Ogni regola antiriciclaggio del pianeta parte dallo stesso presupposto: che da qualche parte, in mezzo a una transazione, ci sia un intermediario. Una banca, un exchange, un prestatore di servizi che identifica il cliente, conserva i registri, segnala le operazioni sospette e, se arriva un ordine, congela i fondi. La finanza decentralizzata nasce proprio per cancellare quell’intermediario. \u00c8 qui che la compliance della DeFi smette di essere una questione di moduli da compilare e diventa un problema di progettazione: se non c’\u00e8 un gatekeeper, come si costruisce un protocollo che resti dentro le regole?<\/p>
Nel 2026 due risposte opposte si sono affermate, e non potrebbero essere pi\u00f9 diverse. La prima costruisce la DeFi in modo da conoscere tutti: liste bianche, identit\u00e0 verificata, soldi che si muovono solo tra portafogli approvati. La seconda la costruisce in modo da non conoscere nessuno: prove crittografiche che dimostrano la pulizia dei fondi senza rivelare chi li possiede. Capire queste due architetture, e il perch\u00e9 una stia raccogliendo miliardi mentre l’altra resta minuscola, \u00e8 il modo migliore per capire dove sta andando la regolamentazione della DeFi in Europa e negli Stati Uniti.<\/p>
Lo sfondo di mercato aiuta a inquadrare la posta in gioco. A met\u00e0 ottobre 2026 Bitcoin viaggia poco sopra i 72.000 euro (CoinGecko<\/a>), il mercato delle stablecoin supera i 300 miliardi di dollari con USDT e USDC a fare da padroni (CoinGecko<\/a>), e il valore complessivo bloccato nei protocolli DeFi \u00e8 sceso di quasi il 40% dall’inizio dell’anno (DefiLlama<\/a>). In un anno di contrazione, il capitale che resta on-chain diventa pi\u00f9 esigente: cerca protocolli che un’istituzione possa toccare senza violare le proprie regole interne. La conformit\u00e0, insomma, \u00e8 diventata una leva competitiva, non solo un obbligo.<\/p> Il nodo \u00e8 strutturale. L’intero impianto antiriciclaggio, dalla normativa europea alle linee guida del GAFI, presuppone un soggetto obbligato che faccia KYC, conservi i dati e possa bloccare un conto. Uno smart contract immutabile non ha un ufficio compliance, non chiede documenti e non risponde al telefono quando un’autorit\u00e0 chiede di congelare un indirizzo. Il legislatore ha due strade: dichiarare la DeFi fuori perimetro (e rinunciare a presidiarla) oppure trovare un punto di controllo a cui agganciare le regole. L’Unione europea ha scelto la seconda via. Il 30 settembre 2026 si \u00e8 chiusa la consultazione sulla revisione della MiCA, e nel suo parere l’ESMA ha proposto di creare un nuovo servizio regolamentato per chi fornisce accesso ai protocolli DeFi (ESMA<\/a>); la relazione della Commissione ai sensi degli articoli 140 e 142 \u00e8 attesa entro il 30 giugno 2027 (Commissione europea<\/a>). Da qui al 2027, quindi, non si decide solo se la DeFi vada regolata, ma dove e come la regola riuscir\u00e0 ad agganciarsi al codice.<\/p> Per capire le due architetture serve un concetto solo: il controllo. Il GAFI lo ha messo nero su bianco nel suo rapporto di luglio 2026 sulle sfide regolamentari della DeFi, con il cosiddetto test del controllo o dell’influenza sufficiente (control or sufficient influence). La regola \u00e8 semplice nell’enunciato: ovunque una persona fisica o giuridica eserciti controllo o influenza sufficiente su un protocollo, quel protocollo rientra nel perimetro dei soggetti obbligati, a prescindere dall’etichetta \u00abdecentralizzato\u00bb che si \u00e8 data (Chainalysis<\/a>). Gli indicatori di controllo sono concreti: chiavi di amministrazione, capacit\u00e0 di aggiornare i contratti, direzione dei flussi di commissioni e tesoreria, influenza sul team di sviluppo e sull’infrastruttura di front-end.<\/p> Il rapporto distingue tre casi: protocolli con controllori identificabili (soggetti pieni agli obblighi), protocolli di fatto centralizzati ma con i controllori nascosti (comunque dentro il perimetro, con l’onere per le autorit\u00e0 di scovarli) e protocolli realmente senza leader (fuori dalle regole sui VASP, ma con un rischio residuo da mitigare). I numeri raccontano quanto sia teorico tutto questo: circa il 93% delle giurisdizioni esaminate non ha ancora applicato gli standard ai protocolli DeFi qualificabili, e solo una manciata ha licenziato o registrato un singolo soggetto DeFi. Nella MiCA il principio \u00e8 lo stesso: il Considerando 22 tiene fuori i servizi \u00abpienamente decentralizzati\u00bb privi di un intermediario, ma tutto ci\u00f2 che ha un operatore identificabile rientra. Ne discende una conseguenza che guida l’intero articolo: se la responsabilit\u00e0 segue il controllo, allora il modo in cui progetti il controllo, concentrandolo in una lista bianca o dissolvendolo in una prova crittografica, decide se e come sarai regolato. Le due architetture che seguono sono, in fondo, due risposte alla stessa domanda: dove metto il controllo?<\/p> La prima architettura risolve il problema del controllo abbracciandolo. Se la regola richiede un gatekeeper, allora il protocollo diventa il gatekeeper: ammette solo portafogli che hanno superato una verifica, tiene fuori gli altri e sa in ogni momento chi c’\u00e8 dentro. \u00c8 la DeFi permissioned, e la sua incarnazione pi\u00f9 nota \u00e8 Aave. Il primo esperimento, Aave Arc, usava un whitelister (Fireblocks) per ammettere solo istituzioni gi\u00e0 sottoposte a KYC. L’evoluzione del 2026 si chiama Aave Horizon, lanciata nell’agosto 2025 e pensata per il collaterale tokenizzato del mondo reale (RWA).<\/p> Horizon \u00e8 interessante proprio perch\u00e9 \u00e8 un ibrido calibrato. Solo soggetti inseriti nella lista bianca possono fornire o prendere a prestito contro collaterale RWA, ma qualunque portafoglio pu\u00f2 fornire liquidit\u00e0 in stablecoin (USDC, RLUSD, GHO) senza alcun KYC. In altre parole, il lato istituzionale \u00e8 chiuso, il lato retail della liquidit\u00e0 resta aperto. La traiettoria dei numeri \u00e8 istruttiva: i depositi hanno superato i 600 milioni di dollari entro gennaio 2026, rendendo Horizon il pi\u00f9 grande mercato di prestito RWA permissioned on-chain, per poi ripiegare a circa 255 milioni di dollari di valore bloccato a un anno dal lancio (Sentora Research<\/a>). La DAO di Aave ha fissato per il 2026 l’obiettivo di superare il miliardo di depositi, con GHO come asset di prestito preferito (Aave<\/a>). \u00c8 l’esatto opposto dello spirito originario della DeFi: niente accesso senza permesso, ma in cambio un mercato che una banca pu\u00f2 usare senza infrangere le proprie regole.<\/p> Il prezzo da pagare \u00e8 evidente e vale la pena nominarlo subito: la DeFi permissioned reintroduce esattamente l’intermediario che la DeFi era nata per rimuovere. Chi tiene la lista bianca esercita controllo, e il controllo, come abbiamo visto, attira la responsabilit\u00e0. Ma \u00e8 una responsabilit\u00e0 che le istituzioni sanno gestire, perch\u00e9 \u00e8 lo stesso mestiere che fanno fuori dalla blockchain.<\/p> Se la DeFi permissioned ha bisogno di sapere chi muove i fondi, la cosa pi\u00f9 pulita \u00e8 scrivere quella regola dentro il token stesso. \u00c8 ci\u00f2 che fa ERC-3643, lo standard dei token permissioned noto anche come T-REX. A differenza di un normale ERC-20, un token ERC-3643 pu\u00f2 essere trasferito solo tra portafogli la cui identit\u00e0 \u00e8 stata verificata on-chain: la conformit\u00e0 non \u00e8 un controllo esterno aggiunto a valle, \u00e8 una propriet\u00e0 del token che viaggia con esso a ogni transazione. L’identit\u00e0 \u00e8 gestita da un registro separato, ONCHAINID, che associa a un portafoglio una serie di credenziali verificabili (ha superato il KYC, \u00e8 un investitore qualificato, risiede in una certa giurisdizione) senza esporre i documenti sottostanti.<\/p> I numeri qui sono di un ordine di grandezza diverso rispetto a qualunque protocollo nativo DeFi. L’associazione che cura lo standard dichiara oltre 32 miliardi di dollari di asset tokenizzati su ERC-3643, in pi\u00f9 di 180 giurisdizioni, con adottanti istituzionali del calibro di DTCC, Apex Group, Invesco, Franklin Templeton e Fasanara Capital (ERC3643 Association<\/a>). Lo standard \u00e8 stato presentato alla SEC statunitense nel 2025, usato nei progetti pilota Project Guardian di Singapore e ha avviato un percorso di standardizzazione ISO (Tokeny<\/a>). \u00c8 il segnale pi\u00f9 chiaro di dove sta andando il denaro serio: non verso protocolli anonimi, ma verso binari dove ogni partecipante \u00e8 noto per costruzione. Per il regolatore \u00e8 una manna, perch\u00e9 individua immediatamente l’operatore responsabile; per il purista della DeFi \u00e8 una resa, perch\u00e9 un token che decide da solo chi pu\u00f2 possederlo somiglia molto a un titolo gestito da un depositario, solo scritto in Solidity.<\/p> Tra la DeFi aperta e la finanza tradizionale sta crescendo una terza forma, che gli addetti ai lavori chiamano con ironia il \u00abDeFi mullet\u00bb: ordinato e presentabile davanti, selvaggio dietro. Davanti c’\u00e8 un’interfaccia fintech regolata, con KYC e contratti; dietro, il motore \u00e8 un protocollo on-chain. Il credito privato tokenizzato \u00e8 il caso d’uso che ha fatto esplodere questa formula. Maple Finance, la piattaforma di prestito istituzionale, ha chiuso la prima met\u00e0 del 2026 con circa 4,6 miliardi di dollari di masse gestite e ha riferito a met\u00e0 settembre 4,8 miliardi di AUM e 7,4 miliardi di erogazioni da inizio anno, con un obiettivo dichiarato di 10 miliardi (Maple Finance<\/a>, KuCoin News<\/a>). In un anno in cui la DeFi complessiva perdeva quasi il 40%, Maple cresceva dell’81% su base annua.<\/p> Centrifuge racconta una storia simile, con i suoi alti e bassi. Ha chiuso il terzo trimestre 2026 intorno al miliardo di dollari di valore bloccato, in calo del 38% sul trimestre dopo aver toccato circa 2 miliardi a inizio anno (crypto.news<\/a>). Ma i segnali istituzionali sono forti: Coinbase lo ha scelto come infrastruttura di tokenizzazione preferita, entrando nel capitale, ed Ethena ha allocato 250 milioni di dollari al fondo di credito JAAA (Janus Henderson Anemoy AAA CLO) sulla piattaforma (Crypto Briefing<\/a>). Sid Powell, amministratore delegato di Maple, riassume la tesi di fondo del polo permissioned: in un paio d’anni, sostiene, le istituzioni non distingueranno pi\u00f9 tra DeFi e TradFi, e alla fine tutta l’attivit\u00e0 dei mercati dei capitali finir\u00e0 on-chain (CoinDesk<\/a>). \u00c8 una visione in cui la conformit\u00e0 non \u00e8 un ostacolo ma il biglietto d’ingresso per il capitale che conta. Chi segue da vicino la mossa delle banche italiane verso la custodia e gli ETP cripto<\/a> riconoscer\u00e0 lo stesso schema: l’istituzione entra solo dove pu\u00f2 identificare la controparte.<\/p>Perch\u00e9 il perimetro segue il controllo<\/h2>
Primo polo: la DeFi permissioned, conoscere tutti<\/h2>
Lo standard del token conforme: ERC-3643 e ONCHAINID<\/h2>
Il DeFi mullet: front-end regolato, motore on-chain<\/h2>