di business. E arriva a tracciare oltre 100 milioni di dollari di fondi delle vittime fino al cluster di portafogli di un singolo complesso.

La plenaria di ottobre, la prima sotto la presidenza Thomson, ha elevato la lotta alle frodi e agli scam compound a priorità globale e ha deciso di accelerare in modo significativo l’attuazione degli standard sulle cripto-attività nelle giurisdizioni con attività rilevante, con un nuovo processo di revisione mirata. Nella stessa riunione sono uscite dalla lista grigia Bulgaria, Costa d’Avorio, Repubblica Democratica del Congo e Monaco, mentre sul Myanmar il GAFI ha ribadito che le attività di frode e di cyber-truffa restano estese e ad alto rischio.

Che cos’è uno scam compound

Uno scam compound, o «scam city», è un complesso edilizio fortificato, spesso un ex casinò o una torre per uffici cintata da filo spinato e telecamere, dove il crimine organizzato transnazionale concentra migliaia di operatori. Il modello è nato lungo i confini di Myanmar, Cambogia e Laos e si è poi esteso ad altri continenti. Secondo il rapporto del GAFI, solo in Myanmar circa 120.000 persone sarebbero costrette a lavorare nelle operazioni di truffa, e nei complessi della regione sono stati individuati cittadini di almeno 80 nazionalità.

La dimensione economica l’ha misurata l’UNODC, l’ufficio delle Nazioni Unite contro la droga e il crimine, nel suo rapporto sul Sud-est asiatico pubblicato il 21 luglio 2026: le vittime in Asia orientale, Sud-est asiatico, Australia e Nuova Zelanda avrebbero perso tra gli 88,3 e i 114,1 miliardi di dollari a causa delle truffe online nel solo 2025, contro una stima di 18-37 miliardi del 2023. Il crimine organizzato della regione, nota l’UNODC, si sta spostando dal traffico di merci alla vendita di servizi: frode informatica, infrastrutture criminali e regolamento dei pagamenti su piattaforma, tutte attività che lasciano poche tracce e sono difficili da sequestrare o attribuire a un singolo soggetto.

Dietro i profitti c’è un costo umano che il linguaggio finanziario rischia di nascondere. Le persone vengono reclutate con false offerte di lavoro, private del passaporto e costrette a truffare sotto minaccia; i rapporti documentano tortura, lavoro forzato e detenzione illegale. Da luglio 2025 la Cambogia, sotto pressione internazionale, ha lanciato la più dura controffensiva mai vista, con la chiusura di quasi 200 centri e il rimpatrio di migliaia di persone; ma Amnesty International denuncia che molti sopravvissuti vengono trattati come migranti irregolari, non come vittime di tratta. Il ricercatore Ivan Franceschini, tra i maggiori studiosi del fenomeno, ha spiegato a Radio Radicale che, nonostante le retate, migliaia di persone restano intrappolate nei complessi.

KYC e AML non sono la stessa cosa (e in Italia non è la Consob)

Conviene fissare due termini che il dibattito confonde di continuo. L’AML (Anti-Money Laundering) è l’ombrello: l’insieme di leggi e controlli contro il riciclaggio. La KYC è solo una tessera di quell’ombrello, la verifica dell’identità del cliente, in Italia l’adeguata verifica della clientela. Un exchange che chiede documento e selfie sta facendo KYC; l’AML comprende anche il monitoraggio continuo delle operazioni, le segnalazioni di operazioni sospette e lo screening delle sanzioni. Confondere le due cose porta a un equivoco pericoloso: pensare che un cliente verificato sia un cliente pulito.

In Italia la catena di comando dell’antiriciclaggio la disegna il decreto legislativo 231/2007: la politica la fa il Ministero dell’Economia e delle Finanze, l’unità di informazione finanziaria è l’UIF presso la Banca d’Italia, le indagini spettano al Nucleo Speciale di Polizia Valutaria della Guardia di Finanza e alla Direzione Investigativa Antimafia. Attenzione a un errore comune: l’antiriciclaggio non è materia della Consob. La Consob vigila sulla condotta di mercato e, insieme alla Banca d’Italia, applica il regolamento MiCA (recepito in Italia dal decreto legislativo 129/2024); ma la verifica della clientela e le segnalazioni restano regole AML, su un binario distinto. È lo stesso equivoco che negli Stati Uniti porta ad attribuire alla SEC poteri che spettano invece a FinCEN e all’OFAC.

Dal 30 giugno 2026, chiuso il periodo transitorio di MiCA, i fornitori di servizi in cripto-attività autorizzati (CASP) sono a pieno titolo soggetti obbligati: devono nominare un responsabile antiriciclaggio, dotarsi di controlli interni, formare il personale, farsi revisionare in modo indipendente e applicare un approccio basato sul rischio. Sono i cinque pilastri che un exchange condivide con qualsiasi banca. La Consob ha autorizzato i primi CASP italiani proprio quest’anno. Ma, come vedremo, questi pilastri sono tarati sull’identità del cliente, non sull’onestà di chi quel cliente paga o da chi viene pagato.

Perché la crypto è la corsia di lavaggio

Perché, tra tutti i canali, le fabbriche della truffa amano le cripto-attività? Per tre ragioni pratiche: sono veloci, attraversano i confini senza intermediari che facciano domande e, con le stablecoin, offrono un dollaro digitale stabile dove i dollari veri sono difficili da ottenere. Il rapporto Chainalysis 2026 sul crimine crypto stima in circa 154 miliardi di dollari il volume delle transazioni illecite del 2025, con le stablecoin salite all’84% del totale. Non è che la blockchain nasconda il denaro: è che lo muove troppo in fretta perché i controlli pensati per i bonifici bancari riescano a stargli dietro.

Il GAFI descrive l’anello che rende tutto possibile: gli «OTC desk» interni, banchi di cambio informali ospitati dentro o accanto ai complessi, che convertono i proventi della frode da valuta tradizionale a crypto e viceversa senza passare da piattaforme regolamentate. È qui che la stablecoin diventa cruciale, lo stesso paradosso già emerso con il primo stablecoin significativo autorizzato sotto MiCA, un dollaro e non un euro: porta la liquidità del biglietto verde senza la vigilanza di una banca in dollari. Il denaro entra come bonifico di una vittima, esce come USDT verso un portafoglio non ospitato, rimbalza tra decine di indirizzi (il cosiddetto layering) e torna infine in forma spendibile, reinvestito in nuovi complessi.

La scala è impressionante. Sempre Chainalysis calcola che nel 2025 le perdite da truffa crypto abbiano toccato il record di 17 miliardi di dollari, spinte da intelligenza artificiale e impersonificazione, con il pagamento medio di una singola vittima più che triplicato, da 782 a 2.764 dollari. E i pagamenti crypto verso sospette reti di tratta di esseri umani sono cresciuti dell’85% in un anno. Eppure la stessa trasparenza del registro pubblico è un’arma a doppio taglio per i criminali: come ha ricordato Jonathan Levin, amministratore delegato di Chainalysis, davanti al Senato americano, ogni transazione è registrata su un libro mastro pubblico, e questo permette alle autorità di tracciare e monitorare le attività illecite in tempo reale.

Huione: la lavanderia industriale da 4 miliardi

Se gli scam compound sono le fabbriche, serviva una lavanderia all’altezza. L’ha fornita, per anni, il gruppo Huione. Il primo maggio 2025 il FinCEN, l’unità antiriciclaggio del Tesoro statunitense, ha dichiarato che il gruppo cambogiano Huione aveva ripulito almeno 4 miliardi di dollari di proventi illeciti tra l’agosto 2021 e il gennaio 2025. Huione non era un singolo exchange ma un ecosistema: Huione Pay (servizi di pagamento), Huione Crypto (servizi in cripto-attività) e Haowang Guarantee, un marketplace online dove i venditori pubblicizzavano apertamente servizi di riciclaggio, dati di carte rubate e, nelle chat Telegram collegate, l’assistenza a ripulire i proventi delle truffe romantiche e di investimento.

Il dettaglio più istruttivo è che Huione aveva creato una propria stablecoin, USDH, pubblicizzandone come pregio proprio l’assenza di vigilanza e l’impossibilità di congelare i fondi, l’esatto opposto di ciò che una stablecoin regolamentata promette. Il Tesoro ha risposto con la misura più dura prevista dalla Section 311, vietando alle banche americane di tenere conti di corrispondenza con Huione; la regola è stata finalizzata nel Federal Register del 16 ottobre 2025, parte di una più ampia offensiva che Washington e Londra hanno definito la più grande mai condotta contro le infrastrutture del cybercrimine nel Sud-est asiatico.

La lezione di Huione è che il riciclaggio su scala industriale non ha bisogno di nascondersi: ha bisogno di promettere alle fabbriche della truffa che nessuno potrà seguire né bloccare il denaro. Ed è esattamente su quella promessa che oggi il GAFI e il Tesoro provano a far leva, invertendola.

I numeri italiani: la truffa è la prima causa di sospetto

Il fenomeno che da Bangkok sembra esotico, da Roma è la prima voce delle statistiche antiriciclaggio. Il Rapporto annuale 2025 dell’UIF, l’unità di informazione finanziaria della Banca d’Italia, conta 162.059 segnalazioni di operazioni sospette, in crescita dell’11,5%. L’aumento, spiega l’Unità, è trainato soprattutto da banche telematiche di recente iscrizione ed è per lo più collegato a truffe e frodi informatiche: circa 31.600 segnalazioni riconducibili proprio a questo contesto. L’espansione di cripto-attività, IBAN virtuali, carte virtuali e ATM non bancari, aggiunge l’UIF, rende ancora più opachi i percorsi del riciclaggio, tanto che l’Unità sperimenta tecniche di machine learning per gestirle.

Il dato più crypto-specifico è la curva delle segnalazioni inviate dagli operatori in valute virtuali, salite da 3.165 a 5.859 in un anno, un balzo dell’85,1%. E a chi obietta che tante segnalazioni non servano a nulla, l’UIF risponde con i riscontri: le informazioni contenute nelle segnalazioni del 2025 hanno contribuito a sequestri per circa 41 milioni di euro e confische per circa 17 milioni, secondo la stessa Banca d’Italia.

Sul versante investigativo i numeri della Polizia Postale confermano che la truffa online è, prima di tutto, un business. Nei primi otto mesi del 2025 gli specialisti hanno trattato circa 12.000 casi di frode informatica per 143 milioni di euro sottratti alle vittime; il falso trading online, spesso in cripto, resta la frode più redditizia, con 116 milioni portati via tra gennaio e agosto. Il profilo delle vittime, secondo i dati CERTFin citati dalla stessa Polizia, è in maggioranza adulto: oltre il 60% delle frodi colpisce chi ha più di 45 anni, un terzo gli over 60, anche se crescono i giovani adescati tramite app di trading e banner sui social.

Pig butchering: la macellazione del maiale

La truffa che alimenta la maggior parte di questi flussi ha un nome inquietante: «pig butchering», letteralmente «macellazione del maiale», calco del cinese «sha zhu pan». La metafora descrive il metodo: la vittima è il maiale da ingrassare con pazienza prima della macellazione. Comincia con un messaggio apparentemente sbagliato, o un contatto su un’app di incontri; segue una relazione, romantica o di amicizia, costruita per settimane; poi arriva il suggerimento di un investimento in cripto-attività «sicuro», su una piattaforma fasulla che mostra guadagni finti e lascia prelevare piccole somme, finché la vittima versa i risparmi di una vita e il sito sparisce.

Ciò che rende il pig butchering un’industria, e non una serie di truffe artigianali, è l’automazione. Script e software specializzati permettono a un singolo operatore di gestire centinaia di vittime in parallelo, mentre l’intelligenza artificiale fornisce copioni, traduzioni e perfino video deepfake del finto partner. Non è un caso che Chainalysis registri il pagamento medio più che triplicato in un anno: le fabbriche della truffa sono diventate più efficienti, non meno. E il costo non è solo finanziario. Dietro ogni operatore può esserci una persona a sua volta vittima di tratta, chiusa in un complesso dal quale la vittima occidentale non immagina neppure di essere contattata. La stessa Chainalysis racconta sequestri recenti: Tether ha congelato quasi 50 milioni di dollari in USDT legati a una rete di pig butchering del Sud-est asiatico, seguendone le tracce su 19 indirizzi.

C’è poi una seconda ondata che colpisce chi è già stato ingannato: la «truffa del recupero». Finte società di recupero crediti, a volte gli stessi gruppi criminali sotto un altro nome, contattano le vittime promettendo di riavere i fondi persi in cambio di un anticipo o di nuove commissioni. È il motivo per cui la Polizia Postale e gli operatori del settore ripetono una regola semplice: dopo una truffa non ci si affida a chi promette, a pagamento, di recuperare il maltolto, ma ci si rivolge solo alle autorità e alla propria banca. Il maiale, nella metafora, viene macellato due volte.

Il punto cieco: la KYC verifica l’identità, non l’intenzione

Qui arriva il nodo che collega tutto. La KYC è progettata per rispondere a una domanda, «sei davvero chi dici di essere?», e lo fa sempre meglio: documento, controllo di vivacità, screening delle liste. Ma la frode vive in un angolo cieco. Dal lato del truffatore, chi incassa non usa quasi mai un proprio conto verificato: usa conti-mula aperti da altri, identità rubate o sintetiche, documenti falsi acquistabili online per pochi euro, o versioni deepfake che superano i controlli di vivacità. Il complesso, insomma, passa la KYC usando l’identità di qualcun altro.

Dall’altro lato c’è il problema speculare, ed è il più difficile da risolvere. La vittima supera la KYC perché è davvero chi dice di essere; il conto è intestato a lei, l’accesso è legittimo, il bonifico lo autorizza di persona, magari al telefono con il finto consulente che la rassicura. Nessun algoritmo di apertura conto può distinguere un investimento convinto da un investimento ingannato. È la ragione per cui si parla di «truffa autorizzata»: non c’è un accesso abusivo da bloccare, c’è una persona che, in buona fede, firma la propria rovina.

Il risultato è che il regime costruito negli ultimi vent’anni, tutto centrato sull’identità all’ingresso, intercetta male il crimine del 2026. Un sistema che verifica chi apre il conto ma non riesce a leggere perché quel conto sta inviando denaro è, davanti al pig butchering, strutturalmente miope. Non significa che la KYC sia inutile; significa che da sola copre solo metà del problema, e non la metà che oggi cresce più in fretta.

La truffa «autorizzata»: il bonifico che parte da te

Se il denaro parte da un conto legittimo per volontà del titolare, dove può intervenire il sistema? La risposta che l’Europa ha scelto non è nell’apertura del conto, ma nel pagamento. Dal 9 ottobre 2025 il regolamento europeo sui bonifici istantanei (Reg. UE 2024/886) impone a tutte le banche e a tutti i prestatori di servizi di pagamento la «verifica del beneficiario» (Verification of Payee): prima di autorizzare un bonifico, un controllo in tempo reale confronta l’IBAN con il nome del destinatario e avvisa il cliente in caso di discordanza. È un piccolo attrito messo apposta dove prima non ce n’era nessuno.

La misura nasce proprio dall’asimmetria del bonifico istantaneo: una volta partito, non si può più bloccare, e la Banca d’Italia stima che il rischio di frode sui bonifici istantanei sia fino a 40 volte superiore rispetto a quelli ordinari. La verifica del beneficiario non ferma da sola la truffa autorizzata, perché la vittima può decidere di proseguire comunque; ma introduce quel secondo di esitazione, quell’avviso «il nome non corrisponde all’IBAN», che su migliaia di operazioni salva qualcuno. È il primo tassello di un antiriciclaggio che smette di guardare solo chi entra e inizia a guardare come si muove il denaro.

Resta aperta la questione più spinosa: chi paga quando la truffa riesce? Il quadro europeo dei pagamenti, dalla proposta di terza direttiva ai nuovi standard sulle frodi, spinge verso una responsabilità condivisa tra banche e piattaforme, mentre in Italia il risparmiatore può rivolgersi all’Arbitro Bancario Finanziario. Ma sulla truffa autorizzata, quella in cui è la vittima a cliccare «conferma», il rimborso resta l’eccezione, non la regola. Ed è una ragione in più per spostare la difesa a monte, sul pagamento, e non solo a valle, sul risarcimento.

Il regime UE si sposta: AMLR, TFR e la nuova autorità

Mentre il GAFI riscrive le priorità a livello globale, l’Unione europea sta completando la più profonda riforma antiriciclaggio della sua storia. Tre pezzi contano per le cripto-attività. Il regolamento sui trasferimenti di fondi, la «Travel Rule» europea, è in vigore dal 30 dicembre 2024 e obbliga i CASP a far viaggiare i dati di ordinante e beneficiario insieme al trasferimento, senza soglia minima. Il regolamento antiriciclaggio unico (AMLR) si applicherà dal 10 luglio 2027 e porta con sé il divieto di conti anonimi, un tetto di 10.000 euro ai pagamenti in contanti e l’obbligo di adeguata verifica per i CASP a partire da 1.000 euro. E una nuova autorità europea, l’AMLA, con sede a Francoforte, coordinerà la vigilanza.

L’AMLA ha un volto in parte italiano: a presiederla è Bruna Szego, già responsabile della vigilanza antiriciclaggio alla Banca d’Italia. Dal 2028 l’autorità vigilerà direttamente su una quarantina di soggetti ad alto rischio in tutta l’Unione, e ha indicato il comparto crypto come una priorità immediata. La logica è chiara: armonizzare regole oggi applicate in modo diseguale da ventisette autorità nazionali, così che un operatore non possa scegliere la giurisdizione più indulgente. È l’opposto del mondo di Huione, costruito proprio sulla frammentazione.

Un punto spesso frainteso: queste regole non vietano l’autocustodia né i pagamenti verso portafogli non ospitati. La Travel Rule chiede ai CASP di raccogliere informazioni aggiuntive sui trasferimenti da e verso wallet self-hosted oltre una certa soglia, non di proibirli; e MiCA, che pure disciplina l’autorizzazione degli exchange, non è una norma antiriciclaggio. È la distinzione che torna di continuo: una licenza MiCA dice che un operatore è vigilato come prestatore di servizi, non che i suoi clienti siano puliti. Le due verifiche viaggiano su binari diversi, e confonderle è esattamente l’errore che le fabbriche della truffa sfruttano.

Congelare e recuperare: la nuova frontiera

Il cuore del rapporto del GAFI non è una nuova regola di apertura conto, ma un cambio di obiettivo. Tra i principi proposti c’è quello di disgregare l’infrastruttura e i servizi che abilitano le truffe e, soprattutto, di fermare, tracciare, congelare e recuperare i pagamenti delle vittime e i proventi generati prima che possano essere spostati o nascosti. In altre parole: smettere di inseguire solo l’identità del truffatore e inseguire il denaro, in tempo reale, lungo la blockchain.

Qui le stablecoin, da problema, diventano una leva. A differenza di Bitcoin, un emittente di stablecoin regolamentata può congelare un indirizzo. È ciò che rende possibili i sequestri di cui Chainalysis dà conto: non solo i circa 50 milioni legati alla rete di pig butchering, ma casi che hanno portato al congelamento di oltre 225 milioni di dollari in USDT grazie alla collaborazione tra exchange e autorità. È il rovescio esatto della promessa di Huione: la stablecoin diventa tracciabile e bloccabile, e proprio per questo preziosa per gli investigatori.

Non è una soluzione senza prezzo. Un potere di congelamento efficace contro i criminali è lo stesso potere che preoccupa chi difende la privacy finanziaria e la neutralità dei pagamenti: un emittente che può bloccare l’indirizzo di un truffatore può, in linea di principio, bloccare quello di chiunque. La frontiera dei prossimi anni, più che nuovi obblighi di documento, sarà decidere chi può premere quel bottone, con quali garanzie e sotto quale controllo giudiziario.

Ma l’antiriciclaggio funziona davvero?

Vale la pena fermarsi su una domanda che il clamore delle cifre tende a soffocare: tutta questa sorveglianza serve? La risposta onesta è «in parte». Peter Van Valkenburgh, direttore del Coin Center, ricorda in un’analisi molto citata che, secondo stime delle Nazioni Unite, solo lo 0,2% dei proventi criminali viene sequestrato o congelato, a fronte di un sistema che, come scrive, «fa notevolmente poco» per un beneficio che non giustifica i costi enormi e gli oneri alla privacy. La conformità antiriciclaggio, ricorda, costa centinaia di miliardi di dollari l’anno nel mondo.

Il paradosso italiano lo riassumono i numeri già visti: 162.059 segnalazioni, la maggioranza delle quali finisce archiviata, a fronte di sequestri nell’ordine delle decine di milioni. È il rischio della «segnalazione difensiva»: davanti al timore di sanzioni, gli operatori segnalano tutto, sommergendo l’UIF di rumore e rendendo più difficile trovare il segnale. Abbiamo analizzato altrove il bilancio costi-benefici dell’antiriciclaggio crypto in Italia; qui basti dire che aggiungere documenti all’ingresso non sposta l’ago, mentre lo spostano gli interventi mirati: lo smantellamento degli OTC desk, il congelamento rapido delle stablecoin, la verifica del beneficiario sul pagamento.

La svolta del 2026, letta così, non è «più KYC». È un riorientamento: dalla raccolta di identità alla caccia al denaro. La frode mette a nudo il limite del vecchio modello e indica dove il nuovo può funzionare, a condizione che le autorità abbiano la volontà, e le risorse, di seguire i flussi invece di accumulare moduli.

Cosa può fare un utente (e una piattaforma) in Italia

Per chi investe, le difese migliori non sono tecniche. Diffidare di chi offre rendimenti garantiti dopo un contatto nato online, soprattutto se la relazione comincia su un’app di incontri o in una chat; verificare che la piattaforma sia tra i CASP autorizzati (il registro è pubblico, e un operatore abusivo va segnalato alla Consob); non ignorare mai l’avviso di «beneficiario non corrispondente» su un bonifico; e ricordare che un prelievo facile all’inizio è parte del copione, non una prova di affidabilità. In caso di truffa, la denuncia alla Polizia Postale e la segnalazione tempestiva alla propria banca restano i due gesti che aumentano, anche se di poco, le probabilità di congelare i fondi.

Per le piattaforme la lezione del rapporto GAFI è che la KYC è il minimo sindacale, non il traguardo. Conta il monitoraggio comportamentale (un conto che riceve molti piccoli bonifici da sconosciuti e li converte subito in stablecoin verso un portafoglio non ospitato è un segnale, a prescindere da chi ne sia titolare), conta la cooperazione rapida con gli emittenti di stablecoin per congelare gli indirizzi, conta l’applicazione seria della Travel Rule. E conta, soprattutto, non trattare la segnalazione come un rito difensivo ma come l’inizio di un’indagine. È il passaggio dalla conformità sulla carta alla conformità che morde, lo stesso che separa una «scam city» smantellata da una che continua a macinare bonifici.

Domande frequenti

Che cos’è uno «scam compound»?

Uno scam compound è un complesso fortificato, diffuso soprattutto in Myanmar, Cambogia e Laos, dove il crimine organizzato costringe migliaia di persone, spesso vittime di tratta, a condurre truffe online. Secondo il GAFI, solo in Myanmar circa 120.000 persone sarebbero impiegate in queste operazioni, che generano decine di miliardi di dollari di perdite l’anno e usano le cripto-attività per incassare e riciclare i proventi.

Che differenza c’è tra KYC e antiriciclaggio?

L’antiriciclaggio (AML) è l’insieme di leggi e controlli contro il riciclaggio; la KYC, in Italia l’adeguata verifica della clientela, ne è solo una parte: la verifica dell’identità del cliente. L’AML comprende anche il monitoraggio delle operazioni, le segnalazioni di operazioni sospette e lo screening delle sanzioni. In Italia la materia è regolata dal decreto legislativo 231/2007, con l’UIF presso la Banca d’Italia, non dalla Consob.

Perché i truffatori usano le stablecoin?

Le stablecoin offrono un dollaro digitale veloce, trasferibile oltre confine senza intermediari e liquido anche dove i dollari veri sono difficili da ottenere. Chainalysis stima che nel 2025 le stablecoin abbiano rappresentato l’84% delle transazioni illecite in crypto. Lo stesso potere di congelamento che le rende utili alle indagini, però, può diventare una leva per bloccare e recuperare i fondi delle vittime.

Chi devo contattare in Italia se sono vittima di una truffa crypto?

Il primo passo è denunciare alla Polizia Postale e avvisare subito la propria banca, perché una segnalazione tempestiva aumenta, anche se di poco, le probabilità di congelare i fondi. Per contestazioni sul rapporto bancario ci si può rivolgere all’Arbitro Bancario Finanziario. È utile verificare anche che la piattaforma coinvolta sia tra i CASP autorizzati dalla Consob, segnalando gli operatori abusivi.

La verifica del beneficiario sui bonifici ferma le truffe?

La verifica del beneficiario (Verification of Payee), obbligatoria nell’Unione europea dal 9 ottobre 2025, confronta in tempo reale l’IBAN con il nome del destinatario e avvisa in caso di discordanza. Non ferma da sola la «truffa autorizzata», perché la vittima può decidere di procedere comunque, ma introduce un attrito che su larga scala evita una parte delle frodi, soprattutto sui bonifici istantanei, non più bloccabili una volta partiti.

Anneke de Vries è giornalista di HOGE Wire e segue la regolamentazione delle cripto-attività in Europa.