● Regulation & Policy

Antiriciclaggio crypto 2026: funziona e quanto ci costa

Regole mai così pesanti e segnalazioni crypto quasi raddoppiate in Italia, ma meno dell'1% dei flussi è illecito. L'antiriciclaggio sulle cripto funziona davvero, e a quale prezzo?

By Anneke de Vries · Sep 11, 2026 · 2d ago ~22 min read

Il paradosso dell’antiriciclaggio crypto nel 2026

Mentre Bitcoin scambia poco sotto i 67.000 euro (CoinGecko), in una settimana macro che resta decisiva per il prezzo, l’apparato antiriciclaggio che circonda le cripto non è mai stato così pesante. La Travel Rule europea impone di scambiare i dati su ordinante e beneficiario di ogni trasferimento senza alcuna soglia dal 30 dicembre 2024; il regolamento antiriciclaggio unico dell’Unione diventa applicabile il 10 luglio 2027; e da Francoforte una nuova autorità, l’AMLA, si prepara a vigilare direttamente sulle piattaforme più grandi. In Italia, intanto, le segnalazioni di operazioni sospette riferibili a operatori in valuta virtuale sono quasi raddoppiate in dodici mesi.Eppure i numeri raccontano una storia scomoda. Secondo Chainalysis gli indirizzi illeciti hanno ricevuto oltre 154 miliardi di dollari nel 2025, in aumento del 162%, ma restano meno dell’1% del volume totale on-chain; e le Nazioni Unite stimano da tempo che soltanto lo 0,2% circa dei proventi criminali che attraversano il sistema finanziario venga davvero sequestrato (UNODC). Da qui la domanda che questo articolo affronta senza slogan: la sorveglianza antiriciclaggio sulle cripto funziona, e a quale prezzo? La risposta non sta né nel trionfalismo dei regolatori né nel nichilismo di chi vorrebbe zero regole, ma in mezzo, ed è più interessante di entrambi gli estremi.

KYC e AML: due cose diverse, e nessuna è la Consob

Conviene separare due termini che spesso si confondono. Il KYC (know your customer) è la componente di identità: identificare il cliente, verificarne i documenti, capire chi è il titolare effettivo. L’AML (anti-money laundering) è l’ombrello che contiene tutto il resto: le leggi, i controlli interni, il monitoraggio continuo delle operazioni e, soprattutto, l’obbligo di segnalare ciò che appare sospetto. Il KYC è la porta d’ingresso; l’AML è la vigilanza che prosegue dopo che si è entrati. Confonderli porta a pensare che basti caricare un documento per essere a posto, quando in realtà la parte più costosa e invasiva del sistema è quella che lavora in silenzio ogni giorno, transazione dopo transazione.In Italia l’impianto poggia sul D.lgs. 231/2007, e qui va corretto un equivoco diffuso: l’antiriciclaggio non è materia della Consob. Le competenze sono distribuite. Il Ministero dell’Economia detta le politiche e commina le sanzioni amministrative; l’Unità di Informazione Finanziaria (UIF), incardinata presso la Banca d’Italia, è la financial intelligence unit che riceve e analizza le segnalazioni; il Nucleo Speciale di Polizia Valutaria della Guardia di Finanza e la Direzione Investigativa Antimafia svolgono gli approfondimenti investigativi. La Consob, insieme alla Banca d’Italia, vigila sui prestatori di servizi in cripto-attività (i CASP) sul piano della condotta e della stabilità, non sull’antiriciclaggio in sé. È una distinzione che conta, perché sposta il baricentro del controllo dal mercato dei titoli, dominio Consob, alla intelligence finanziaria della Banca d’Italia.Il riciclaggio, del resto, resta un processo in tre fasi: collocamento (immettere il denaro sporco nel sistema), stratificazione (farlo rimbalzare per spezzarne la tracciabilità) e integrazione (riportarlo alla luce come denaro apparentemente pulito). Le cripto eccellono soprattutto nella seconda fase, quella in cui una catena di trasferimenti, mixer e conversioni serve a confondere le acque. La tabella riassume chi fa cosa nel sistema italiano.

Autorità	Ruolo nell’antiriciclaggio crypto
MEF	Indirizzo politico e normativo, sanzioni amministrative
UIF (Banca d’Italia)	FIU nazionale: riceve e analizza le SOS, cura i flussi verso gli inquirenti
Nucleo Speciale Polizia Valutaria (GdF)	Approfondimenti investigativi di natura economico-finanziaria
DIA	Approfondimenti sul fronte della criminalità organizzata
Banca d’Italia e Consob	Vigilanza prudenziale e di condotta sui CASP (MiCA), non sull’AML

Cosa produce la macchina: i numeri italiani

Quanto lavora, concretamente, questo sistema? Il Rapporto annuale della UIF pubblicato nel 2026 offre la fotografia più aggiornata. Nel 2025 le segnalazioni di operazioni sospette ricevute sono state 162.059, in crescita dell’11,5% sull’anno precedente. Il balzo più vistoso riguarda proprio le cripto: le segnalazioni riferibili a operatori in valuta virtuale sono passate da 3.165 a 5.859, un aumento dell’85,1%, quasi un raddoppio in dodici mesi. La stessa UIF collega la crescita all’ingresso di segnalanti recenti, come le banche solo digitali, e in larga parte a truffe e frodi informatiche, oltre all’uso crescente di mixer, privacy coin e stablecoin pensati per ridurre la tracciabilità.Le SOS non restano ferme in un archivio. La UIF trasmette senza indugio alla Guardia di Finanza, attraverso il Nucleo Speciale di Polizia Valutaria, e alla DIA le segnalazioni con profili di rischio di riciclaggio o finanziamento del terrorismo, insieme ai risultati delle proprie analisi. Nel biennio 2024-25 l’Unità ha ricevuto circa 44.400 riscontri positivi dalla Guardia di Finanza e, nel 2025, circa 8.700 dalla Direzione Nazionale Antimafia e Antiterrorismo, per lo più su segnalazioni classificate a rischio medio-alto o alto (Banca d’Italia).È una macchina che gira a pieno regime, e il salto delle segnalazioni crypto dice due cose insieme: che il settore è finalmente dentro il perimetro dei soggetti obbligati, e che i segnalanti stanno imparando a leggere i rischi tipici del mondo digitale. Ma un conto è produrre segnalazioni, un altro è produrre risultati. Il punto, allora, è capire cosa esce dall’altro capo del tubo.

Il lato che funziona: la blockchain come prova

Chi difende l’attuale impianto ha un argomento forte, ed è tecnico prima che morale: a differenza del contante, una blockchain pubblica registra tutto e per sempre. Ogni transazione lascia una traccia immutabile che, una volta agganciata a un’identità tramite il KYC di un exchange, diventa una prova difficilmente contestabile. «Ogni transazione è registrata su un registro pubblico, il che consente alle autorità e alle aziende di cybersicurezza di tracciare e monitorare le attività illecite in tempo reale», ha dichiarato Jonathan Levin, amministratore delegato di Chainalysis, che davanti al Senato statunitense ha invitato i regolatori ad abbracciare «trasparenza, velocità e programmabilità» del registro distribuito (PYMNTS).Il caso simbolo è il sequestro Bitfinex. Nel febbraio 2022 il Dipartimento di Giustizia statunitense annunciò il recupero di oltre 3,6 miliardi di dollari in Bitcoin legati all’attacco del 2016 all’exchange, arrestando Ilya Lichtenstein e Heather Morgan che tentavano di riciclare i 119.754 BTC sottratti: fu allora il più grande sequestro finanziario nella storia del Dipartimento (Washington Post). Gli investigatori seguirono le monete sulla catena per anni, cosa impossibile con valigette di banconote passate di mano in mano.Su questa capacità è nato un intero settore: aziende come Chainalysis, Elliptic e TRM Labs vendono strumenti di analisi che assegnano punteggi di rischio agli indirizzi e ricostruiscono i percorsi del denaro. Vale la pena tenere a mente due avvertenze. La prima è che quei punteggi sono probabilistici, non prove in senso giuridico: indicano una probabilità, non una certezza. La seconda è che alcune monete pensate per la privacy, come Monero, spezzano le euristiche di clustering su cui questi strumenti si basano. Il valore della sorveglianza, in altre parole, è reale ma di tipo forense: brilla quando c’è un bersaglio preciso da inseguire, molto meno come rete a strascico.

Il lato che non funziona: un rendimento minuscolo

Il problema emerge quando si passa dal caso singolo all’aggregato. Le informazioni contenute nelle SOS, per quanto preziose in alcuni fascicoli, producono risultati sorprendentemente modesti se rapportate al volume. Nel 2025, riferisce la Banca d’Italia, le informazioni contenute nelle segnalazioni hanno contribuito a sequestri per circa 41 milioni di euro e a confische per circa 17 milioni. Sono cifre da leggere accanto alle 162.059 segnalazioni ricevute e ai miliardi che si muovono ogni giorno nel sistema: un rapporto tra sforzo profuso e valore recuperato che, da solo, spiega perché tanti osservatori parlino di un sistema tarato più sulla forma che sulla sostanza.Non è un’anomalia italiana, ed è bene dirlo per non trasformare un dato tecnico in una polemica nazionale. La stima delle Nazioni Unite, per quanto datata, resta il riferimento del settore: molto meno dell’1%, probabilmente intorno allo 0,2%, dei proventi criminali che passano dal sistema finanziario viene sequestrato o congelato a livello globale. È un tasso di intercettazione bassissimo che vale per il contante come per i bonifici, non solo per le cripto.Peter Van Valkenburgh, direttore esecutivo del think tank Coin Center, è netto: «l’attuale regime AML/KYC fa notevolmente poco per prevenire la finanza illecita», e «il sistema impone costi enormi e oneri per la privacy a fronte di un beneficio trascurabile» (Coin Center). Non è un invito a smantellare le regole, ma a chiedersi se raccolgano il giusto rispetto a ciò che costano. Ed è proprio il costo la metà della domanda che quasi nessuno mette sul tavolo.

Quanto costa: il conto della compliance

Il costo va contato per intero. Secondo le stime raccolte da Coin Center, il settore finanziario spende oltre 300 miliardi di dollari l’anno in compliance a livello globale, con i costi statunitensi sopra i 26 miliardi l’anno e singoli grandi istituti che arrivano a spendere oltre 10 miliardi ciascuno. Non è denaro che sparisce nel nulla: paga team di compliance, fornitori di verifica dell’identità, sistemi di monitoraggio delle transazioni, audit indipendenti e, quando qualcosa non torna, sanzioni. Sul fronte delle multe, la società Fenergo ha calcolato che nel primo semestre 2025 le autorità hanno comminato 139 sanzioni per violazioni AML, KYC e dei regimi sanzionatori, per un totale di 1,23 miliardi di dollari, con un aumento del 417% rispetto allo stesso periodo dell’anno prima (Fenergo).In Italia il conto ricade su banche e CASP, e a cascata sull’utente. Ogni exchange autorizzato deve mantenere una funzione antiriciclaggio, nominare un responsabile, formare il personale, dotarsi di software di screening e monitoraggio e conservare i dati per anni. Sono costi fissi che pesano molto di più sulle piccole realtà che sui colossi, e che finiscono per spingere il mercato verso il consolidamento: paradossalmente, regole nate per aumentare la concorrenza pulita tendono a favorire chi è già grande.C’è poi un costo che non compare in nessun bilancio: l’attrito imposto a milioni di utenti onesti. Documenti caricati e ricaricati, verifiche che si allungano, prelievi bloccati per controlli, richieste di spiegazioni sulla provenienza dei fondi. Nella sua forma estrema questo attrito diventa debanking: conti chiusi o mai aperti in via precauzionale, non perché il cliente abbia fatto qualcosa, ma perché appartiene a una categoria giudicata rischiosa. È il rovescio della logica basata sul rischio, che quando degenera si trasforma in de-risking indiscriminato, cioè nel rifiutare intere categorie invece di valutare i singoli. Un beneficio concentrato, pagato da un costo diffuso.

La trappola dei falsi positivi

Perché il rendimento è così basso? Una ragione strutturale è l’imbuto dei falsi positivi. Il monitoraggio automatico genera un numero enorme di alert; solo una parte diventa una segnalazione; solo una frazione delle segnalazioni si trasforma in un approfondimento investigativo; e solo una frazione di quegli approfondimenti arriva a un sequestro o a una condanna. A ogni passaggio il filtro si stringe, e la stragrande maggioranza del materiale raccolto non porta a nulla di concreto. È matematica, prima che critica politica: quando setacci quantità enormi cercando eventi rari, gli errori si accumulano.A peggiorare le cose interviene un incentivo perverso. Poiché omettere una segnalazione dovuta espone a sanzioni pesanti, mentre segnalare in eccesso non costa quasi nulla, l’operatore razionale segnala per difendersi. È la cosiddetta defensive filing, che gonfia i volumi con rumore di fondo e sposta il problema a valle, sulle spalle degli analisti UIF e degli inquirenti. Il quadro è complicato dal divieto di comunicazione, il tipping-off previsto dall’art. 39 del D.lgs. 231/2007: chi segnala non può dirlo al cliente, il che rende il meccanismo del tutto opaco per chi lo subisce e impedisce di correggere gli errori dal basso.Un segnale incoraggiante, però, arriva proprio dalla UIF, che nel 2025 ha rilevato una riduzione della quota di segnalazioni a rischio basso o nullo e una maggiore tempestività nell’invio. Tradotto: meno rumore, più sostanza. È la direzione giusta, perché ammette implicitamente che il valore non sta nel numero di segnalazioni, ma nella loro qualità. La partita dei prossimi anni si gioca esattamente qui, sul passaggio dalla quantità difensiva alla precisione mirata.

Il rischio honeypot: la sorveglianza crea bersagli

C’è un effetto collaterale che raramente entra nel dibattito: raccogliere le identità di milioni di persone significa creare enormi archivi centralizzati, e ogni archivio è un bersaglio. Più dati un exchange è obbligato a conservare, più diventa appetibile per chi vuole rubarli. Il paradosso è amaro: una normativa nata per combattere la criminalità finanziaria finisce per alimentare un’altra forma di crimine, il furto di dati e il phishing su misura, perché mette in un unico luogo tutto ciò che serve per impersonare una vittima.Il caso Coinbase del 2025 è la dimostrazione più chiara. L’exchange ha rivelato che alcuni addetti al supporto all’estero, corrotti, avevano copiato i dati di circa 69.461 clienti, tra cui nomi, indirizzi e immagini di documenti; i criminali hanno chiesto un riscatto di 20 milioni di dollari, che l’azienda ha rifiutato offrendo invece la stessa cifra come taglia per chi li avesse identificati (CoinDesk). Quei dati, raccolti per obbligo di legge, sono esattamente ciò che serve per costruire truffe credibili contro i titolari.La lezione non è che il KYC vada abolito, ma che ogni requisito di conservazione va soppesato anche come rischio di sicurezza, non solo come strumento di controllo. Un sistema che accumula montagne di documenti in database che qualcuno dovrà difendere per sempre sta implicitamente scommettendo che nessuno riuscirà mai a violarli. È una scommessa che, come mostra la cronaca, il settore continua a perdere.

Dove finisce il denaro sporco: lo spostamento

Anche quando la sorveglianza morde, spesso non elimina il crimine: lo sposta. I dati 2026 di Chainalysis lo mostrano bene. Le stablecoin rappresentano ormai circa l’84% del valore delle transazioni illecite, contro il 63% del 2024, avendo di fatto scalzato Bitcoin come binario preferito. Il vero motore della crescita è però la fascia sanzionata: il valore ricevuto da entità colpite da sanzioni è aumentato del 694%, arrivando a 104 miliardi di dollari, con il token in rubli A7A5 che da solo ha veicolato oltre 93,3 miliardi in operazioni di aggiramento e la Corea del Nord accreditata di circa 2 miliardi rubati (Chainalysis).Il meccanismo è sempre lo stesso: quando un canale viene chiuso, il flusso cerca il punto meno sorvegliato, siano essi mixer, privacy coin o rail progettati per resistere al congelamento. La vicenda di Tornado Cash è emblematica: dopo la condanna di Roman Storm per aver gestito un servizio di trasmissione di denaro senza licenza, il processo sui restanti capi d’imputazione è stato fissato per il 26 aprile 2027 (The Block). Colpire il codice, però, non ha fatto sparire la domanda di anonimato, che si è semplicemente riversata altrove.Non a caso l’Europa punta a rendere conformi proprio le stablecoin, spingendo verso emittenti regolati e riserve trasparenti: è il senso di progetti come le stablecoin in euro promosse dalle banche, pensate per essere un binario tracciabile e a norma anziché un veicolo opaco. La logica è chiara: se il denaro digitale deve muoversi, meglio incanalarlo su rail sorvegliabili. Ma è una logica che funziona solo se i binari alternativi vengono davvero chiusi, e non è affatto detto che accada.

La stretta europea: AMLR, AMLD6 e la fine dell’anonimato

Se il presente è controverso, il futuro prossimo è già scritto. Il pacchetto antiriciclaggio dell’Unione riscrive le regole con un regolamento direttamente applicabile, senza bisogno di recepimento nazionale. Il Regolamento (UE) 2024/1624, l’AMLR, si applica dal 10 luglio 2027 e, insieme alla sesta direttiva antiriciclaggio (AMLD6), armonizza gli obblighi in tutti i 27 Stati membri, sostituendo un mosaico di leggi nazionali con un testo unico (Diritto Bancario).Le novità che toccano le cripto sono nette. L’articolo 79 vieta i conti anonimi e gli strumenti che consentono l’anonimizzazione, incluse le monete con funzioni di privacy come Monero e Zcash; viene fissato un tetto ai pagamenti in contanti di 10.000 euro; e scatta l’adeguata verifica per operazioni occasionali già sopra soglie ridotte, con l’asticella abbassata a 1.000 euro per i prestatori di servizi in cripto-attività (EUR-Lex). Per un’industria nata sulla promessa dell’anonimato pseudonimo, è un cambio di paradigma: l’anonimato come servizio commerciale, dentro il perimetro dei soggetti obbligati, diventa illegale.Il tassello già operativo è la Travel Rule europea. Il Regolamento (UE) 2023/1113 impone dal 30 dicembre 2024 di far viaggiare i dati identificativi con ogni trasferimento tra prestatori, senza soglia minima, e prevede verifiche rafforzate quando un trasferimento coinvolge un wallet self-hosted sopra i 1.000 euro. Va chiarito un punto spesso frainteso: i wallet self-hosted non sono vietati e i trasferimenti tra privati non sono banditi; ciò che cambia è che quando un wallet personale interagisce con una piattaforma regolata, quest’ultima deve raccogliere informazioni aggiuntive. Messi in fila, questi interventi allargano enormemente il perimetro della sorveglianza. La tabella riassume il calendario.

Norma	Cosa fa	Da quando
TFR, Reg. (UE) 2023/1113	Travel Rule europea: dati su ogni trasferimento, senza soglia	30 dicembre 2024
AMLA operativa	Autorità UE antiriciclaggio con sede a Francoforte	1 luglio 2025
Competenze UE all’AMLA	Subentro nel mandato antiriciclaggio a livello europeo	1 gennaio 2026
AMLR (Reg. UE 2024/1624) e AMLD6	Regole uniche, divieto conti anonimi e privacy coin, tetto contante	10 luglio 2027
Vigilanza diretta AMLA	Supervisione su circa 40 entità ad alto rischio, cripto incluse	2028

AMLA a Francoforte, con un anello italiano

Il regolamento sposta il baricentro anche sul piano della vigilanza. L’AMLA, la nuova Autorità europea per la lotta al riciclaggio, è operativa dal 1 luglio 2025 e ha assunto competenze a livello di Unione dal 1 gennaio 2026; dal 2028 vigilerà direttamente su una quarantina di soggetti ad alto rischio, comprese le piattaforme cripto più grandi (AMLA). È un passaggio storico: per la prima volta un’autorità europea potrà supervisionare direttamente singoli operatori, invece di limitarsi a coordinare le autorità nazionali.La presidente è Bruna Szego, italiana, in precedenza a capo della vigilanza antiriciclaggio della Banca d’Italia: un anello diretto tra l’esperienza italiana e la nuova architettura europea. Davanti alle commissioni del Parlamento europeo ha riassunto la missione dell’Autorità in cinque parole d’ordine, «ambizione, cooperazione, tecnologia, comunicazione e leadership globale», rispondendo anche a domande specifiche su cripto-attività, Paesi terzi ad alto rischio e coordinamento con le forze dell’ordine.Le cripto sono in cima all’agenda. L’AMLA ha indicato il crimine finanziario legato agli asset digitali come priorità immediata, additando come vulnerabilità chiave la vigilanza disomogenea sui prestatori tra Stato e Stato, terreno ideale per l’arbitraggio regolamentare, e ha segnalato la necessità di guardare ai titolari effettivi delle società crypto, non solo ai loro clienti (Sumsub). Per un exchange che voglia operare in regola in Italia questo significa un controllo più stringente su tutta la filiera. È il contesto in cui si inserisce l’iter per ottenere l’autorizzazione CASP sotto MiCA: la licenza è la porta, l’antiriciclaggio è la stanza in cui si resta.

La faglia della privacy: sorvegliare senza schedare

Qui si apre la frattura di fondo. Se la sorveglianza di massa costa molto e intercetta poco, la risposta non è per forza raccogliere ancora più dati: potrebbe essere raccoglierne di meno, ma migliori. Coin Center riassume il difetto in una frase che vale la pena rileggere: «costi enormi e oneri per la privacy a fronte di un beneficio trascurabile». L’obiezione non è ideologica: ogni volta che un utente carica un documento, la sua identità finisce in un altro database che qualcuno dovrà proteggere, come ha ricordato senza mezzi termini il caso Coinbase.La via d’uscita tecnica esiste e ha un nome: prove a conoscenza zero e identità riutilizzabili. L’idea è dimostrare un fatto rilevante, come avere più di 18 anni, non comparire in una lista di sanzioni o aver già superato un controllo presso un intermediario, senza rivelare i dati sottostanti, così da spezzare la logica dell’honeypot alla radice. In Europa il tassello infrastrutturale è il portafoglio di identità digitale previsto da eIDAS 2.0, che in Italia prende forma nell’IT-Wallet dentro l’app IO; sul fronte bancario, istituti come Deutsche Bank hanno avviato sperimentazioni di identità verificabile su base crittografica.Sono soluzioni ancora acerbe sul piano regolatorio, non riconosciute come compliance piena e in attesa di standard tecnici, con nodi di privacy da sciogliere, come mostra l’attenzione del Garante verso i sistemi di prova dell’identità basati sulla biometria. La stessa filosofia, del resto, anima progetti come l’infrastruttura per il calcolo verificabile e riservato: dimostrare senza esporre. Se l’antiriciclaggio del futuro raccoglierà meno dati grezzi e più prove crittografiche, gran parte del dibattito costi-benefici di oggi verrà riscritto.

Cosa cambia per l’utente e per il CASP italiano

Sul piano pratico la transizione è già avvenuta. Con la fine del vecchio registro OAM per gli operatori in valuta virtuale, i prestatori di servizi in cripto-attività autorizzati sono a tutti gli effetti soggetti obbligati ai sensi del D.lgs. 231/2007: devono applicare l’adeguata verifica all’apertura del rapporto, aggiornarla nel tempo e monitorare le operazioni, compresi i prelievi verso wallet self-hosted. La Consob ha avviato le prime autorizzazioni CASP e le stablecoin non conformi, USDT in testa, sono state via via ritirate dalla clientela retail dalle principali piattaforme europee.Per l’utente comune questo si traduce in più verifiche, meno anonimato e la necessità di operare con intermediari in regola, se si vuole restare tutelati. Non è solo antiriciclaggio, del resto: lo stesso utente si muove dentro un reticolo di obblighi che comprende la fiscalità e la rendicontazione, come ricorda la dichiarazione crypto con il quadro T, a conferma che trasparenza fiscale e trasparenza antiriciclaggio marciano ormai insieme e attingono spesso agli stessi dati.Chi resta fuori dal recinto autorizzato, invece, perde le tutele: i clienti dei prestatori non autorizzati non godono delle protezioni previste, a partire da quelle sui fondi e sugli asset. La tabella mette a confronto i due piatti della bilancia, perché la conclusione onesta non è che il sistema sia inutile o perfetto, ma che entrambe le colonne pesano.

Sul piatto dei benefici	Sul piatto dei costi
Prove forensi decisive in casi mirati (Bitfinex, 3,6 miliardi di dollari)	Solo lo 0,2% circa dei proventi criminali sequestrato (UNODC)
Tracciabilità superiore a quella del contante	Oltre 300 miliardi di dollari l’anno di compliance globale
Cooperazione internazionale e standard comuni	Attrito per milioni di utenti onesti e rischio di debanking
Deterrenza e reputazione del mercato regolato	Archivi di identità come bersaglio (caso Coinbase)
Segnalazioni sempre più tempestive e mirate (UIF 2025)	Il crimine si sposta su rail meno sorvegliati

Il verdetto: funziona, ma non come dice l’etichetta

Sommando i due lati, la conclusione onesta è sfumata. L’antiriciclaggio sulle cripto funziona come strumento forense e mirato: quando c’è un caso, un sospetto, un indirizzo da seguire, la trasparenza della blockchain è un vantaggio che il contante non offrirà mai, e i sequestri milionari lo dimostrano. Funziona molto meno come sistema di prevenzione di massa: intercetta una frazione minima dei flussi illeciti, impone costi enormi, sposta il crimine anziché estinguerlo e crea nuovi rischi con gli archivi che accumula. L’etichetta promette prevenzione universale; la realtà consegna prove selettive.Le riforme del 2027 accentueranno entrambi i lati: più copertura e più cooperazione, ma anche più costi, più dati raccolti e più superficie d’attacco. La direzione sensata, semmai, è invertire la rotta della raccolta: meno documenti ammassati in database centralizzati, più prove crittografiche che confermano ciò che serve senza esporre il resto. È qui che le identità riutilizzabili e le prove a conoscenza zero smettono di essere una curiosità tecnica e diventano una questione di policy.Nel frattempo, per chi usa le cripto in Italia, il messaggio è concreto: l’anonimato come strategia è finito, l’intermediario in regola è la scelta che protegge, e la privacy va difesa scegliendo strumenti che la rispettano, non pretendendo che le regole non esistano. La domanda giusta, per i prossimi anni, non è se sorvegliare, ma come farlo raccogliendo di meno e provando di più. Un antiriciclaggio che intercetta lo 0,2% al prezzo di centinaia di miliardi non è un successo da celebrare né un fallimento da abolire: è un sistema da ridisegnare.

Domande frequenti

L’antiriciclaggio sulle criptovalute funziona davvero?

Dipende da cosa si intende. Come strumento forense funziona: la blockchain è pubblica e tracciabile, e in casi mirati porta a sequestri importanti come i 3,6 miliardi di dollari del caso Bitfinex. Come prevenzione di massa rende poco: meno dell’1% del volume on-chain è illecito e, secondo l’UNODC, solo lo 0,2% circa dei proventi criminali viene sequestrato, a fronte di costi di compliance enormi.

Chi controlla il riciclaggio delle cripto in Italia?

L’antiriciclaggio non è materia della Consob. Il Ministero dell’Economia detta le politiche, l’UIF presso la Banca d’Italia riceve e analizza le segnalazioni di operazioni sospette, mentre il Nucleo Speciale di Polizia Valutaria della Guardia di Finanza e la DIA svolgono le indagini. La Consob, con la Banca d’Italia, vigila sui CASP sul piano della condotta e della stabilità.

Cosa cambia con il regolamento antiriciclaggio UE nel 2027?

Dal 10 luglio 2027 si applica l’AMLR, il regolamento unico. Vieta i conti anonimi e le monete con funzioni di privacy come Monero e Zcash, fissa un tetto ai pagamenti in contanti di 10.000 euro e impone verifiche più stringenti, con la soglia dei prestatori crypto abbassata a 1.000 euro. Dal 2028 l’AMLA di Francoforte vigilerà direttamente sulle piattaforme più grandi.

Le criptovalute sono anonime?

No, nella maggior parte dei casi sono pseudonime: le transazioni sono pubbliche e, una volta agganciate al KYC di un exchange, diventano riconducibili a una persona. L’anonimato reale riguarda soprattutto privacy coin e mixer, che però sono l’eccezione e che l’Unione europea vieterà tra i soggetti obbligati dal 2027.

Devo fare il KYC per usare un exchange in Italia nel 2026?

Sì. I prestatori autorizzati sono soggetti obbligati e devono identificare il cliente all’apertura del rapporto, con l’adeguata verifica prevista dal D.lgs. 231/2007. Aspettati controlli anche sui prelievi verso wallet self-hosted e, in certi casi, richieste di documentazione aggiuntiva sulla provenienza dei fondi.Di Anneke de Vries, redattrice per la regolamentazione di HOGE Wire.