IT-Wallet e KYC crypto: verifica una volta, dimostra ovunque

Rifai il KYC a ogni exchange: il problema che nessuno risolve

Se negli ultimi anni hai aperto un conto su più di una piattaforma crypto, conosci la scena a memoria: foto del documento fronte e retro, un selfie con il viso ruotato a destra e a sinistra, a volte una bolletta come prova di residenza. Poi ricominci da capo sul secondo exchange. E sul terzo. Ogni volta consegni la stessa identità a un soggetto diverso, che la archivia da qualche parte sui propri server. Con Bitcoin intorno ai 69.700 euro e una capitalizzazione di circa 1.400 miliardi di euro il 4 novembre 2026 (CoinGecko), il mercato è maturo, ma il modo in cui ci identifichiamo è rimasto fermo al 2017.

Questo articolo parte da una domanda semplice: perché devo ripetere lo stesso controllo decine di volte, e perché ogni ripetizione peggiora la mia sicurezza invece di migliorarla? La risposta porta dritti a un cambio di modello che regolatori e industria stanno costruendo in parallelo: identità riutilizzabile, credenziali verificabili, prove a conoscenza zero e, in Italia, l’IT-Wallet dentro l’app IO. L’idea si riassume in una formula: verifica una volta, dimostra ovunque. Non è fantascienza regolatoria, è un cantiere con scadenze precise che cadono proprio adesso, fra la fine del 2026 e il 2027.

KYC e AML non sono la stessa cosa (e in Italia non è la Consob)

Prima di parlare della cura serve chiarire la malattia. Il KYC (know your customer, adeguata verifica della clientela) è la componente di identità: stabilire chi sei e avere ragionevole certezza che tu sia davvero tu. L’AML (anti money laundering, antiriciclaggio) è l’ombrello più largo, l’insieme di leggi e controlli che dovrebbe impedire al sistema finanziario di ripulire denaro sporco. Il KYC è il primo mattone dell’AML, non un sinonimo: puoi avere un’identificazione perfetta e un antiriciclaggio pessimo, e viceversa.

Un equivoco va corretto subito, perché ritorna di continuo nei commenti dei lettori: in Italia l’antiriciclaggio non lo fa la Consob. Il perimetro è disegnato dal D.lgs 231/2007. La politica di prevenzione spetta al Ministero dell’Economia e delle Finanze; l’Unità di Informazione Finanziaria (UIF) incardinata in Banca d’Italia raccoglie e analizza le segnalazioni di operazioni sospette; l’analisi investigativa e il contrasto passano dal Nucleo Speciale di Polizia Valutaria della Guardia di Finanza e dalla DIA. La Consob, come autorità che autorizza i CASP sotto MiCA, vigila sulla condotta di mercato e sulla tutela dell’investitore, non sul riciclaggio. MiCA regola i servizi crypto; l’antiriciclaggio vive in un corpo normativo separato (regolamento AMLR, direttiva AMLD6 e regolamento sui trasferimenti di fondi).

Dentro il 231 l’adeguata verifica ha tre intensità: semplificata quando il rischio è basso, ordinaria come regola generale, rafforzata per i rapporti ad alto rischio. Gli artt. 18 e 19 dicono anche come si verifica un cliente: identificazione tramite un documento d’identità valido, con dati raccolti da una fonte affidabile e indipendente. È proprio quella formula, fonte affidabile e indipendente, la chiave che più avanti aprirà la porta all’identità digitale.

Come funziona oggi un controllo KYC

Dietro la schermata di onboarding di un exchange ci sono quasi sempre quattro passaggi, spesso affidati a fornitori specializzati come Sumsub, Onfido, Jumio o IDnow. Primo: la verifica del documento, cioè la lettura ottica di passaporto o carta d’identità e il controllo degli elementi di sicurezza. Secondo: la liveness, il selfie dinamico che deve dimostrare che davanti alla fotocamera c’è una persona reale e viva, non una foto o un video. Terzo: lo screening contro liste di sanzioni, persone politicamente esposte e notizie negative. Quarto: il monitoraggio continuo delle operazioni, che non finisce all’iscrizione ma accompagna tutto il rapporto.

Nella verifica rafforzata i passaggi si moltiplicano: origine dei fondi, provenienza del patrimonio, controlli più frequenti. Tutto questo ha un costo, che la piattaforma scarica in parte sull’utente sotto forma di attrito e in parte su sé stessa sotto forma di personale e fornitori. Ma il punto debole non è nessuno di questi passaggi preso singolarmente. È il modello di fondo: ogni piattaforma esegue l’intero controllo da sola, conserva le copie dei tuoi documenti nei propri archivi e non si fida di quello che ha già fatto il concorrente. Il risultato è un sistema a silos, dove la stessa identità viene fotocopiata decine di volte e parcheggiata in decine di database diversi. Comodo da costruire, pessimo da difendere.

Il controllo non si esaurisce nell’identificazione: alimenta il monitoraggio che poi genera le segnalazioni di operazioni sospette. E qui i numeri italiani raccontano un sistema sotto pressione. Nel 2025 la UIF ha ricevuto 162.059 segnalazioni, in crescita dell’11,5 per cento, e la quota legata agli operatori in valuta virtuale è passata da 3.165 a 5.859 soggetti segnalanti, un balzo dell’85,1 per cento (UIF, Banca d’Italia). Ogni identità raccolta male a monte si traduce in rumore a valle: più copie di documenti, più falsi positivi, più segnalazioni difensive.

I due difetti del modello attuale: documento falsificabile e honeypot

Il primo difetto è che il documento da solo vale sempre meno. Falsi generati con l’intelligenza artificiale si comprano per cifre irrisorie, e gli attacchi di tipo injection, in cui un video sintetico viene iniettato direttamente nel flusso della fotocamera, sono cresciuti in modo a tre cifre nel corso del 2025 secondo i report di settore. Una verifica basata su foto e selfie è una gara tecnologica che il difensore non vince mai del tutto; lo abbiamo raccontato nel dettaglio parlando di biometria e prova di essere umani, dove la conclusione era netta: dimostrare che c’è una persona viva non equivale a dimostrare chi sia quella persona.

Il secondo difetto è più insidioso, perché colpisce proprio chi ha fatto tutto bene. Ogni archivio di documenti è un honeypot, un barattolo di miele per i criminali. Nel maggio 2025 Coinbase ha rivelato che alcuni addetti al supporto corrotti all’estero avevano copiato dati di circa 69.461 utenti, comprese foto di documenti; l’azienda ha rifiutato un riscatto da 20 milioni di dollari e ha stimato il danno fra 180 e 400 milioni (CoinDesk). Più volte ripeti il KYC, più copie della tua identità esistono, più bersagli offri. La sicurezza individuale peggiora a ogni iscrizione, non migliora.

È qui che si innesta una critica di fondo al regime. Peter Van Valkenburgh del Coin Center, nel rapporto Tear Down this Walled Garden, sostiene che l’attuale impianto AML/KYC «fa notevolmente poco» per fermare la finanza illecita e che «impone enormi costi e oneri sulla privacy a fronte di un beneficio trascurabile» (Coin Center). Non serve condividere la tesi radicale per vedere il punto pratico: il modello a silos moltiplica costi e rischi senza moltiplicare la sicurezza.

Verifica una volta, dimostra ovunque: il triangolo emittente, titolare, verificatore

L’alternativa capovolge la logica. Invece di rifare il controllo a ogni porta, lo fai una volta sola con un soggetto fidato, poi dimostri solo ciò che serve a chi te lo chiede. Il modello si regge su tre ruoli. L’emittente (per esempio una banca, un ente pubblico o un fornitore KYC qualificato) verifica la tua identità e ti rilascia una credenziale firmata. Il titolare sei tu, che la conservi in un portafoglio digitale sul tuo telefono. Il verificatore (l’exchange, il protocollo, il servizio) riceve una prova crittografica che la credenziale è valida, senza dover raccogliere e custodire di nuovo i tuoi documenti.

Perché il triangolo regga serve un quarto elemento invisibile: una cornice di fiducia che stabilisca quali emittenti sono affidabili e con quali regole. È la differenza tra un’attestazione che vale e una che non vale nulla. Non è teoria: secondo le analisi di settore il KYC riutilizzabile può tagliare i costi di onboarding dal 30 al 50 per cento rispetto alla verifica documentale ripetuta, e comprimere un controllo manuale da dieci minuti o più a pochi secondi di conferma automatica (Start With Identity). Per l’utente significa meno attrito; per la piattaforma meno costi e, soprattutto, meno dati sensibili da difendere.

Le credenziali verificabili: lo standard che rende tutto portabile

Perché una credenziale valga ovunque serve una grammatica comune. La fornisce il World Wide Web Consortium con le Verifiable Credentials: il 15 maggio 2025 la famiglia di specifiche 2.0 è diventata Raccomandazione ufficiale, cioè standard web maturo (W3C). Una credenziale verificabile è un dato firmato digitalmente dall’emittente (per esempio «questo utente ha superato il KYC» oppure «è residente nell’UE»), legato a un identificativo decentralizzato (DID) che il titolare controlla senza doverlo chiedere a una piattaforma.

La parte interessante si chiama divulgazione selettiva. Dalla stessa credenziale puoi estrarre solo l’informazione necessaria: a un exchange che deve rispettare l’adeguata verifica basta sapere che sei una persona verificata e in quale giurisdizione risiedi, non la tua data di nascita esatta né il numero del passaporto. Le liste di stato (status list) permettono inoltre di revocare una credenziale compromessa senza rivelare chi sei. È l’esatto contrario del modello attuale, dove consegni tutto e speri che venga custodito bene.

Le prove a conoscenza zero applicate al KYC

La divulgazione selettiva diventa potente quando si sposa con le prove a conoscenza zero (zero knowledge proof): dimostrazioni matematiche che un’affermazione è vera senza rivelare i dati sottostanti. Puoi provare «ho più di 18 anni» senza mostrare la data di nascita, oppure «non sono in una lista di sanzioni» senza esporre nome e cognome. È la stessa famiglia di crittografia che abbiamo visto applicata al calcolo verificabile e all’intelligenza artificiale dimostrabile, qui puntata sull’identità.

Diversi protocolli la stanno portando in produzione. Privado ID (nato dall’esperienza di Polygon ID) è diventato un mattone comune per chi vuole un KYC riutilizzabile invece di ripeterlo a ogni applicazione, ed è stato al centro di un progetto pilota di identità a conoscenza zero con Deutsche Bank. zkMe si presenta come una soluzione KYC decentralizzata e allineata agli standard del GAFI, che esegue il controllo sul dispositivo dell’utente e poi pubblica solo una prova di superamento verificabile on-chain (FinanceFeeds; zkMe). L’obiettivo dichiarato è sempre lo stesso: nessun dato in chiaro arriva al server del verificatore.

Un esempio concreto: una pool DeFi che per legge può aprirsi solo a utenti verificati e maggiorenni. Oggi dovrebbe raccogliere i documenti di ciascuno, diventando un nuovo honeypot. Con una prova a conoscenza zero riceve invece due bit di informazione (persona verificata, maggiore età) e nient’altro, senza mai vedere il documento. Il controllo resta, la montagna di dati sparisce.

Le attestazioni on-chain: l’esempio di Coinbase

Un caso già in esercizio arriva da Coinbase. Le Coinbase Verifications sono attestazioni on-chain emesse tramite l’Ethereum Attestation Service (EAS), lo standard aperto per firmare dichiarazioni sulla blockchain, pubblicate sulla rete Base sotto il nome ENS verifications.coinbase.eth. L’attestazione è legata a un wallet autocustodito dell’utente, non è trasferibile ad altri indirizzi e dichiara solo un fatto minimo, per esempio «questo indirizzo appartiene a un account Coinbase verificato» o il Paese di residenza. Al 19 ottobre 2026 Coinbase aveva emesso oltre 723.000 attestazioni di account verificato su Base (Coinbase Verifications; Blockworks).

Il meccanismo mostra bene la differenza di filosofia. Un protocollo che voglia accettare solo utenti verificati non chiede più i documenti: controlla se il wallet porta l’attestazione giusta. La verifica l’ha fatta una volta Coinbase; tutti gli altri si limitano a leggere la prova. Resta un limite, lo stesso di ogni attestazione: firmare non è dimostrare, e la qualità della prova vale quanto la serietà dell’emittente. Un’attestazione rilasciata con leggerezza è carta, non garanzia.

IT-Wallet: la versione italiana dell’identità riutilizzabile

L’Italia ha un suo tassello già operativo: l’IT-Wallet, il portafoglio di documenti con valore legale dentro l’app IO. Oggi ospita patente, tessera sanitaria e carta europea della disabilità; la tabella di marcia prevede ISEE, titoli di studio, certificati di residenza, tessera elettorale e carta d’identità, fino a circa 200 documenti (Fastweb). L’accesso avviene tramite SPID o CIE, e per caricare i nuovi documenti è l’autenticazione con Carta d’Identità Elettronica, legata a un volto e a un nome, a fare da chiave.

La novità che conta per il crypto è un’altra. Dal luglio 2026 il Dipartimento per la trasformazione digitale ha aperto un ambiente di test per gli operatori privati che sviluppano wallet compatibili con il sistema nazionale, con l’Istituto Poligrafico e Zecca dello Stato a fare da regia e PagoPA per la parte pubblica. Il sottosegretario all’innovazione Alessio Butti ha definito l’apertura ai privati un passaggio fondamentale per costruire un ecosistema nazionale di identità digitale e attestazioni elettroniche interoperabili, ricordando i 12 milioni di attivazioni raggiunte dall’app IO in diciotto mesi (everyeye). È esattamente il meccanismo del verificatore: un domani una piattaforma crypto potrebbe accettare una credenziale IT-Wallet al posto dell’ennesima fotocopia del passaporto.

Lo stesso schema attira le banche, che possono fare sia da emittenti sia da verificatori di credenziali. Non a caso i gruppi italiani che spingono sui depositi e sulle stablecoin in euro guardano con interesse all’onboarding basato su attributi anziché su scansioni: una banca che ha già verificato un cliente può rilasciargli una credenziale riutilizzabile, trasformando un costo di conformità in un servizio.

EUDI: il calendario europeo che fa da cornice

L’IT-Wallet non è un’isola. È la declinazione italiana del portafoglio europeo di identità digitale (EUDI Wallet) previsto dal regolamento eIDAS 2.0 (Reg. UE 2024/1183). Le scadenze sono vicine: ogni Stato membro deve offrire almeno un wallet gratuito entro la fine del 2026, e i settori regolati, banche comprese, dovranno accettarlo per identificazione e autenticazione entro dicembre 2027 (EUR-Lex; IDnow). È il motivo per cui l’allineamento dell’IT-Wallet allo standard EUDI, atteso nella fase 2026-2027, non è un dettaglio tecnico: quando sarà completo, una credenziale emessa in Italia varrà in tutta l’Unione, e un exchange con sede in Germania o in Irlanda dovrà saperla leggere.

Accettare un wallet EUDI non vuol dire soltanto leggere un codice. Il verificatore deve registrarsi come relying party, dichiarare quali attributi chiede e rispettare la minimizzazione: può domandare la prova della maggiore età o della residenza, non l’intero fascicolo. Per un exchange significa riprogettare l’onboarding attorno agli attributi, non alle scansioni; per il regolatore significa avere un registro di chi chiede cosa. È un cambio di architettura, non un plug-in.

Il nodo giuridico: lo zero knowledge da solo non basta ancora

Qui arriva la doccia fredda per gli entusiasti. Nulla di tutto questo è ancora un lasciapassare automatico per l’adeguata verifica. Il Gruppo d’Azione Finanziaria (GAFI), nella sua Guida sull’identità digitale del 2020, ha aperto la porta: un’identità digitale affidabile e indipendente può soddisfare l’adeguata verifica prevista dalla Raccomandazione 10, e l’onboarding da remoto non è di per sé ad alto rischio (GAFI). Ma una cosa è accettare un’identità digitale notificata dallo Stato, un’altra è accettare una prova a conoscenza zero emessa da un protocollo privato.

Il regolamento AMLR e le relative norme tecniche dell’EBA non hanno ancora benedetto lo zk come controllo autosufficiente. Nel frattempo valgono due paletti. Primo: il soggetto obbligato (l’exchange) resta responsabile dell’adeguata verifica, quindi anche usando una credenziale esterna deve poter risalire, in caso di indagine, all’identità reale dietro la prova; è il principio del break glass, un canale di emergenza tracciabile che rompe l’anonimato solo quando serve. Secondo: l’identità su cui c’è più certezza giuridica è quella notificata ai sensi di eIDAS, cioè, per l’Italia, SPID, CIE e l’IT-Wallet. Per questo la strada pubblica europea, non i protocolli privati, è oggi il percorso più pulito: lo zk privato è avanti dal punto di vista tecnico ma indietro da quello normativo.

La conseguenza pratica è una gerarchia di fiducia. Al vertice la credenziale statale notificata (EUDI, IT-Wallet), poi quella di un emittente regolato come una banca, infine quella di un protocollo privato, utile ma ancora in attesa del riconoscimento pieno. Chi costruisce un servizio crypto oggi farebbe bene a progettare per la prima, non per l’ultima.

La faglia della privacy: minimizzare i dati senza creare un unico bersaglio

Il senso dell’identità riutilizzabile è la minimizzazione dei dati, un principio al cuore del GDPR: raccogliere e condividere solo lo stretto necessario. I dati biometrici, ricorda l’art. 9 del GDPR, sono una categoria particolare il cui trattamento è in linea di principio vietato salvo eccezioni (GDPR). Non a caso il Garante per la protezione dei dati personali è intervenuto contro Worldcoin con il provvedimento n. 179 del 21 marzo 2024, rilevando che la scansione dell’iride in cambio di token mette in dubbio la libertà del consenso e manca di filtri per i minori (Garante).

C’è però un rovescio della medaglia da non nascondere. Concentrare patente, tessera sanitaria, titoli di studio e credenziali KYC in un unico wallet sullo smartphone crea un bersaglio di valore altissimo e sposta parte del rischio sul dispositivo e su chi lo controlla. La risposta tecnica (chiavi che non lasciano il telefono, divulgazione selettiva, nessun registro centrale degli utilizzi) è elegante, ma la sua tenuta dipende dall’implementazione. Il modello riutilizzabile riduce il numero di honeypot; non abolisce il problema, lo concentra. Vale la pena dirlo chiaramente, perché la narrazione del «comodo e sicuro» tende a saltare proprio questo passaggio.

Dove il perimetro continua a non arrivare: DeFi e autocustodia

Tutto questo presuppone un intermediario: un emittente che verifica, un verificatore che controlla. Ma buona parte della crypto vive fuori da quello schema. La finanza decentralizzata e i wallet autocustoditi non hanno un soggetto obbligato che esegua l’adeguata verifica, e la normativa antiriciclaggio, pensata per gli intermediari, fatica a trovare un appiglio. Le attestazioni on-chain e le prove a conoscenza zero possono creare pool o applicazioni «a verifica» su base volontaria, ma non trasformano un protocollo senza gestore in un soggetto responsabile. È il nodo che abbiamo esaminato parlando dei colli di bottiglia della compliance DeFi, e che l’ESMA vorrebbe affrontare con una futura licenza di accesso.

Il regolamento sui trasferimenti di fondi (TFR), la versione europea della Travel Rule, è in vigore dal 30 dicembre 2024 senza soglia minima e impone controlli aggiuntivi sui trasferimenti oltre una certa soglia da e verso wallet autocustoditi, ma il presupposto resta sempre lo stesso: che da qualche parte ci sia un CASP a eseguire la verifica. Oltre quel confine, l’identità riutilizzabile è uno strumento offerto, non un obbligo imposto, e la scelta torna all’utente.

UE contro USA, e cosa cambia per te

I due blocchi marciano in direzioni diverse. L’Unione ha un’infrastruttura pubblica di identità in costruzione (EUDI, SPID, CIE, IT-Wallet) e un impianto antiriciclaggio che si sta accentrando: l’AMLR si applica dal 10 luglio 2027, vieterà conti anonimi e servizi di anonimizzazione come le privacy coin, fisserà un tetto ai contanti di 10.000 euro e imporrà l’adeguata verifica sulle operazioni CASP a partire da 1.000 euro (EUR-Lex); la nuova autorità AMLA, con sede a Francoforte e guidata dall’italiana Bruna Szego, dal 2028 vigilerà direttamente sulle entità a più alto rischio, molte delle quali crypto (AMLA). Gli Stati Uniti, al contrario, non hanno un’identità digitale federale e lasciano la verifica interamente ai privati, mentre l’enforcement resta affidato a casi come Binance, oltre 4,3 miliardi di dollari di sanzioni e nessuna segnalazione sospetta mai inviata (Dipartimento di Giustizia USA).

Per te, utente italiano, la mappa pratica è questa: tieni d’occhio l’arrivo dell’IT-Wallet allineato a EUDI e dei primi servizi che lo accettano; preferisci le piattaforme che minimizzano i dati raccolti rispetto a quelle che pretendono l’intero fascicolo; e ricorda che il numero di copie della tua identità sparse in giro è un rischio in sé, non un dettaglio. Per gli operatori il messaggio è altrettanto netto.

• Preparati ad accettare credenziali EUDI entro dicembre 2027: è un obbligo, non un’opzione.
• Sperimenta da subito nell’ambiente di test IT-Wallet aperto ai privati.
• Conserva un canale break glass tracciabile: la responsabilità dell’adeguata verifica resta tua anche con una credenziale esterna.
• Tratta ogni archivio di documenti come un costo e un rischio, non come un patrimonio.

Domande frequenti

Posso usare l’IT-Wallet per iscrivermi a un exchange crypto oggi?

Non ancora in modo generalizzato. L’IT-Wallet è operativo nell’app IO e dal luglio 2026 è aperto ai test degli operatori privati, ma l’accettazione diffusa da parte delle piattaforme crypto dipende dall’allineamento allo standard EUDI e dai servizi che decideranno di integrarlo. L’obbligo di accettazione per i settori regolati scatta entro dicembre 2027.

Che differenza c’è tra KYC riutilizzabile e prova di essere umani?

Sono due cose diverse. La prova di essere umani (per esempio tramite biometria) dimostra che dietro un account c’è una persona unica e reale, ma non dice chi sei. Il KYC riutilizzabile porta con sé un’identità verificata e attributi come residenza o maggiore età. Per l’adeguata verifica antiriciclaggio serve un nome, quindi la biometria da sola non basta.

Le prove a conoscenza zero sono legali per l’antiriciclaggio in Europa?

Non sono vietate, ma non sono ancora riconosciute come controllo autosufficiente. Il GAFI ammette l’identità digitale affidabile per l’adeguata verifica, mentre l’AMLR e le norme tecniche dell’EBA non hanno ancora benedetto lo zero knowledge da solo. Il soggetto obbligato resta responsabile e deve poter risalire all’identità reale in caso di indagine.

In Italia chi vigila sull’antiriciclaggio crypto, la Consob?

No. La Consob autorizza e vigila i CASP sotto MiCA sul piano della condotta di mercato. L’antiriciclaggio fa capo al Ministero dell’Economia per la politica, alla UIF presso Banca d’Italia per le segnalazioni e alla Guardia di Finanza e alla DIA per il contrasto, secondo il D.lgs 231/2007.

L’identità riutilizzabile è più sicura o solo più comoda?

Entrambe le cose, con un avvertimento. Riduce il numero di archivi che custodiscono i tuoi documenti e quindi la superficie di attacco complessiva, oltre a tagliare i tempi di onboarding. Ma concentra molte credenziali in un unico wallet sullo smartphone, spostando parte del rischio sul dispositivo: la sicurezza reale dipende dalla qualità dell’implementazione.

di Anneke de Vries, redazione regolamentazione di HOGE Wire