Compliance DeFi 2026: cinque colli di bottiglia e la sala macchine

A Parigi si chiude oggi la prima riunione plenaria del GAFI (Financial Action Task Force) sotto la presidenza britannica di Giles Thomson: una settimana di lavori dedicata, tra gli altri temi, alla frode industrializzata e alla finanza decentralizzata, con la conferenza stampa finale che ne annuncia gli esiti (fatf-gafi.org). Sui mercati il clima resta nervoso: Bitcoin viaggia intorno ai 69.000 euro dopo settimane in discesa (CoinGecko), in una fase in cui perfino i beni rifugio tradizionali sono finiti in rosso, e il valore totale bloccato nei protocolli DeFi è sceso di circa il 40% da inizio anno (DefiLlama). La domanda che muove i regolatori, però, non cambia: come si fa rispettare una regola a un software che nessuno può spegnere?

La risposta, ormai netta dopo un 2026 fatto di consultazioni e di sentenze, è che la regola al codice non la si fa rispettare affatto. Uno smart contract immutabile non apre un conto, non chiede un documento, non congela niente e non si presenta davanti a un giudice. Perciò la compliance non insegue il protocollo: colpisce i pochi punti di controllo centralizzati che ogni applicazione DeFi, anche la più «decentralizzata», usa comunque per funzionare. Questa è la mappa di quei colli di bottiglia, ordinati dal più presidiato alla frontiera ancora contesa, e del modo in cui ciascuno arriva fino a chi, in Italia, apre un’app e firma una transazione.

Non si regola il codice, si regolano i punti di controllo

Il principio che tiene insieme tutta la compliance DeFi del 2026 lo ha scritto proprio il GAFI nel suo rapporto mirato sulla finanza decentralizzata, pubblicato il 21 luglio 2026: il perimetro delle regole antiriciclaggio non segue l’etichetta «DeFi», segue il controllo. L’organismo parigino lo chiama test del controllo o influenza sufficiente: ovunque una persona fisica o giuridica eserciti controllo o influenza determinante su un servizio, quella persona rientra nell’ambito della Raccomandazione 15, con obblighi da intermediario, a prescindere da quanto il marketing insista sulla parola «decentralizzato» (fatf-gafi.org).

Ne discende una conseguenza pratica e un po’ spietata: il codice che gira da solo è intoccabile, ma quasi nessun protocollo gira davvero da solo. C’è chi gestisce il sito da cui si entra, chi incassa le commissioni, chi tiene le chiavi di aggiornamento, chi fornisce la liquidità in euro all’ingresso e in dollari all’uscita, chi ospita i server che smistano le transazioni. Ognuno di questi è un punto in cui qualcosa di controllabile tocca qualcosa di incontrollabile, ed è lì che la regola si aggancia. L’analisi di Chainalysis sul rapporto GAFI lo riassume bene: la vera domanda non è se un’attività sia «decentralizzata», ma se esista qualcuno in grado di cambiarne le regole o di spegnerne l’accesso (chainalysis.com).

Chiamiamoli colli di bottiglia: i pochi passaggi obbligati dove il flusso rallenta, diventa visibile e può essere fermato. Alcuni sono già saldamente presidiati, altri restano una frontiera dove l’esito è tutt’altro che deciso. Elencarli in ordine serve a capire dove conviene davvero guardare, sia per chi fa rispettare le regole sia per chi prova ad aggirarle.

La mappa: cinque colli di bottiglia e una frontiera

Dalla rampa in euro fino alla sala macchine dei server, i punti in cui la compliance entra nella DeFi sono sostanzialmente cinque. La tabella li ordina dal più catturato (dove la regola è ormai prassi consolidata) a quello di frontiera (dove tutto è ancora in movimento), indicando per ciascuno chi lo controlla, qual è la leva normativa e qual è la via di fuga che i flussi illeciti cercano di imboccare.

La rampa in euro: il collo di bottiglia già chiuso

Il punto dove quasi tutti entrano e quasi tutti escono è la rampa fiat, cioè il momento in cui gli euro diventano crypto e viceversa. È il collo di bottiglia più vecchio e il più presidiato, perché qui non c’è nulla di decentralizzato: un exchange che converte euro in stablecoin è un intermediario in carne e ossa, con un conto bancario, una sede e dei dipendenti. In Italia e nel resto dell’Unione un operatore del genere è un CASP (Crypto-Asset Service Provider) ai sensi di MiCA, vigilato per la condotta di mercato dalla Consob e per il profilo prudenziale dalla Banca d’Italia, secondo il riparto fissato dal decreto legislativo 5 settembre 2024, n. 129.

Su quella rampa si concentra l’intero armamentario antiriciclaggio: identificazione del cliente (KYC), adeguata verifica, segnalazione delle operazioni sospette all’UIF presso la Banca d’Italia, screening delle sanzioni e Travel Rule. Il regolamento europeo sui trasferimenti di fondi (TFR) impone di far viaggiare i dati di ordinante e beneficiario senza soglia minima per le crypto, una linea più dura della soglia dei 1.000 euro raccomandata dal GAFI. Dal 1 luglio 2026 il regime transitorio di MiCA in Italia è terminato: chi non si è fatto autorizzare come CASP non può più operare, e il vecchio registro OAM degli operatori valutari è andato in soffitta. Il risultato è che la rampa è, di fatto, già chiusa: la via di fuga resta lo scambio diretto tra persone (P2P) e i wallet non ospitati, ma prima o poi quasi tutti devono tornare agli euro, e quel ritorno passa da un soggetto autorizzato.

Questo spiega perché le autorità investono qui più che altrove: la rampa raccoglie, senza bisogno di nuove leggi, la stragrande maggioranza del flusso. E dal 10 luglio 2027 il nuovo regolamento antiriciclaggio dell’Unione (AMLR) renderà uniformi in tutti i 27 Stati gli obblighi che oggi variano da Paese a Paese, affidandone la supervisione dei soggetti più rischiosi all’AMLA, la nuova autorità europea con sede a Francoforte.

Per un operatore italiano, in concreto, questo significa un percorso autorizzativo tutt’altro che leggero: capitale minimo, requisiti di governance e di onorabilità, procedure antiriciclaggio documentate e un presidio informatico conforme al regolamento DORA sulla resilienza operativa. Non sorprende che, chiuso il regime transitorio, il numero dei CASP pienamente autorizzati in Italia resti ancora ristretto, da realtà specializzate nella custodia fino a gruppi bancari che hanno portato i servizi su crypto dentro il perimetro vigilato. È il prezzo d’ingresso del collo di bottiglia: alto abbastanza da scoraggiare gli improvvisati, e proprio per questo efficace come filtro.

L’interfaccia: quando il sito diventa il bersaglio

Il secondo collo di bottiglia è l’interfaccia: il sito web, l’app o il wallet attraverso cui l’utente raggiunge il protocollo. Il contratto on-chain è incensurabile, ma il sito che lo rende usabile è un’entità legale che vive su server, domini e servizi di hosting, tutte cose che un’autorità può toccare. La dimostrazione più nota arriva dagli Stati Uniti: dopo le sanzioni a Tornado Cash nel 2022, Uniswap Labs ha iniziato a filtrare con TRM Labs gli indirizzi collegati a fondi rubati o sanzionati, bloccandoli dalla propria interfaccia pur lasciando intatto il contratto sottostante (The Block). Il codice resta libero, il front-end no.

In Italia questa leva ha un nome preciso e una lunga storia: l’oscuramento dei siti. La Consob ordina ai provider di bloccare l’accesso ai portali abusivi dal 2019, grazie ai poteri del Decreto Crescita (articolo 7-octies del Testo Unico della Finanza), e dalla disciplina MiCAR recepita con il d.lgs. 129/2024 ha ottenuto lo stesso potere anche per i siti che offrono servizi su cripto-attività senza autorizzazione. A fine settembre 2026 il contatore dei portali oscurati dal 2019 aveva superato quota 1.800 (1.829 per l’esattezza), con i provvedimenti che proseguono quasi ogni settimana (consob.it; Teleborsa). Non tutti riguardano la DeFi, ma lo strumento è esattamente quello che serve per colpire l’accesso senza toccare lo smart contract.

L’Europa vuole trasformare questa prassi in categoria. Nella risposta alla revisione di MiCA, depositata il 30 settembre 2026, l’ESMA ha proposto un nuovo servizio regolamentato dedicato a chi fornisce ai clienti l’accesso a protocolli decentralizzati, cioè proprio le interfacce web, i wallet e gli aggregatori, con obblighi di due diligence sul protocollo e di gestione dei conflitti di interesse. L’autorità mette in guardia dal cosiddetto decentralisation washing, il trucco dell’operatore identificabile che si traveste da protocollo neutro per sfuggire alle regole, e chiede che l’esenzione per la DeFi genuina sia «la più stretta possibile» (esma.europa.eu). Che a guidare questa stretta ci sia ora un italiano al vertice dell’ESMA rende il dibattito ancora più vicino a casa.

Lo stablecoin: il pulsante di congelamento come regolamento

Il terzo collo di bottiglia non sta ai bordi del sistema ma al suo centro, perché quasi ogni transazione DeFi si regola in stablecoin. E lo stablecoin, a differenza del protocollo, ha un padrone: l’emittente. È lui che può congelare, sequestrare o bruciare le monete su un indirizzo, e questa capacità è diventata lo strumento di compliance più efficace dell’intero settore. Negli Stati Uniti il GENIUS Act, in vigore dal luglio 2025, impone agli emittenti di stablecoin di pagamento di avere la capacità tecnica di bloccare i fondi su ordine legittimo dell’autorità. Nell’Unione, MiCA raggiunge lo stesso risultato per altra via: un token come USDT è stato di fatto rimosso dalle piattaforme europee perché Tether non ha chiesto l’autorizzazione come token di moneta elettronica (EMT), mentre USDC ed EURC, autorizzati, circolano liberamente con il passaporto nei 27 Stati.

Il GAFI ha spinto questa logica fino in fondo. Nel rapporto mirato su stablecoin e wallet non ospitati del marzo 2026 raccomanda agli emittenti di incorporare nei contratti controlli programmabili di congelamento e liste di esclusione, oltre al monitoraggio del mercato secondario. Non è un caso: secondo il rapporto 2026 di Chainalysis, gli stablecoin rappresentano ormai circa l’84% dei flussi illeciti on-chain, segno che il grosso del rischio si è spostato proprio sull’asset di regolamento (chainalysis.com). La via di fuga qui è nata per reazione: stablecoin progettati per essere non congelabili, o monete legate a valute estere fuori dalla portata delle autorità occidentali. È la stessa partita che in Europa si gioca anche sul fronte opposto, con le banche che lanciano stablecoin in euro pienamente regolati, pensati per competere restando dentro il perimetro.

Le persone: dove la responsabilità segue il controllo

Il quarto collo di bottiglia sono le persone: sviluppatori, membri di una DAO, fornitori di liquidità. Qui il principio guida, uscito dalle aule di tribunale più che dai regolamenti, è che la responsabilità segue il controllo e il profitto, non l’etichetta. La trilogia di Tornado Cash lo illustra in ogni sfumatura. Da un lato la causa Van Loon contro il Tesoro ha stabilito che gli smart contract immutabili non sono «proprietà» sanzionabile, tanto che l’OFAC ha rimosso Tornado Cash dalla lista nel marzo 2025 (CoinDesk). Dall’altro lo sviluppatore Roman Storm è stato condannato nell’agosto 2025 per aver gestito un’attività di trasmissione di denaro senza licenza, con un nuovo processo fissato al 26 aprile 2027 sui capi rimasti sospesi (Decrypt). Il codice, insomma, è intoccabile; gestire un servizio attorno al codice è condotta.

Il confine lo ha riassunto Matthew Galeotti, allora a capo della Divisione penale del Dipartimento di Giustizia statunitense, con una frase diventata un punto di riferimento: «scrivere codice, di per sé e senza intenti illeciti, non è un reato» (CoinDesk). Il rovescio della medaglia è che chi tiene le chiavi, incassa commissioni o governa un protocollo esce dal riparo. Lo ha imparato la Ooki DAO, condannata in contumacia dalla CFTC nel 2023: il giudice ha stabilito che una DAO è una «persona» ai fini di legge e che i detentori del token di governance ne sono i membri, con una sanzione civile da 643.542 dollari e l’ordine di chiudere il sito (cftc.gov).

La sala macchine: la frontiera contesa

Sotto l’interfaccia e sotto lo stablecoin c’è uno strato che quasi nessuno vede e che pochissimi regolatori hanno finora nominato: la sala macchine della DeFi. Sono i relay MEV che impacchettano i blocchi su Ethereum, i fornitori di nodi RPC che inoltrano le transazioni, i sequencer che ordinano le operazioni sulle reti di livello 2, gli oracoli che portano i prezzi dentro i contratti. Nessuno di questi componenti è lo smart contract, ma senza di loro il contratto non riceve ordini e non vede il mondo esterno. Molti sono concentrati nelle mani di pochi operatori. Sulla carta, dunque, sono un collo di bottiglia perfetto: controllabili, identificabili, indispensabili. In pratica, sono la frontiera più scivolosa di tutte.

Lo dimostra proprio la vicenda dei relay MEV, l’unico esperimento su larga scala di censura a questo livello. Dopo le sanzioni a Tornado Cash nell’agosto 2022, nei mesi successivi alla Merge la quota di relay che filtravano le transazioni secondo le liste OFAC arrivò a sfiorare i due terzi dei blocchi, facendo temere una rete programmabile ma censurabile. Poi il mercato ha invertito la rotta da solo. A metà ottobre 2026 i relay che applicano filtri pesano appena il 17% circa dei payload, mentre i relay neutrali costruiscono intorno al 70% dei blocchi, con Ultra Sound (circa il 34%) e Titan (circa il 32%) in testa e i relay che fanno screening (bloXroute Regulated al 15% e Flashbots sotto il 2%) ormai marginali (MEV Watch; shattered.io).

Il dettaglio decisivo è un altro: l’OFAC non ha mai ordinato ai relay di censurare alcunché. La censura è arrivata per prudenza di alcuni operatori e se n’è andata per concorrenza, non per un cambio di protocollo né per un intervento di legge. È la lezione che rende la sala macchine una frontiera e non un collo di bottiglia già chiuso: l’infrastruttura è concentrata abbastanza da sembrare un bersaglio, ma abbastanza sostituibile da sfuggire. Se un relay inizia a filtrare, i validatori possono passare a un altro; se un fornitore RPC blocca un indirizzo, l’utente ne cambia o ne ospita uno proprio. Gli oracoli e i sequencer centralizzati, più difficili da rimpiazzare, sono i candidati più probabili per il prossimo giro di vite, ma per ora nessun regolatore ha messo nero su bianco un obbligo. Qui la partita è ancora tutta da giocare.

Vale la pena insistere sul perché questa frontiera sia diversa dalle altre. Un oracolo che alimenta i prezzi di un protocollo di prestito, o il sequencer che ordina le transazioni di una rete di livello 2, sono spesso gestiti all’inizio da una sola società, con una chiave che potrebbe filtrare o riordinare gli ordini. È esattamente il tipo di controllo che il test del GAFI cerca. La differenza è che qui l’obbligo non esiste ancora, e che i progetti più seri corrono a decentralizzare proprio questi componenti prima che qualcuno pensi di regolarli. La compliance, per una volta, insegue un bersaglio che si sta muovendo da solo verso l’uscita.

Il test del GAFI: controllo o influenza sufficiente

Se i cinque colli di bottiglia sono i luoghi, il test del controllo o influenza sufficiente del GAFI è la bussola che dice quando accendere la luce su ciascuno. Il rapporto di luglio divide gli arrangiamenti DeFi in tre categorie. Nella prima ci sono protocolli con controllori identificabili: qui scatta lo status di VASP e l’intero obbligo antiriciclaggio. Nella seconda ci sono piattaforme di fatto centralizzate che nascondono i propri controllori dietro la retorica della decentralizzazione: restano comunque nell’ambito delle regole, e tocca ai supervisori smascherare chi muove i fili. Nella terza, infine, ci sono protocolli genuinamente senza leader: escono dalle regole da VASP, ma non dal dovere di mitigare il rischio residuo.

Il problema è l’attuazione. Lo stesso GAFI riconosce che circa il 93% delle giurisdizioni esaminate non aveva ancora recepito gli standard per la DeFi qualificata, e che solo una manciata aveva autorizzato o sanzionato un singolo arrangiamento (chainalysis.com). La plenaria che si chiude oggi a Parigi non riscrive queste regole: all’ordine del giorno ci sono la tabella di marcia contro la frode e le valutazioni reciproche di Messico e Stati Uniti nel nuovo ciclo, con la conferenza stampa del presidente a tirare le somme (fatf-gafi.org). Il GAFI, del resto, non ha né eserciti né tribunali: la sua vera leva sono le liste grigia e nera, che spostano capitali e inducono le banche a tagliare i rapporti, e i colli di bottiglia nazionali dove quelle raccomandazioni diventano divieti concreti.

Quelle liste contano più di quanto sembri. Finire nella lista grigia del GAFI significa vedersi tagliare linee di credito, rallentare i pagamenti transfrontalieri e pagare di più per raccogliere capitali: una pressione che passa dai mercati, non dai tribunali, ma che i governi avvertono eccome. Sotto la presidenza Thomson l’organismo ha fatto della frode la sua priorità dichiarata, definendola il reato presupposto nella stragrande maggioranza delle valutazioni svolte in tutto il network globale e stimandone il giro d’affari in centinaia di miliardi di dollari l’anno. La DeFi entra in questo quadro non come bersaglio a sé, ma come uno dei canali attraverso cui quei proventi si muovono.

L’Europa regola la porta, non il motore

Messe in fila le leve, emerge la filosofia di fondo di Bruxelles: non si regola il motore (il protocollo), si regola la porta (il punto di accesso). MiCA, per esempio, non pretende di disciplinare la DeFi autonoma; lo ammette lo stesso Considerando 22 del regolamento, che tiene fuori dal perimetro i servizi prestati in modo pienamente decentralizzato. Ma la revisione di MiCA, la cui consultazione si è chiusa il 30 settembre 2026 con 86 domande e un’intera sezione dedicata a DeFi, staking, prestito e mercati di previsione, serve proprio a stringere le maglie attorno a quella porta. Accanto all’ESMA, anche l’Autorità bancaria europea (EBA) ha chiesto di regolare il prestito di crypto, comprese le situazioni in cui un CASP facilita l’accesso a protocolli decentralizzati.

L’approccio europeo è lento ma duraturo: una legge scritta oggi vale finché non la si cambia. Il regolamento antiriciclaggio unico (AMLR) si applicherà in tutta l’Unione dal 10 luglio 2027, con il divieto di conti anonimi e di monete pensate per l’anonimato, e l’AMLA di Francoforte, guidata dall’ex capo dell’antiriciclaggio della Banca d’Italia Bruna Szego, inizierà la vigilanza diretta dal 2028. La Commissione dovrà presentare le relazioni previste dagli articoli 140 e 142 di MiCA entro il 30 giugno 2027, passaggio che aprirà la strada a un’eventuale «MiCA 2». Non tutti, però, sono convinti che serva. Peter Kerstens, consigliere della Commissione europea e tra gli architetti di MiCA, ha liquidato così la foga regolatoria sulla DeFi: «Non vedo quale sia il problema. E se non c’è un problema, perché regolarlo?» (Cointelegraph).

Gli Stati Uniti scommettono sul contrario

Oltreoceano la scommessa è opposta: non una legge solida e lenta, ma regole di agenzia, rapide e reversibili. Il tentativo di dare agli Stati Uniti una legge quadro sulla struttura del mercato, il CLARITY Act, si è arenato al Senato a metà settembre 2026, quando è mancato il quorum procedurale. Senza statuto, la palla è passata ai regolatori. La SEC guidata da Paul Atkins ha proposto la sua «Regulation Crypto Assets», il cui periodo di commento pubblico si è chiuso il 20 ottobre 2026 con oltre 140 contributi: prevede un porto sicuro per i contratti di investimento (la cosiddetta Rule 400) e la possibilità di raccogliere fino a 75 milioni di dollari con la pre-vendita di prodotti tokenizzati senza emettere azioni (sec.gov; FinanceFeeds).

Il limite di questo modello è che ciò che un’agenzia concede, un’agenzia può togliere: una regola non è una legge, e cambia con le maggioranze. L’unico tassello davvero stabile è il GENIUS Act sugli stablecoin, che raggiunge la DeFi proprio dove abbiamo visto, cioè attraverso l’asset di regolamento. Nel frattempo l’applicazione resta affidata ai casi, come racconta il nuovo fronte dell’enforcement SEC contro le frodi crypto, dove l’intelligenza artificiale è insieme strumento degli imputati e dei controllori. Due continenti, due architetture: l’Europa costruisce mura di pietra, l’America alza recinti mobili. Entrambe, però, puntano agli stessi colli di bottiglia.

L’Italia: gli strumenti che mordono davvero

Tra tutte le leve, quella che l’Italia può azionare da sola, senza aspettare Bruxelles, è l’oscuramento dell’interfaccia. La Consob non può riscrivere uno smart contract che gira su Ethereum, ma può ordinare ai provider nazionali di rendere irraggiungibile il sito da cui quel contratto viene offerto a un residente italiano, ed è esattamente ciò che fa a ritmo settimanale. È il collo di bottiglia dell’interfaccia calato nel diritto italiano: non spegne il protocollo, spegne la porta locale.

Il resto dell’impianto segue il riparto del d.lgs. 129/2024. La Consob vigila sulla condotta di mercato e sulla tutela dell’investitore; la Banca d’Italia presidia il profilo prudenziale e, con la Vigilanza, gli aspetti legati a token di moneta elettronica e asset-referenced; l’UIF, incardinata in Banca d’Italia, raccoglie le segnalazioni di operazioni sospette. I derivati su crypto, come perpetual e futures, non ricadono sotto MiCA ma sono strumenti finanziari ai sensi della MiFID II, vigilati dalla Consob. Sul fronte fiscale, infine, chi usa la DeFi resta sotto l’occhio dell’Agenzia delle Entrate, con l’obbligo di quadro RW per il monitoraggio e lo scambio automatico di informazioni che la direttiva DAC8 estenderà alle cripto-attività. Il protocollo è apolide; l’utente che lo usa dall’Italia no.

Ma funziona? Il prezzo dei colli di bottiglia

Resta la domanda scomoda: tutto questo riduce davvero il crimine? I dati raccontano due storie opposte. Da un lato, la trasparenza della blockchain funziona da prova: secondo Chainalysis l’attività illecita vale meno dell’1% del volume on-chain, anche se in valore assoluto il 2026 segna oltre 154 miliardi di dollari, con gli indirizzi sanzionati in crescita di quasi il 700% e, come visto, l’84% dei flussi illeciti ormai in stablecoin (chainalysis.com). Dall’altro, c’è chi sostiene che l’apparato antiriciclaggio costi molto e intercetti poco. Peter Van Valkenburgh, del centro studi Coin Center, è netto: l’attuale regime «fa notevolmente poco per prevenire la finanza illecita», a fronte di un costo globale di compliance stimato in decine di miliardi l’anno (coincenter.org). Chi vuole il conto dettagliato lo trova nella nostra analisi su quanto costa e se funziona davvero la compliance DeFi.

C’è poi una conseguenza che i numeri da soli non mostrano: ogni giro di vite rischia di dividere il mondo in due. Da una parte una DeFi conforme e sorvegliata, con interfacce autorizzate, stablecoin congelabili e utenti identificati; dall’altra una DeFi residuale, spinta verso protocolli davvero senza leader, monete non congelabili e infrastruttura che nessuno controlla. Il paradosso è che più si stringono i colli di bottiglia facili, più si alimenta quella seconda metà, meno visibile e meno raggiungibile. La compliance, in questo senso, non elimina il rischio: lo sposta verso i punti ancora aperti della mappa.

La verità, probabilmente, sta nel disegno della mappa. I colli di bottiglia già chiusi (rampa e interfaccia) catturano la stragrande maggioranza del flusso normale, ma spingono il flusso illecito verso le vie di fuga: scambio diretto, stablecoin non congelabili, infrastruttura non presidiata. Ogni collo di bottiglia che si stringe, in altre parole, aumenta la pressione su quello successivo. Ecco perché la frontiera della sala macchine conta: è lì che si sposta ciò che gli altri quattro punti non riescono a trattenere.

Cosa cambia per chi usa e chi costruisce

Per l’utente italiano la lezione pratica è semplice. Usare la DeFi non è illegale e la custodia personale delle chiavi resta legittima, ma conviene mettere in conto due cose: all’ingresso e all’uscita, cioè sulla rampa in euro, ci saranno sempre la verifica dell’identità e la tracciabilità; e l’interfaccia che si usa oggi potrebbe essere oscurata domani se l’operatore dietro di essa non è in regola. Scegliere un CASP autorizzato, conservare la documentazione delle operazioni e compilare il quadro RW non sono formalità, ma il modo per restare dal lato giusto del collo di bottiglia.

Per chi costruisce, il messaggio è ancora più diretto: il controllo è responsabilità. Un front-end, un interruttore sulle commissioni, una chiave di amministrazione, una tesoreria: ognuno di questi elementi è un filo che riporta a una persona, e nessuna quantità di retorica sulla decentralizzazione cancella quel filo se l’operatore resta identificabile. Le scelte di progettazione, nel 2026, sono scelte di compliance. Decentralizzare davvero il controllo, o accettare di essere l’intermediario che si dichiara di non essere: una via di mezzo credibile, dopo i casi Storm e Ooki, non c’è più.

Il calendario che viene dirà il resto. L’AMLR scatta il 10 luglio 2027, le relazioni di MiCA sono attese entro il 30 giugno 2027, l’AMLA entra in vigilanza diretta nel 2028 e il processo bis a Roman Storm si terrà nell’aprile 2027. La forma della mappa, però, non cambierà: finché esisterà un punto di controllo, la regola lo troverà. L’unica vera incognita è se i regolatori decideranno di spingersi fin dentro la sala macchine, l’ultimo collo di bottiglia ancora libero. Per ora, è l’unico posto in cui il codice gira davvero senza che nessuno possa fermarlo.

Domande frequenti

La DeFi è regolata in Italia nel 2026?

Il protocollo in sé no: uno smart contract decentralizzato non è soggetto a MiCA. Lo sono però i punti di accesso, cioè gli exchange e i CASP che convertono euro in crypto, le interfacce che offrono il servizio e gli emittenti degli stablecoin, vigilati tra Consob, Banca d’Italia e, dal 2027, le nuove regole antiriciclaggio europee.

Cosa può fare la Consob contro un protocollo DeFi?

Non può modificare né spegnere lo smart contract, ma può ordinare ai provider italiani di oscurare il sito attraverso cui quel protocollo viene offerto senza autorizzazione, usando i poteri del Decreto Crescita e della disciplina MiCAR. A fine settembre 2026 i portali oscurati dal 2019 avevano superato quota 1.800.

Gli sviluppatori di uno smart contract sono responsabili di come viene usato?

Dipende dal controllo. Secondo il principio emerso dai casi statunitensi, scrivere codice senza intenti illeciti non è di per sé un reato, ma gestire un servizio attorno al codice, tenere le chiavi o incassare commissioni sposta la responsabilità sulla persona che esercita quel controllo.

Perché gli stablecoin sono così importanti per la compliance DeFi?

Perché quasi ogni transazione DeFi si regola in stablecoin e, a differenza del protocollo, lo stablecoin ha un emittente che può congelare i fondi su ordine dell’autorità. È il motivo per cui il congelamento è diventato lo strumento più efficace, e per cui circa l’84% dei flussi illeciti on-chain passa oggi proprio dagli stablecoin.

I relay MEV possono censurare le mie transazioni?

Alcuni applicano filtri sugli indirizzi sanzionati, ma nel 2026 circa il 70% dei blocchi di Ethereum passa da relay neutrali e la quota di quelli che censurano è scesa intorno al 17%. Nessuna autorità ha mai ordinato ai relay di filtrare: la censura è salita e scesa per scelte di mercato, non per legge.

Anneke de Vries è senior editor della sezione regolamentazione di HOGE Wire e segue l’evoluzione di MiCA, GAFI e vigilanza sulle crypto in Europa.