Gaming crypto e KYC: si gioca ora, si verifica alla cassa

Un pomeriggio dentro un gioco play-to-earn: si accumulano gettoni, si comprano e si rivendono skin, si aprono loot box, si scambia un oggetto raro con un altro giocatore dall’altra parte del mondo. In nessuno di questi passaggi qualcuno chiede un documento. Il controllo di identità arriva molto dopo, e in un punto solo: quando quel valore di gioco prova a diventare euro su un exchange. Nello stesso giorno, a metà ottobre 2026, l’Agenzia delle Dogane e dei Monopoli aggiungeva altri 381 domini alla sua lista nera di siti di gioco illegali, portando il totale oltre i 13.000 indirizzi oscurati.

Le due immagini raccontano la stessa logica. Nel gaming crypto si entra senza attriti e si esce con un posto di blocco. Le regole antiriciclaggio non sono mai state così fitte, eppure il KYC quasi non compare mentre si gioca: scatta alla cassa. Capire dove e perché scatta, e perché per i giocatori e gli studi italiani contano insieme tre regimi diversi (ADM per il gioco, antiriciclaggio per il denaro, MiCA per i servizi crypto), è il modo migliore per non ritrovarsi, da un lato o dall’altro del banco, su quella lista nera. Il contesto di mercato aiuta a inquadrare la posta in gioco: Bitcoin vale poco sotto i 72.000 euro, per una capitalizzazione intorno a 1,45 trilioni di euro.

«Gioca ora, verifica dopo»: dov’è l’attrito

Nella finanza tradizionale l’identità si verifica alla porta: per aprire un conto in banca servono documento, codice fiscale e una serie di controlli prima ancora di poter versare un euro. Nel gaming la porta è spalancata. Si scarica l’app, si crea un nickname, si gioca. L’attrito è stato spostato di proposito verso l’uscita, cioè verso il momento in cui il valore generato nel gioco prova a tornare nel mondo reale come moneta spendibile.

Questa scelta non è un capriccio dei disegnatori di giochi: riflette dove la legge aggancia gli obblighi. L’antiriciclaggio si attacca ai soggetti che trasferiscono o custodiscono denaro per conto di altri. Finché il valore resta chiuso dentro il gioco, quel soggetto spesso non esiste. Appena il valore diventa convertibile in euro, invece, compare un intermediario (quasi sempre un exchange o un marketplace) ed è lì che la verifica dell’identità, il monitoraggio delle operazioni e le segnalazioni si materializzano. Chi vuole la meccanica completa di un controllo KYC, dalla verifica del documento al monitoraggio continuo, la trova nel nostro approfondimento su come funzionano davvero le regole.

Il risultato è un’esperienza a due velocità. Per il giocatore medio, il gioco crypto è indistinguibile da un gioco tradizionale: zero burocrazia. Per chi muove valore in uscita, soprattutto in grandi quantità o verso wallet esterni, la cassa è un imbuto sorvegliato. Ed è un imbuto che in Italia ha un guardiano in più rispetto alla sola normativa crypto: per qualunque attività che somigli a una scommessa o a un gioco con vincite in denaro, il cancello è presidiato dall’ADM.

KYC e AML non sono la stessa cosa (e non è roba da Consob)

Vale la pena separare due sigle che vengono usate come sinonimi. L’AML (antiriciclaggio) è l’ombrello: l’insieme di leggi e controlli che serve a impedire che denaro di origine illecita entri nel circuito legale. Il KYC (know your customer, in Italia adeguata verifica della clientela) è una delle sue componenti: il pezzo che accerta chi è davvero il cliente. Tutto il KYC è AML; non tutto l’AML è KYC, perché l’ombrello comprende anche il monitoraggio delle operazioni, le segnalazioni, la conservazione dei dati e lo screening delle sanzioni.

In Italia la mappa delle competenze sorprende chi la vede per la prima volta. L’antiriciclaggio nasce dal D.lgs. 231/2007: la politica la fa il Ministero dell’Economia e delle Finanze, la Financial Intelligence Unit è l’UIF presso la Banca d’Italia (riceve e analizza le segnalazioni di operazioni sospette), le indagini le conducono il Nucleo Speciale di Polizia Valutaria della Guardia di Finanza e la DIA. La Consob, che molti associano istintivamente alla vigilanza crypto, si occupa di condotta di mercato e tutela dell’investitore sotto MiCA, non di riciclaggio. MiCA regola i servizi su crypto-asset (con Consob e Banca d’Italia come autorità nazionali, per effetto del D.lgs. 129/2024), ma l’antiriciclaggio vive in un binario separato, quello dell’AMLR e del regolamento sul trasferimento di fondi.

Per un gioco crypto che tocchi denaro reale, questo significa trovarsi al crocevia di più regimi insieme: l’antiriciclaggio del 231, le regole sui servizi crypto di MiCA, e, se c’è una vincita in denaro, la concessione ADM sul gioco. Se poi il token di gioco assume i tratti di uno strumento finanziario, entra in scena anche la classificazione per funzione fissata dall’ESMA, un tema distinto da quello antiriciclaggio. Il riciclaggio, nel frattempo, segue sempre le stesse tre fasi (collocamento, stratificazione, integrazione), e nel mondo digitale la fase in cui gli asset crypto danno il meglio di sé è la stratificazione: tanti piccoli passaggi che spezzano la tracciabilità.

Il test che decide tutto: valore chiuso o convertibile

Esiste una domanda che, più di ogni altra, stabilisce se un gioco finisce sotto gli obblighi antiriciclaggio: il suo valore interno è «chiuso» o «convertibile»? La formulazione più chiara arriva dagli Stati Uniti, nella guida FinCEN del 9 maggio 2019 (FIN-2019-G001), che consolida interpretazioni precedenti fin dal 2011. Il principio è semplice: se la valuta di gioco non esce mai dal gioco (non la si può incassare in denaro), l’operatore in genere non è un money transmitter. Nel momento in cui quel valore diventa convertibile, perché lo studio lo ricompra, o perché gli oggetti si possono rivendere a terzi per contanti, l’operatore può trasformarsi in un money services business, con tutti gli obblighi del Bank Secrecy Act: registrazione, KYC, segnalazioni.

Un esempio concreto rende l’idea. In un gioco play-to-earn i token guadagnati giocando hanno un prezzo di mercato e si possono vendere su un exchange: è valore convertibile, punto e basta. Finché restano nel wallet del giocatore nessuno chiede nulla, ma nel momento in cui quei token diventano euro, l’exchange che fa da cassa deve sapere chi è il titolare, da dove arrivano i fondi e se l’operazione ha un senso economico. Lo stesso gioco, se emettesse solo gettoni non trasferibili spendibili unicamente dentro il mondo di gioco, resterebbe quasi del tutto fuori dal perimetro.

È una cornice americana, ma il risultato europeo è lo stesso per vie diverse. In UE non serve che lo studio diventi money transmitter: basta che il punto di conversione sia un prestatore di servizi su crypto-asset (un exchange, un custode, un marketplace con cassa) perché quel soggetto sia un «soggetto obbligato» antiriciclaggio. In pratica, il confine tra un gioco spensierato e un servizio finanziario regolato passa dalla convertibilità. Ecco perché i modelli di gioco si dividono con nettezza.

Riciclare dentro i giochi: gold farm, skin e wash trading NFT

L’idea di usare un videogioco per ripulire denaro è molto più vecchia delle crypto. Per anni le gold farm hanno trasformato ore di gioco e account rivenduti in flussi di contanti opachi. Ma l’esempio più istruttivo, perché prima della blockchain, sono le skin di Counter-Strike. Introdotte nel 2013, sono diventate oggetti con un prezzo di mercato reale e si potevano spostare fuori dal gioco. Entro il 2016 un giro stimato intorno ai 5 miliardi di dollari era scommesso su siti terzi di skin gambling; Valve reagì con una raffica di 23 diffide a luglio 2016 e, nel 2023, bandì una quarantina di trader per riciclaggio tramite un sito rivale, congelando circa 2 milioni di dollari in skin.

Gli NFT hanno portato lo stesso schema on-chain, con il wash trading come variante preferita. Nel suo rapporto sul crimine crypto del 2022, Chainalysis ha documentato 262 utenti che avevano venduto un NFT a un wallet auto-finanziato 25 o più volte, gonfiando artificialmente prezzi e volumi; nello stesso report, indirizzi legati ad attività illecite hanno inviato circa 1,4 milioni di dollari a marketplace di NFT in un solo trimestre di fine 2021. Il meccanismo è elegante nella sua semplicità: si vende a sé stessi, si crea una storia di prezzo credibile, si rivende a un acquirente ignaro, e il denaro sporco esce lavato come plusvalenza su un oggetto digitale.

La lezione è che le economie di gioco sono da sempre un parco giochi per il riciclaggio. Le crypto non hanno inventato il problema: hanno reso i binari più veloci, globali e difficili da congelare. Ed è proprio questa combinazione a spiegare perché i regolatori, invece di inseguire ogni oggetto dentro ogni gioco, concentrino le pretese sui pochi punti in cui il valore diventa denaro.

Quando un gioco finisce sotto sanzioni: il caso Ronin

Nessun episodio mostra meglio la posta in gioco del furto alla Ronin, la sidechain di Axie Infinity sviluppata da Sky Mavis. Il 23 marzo 2022 (scoperto solo il 29) un attaccante sottrasse 173.600 ETH e 25,5 milioni di USDC, per un controvalore vicino ai 625 milioni di dollari, uno dei furti più grandi della storia crypto. Il punto d’ingresso non fu un bug di codice, ma una persona: una finta offerta di lavoro su LinkedIn a un ingegnere senior, un PDF infetto, uno spyware, e il controllo della maggioranza delle nove chiavi dei validatori.

Poche settimane dopo il Tesoro americano attribuì l’attacco al gruppo Lazarus, legato alla Corea del Nord, e aggiunse il wallet alla lista delle sanzioni OFAC il 14 aprile 2022. Da quel momento qualunque exchange che avesse processato quei fondi rischiava una violazione delle sanzioni. Il caso insegna due cose insieme. Primo: una società di gaming può diventare, suo malgrado, l’ingresso di un’operazione di riciclaggio sponsorizzata da uno Stato. Secondo: i fondi rubati passano per mixer e wallet intermedi, ma prima o poi cercano un’uscita in valuta reale, e lì, alla cassa, lo screening delle sanzioni e l’antiriciclaggio diventano l’ultima linea di difesa. Il furto nacque inoltre da un attacco all’identità di un dipendente, a conferma che nel 2026 la verifica di chi sta davvero dall’altra parte dello schermo è un problema di sicurezza prima ancora che di compliance.

C’è un motivo se i gruppi più organizzati prendono di mira proprio il gaming. Gli studi crypto maneggiano tesorerie consistenti, impiegano molti sviluppatori giovani e distribuiti, e vivono di community aperte dove un messaggio o un’offerta di lavoro non destano sospetto. È il terreno ideale per l’ingegneria sociale, e una volta dentro l’attaccante non deve forzare la blockchain: gli basta la persona giusta. Per l’antiriciclaggio la conseguenza è che la difesa non può fermarsi alla cassa: identità del personale, gestione delle chiavi e monitoraggio dei flussi contano quanto il controllo del documento del giocatore.

Dove morde il KYC: onboarding senza attrito, cassa blindata

Se il valore convertibile è la soglia, dove scatta in concreto il controllo? Non all’iscrizione. Il gaming vive di onboarding senza frizioni, e i wallet pensati per i giochi lo rivendicano apertamente: Immutable Passport, per esempio, è un accesso senza password e non custodiale che l’azienda dichiara aver raccolto oltre 5 milioni di iscrizioni nei primi 15 mesi. Nessuno di quei cinque milioni ha mostrato un documento per cominciare a giocare. Il KYC si sposta a valle, in tre punti ben precisi: il marketplace dove si monetizzano gli oggetti, l’exchange o il prestatore di servizi crypto da cui si esce, e l’on/off-ramp fiat (banca, carta) che riconverte in euro.

C’è però un rovescio della medaglia. Ogni punto che fa KYC accumula documenti, selfie e dati personali, e diventa così un bersaglio. È il paradosso dell’honeypot: più piattaforme raccolgono la tua identità, più grande è il bottino per chi le viola. La violazione subita da Coinbase nel maggio 2025 lo ha reso evidente: contractor corrotti all’estero avevano copiato i dati (nomi, indirizzi, parti di documenti) di circa 69.461 utenti, con una richiesta di riscatto da 20 milioni di dollari rifiutata e una stima di rimedio tra 180 e 400 milioni. La stessa concentrazione che rende efficiente la vigilanza rende catastrofica una fuga di dati, un rischio che nel settore crypto si somma a quello, altrettanto concentrato, della custodia degli asset in un unico grande nome.

Loot box: gioco d’azzardo travestito?

C’è un punto in cui il gaming incrocia il gioco d’azzardo senza chiamarlo così: la loot box, la scatola a premio casuale che si compra con denaro reale. Se è una scommessa, allora non è più solo un prodotto di intrattenimento, ma un’attività che in molti ordinamenti ricade sotto la regolazione del gioco, con i suoi obblighi antiriciclaggio. Il Belgio è stato il battistrada: nel 2018 la Commissione dei giochi classificò certe loot box come giochi d’azzardo, e l’allora ministro della Giustizia Koen Geens le definì apertamente giochi d’azzardo, chiedendo che fossero trattate come tali. A gennaio 2025 il tribunale d’impresa di Anversa ha fatto un passo oltre, dichiarando illegali le loot box a pagamento e ritenendo responsabile anche Apple come piattaforma di distribuzione.

I Paesi Bassi considerano illegali le loot box acquistabili con denaro reale che offrono vantaggi di gioco, anche se dopo il 2022 il Consiglio di Stato olandese ha ristretto la portata alle sole scatole dentro un gioco di abilità. Ma la spinta più forte arriva ora dal livello europeo: a fine novembre 2025 il Parlamento europeo ha adottato in plenaria, con 483 voti favorevoli, una risoluzione sulla protezione dei minori online che chiede di vietare meccanismi simili al gioco d’azzardo come le loot box nei giochi accessibili ai minori, attraverso il futuro Digital Fairness Act. Nel frattempo il sistema di classificazione PEGI ha aggiornato le etichette per segnalare loot box e spese in-game.

E l’Italia? Non esiste una legge specifica sulle loot box: restano in una zona grigia tra tutela del consumatore e normativa sul gioco. Un vincolo però c’è già, e pesante. Il Decreto Dignità (legge n. 96 del 2018) ha introdotto un divieto pressoché assoluto di pubblicità, anche indiretta, di giochi e scommesse con vincite in denaro, su qualsiasi mezzo, con l’AGCOM a vigilare e sanzioni che partono da 50.000 euro. Se una meccanica di gioco crypto venisse qualificata come azzardo con vincite monetizzabili, non solo richiederebbe la concessione ADM: non si potrebbe nemmeno pubblicizzarla.

Perché tutto questo conta per l’antiriciclaggio? Perché se una meccanica è gioco d’azzardo, finisce sotto l’autorità del gioco (in Italia l’ADM) e sotto i suoi obblighi di verifica e segnalazione. E una loot box a premio casuale, rivendibile, pagata in token convertibili, è al tempo stesso una scommessa e una superficie di riciclaggio: ci entra denaro, esce un oggetto con un prezzo di mercato, lo si liquida altrove. Il confine tra divertimento e azzardo, qui, non è una questione filosofica: decide quali regole si applicano.

L’Italia e il gioco a distanza: la concessione ADM

In Italia il gioco con vincite in denaro non è libero: è un’attività in concessione. La riforma del gioco a distanza varata con il D.lgs. 41/2024 ha ridisegnato il sistema, e la nuova concessione è pensata per essere selettiva. Dura al massimo nove anni, non è rinnovabile, e richiede una cauzione iniziale da 7 milioni di euro, con un canone medio di decine di milioni sull’intero periodo. A settembre 2025 l’ADM ha aggiudicato 52 concessioni a 46 operatori, consolidando un mercato in poche mani solide e vigilate.

L’ADM non è solo l’ente che rilascia la concessione: è anche il vigilante. I concessionari di gioco sono soggetti obbligati antiriciclaggio ai sensi del D.lgs. 231/2007, quindi devono identificare i giocatori, monitorare i conti di gioco e segnalare le operazioni sospette all’UIF, esattamente come una banca o un exchange. Qui sta il punto che spiazza chi arriva dal mondo crypto: allo stato, nessun concessionario ADM accetta depositi o prelievi in criptovaluta, né direttamente né tramite intermediari di conversione. La legge italiana sul gioco non include Bitcoin o gli altri asset tra gli strumenti di pagamento ammessi. Il risultato è netto: il gioco legale in Italia è, per ora, un mondo senza crypto, e il gioco crypto è, per definizione, fuori dal perimetro legale.

Crypto casino e zona grigia: la blacklist che non smette di crescere

Siccome i concessionari non possono toccare le crypto, l’intero mercato dei crypto casino vive offshore. La gran parte di questi siti è basata a Curaçao o a Malta, viene presentata come liberamente accessibile dall’Italia, ma legalmente non lo è: qualunque sito con vincite in denaro privo di concessione ADM è illegale sul territorio italiano. E un crypto casino senza concessione è quasi sempre anche un casino senza KYC, cioè la negazione esatta della logica «gioca ora, verifica dopo»: qui non si verifica né prima né dopo, ed è proprio per questo che è vietato.

L’arma dell’ADM è la lista nera con oscuramento a livello di provider. I gestori di rete italiani sono obbligati a rendere irrisolvibile il dominio, reindirizzando gli utenti a una pagina dedicata dell’Agenzia. Il ritmo è impressionante: nel solo 2026 l’ADM ha superato i mille domini inibiti, e dopo l’aggiunta di 381 siti il 14 ottobre la lista ha toccato quota 13.079 indirizzi. È un posto di blocco reale, ma anche una partita a guardia e ladri: domini specchio, VPN e nuovi indirizzi ricompaiono più in fretta di quanto vengano oscurati. Per l’antiriciclaggio, un crypto casino offshore senza identificazione è una lavatrice perfetta; l’oscuramento è un freno grezzo ma concreto, applicato nell’unico punto che lo Stato controlla davvero, l’accesso dalla rete nazionale.

Il modello sweepstakes e le valute doppie

Negli Stati Uniti è emerso un modello che il gaming crypto farebbe bene a studiare, perché gli somiglia molto: il social casino a sweepstakes, costruito su due valute. Una moneta gratuita, con cui si gioca per divertimento e che non si può incassare, e una seconda moneta promozionale (le sweeps coins) che invece si può riconvertire in premi o denaro. L’architettura serve a sostenere, sulla carta, che non si tratta di gioco d’azzardo, perché nessuno compra direttamente la possibilità di vincere.

I regolatori americani non hanno comprato l’argomento. Nel biennio 2025-26 è partito un giro di vite poderoso: circa undici Stati hanno introdotto divieti per legge, sono arrivate oltre cento azioni collettive nel 2025, centinaia di diffide, con l’Illinois che in un solo mese del 2026 ne ha spedite 65, e le norme più recenti colpiscono l’intero ecosistema: processori di pagamento, fornitori di geolocalizzazione, distributori di contenuti. Diversi operatori hanno chiuso.

La rilevanza per le crypto è diretta. Un gioco play-to-earn con un token «gratuito» più un token riscattabile è, strutturalmente, lo stesso schema a doppia valuta. E la lezione del giro di vite è che i regolatori hanno imparato a guardare oltre le etichette: tanto il test sulla convertibilità quanto quello sul gioco d’azzardo guardano alla sostanza, non al nome che gli si dà. Chiamare «premio» una vincita non cambia la natura dell’operazione se quel premio si può trasformare in denaro.

La cassa è un exchange: l’ondata di enforcement

Alla fine del percorso, la cassa del gaming crypto è quasi sempre un exchange o un prestatore di servizi crypto. Ed è esattamente lì che l’antiriciclaggio ha colpito più duro, con sanzioni che hanno riscritto gli incentivi del settore. Il caso capostipite è Binance: a novembre 2023 un patteggiamento da oltre 4,3 miliardi di dollari (3,4 miliardi al FinCEN, 968 milioni all’OFAC), con il fondatore CZ dichiaratosi colpevole di violazioni del Bank Secrecy Act e, il dettaglio che pesa di più, nemmeno una segnalazione di operazione sospetta trasmessa a fronte di oltre centomila transazioni problematiche. L’allora procuratore generale Merrick Garland riassunse il senso dell’accusa: usare nuove tecnologie per infrangere la legge non fa di te un innovatore, ma un criminale.

Non è stato un caso isolato. OKX ha patteggiato oltre 504 milioni di dollari a febbraio 2025 per esercizio non autorizzato di trasmissione di denaro; KuCoin oltre 297 milioni a gennaio 2025. Il messaggio alle casse del mondo crypto è stato inequivocabile: se dalla tua piattaforma esce valore, devi sapere chi lo muove. Nel frattempo il canale di uscita preferito è cambiato: secondo Chainalysis, nel 2025 le stablecoin hanno rappresentato circa l’84% del valore delle transazioni illecite, e sempre più spesso la cassa di un gioco è una stablecoin. Il che sposta parte della partita sul pulsante di congelamento degli emittenti, una leva che abbiamo analizzato parlando di come il congelamento sia diventato la vera regola per le stablecoin.

Le regole UE in arrivo: AMLR, AMLA, TFR e la riga ESMA

Il quadro dentro cui tutto questo si muove sta per irrigidirsi. Il regolamento antiriciclaggio europeo, l’AMLR (Reg. 2024/1624), si applica pienamente dal 10 luglio 2027 e porta tre novità pesanti per chi tocca crypto: divieto dei conti crypto anonimi e dei servizi di anonimizzazione (incluse le privacy coin), tetto ai contanti a 10.000 euro, e adeguata verifica obbligatoria per i prestatori di servizi crypto sopra i 1.000 euro. In parallelo nasce l’AMLA, la nuova autorità europea con sede a Francoforte, che dal 2028 vigilerà direttamente sulle entità più rischiose, con le crypto indicate come priorità esplicita. A guidarla c’è Bruna Szego, italiana, già responsabile della vigilanza antiriciclaggio in Banca d’Italia: un dettaglio che rende il baricentro europeo meno lontano di quanto sembri.

C’è poi il regolamento sul trasferimento di fondi, il TFR (Reg. 2023/1113), in vigore dal 30 dicembre 2024 senza soglia minima: ogni trasferimento crypto tra prestatori deve viaggiare con i dati di chi invia e di chi riceve, e i transiti verso wallet auto-ospitati sopra i 1.000 euro fanno scattare controlli aggiuntivi. Per il gaming il punto delicato è la classificazione del token. Le linee guida ESMA del 19 marzo 2025 stabiliscono che un crypto-asset si qualifica come strumento finanziario in base alla sua funzione, non alla sua etichetta: un token puramente di utilità in-game può restare fuori dalle regole sui titoli, mentre un token con tratti di investimento o emesso in serie fungibili ci rientra. Lo stesso gettone, insomma, può essere al tempo stesso un token di utilità sotto MiCA, uno strumento finanziario sotto la vigilanza Consob, e un innesco antiriciclaggio alla cassa, a seconda di cosa fa davvero.

Per l’Italia il calendario è già realtà. Il periodo transitorio di MiCA si è chiuso il 30 giugno 2026, e da allora operare come prestatore di servizi su crypto-asset richiede l’autorizzazione CASP: la Consob ha rilasciato le prime licenze nel 2026, e chi gestisce la cassa di un gioco crypto rivolto a utenti italiani entra in quel perimetro di vigilanza. Tradotto per uno studio di gaming: il partner che converte i token in euro deve essere un soggetto autorizzato, con obblighi KYC e antiriciclaggio pieni, altrimenti il servizio è semplicemente abusivo.

Che la pressione cresca lo dicono i numeri italiani. Il Rapporto annuale dell’UIF per il 2025 registra 162.059 segnalazioni di operazioni sospette (più 11,5%), con gli operatori crypto e i VASP passati da 3.165 a 5.859 segnalanti, un balzo dell’85,1%. Il settore, in altre parole, sta imparando a segnalare, e lo fa in misura crescente.

Ma funziona? Costi, honeypot e la domanda scomoda

Resta la domanda che nessun regolatore ama sentirsi porre: tutto questo controllo serve? I dati invitano alla prudenza. Sempre secondo Chainalysis, nel 2025 gli indirizzi legati ad attività illecite hanno ricevuto oltre 154 miliardi di dollari (in crescita del 162%), ma si tratta pur sempre di meno dell’1% del volume complessivo on-chain. È un paradosso ricorrente: il regime non è mai stato così pesante, eppure la quota di valore illecito intercettato resta modesta.

Peter Van Valkenburgh, del centro studi Coin Center, lo ha messo nero su bianco: l’attuale impianto KYC e AML, scrive, fa notevolmente poco per fermare la finanza illecita, imponendo costi e oneri di privacy enormi a fronte di un beneficio modesto, con una spesa di conformità che negli Stati Uniti supera i 26 miliardi di dollari l’anno. Nel gaming la tensione è ancora più visibile: spingere tutto l’attrito alla cassa significa farlo ricadere sui giocatori onesti, quelli che vogliono solo i loro euro, mentre il riciclatore esperto aggira i punti di blocco passando per casino offshore, stablecoin difficili da congelare o scambi diretti tra persone. La verifica massiva, intanto, crea l’honeypot di cui sopra. Una via d’uscita esiste, ed è tecnologica: le prove a conoscenza zero permetterebbero a un giocatore di dimostrare di essere maggiorenne o verificato senza consegnare l’intero documento, riducendo il bottino di un’eventuale violazione, un terreno che abbiamo esplorato chiedendoci chi produce le prove nei mercati dello zk-ML.

Cosa significa in pratica per chi gioca e chi sviluppa

Per il giocatore la regola pratica è una sola: si può giocare senza KYC, ma ci si deve aspettare una verifica piena al momento di incassare. Un gioco o un casino che non chiede mai nulla, nemmeno alla cassa, non è un favore: è quasi certamente una piattaforma illegale o offshore, e i fondi che ci stanno dentro non hanno alcuna tutela né via di recupero. Conviene inoltre ricordare che le plusvalenze e le vincite in crypto vanno dichiarate: il valore che esce dal gioco e diventa euro entra nel mirino del Fisco oltre che dell’antiriciclaggio, un intreccio che si lega alle scelte sul carico fiscale discusse nella Manovra 2027 e nel nodo dell’aliquota.

Per lo studio di sviluppo, invece, la decisione di design è una decisione di compliance. Scegliere tra valore chiuso e valore convertibile determina se si finisce o no tra i soggetti obbligati. Se si aggiunge una cassa, qualcuno (lo studio o il partner di off-ramp) diventa responsabile della verifica e delle segnalazioni. Se c’è una vincita in denaro, in Italia serve una concessione ADM, punto. Il token va classificato per funzione, perché la stessa moneta può far scattare regole diverse. E una struttura offshore non è uno scudo: Ronin e l’ondata di sanzioni lo hanno dimostrato, la cassa prima o poi tocca terra in una giurisdizione che fa domande.

Domande frequenti

Un crypto casino senza KYC è legale in Italia?

No. In Italia il gioco con vincite in denaro richiede una concessione dell’ADM, e i concessionari autorizzati non accettano criptovalute. Un crypto casino privo di concessione è illegale sul territorio italiano e finisce nella lista nera oscurata dai provider: i fondi depositati non godono di alcuna tutela.

Quando scatta l’antiriciclaggio in un gioco crypto?

Scatta quando il valore di gioco diventa convertibile in denaro. Finché resta chiuso dentro il gioco gli obblighi sono minimi; appena lo si può incassare, perché lo studio lo ricompra o gli oggetti si rivendono per contanti, l’operatore o l’exchange di uscita diventa soggetto obbligato, con verifica dell’identità, monitoraggio e segnalazioni.

Serve il KYC per giocare a un gioco play-to-earn?

Di norma no per giocare. La verifica dell’identità scatta quando si prova a trasferire o incassare i token su un exchange o un prestatore di servizi crypto, dove servono documento, selfie e prova di indirizzo. L’accesso al gioco in sé resta senza attrito.

Le loot box sono gioco d’azzardo in Europa?

Dipende dal Paese, ma la direzione è chiara. Il Belgio le tratta come giochi d’azzardo dal 2018, i Paesi Bassi vietano quelle a pagamento che offrono vantaggi di gioco, e a fine 2025 il Parlamento europeo ha chiesto di vietare le loot box nei giochi accessibili ai minori attraverso il futuro Digital Fairness Act.

Le vincite di un gioco crypto vanno dichiarate in Italia?

Sì. Quando il valore crypto diventa denaro reale, le plusvalenze e le vincite rientrano negli obblighi fiscali italiani, oltre a far scattare i controlli antiriciclaggio alla cassa. Conviene documentare ogni conversione per ricostruire importi e provenienza.

Anneke de Vries, redazione regolamentazione di HOGE Wire.