Il caso OKX: 504 milioni e la KYC di carta

Il paradosso OKX

Mentre il Bitcoin viaggia poco sopra i 71.000 euro, in rialzo di quasi il 6% in ventiquattr’ore secondo CoinGecko, e i mercati guardano alla decisione della SEC americana attesa per l’11 novembre sugli ETF in cripto-attività, vale la pena tornare su una storia che dice più di molti grafici su cosa significhi davvero una piattaforma regolata. Nel giro di poche settimane, all’inizio del 2025, OKX ha fatto tre cose apparentemente incompatibili: si è dichiarata colpevole a New York di aver violato le leggi antiriciclaggio statunitensi, ha incassato a Malta la multa di un’autorità europea per carenze nei controlli e ha ritirato una delle prime licenze MiCA d’Europa.

Per chi in Italia sceglie oggi dove comprare crypto, dopo la chiusura del periodo transitorio MiCA il 30 giugno 2026, questo intreccio non è un dettaglio. Il messaggio che arriva all’utente è semplice: usa piattaforme autorizzate. Il caso OKX mostra perché una licenza non basta. Una piattaforma può avere la KYC sulla carta e non nei fatti, e può essere in regola con le norme sui servizi mentre i suoi presidi antiriciclaggio fanno acqua. È una distinzione che vale centinaia di milioni e che, soprattutto, riguarda i dati e il denaro di chi usa questi exchange ogni giorno.

KYC, AML e un equivoco tutto italiano

KYC sta per know your customer: in Italia è l’adeguata verifica della clientela, l’insieme delle procedure con cui una piattaforma identifica chi ha davanti e ne accerta l’identità con un documento proveniente da una fonte affidabile. L’antiriciclaggio (AML) è molto di più: è l’intero apparato che comprende il monitoraggio continuo delle operazioni, la segnalazione di quelle sospette, il controllo dei clienti contro le liste di sanzioni e la conservazione dei dati per anni. La KYC è il primo mattone; l’antiriciclaggio è l’edificio. Per il funzionamento di base di questi controlli abbiamo spiegato il meccanismo passo per passo in un approfondimento dedicato.

Qui va sciolto subito un equivoco diffuso. In Italia l’antiriciclaggio non è materia della Consob. La disciplina è il D.lgs 231/2007; la politica spetta al Ministero dell’Economia e delle Finanze, l’unità di informazione finanziaria è la UIF presso la Banca d’Italia, e le indagini le conducono il Nucleo Speciale di Polizia Valutaria della Guardia di Finanza e la DIA. La Consob, insieme alla Banca d’Italia, vigila sui servizi in cripto-attività secondo il MiCA e sulla condotta di mercato, non sull’efficacia dei presidi antiriciclaggio di una piattaforma. Sono binari diversi, e il caso OKX vive esattamente nello spazio tra i due.

Il fatto: la colpevolezza a New York

Il 24 febbraio 2025, Aux Cayes FinTech Co. Ltd., la società con sede alle Seychelles che gestisce OKX, si è dichiarata colpevole davanti alla procura del Distretto Sud di New York di un reato preciso: aver operato un’attività di trasmissione di denaro senza licenza, ai sensi del 18 U.S.C. §1960. La sanzione complessiva supera i 504 milioni di dollari: 420,3 milioni di confisca dei proventi e 84,4 milioni di multa penale, come riporta il Dipartimento di Giustizia. Secondo l’accusa, la piattaforma ha agevolato oltre 5 miliardi di dollari di transazioni sospette, con violazioni che si sono protratte dal 2018 all’inizio del 2024.

Il procuratore federale facente funzioni Matthew Podolsky non ha usato giri di parole: per oltre sette anni, ha dichiarato, OKX ha violato consapevolmente le leggi antiriciclaggio e ha evitato di adottare le politiche richieste per impedire ai criminali di abusare del sistema finanziario, secondo quanto riportato da Finance Magnates. È una frase che vale la pena rileggere: non si parla di un errore tecnico isolato, ma di una scelta durata anni.

Perché l’accusa è di «trasmissione di denaro senza licenza»

Vale la pena soffermarsi sul capo d’imputazione, perché spiega la logica dell’intera serie di casi. OKX non è stata accusata di aver venduto titoli non registrati, come spesso accade nei procedimenti della SEC, ma di aver operato come trasmettitore di denaro senza la licenza richiesta. Negli Stati Uniti chi muove denaro per conto di terzi deve registrarsi come money services business presso la FinCEN e rispettare il Bank Secrecy Act: identificare i clienti, monitorare i flussi e segnalare le operazioni sospette. È il perno dell’antiriciclaggio, e OKX, pur servendo clientela statunitense, ha scelto di non registrarsi.

La distinzione conta anche per il lettore italiano. La vigilanza sui titoli (la SEC là, la Consob qui) e la vigilanza antiriciclaggio (la FinCEN là, la UIF e la Guardia di Finanza qui) sono mondi diversi, con autorità e logiche diverse. Un exchange può essere perfettamente in regola sul fronte dei servizi e dei prodotti finanziari e, allo stesso tempo, essere un disastro sul fronte antiriciclaggio. È esattamente lo spazio in cui OKX ha vissuto per anni, e la ragione per cui una licenza, da sola, non racconta tutta la storia.

Cosa chiede un vero programma antiriciclaggio

Per capire dove OKX ha fallito, serve sapere cosa la legge chiede a chi presta servizi in cripto-attività. Un programma antiriciclaggio poggia su cinque pilastri: l’adeguata verifica del cliente (la KYC vera e propria), il monitoraggio continuo delle operazioni, la segnalazione delle operazioni sospette all’unità di informazione finanziaria, lo screening contro le liste di sanzioni e una governance interna fatta di responsabile antiriciclaggio, formazione e controlli indipendenti. Nessuno dei cinque è opzionale, e la loro efficacia non si misura dai moduli compilati ma dal fatto che funzionino sul serio.

La tabella racconta una storia nota agli addetti ai lavori: i presidi c’erano quasi tutti, ma come caselle da spuntare, non come difese vive.

La «KYC di carta»: controlli che non operano

Il dettaglio più istruttivo del caso OKX è proprio questo: la piattaforma non si è dotata di un software commerciale per il monitoraggio delle transazioni fino a circa maggio 2023. Significa che per anni il cuore dell’antiriciclaggio, la capacità di vedere i flussi anomali e fermarli, semplicemente non esisteva. Avere un modulo di registrazione non serve a nulla se poi nessuno guarda cosa si muove dentro il sistema. È la differenza tra un metal detector spento e uno acceso: l’oggetto è identico, l’effetto è opposto.

C’è di più. Secondo il Dipartimento di Giustizia, un dipendente istruiva i clienti statunitensi su come aggirare le restrizioni geografiche, suggerendo di dichiarare una residenza diversa, per esempio negli Emirati, e di inserire numeri di documento casuali. Gli utenti operavano di fatto in modo anonimo tramite VPN, e l’azienda ne era consapevole. È qui che si misura la distanza tra KYC di facciata e antiriciclaggio reale: la prima raccoglie dati e li archivia; il secondo li usa per dire di no a un cliente che non dovrebbe essere lì. OKX raccoglieva, ma non diceva di no.

Il monitoraggio delle transazioni è la parte meno visibile e più importante del lavoro. Un buon sistema osserva i movimenti in entrata e in uscita, li confronta con il profilo dichiarato dal cliente e accende un allarme quando qualcosa non torna: un conto appena aperto che riceve fondi da un mixer, un improvviso balzo dei volumi, una catena di trasferimenti che punta verso un indirizzo sanzionato. Senza quel sistema, l’adeguata verifica iniziale diventa una fotografia scattata il primo giorno e mai più aggiornata. OKX aveva la fotografia, non il film.

La licenza MiCA non è un bollino antiriciclaggio

Qui arriva il punto che riguarda da vicino l’Europa, e quindi l’Italia. Mentre negli Stati Uniti si chiudeva il procedimento penale, OKX Europe otteneva dalla MFSA, l’autorità maltese, una delle prime licenze CASP piene secondo il MiCA, nel gennaio 2025. Una licenza europea, spendibile con il passaporto in tutti i 27 Stati membri, Italia compresa. Sulla carta, da quel momento OKX è un fornitore di servizi in cripto-attività pienamente autorizzato nell’Unione.

Pochi mesi dopo, il 3 aprile 2025, un’altra autorità maltese, la FIAU (l’unità di intelligence finanziaria), multava la stessa Okcoin Europe per 1,1 milioni di euro, come riportato da Cointelegraph. La contestazione, nata da un’ispezione del 2023, parlava di carenze antiriciclaggio «gravi e sistematiche»: la piattaforma non aveva valutato adeguatamente i rischi legati a privacy coin, stablecoin, mixer e token scambiati su exchange decentralizzati, e aveva lasciato senza esame oltre 20 milioni di dollari di operazioni. La stessa FIAU notava che OKX aveva migliorato le proprie politiche nei successivi diciotto mesi, ma questo non la metteva al riparo dalla sanzione per il passato.

Mettiamo in fila le date: ispezione FIAU che trova le falle nel 2023, licenza MiCA a gennaio 2025, patteggiamento penale negli USA a febbraio 2025, multa antiriciclaggio a Malta ad aprile 2025. La stessa autorità nazionale rilascia il permesso a operare e, poche settimane dopo, sanziona per anni di controlli inefficaci. La lezione è netta: la licenza e la vigilanza antiriciclaggio corrono su binari separati. Il MiCA certifica che un fornitore rispetta le regole su capitale, governance, custodia e condotta di mercato; non certifica che i suoi presidi antiriciclaggio funzionino. La stessa autorità maltese ne ha fatto un precedente: una licenza non mette al riparo dalla responsabilità per le violazioni passate.

Non a caso l’Europa si interroga su come rendere più uniforme la vigilanza. La spinta verso una supervisione più accentrata dei grandi CASP, con un italiano al timone della stretta in corso all’ESMA, nasce proprio dalla consapevolezza che le autorità nazionali, da sole, lasciano spazi come quello che il caso OKX ha messo a nudo.

La risposta di OKX: un consulente, non un monitor

Il modo in cui il caso si è chiuso dice molto sulla fase politica. OKX non ha accettato un monitor nominato dal governo, come invece è accaduto a Binance, ma ha ingaggiato volontariamente un consulente esterno per la conformità, con mandato fino a febbraio 2027; nessun dipendente è stato incriminato individualmente. La società ha presentato la vicenda come un residuo del passato, non come una crisi in corso.

Il fondatore e amministratore delegato Star Xu ha parlato di una «piccola percentuale di clienti» che avevano potuto usare i servizi internazionali «a causa di lacune storiche nella conformità», aggiungendo che la visione dell’azienda è diventare «il gold standard della conformità globale su scala» nei diversi mercati e davanti alle rispettive autorità, secondo quanto raccolto da CryptoSlate. È il linguaggio tipico di chi archivia: le lacune sono «storiche», i clienti coinvolti una minoranza, il futuro dorato.

I fatti successivi confermano che l’archiviazione è servita. OKX ha rilanciato le operazioni negli Stati Uniti nell’aprile 2025, con un nuovo amministratore delegato per gli USA e sede a San Jose, e nel febbraio 2026 ha ottenuto a Malta anche una licenza di istituto di pagamento per i servizi su stablecoin, con prodotti come OKX Pay e OKX Card, come documenta Finance Magnates. Il CEO di OKX Europe, Erald Ghoos, ha presentato la licenza come la garanzia di operare «su basi pienamente conformi». La macchina, insomma, è ripartita più grande di prima.

Non è un caso isolato: l’onda offshore

OKX non è un’anomalia, ma l’ultimo capitolo di una serie. Nel novembre 2023 Binance ha patteggiato oltre 4,3 miliardi di dollari (3,4 alla FinCEN e 968 milioni all’OFAC) riconoscendo di aver elaborato oltre 100.000 transazioni senza mai presentare una segnalazione di operazione sospetta, secondo il Dipartimento di Giustizia. KuCoin ha pagato oltre 297 milioni nel gennaio 2025, BitMEX 100 milioni. Il filo comune è semplice: exchange nati offshore che trattavano KYC e antiriciclaggio come un optional, e una procura americana che li ha raggiunti con la stessa norma, il §1960 sulla trasmissione di denaro senza licenza.

L’allora procuratore generale Merrick Garland riassunse la posizione americana con una frase diventata celebre, ancora nella pagina ufficiale del Dipartimento di Giustizia: usare la nuova tecnologia per infrangere la legge non fa di te un innovatore, fa di te un criminale.

Il modello si ripete con poche varianti. BitMEX, il capostipite, per anni chiese ai clienti solo un indirizzo email per aprire un conto. Binance rese la verifica dell’identità obbligatoria per tutti gli utenti soltanto nell’agosto 2021. In ogni caso la contestazione americana è stata la stessa: non aver costruito, o aver costruito solo di facciata, i presidi antiriciclaggio che la legge impone a chi muove denaro altrui. La KYC di carta, insomma, non è un’invenzione di OKX, ma un vizio di categoria.

Il clima, però, è cambiato. Nell’ottobre 2025 il presidente statunitense ha graziato il fondatore di Binance, Changpeng Zhao, come riportato da CoinDesk, dopo aver fatto lo stesso con i fondatori di BitMEX a marzo. Una grazia cancella la pena per la persona, non abroga la legge: gli obblighi antiriciclaggio restano scritti. Ma segnala che, negli Stati Uniti, la volontà di far rispettare quelle regole è diventata più incerta. Per un utente italiano conta un’altra cosa: a lui si applica il binario europeo, che va nella direzione opposta.

Chi vigila sull’antiriciclaggio in Italia

In Italia, dalla fine del periodo transitorio MiCA, i CASP autorizzati sono «soggetti obbligati» ai sensi del D.lgs 231/2007. Devono fare adeguata verifica, conservare i dati e inviare alla UIF le segnalazioni di operazioni sospette, senza alcuna soglia minima e con il divieto di avvisare il cliente (il cosiddetto tipping-off). La UIF, presso la Banca d’Italia, analizza le segnalazioni e le trasmette agli organi investigativi; la Guardia di Finanza e la DIA fanno il resto. È un impianto costruito per i soggetti finanziari tradizionali ed esteso, negli ultimi anni, alle piattaforme crypto.

I numeri danno la misura del fenomeno. Nel 2025 la UIF ha ricevuto 162.059 segnalazioni di operazioni sospette, in crescita dell’11,5%, come indica il Rapporto annuale 2025, trainate soprattutto dalle frodi informatiche e dalle truffe. Le segnalazioni legate alle cripto-attività hanno superato quota 6.000 e i fornitori di servizi crypto sono ormai la fonte principale di quelle segnalazioni, un salto enorme rispetto a pochi anni fa, quando se ne contavano poche decine. L’Italia, insomma, ha costruito l’impianto; la domanda, come sempre, è quanto di quel flusso si traduca in risultati concreti.

Per l’utente, questo apparato si traduce in pochi gesti concreti e in una regola spesso fraintesa: la segnalazione di un’operazione sospetta non è una denuncia e non implica colpa, ed è vietato per legge avvisare il cliente che è stata inviata. Chi gestisce la piattaforma, dal canto suo, deve bilanciare due rischi opposti: segnalare troppo poco espone a sanzioni come quelle maltesi, segnalare troppo intasa la UIF di allarmi a basso valore. È il motivo per cui la qualità delle segnalazioni, non solo il loro numero, è diventata il tema centrale dei rapporti annuali.

L’Europa accentra: TFR, AMLR e la nuova autorità

Il quadro europeo si sta irrigidendo su tre fronti. Il primo è il Regolamento sui trasferimenti di fondi (TFR), in vigore dal 30 dicembre 2024, che impone la cosiddetta travel rule senza soglia: ogni trasferimento tra fornitori deve viaggiare con i dati di chi invia e di chi riceve, e i trasferimenti da e verso wallet auto-ospitati sopra i 1.000 euro richiedono controlli aggiuntivi (EUR-Lex). Il secondo è il Regolamento antiriciclaggio unico (AMLR), che dal 10 luglio 2027 vieterà i conti anonimi e le cosiddette privacy coin, introdurrà un tetto di 10.000 euro ai pagamenti in contanti e imporrà ai CASP l’adeguata verifica già a partire da 1.000 euro (EUR-Lex).

Il terzo, e forse il più rilevante nel lungo periodo, è l’AMLA, la nuova Autorità europea antiriciclaggio con sede a Francoforte, che dal 2028 vigilerà direttamente su una quarantina di soggetti ad alto rischio e ha indicato il settore crypto come priorità immediata. Alla sua guida c’è un’italiana, Bruna Szego, già responsabile della vigilanza antiriciclaggio della Banca d’Italia, che davanti al Parlamento europeo ha riassunto gli obiettivi dell’autorità in ambizione, cooperazione, tecnologia, comunicazione e leadership globale (AMLA). Un’autorità unica serve proprio a chiudere gli spazi come quello che il caso OKX ha messo a nudo, quando una singola FIU nazionale rilascia e sanziona quasi in contemporanea.

GAFI: la cornice globale che si stringe

Sopra tutto c’è il GAFI (FATF), l’organismo che fissa gli standard globali. La sua riunione plenaria si è chiusa il 30 ottobre 2026, la prima sotto la presidenza britannica di Giles Thomson (FATF). Due decisioni contano per le crypto: l’avvio di una revisione mirata e di procedure di controllo accelerate per colmare più in fretta i ritardi nell’applicazione delle regole su cripto-attività e fornitori di servizi, con risultati attesi a giugno e ottobre 2027; e il primo tassello di una tabella di marcia contro le frodi, accompagnato da un rapporto sui centri-truffa. Il GAFI non arresta e non multa: giudica i Paesi e li mette nelle liste grigia e nera. In questa tornata ha rimosso dalla lista grigia Bulgaria, Costa d’Avorio, Repubblica Democratica del Congo e Monaco.

La direzione è chiara: meno tolleranza per i ritardi dei fornitori di servizi, cioè per esattamente il tipo di falle che hanno permesso a OKX di operare per anni senza monitoraggio. Thomson ha avvertito che, sul fronte delle frodi, il peggio deve ancora venire. Per l’Europa, che già applica la travel rule e si prepara all’AMLA, significa muoversi nella stessa direzione dello standard globale, ma con qualche anno di anticipo.

Ma l’antiriciclaggio crypto funziona davvero?

Vale la domanda scomoda: tutto questo apparato serve? I numeri invitano alla prudenza. Secondo il rapporto 2026 di Chainalysis, nel 2025 gli indirizzi illeciti hanno ricevuto circa 154 miliardi di dollari, ma le transazioni illecite restano sotto l’1% del totale on-chain, e ormai l’84% del valore illecito passa per le stablecoin. Peter Van Valkenburgh, di Coin Center, è tranchant: il sistema impone costi e sacrifici alla privacy enormi per un beneficio che definisce notevolmente scarso, ricordando la stima delle Nazioni Unite secondo cui solo lo 0,2% dei proventi criminali viene sequestrato, a fronte di oltre 26 miliardi di dollari l’anno di soli costi di conformità negli Stati Uniti.

Eppure il caso OKX dice anche il contrario. La trasparenza della blockchain ha permesso di tracciare, congelare e confiscare: i 420 milioni di confisca non sono un numero teorico. E il fatto che una piattaforma offshore sia stata raggiunta e sanzionata su due continenti dimostra che l’impianto, quando c’è la volontà di usarlo, morde. La verità sta nel mezzo: l’antiriciclaggio raramente ferma il reato a monte, ma la tracciabilità rende il recupero e l’attribuzione più facili che nella finanza in contanti. Il problema non è la tecnologia, è l’onere che ricade sull’utente onesto, chiamato a consegnare la propria identità a ogni piattaforma.

Il caso OKX offre anche una misura di proporzione. I 420 milioni di dollari confiscati sono stati recuperati proprio grazie alla tracciabilità delle operazioni, qualcosa che nel contante sarebbe stato impensabile. Ma quella stessa tracciabilità esiste perché ogni utente onesto ha consegnato i propri documenti, accettando di essere sorvegliato per rendere più difficile la vita a una minoranza di malintenzionati. È il patto implicito dell’antiriciclaggio moderno, e il dibattito sul suo equilibrio, tra sicurezza e privacy, è destinato a restare aperto a lungo.

Cosa significa per chi usa le crypto in Italia

Il primo insegnamento pratico è concreto: verificare che una piattaforma sia un CASP autorizzato è necessario, ma non sufficiente. L’autorizzazione, rilasciata dalla Consob dopo la fine del transitorio (il primo CASP italiano è stato CheckSig, a maggio 2026, e a fine giugno i soggetti abilitati erano nove, come risulta dalle comunicazioni della Consob), dice che il fornitore rispetta le regole sui servizi. Non dice che i suoi presidi antiriciclaggio siano robusti. Il caso OKX insegna a diffidare delle piattaforme con una storia di sanzioni, anche quando esibiscono una licenza nuova di zecca.

Il secondo riguarda i vostri dati. Ogni volta che caricate documento e selfie su un exchange create una copia della vostra identità che diventa un bersaglio: la violazione dei dati di Coinbase del 2025, che ha colpito oltre 69.000 utenti, lo ricorda bene (CoinDesk). Le vie d’uscita esistono e sono europee: l’identità riutilizzabile legata all’IT-Wallet, che consente di verificarsi una volta e dimostrare altrove senza spargere copie dei documenti, e le prove a conoscenza zero. Attenzione però a non confondere i piani: dimostrare di essere una persona non equivale a dire chi si è, e la biometria da sola non soddisfa l’adeguata verifica, come abbiamo spiegato a proposito di World ID e dei suoi limiti.

Il terzo è un’aspettativa realistica: la KYC non scatta quando comprate, ma quando il valore prova a tornare moneta spendibile, al prelievo e all’incasso. Conservare la documentazione delle operazioni, infine, non serve solo all’antiriciclaggio ma anche al fisco, in vista dello scambio automatico di informazioni tra autorità. In sintesi, una licenza MiCA è un buon punto di partenza per scegliere dove operare, non un certificato di purezza antiriciclaggio. Il caso OKX, con la sua KYC di carta e la sua licenza europea ottenuta nello stesso trimestre di due sanzioni, è il promemoria più eloquente di questa differenza.

Domande frequenti

Che cos’è il caso OKX e quanto ha pagato?

Il 24 febbraio 2025 Aux Cayes FinTech, la società delle Seychelles che gestisce OKX, si è dichiarata colpevole negli Stati Uniti di aver operato come trasmettitore di denaro senza licenza (18 U.S.C. §1960). La sanzione supera i 504 milioni di dollari: 420,3 milioni di confisca e 84,4 milioni di multa penale. L’accusa parla di oltre 5 miliardi di dollari di transazioni sospette e di controlli antiriciclaggio assenti o inefficaci dal 2018 al 2024.

Una licenza MiCA garantisce che una piattaforma rispetti l’antiriciclaggio?

No. La licenza MiCA, rilasciata in Italia dalla Consob, certifica che un fornitore di servizi in cripto-attività rispetta le regole su capitale, governance, custodia e condotta di mercato. Non certifica che i suoi presidi antiriciclaggio funzionino. OKX ha ottenuto la licenza MiCA a Malta nel gennaio 2025 ed è stata multata dall’autorità maltese per carenze antiriciclaggio pochi mesi dopo: licenza e vigilanza AML corrono su binari separati.

In Italia chi si occupa dell’antiriciclaggio sulle crypto?

Non la Consob. La disciplina è il D.lgs 231/2007; la politica spetta al Ministero dell’Economia, l’unità di informazione finanziaria è la UIF presso la Banca d’Italia, e le indagini le conducono il Nucleo Speciale di Polizia Valutaria della Guardia di Finanza e la DIA. La Consob e la Banca d’Italia vigilano sui servizi crypto secondo il MiCA, non sull’efficacia dei presidi antiriciclaggio.

Che cos’è la «KYC di carta»?

È l’espressione che descrive controlli di identità presenti formalmente ma non operativi. Nel caso OKX la piattaforma raccoglieva i dati ma non ha adottato un software di monitoraggio delle transazioni fino al 2023, e un dipendente istruiva i clienti statunitensi su come aggirare le restrizioni dichiarando una residenza falsa. Avere il modulo di registrazione non equivale ad avere un antiriciclaggio che funziona.

Cosa cambia per gli utenti italiani con le nuove regole europee?

Il Regolamento sui trasferimenti di fondi impone dal dicembre 2024 la travel rule senza soglia e controlli aggiuntivi sui wallet auto-ospitati sopra i 1.000 euro. Dal 10 luglio 2027 il Regolamento antiriciclaggio vieterà i conti anonimi e le privacy coin e introdurrà un tetto di 10.000 euro al contante. Dal 2028 l’AMLA, con sede a Francoforte e guidata dall’italiana Bruna Szego, vigilerà direttamente sui soggetti più rischiosi, con il settore crypto come priorità.

Di Anneke de Vries, redazione regolamentazione di HOGE Wire.