{"id":842,"date":"2026-10-25T10:32:37","date_gmt":"2026-10-25T10:32:37","guid":{"rendered":"https:\/\/hoge.gg\/it\/compliance-defi-2026-funziona-costi-benefici-italia\/"},"modified":"2026-10-25T10:32:37","modified_gmt":"2026-10-25T10:32:37","slug":"compliance-defi-2026-funziona-costi-benefici-italia","status":"publish","type":"post","link":"https:\/\/hoge.gg\/it\/compliance-defi-2026-funziona-costi-benefici-italia\/","title":{"rendered":"Compliance DeFi 2026: funziona davvero e quanto costa?"},"content":{"rendered":"

Questa settimana l’attenzione di chi si occupa di riciclaggio si sposta a Parigi. Da luned\u00ec 26 ottobre si apre la FATF Week<\/a>, e tra il 28 e il 30 ottobre si tiene la prima plenaria del GAFI sotto la presidenza britannica di Giles Thomson. Sul tavolo non c’\u00e8 soltanto la lotta alle frodi o la valutazione reciproca di Messico e Stati Uniti: c’\u00e8 anche lo stato dell’attuazione degli standard sugli asset virtuali, il capitolo in cui rientra la finanza decentralizzata.<\/p>

Mentre i delegati si riuniscono, il mercato resta nervoso ma ordinato. Bitcoin viaggia poco sotto i 72.000 euro (circa 71.700 euro<\/a>, in lieve calo sulla giornata), il valore totale bloccato nei protocolli DeFi si aggira sui 89 miliardi di dollari secondo DefiLlama<\/a>, e le stablecoin valgono nel complesso circa 297 miliardi di dollari, con Tether e USDC a coprirne oltre l’85% stando a CoinGecko<\/a>.<\/p>

La domanda interessante, per\u00f2, non \u00e8 pi\u00f9 \u00abquali sono le regole per la DeFi\u00bb. Quelle, in larga parte, sono scritte. Il MiCA \u00e8 pienamente in vigore in Europa, negli Stati Uniti il GENIUS Act \u00e8 legge dal luglio 2025, il pacchetto antiriciclaggio europeo scatta nel 2027 e, dato forse pi\u00f9 eloquente di tutti, l’83% delle giurisdizioni esaminate dal GAFI ha ormai una legge che recepisce la Travel Rule. La domanda vera \u00e8 un’altra: queste regole mordono davvero sulla finanza decentralizzata, e a quale prezzo?<\/p>

Questo articolo prova a mettere in fila i conti, come farebbe un revisore. Da una parte quello che l’apparato di compliance prende davvero; dall’altra quello che costa, a chi, e dove perde pezzi. L’anticipazione, per onest\u00e0, sta gi\u00e0 nei numeri qui sopra: il manuale \u00e8 quasi completo, ma si aggancia a una manciata di punti di controllo; i benefici sono reali ma stretti, i costi sono grandi e distribuiti su tutti, e sulla DeFi in senso proprio quasi nessuno lo applica.<\/p>

La settimana giusta per fare i conti<\/h2>

Il momento per un bilancio non \u00e8 casuale. La plenaria del GAFI arriva a chiusura di un ciclo regolatorio quasi completo. In Europa la revisione del MiCA ha chiuso la consultazione mirata il 30 settembre, con 86 domande e una sezione interamente dedicata a DeFi, staking, lending e mercati di previsione; i rapporti della Commissione previsti dagli articoli 140 e 142 sono attesi entro il 30 giugno 2027 (finance.ec.europa.eu<\/a>). L’8 ottobre l’ESMA ha pubblicato un parere che impone ai fornitori di servizi di chiudere entro tre mesi, cio\u00e8 entro l’8 gennaio 2027, le attivit\u00e0 legate a stablecoin non conformi (ESMA75-113276571-1742<\/a>).<\/p>

Sull’altra sponda dell’Atlantico il calendario corre parallelo. La SEC ha chiuso il 20 ottobre la finestra dei commenti sulla sua proposta di Regulation Crypto Assets e, con l’organo ridotto a pochi commissari, ora decide di fatto in due<\/a>; il GENIUS Act entra in vigore il 18 gennaio 2027. Il punto \u00e8 che, da qualunque lato lo si guardi, la fase della scrittura delle norme sta finendo. Comincia quella della verifica: funziona? La risposta richiede di separare bene due cose che nel dibattito pubblico si confondono di continuo, cio\u00e8 che cosa sia davvero la \u00abcompliance DeFi\u00bb e a chi, in concreto, si attacchi.<\/p>

Compliance DeFi: che cosa vuol dire, e a chi tocca<\/h2>

\u00abCompliance DeFi\u00bb non \u00e8 una cosa sola. \u00c8 la somma di cinque superfici normative distinte, ognuna con la propria autorit\u00e0, la propria norma e la propria logica. Un errore ricorrente, anche nei titoli dei giornali, \u00e8 pensare che \u00abla Consob regola l’antiriciclaggio delle crypto\u00bb. Non \u00e8 cos\u00ec. La Consob, nel quadro del MiCA, vigila sulla condotta di mercato e sulla tutela dell’investitore; l’antiriciclaggio in Italia fa capo all’Unit\u00e0 di Informazione Finanziaria presso la Banca d’Italia e, dal 2027, al regolamento europeo AMLR con la nuova autorit\u00e0 AMLA di Francoforte. Sono binari diversi, con sanzioni diverse.<\/p>

La verifica dell’identit\u00e0, quella che un utente italiano incontra alla cassa di un gioco o di un exchange<\/a>, \u00e8 solo il primo di questi binari. Mettere ordine tra i cinque serve non per pedanteria, ma perch\u00e9 il conto costi-benefici cambia superficie per superficie: alcune funzionano, altre no, e confonderle produce sia falsi allarmi sia falsa tranquillit\u00e0. La tabella che segue le separa nella versione italiana.<\/p>

Superficie<\/th>Che cosa copre<\/th>Chi vigila (Italia \/ UE)<\/th>Norma di riferimento<\/th><\/tr><\/thead>
Antiriciclaggio (AML)<\/td>Adeguata verifica, segnalazioni di operazioni sospette, Travel Rule<\/td>UIF presso Banca d’Italia; AMLA (UE)<\/td>AMLR (Reg. UE 2024\/1624), TFR<\/td><\/tr>
Sanzioni<\/td>Congelamento dei fondi verso soggetti designati<\/td>MEF e Comitato di Sicurezza Finanziaria; OFAC fuori UE<\/td>Regolamenti UE, liste ONU<\/td><\/tr>
Mercati e condotta<\/td>Autorizzazione dei CASP, abusi di mercato, informativa<\/td>Consob<\/td>MiCA (Reg. UE 2023\/1114)<\/td><\/tr>
Derivati<\/td>Perpetual, future e CFD come strumenti finanziari<\/td>Consob<\/td>MiFID II<\/td><\/tr>
Fisco<\/td>Plusvalenze, monitoraggio patrimoniale, scambio di informazioni<\/td>Agenzia delle Entrate<\/td>Quadro RW, DAC8<\/td><\/tr><\/tbody><\/table><\/figure>

Un dettaglio accomuna tutte e cinque le righe: nessuna si attacca \u00abal codice\u00bb. Si attaccano a una persona o a un’impresa che esercita un controllo. \u00c8 questa la chiave di volta di tutto il dibattito, ed \u00e8 anche la logica con cui il GAFI ha deciso di affrontare la DeFi.<\/p>

Il perimetro \u00e8 il controllo: la logica del GAFI<\/h2>

Nel luglio 2026 il GAFI ha pubblicato un rapporto mirato sulle sfide regolatorie poste dalla finanza decentralizzata. Il cuore del documento \u00e8 un test, riassunto nella sigla COSI, \u00abcontrol or sufficient influence\u00bb: un assetto DeFi rientra nel perimetro delle regole ogni volta che una persona fisica o giuridica esercita un controllo o un’influenza sufficiente sul suo funzionamento. Non conta l’etichetta che il progetto sceglie per s\u00e9, conta chi tiene le leve.<\/p>

Da qui discendono tre categorie, ben descritte nell’analisi di Chainalysis<\/a>. La prima: protocolli con controllori identificabili, che vanno trattati come veri e propri VASP, con obblighi antiriciclaggio pieni. La seconda: protocolli di fatto centralizzati ma con i controllori nascosti, comunque dentro il perimetro, con l’onere per i supervisori di individuarli anche tramite analisi on-chain. La terza: assetti genuinamente senza leader, fuori dalle regole sui VASP ma non esenti da misure di mitigazione del rischio residuo. Gli indicatori di controllo elencati dal GAFI sono concreti: concentrazione dei token di governance, chiavi di amministrazione e di aggiornamento, direzione dei flussi di commissioni e di tesoreria, influenza sul team di sviluppo e sull’infrastruttura di front-end.<\/p>

\u00c8 una logica elegante e, sulla carta, quasi inattaccabile: la compliance segue il controllo. Il problema, come vedremo, \u00e8 che tra la logica e l’applicazione c’\u00e8 un abisso. Prima per\u00f2 conviene guardare il lato positivo del registro, perch\u00e9 esiste e va riconosciuto.<\/p>

La colonna dei benefici: cosa prende davvero la rete<\/h2>

La tesi pi\u00f9 forte a favore dell’intero apparato \u00e8 anche la pi\u00f9 contro-intuitiva: proprio perch\u00e9 una blockchain \u00e8 un registro pubblico e permanente, tracciare i fondi \u00e8 spesso pi\u00f9 facile sulla catena che nel sistema bancario tradizionale. Lo dice la stessa Chainalysis<\/a> nel suo rapporto 2026: la quota illecita di tutto il volume on-chain attribuito resta sotto l’1%. Non significa che il crimine sia sparito, significa che la trasparenza del libro mastro aiuta chi indaga.<\/p>

Su questa trasparenza si \u00e8 costruita un’intera industria: Chainalysis, Elliptic e TRM Labs vendono ad autorit\u00e0 ed exchange strumenti per attribuire gli indirizzi e ricostruire i percorsi dei fondi. \u00c8 un vantaggio reale rispetto al contante, dove la traccia si perde. Con un limite che gli stessi investigatori riconoscono: l’analisi on-chain \u00e8 probabilistica, non una prova matematica, e un’attribuzione sbagliata pu\u00f2 colpire un innocente. Resta comunque la ragione per cui un numero crescente di procure tratta la blockchain come una fonte di prova, non soltanto come una scena del crimine.<\/p>

I tribunali lo hanno riconosciuto. Nel caso Bitcoin Fog, un giudice federale statunitense, Randolph Moss, ha definito le prove ricavate dall’analisi della catena \u00abaltamente affidabili\u00bb, superando l’esame di ammissibilit\u00e0 sulle prove scientifiche (Chainalysis, blockchain forensics<\/a>). E il sequestro pi\u00f9 eclatante lo conferma: nel febbraio 2022 il Dipartimento di Giustizia americano recuper\u00f2 circa 3,6 miliardi di dollari in bitcoin legati all’attacco del 2016 a Bitfinex, allora il pi\u00f9 grande sequestro finanziario della sua storia, proprio seguendo le tracce lasciate sulla catena (CNBC<\/a>).<\/p>

Anche sui front-end la compliance morde. Dopo le sanzioni del 2022 contro Tornado Cash, interfacce come quella di Uniswap, affiancata dagli strumenti di TRM Labs, hanno cominciato a filtrare gli indirizzi segnalati, bloccandone alcune centinaia nel giro di pochi giorni (The Block<\/a>). Qui sta per\u00f2 il primo asterisco onesto: tutti questi successi avvengono ai bordi del sistema, cio\u00e8 sugli exchange, sulle rampe fiat e sui siti web, non dentro il protocollo. La rete prende chi passa da un punto di controllo. Chi non ci passa, resta invisibile.<\/p>

La colonna dei costi: oltre 26 miliardi l’anno<\/h2>

Se i benefici vanno riconosciuti, i costi vanno quantificati. Il riferimento pi\u00f9 citato \u00e8 lo studio di Coin Center firmato da Peter Van Valkenburgh e Ian Miers, \u00abTear Down this Walled Garden\u00bb<\/a>. I numeri sono severi: negli Stati Uniti la spesa per la compliance antiriciclaggio supera i 26 miliardi di dollari l’anno, con le banche pi\u00f9 grandi che spendono oltre 10 miliardi ciascuna; a livello globale le Nazioni Unite stimano che venga mai sequestrato o congelato circa lo 0,2% dei proventi criminali, e il criminologo Ronald Pol ha calcolato che il sistema ne intercetti forse lo 0,1%.<\/p>

Il giudizio di Van Valkenburgh \u00e8 netto: l’attuale regime antiriciclaggio, scrive, \u00abfa notevolmente poco per prevenire la finanza illecita\u00bb. \u00c8 una frase che pesa, perch\u00e9 arriva da chi studia la materia, non da un libertario qualunque. E il costo non \u00e8 neutro: \u00e8 regressivo. Grava pi\u00f9 sul piccolo utente, sulla startup, sul progetto open source che sulla grande banca, perch\u00e9 i costi fissi di conformit\u00e0 sono gli stessi ma incidono in modo diverso. A questo si aggiunge un costo meno visibile ma reale, l’effetto raffreddamento sullo sviluppo: dopo il caso Tornado Cash, scrivere software che tocca la privacy \u00e8 diventato un esercizio di calcolo del rischio legale, non solo tecnico.<\/p>

C’\u00e8 poi un costo che non appare in nessun bilancio: quello dei falsi positivi. I sistemi antiriciclaggio generano allarmi a valanga, di cui solo una piccola parte si traduce in una segnalazione reale, e la reazione difensiva degli intermediari, segnalare tutto pur di non rischiare, ha prodotto un fenomeno ormai noto: la chiusura preventiva dei conti a interi settori giudicati rischiosi. Le imprese cripto lo chiamano debanking, cio\u00e8 l’esclusione in blocco dal sistema bancario non per un sospetto specifico, ma perch\u00e9 il rischio di conformit\u00e0 non vale il cliente. Anche questo \u00e8 un costo, e ricade su chi \u00e8 perfettamente in regola.<\/p>

Nessuna di queste cifre, da sola, chiude il discorso. Un apparato pu\u00f2 costare molto e intercettare poco e restare comunque utile, se almeno alza il costo del crimine o fornisce prove nei processi. Ma per giudicare serve guardare il dato che mette d’accordo quasi tutti gli osservatori, e che \u00e8 il vero cuore di questa pagella: il divario tra regole scritte e regole applicate.<\/p>

Il buco dell’applicazione: la legge c’\u00e8, l’applicazione no<\/h2>

Il settimo aggiornamento mirato del GAFI, pubblicato a luglio 2026, fotografa un paradosso. Sulla carta la Travel Rule ha fatto progressi: l’83% delle giurisdizioni esaminate ha ormai una legge che la recepisce, in salita rispetto al 73% del 2025. Ma la legge, da sola, non basta. Delle 91 giurisdizioni che hanno approvato la norma, 55 non hanno mai emesso un rilievo, una direttiva o una qualsiasi azione di vigilanza o sanzione contro un fornitore di servizi per inadempienza (Regulation Tomorrow<\/a>). Sul piano tecnico il quadro \u00e8 ancora pi\u00f9 crudo: solo il 34% delle giurisdizioni valutate, 51 su 149, risulta ampiamente conforme alla Raccomandazione 15, e una sola in tutta la rete globale \u00e8 pienamente conforme (Shufti Pro<\/a>).<\/p>

Sulla DeFi in senso stretto il divario diventa una voragine. Secondo lo stesso rapporto del GAFI, il 93% delle giurisdizioni non ha individuato alcun protocollo DeFi qualificabile sul proprio territorio; solo 4 hanno imposto obblighi di licenza a un assetto DeFi, e una sola ha avviato un’azione di enforcement. Nel frattempo, i flussi illeciti diretti verso i protocolli DeFi sono cresciuti del 343% su base annua (Chainalysis<\/a>). In altre parole: la regola esiste quasi ovunque, l’applicazione quasi da nessuna parte, e il rischio corre pi\u00f9 veloce di entrambe. Questo \u00e8 il risultato che qualsiasi revisore sottolineerebbe in rosso.<\/p>

Perch\u00e9 questo divario? Le ragioni sono prosaiche. Individuare chi controlla davvero un protocollo richiede competenze tecniche che molte autorit\u00e0 non hanno; agire contro un team sparpagliato su pi\u00f9 giurisdizioni \u00e8 lento e costoso; e un protocollo senza una sede legale da nessuna parte sfugge per definizione a un supervisore nazionale. La regola resta sulla carta non perch\u00e9 manchi la volont\u00e0, ma perch\u00e9 mancano le risorse e la presa. \u00c8 esattamente il vuoto che la scommessa europea sulla \u00abporta\u00bb prova a riempire.<\/p>

Lo spostamento: chiudi una porta, il flusso cambia strada<\/h2>

C’\u00e8 una ragione strutturale per cui l’applicazione ai bordi non basta: il denaro illecito si sposta. Quando si chiude un punto di controllo, il flusso ne cerca un altro. I dati di Chainalysis<\/a> per il 2025 lo mostrano con nitidezza. Gli indirizzi illeciti hanno ricevuto almeno 154 miliardi di dollari, in crescita del 162% su base annua, spinta soprattutto da un aumento del 694% dei valori ricevuti da soggetti sanzionati. E, soprattutto, le stablecoin sono diventate il binario dominante: oggi rappresentano l’84% di tutto il volume illecito.<\/p>

Il caso pi\u00f9 indicativo \u00e8 A7A5, una stablecoin agganciata al rublo lanciata in Russia, che in meno di un anno ha movimentato oltre 93,3 miliardi di dollari. \u00c8 il ritratto perfetto dello spostamento: pi\u00f9 i binari occidentali si fanno sorvegliati e congelabili, pi\u00f9 l’attivit\u00e0 migra verso rotaie resistenti al congelamento o verso giurisdizioni offshore. Tornado Cash \u00e8 stato delistato dalle sanzioni, ma gli strumenti di privacy non sono scomparsi. La compliance ai bordi, in altre parole, tende a spostare il problema pi\u00f9 che a eliminarlo, e lo sposta proprio l\u00e0 dove l’apparato ha meno presa.<\/p>

Tornado Cash, Storm, Ooki: dove finisce la responsabilit\u00e0<\/h2>

Se il codice non si pu\u00f2 sanzionare, chi risponde quando qualcosa va storto? La risposta \u00e8 emersa da una trilogia giudiziaria americana che \u00e8 ormai il manuale implicito di tutto il settore. Primo atto: nel novembre 2024, nella causa Van Loon contro il Tesoro, la Corte d’Appello del Quinto Circuito ha stabilito che gli smart contract immutabili non sono \u00abpropriet\u00e0\u00bb ai sensi della normativa sulle sanzioni, perch\u00e9 nessuno li possiede o li controlla; di conseguenza l’OFAC ha rimosso Tornado Cash dalle liste il 21 marzo 2025 (CoinDesk<\/a>).<\/p>

Secondo atto: Roman Storm, sviluppatore di Tornado Cash, \u00e8 stato condannato nell’agosto 2025 per cospirazione a gestire un’attivit\u00e0 di trasmissione di denaro senza licenza; sulle accuse di riciclaggio e violazione delle sanzioni la giuria non ha raggiunto un verdetto, e il nuovo processo \u00e8 fissato per il 26 aprile 2027 davanti alla giudice Katherine Polk Failla (The Block<\/a>). In mezzo, la posizione del Dipartimento di Giustizia, espressa da Matthew Galeotti: \u00abscrivere semplicemente del codice, senza intento criminale, non \u00e8 un reato\u00bb (CoinDesk<\/a>). Terzo atto: la CFTC contro la Ooki DAO, dove nel giugno 2023 un giudice ha accolto una sentenza in contumacia stabilendo che una DAO \u00e8 una \u00abpersona\u00bb e che i titolari di token di governance che votano ne sono membri, con una sanzione civile di 643.542 dollari e l’ordine di mettere offline il sito (CFTC<\/a>).<\/p>

Livello<\/th>Precedente<\/th>Che cosa insegna<\/th><\/tr><\/thead>
Sviluppatori<\/td>US contro Roman Storm (condanna ago. 2025, nuovo processo 26 apr. 2027)<\/td>Gestire un servizio attorno al codice \u00e8 condotta, non solo codice<\/td><\/tr>
Front-end \/ interfaccia<\/td>Uniswap Labs con TRM Labs (filtraggio degli indirizzi)<\/td>Il sito web \u00e8 un soggetto legale che deve conformarsi<\/td><\/tr>
DAO<\/td>CFTC contro Ooki DAO (sentenza giu. 2023, 643.542 dollari)<\/td>Una DAO \u00e8 una persona; chi vota la governance ne \u00e8 membro<\/td><\/tr>
Fornitori di liquidit\u00e0 e relayer<\/td>In larga parte non testato dai tribunali<\/td>Zona grigia: la responsabilit\u00e0 segue il controllo, non l’etichetta<\/td><\/tr><\/tbody><\/table><\/figure>

Il filo conduttore \u00e8 uno solo: la responsabilit\u00e0 segue il controllo e il profitto, non il nome che un progetto si d\u00e0. \u00c8 la stessa logica COSI del GAFI, vista dal banco di un tribunale. E conduce dritti all’unico punto di controllo che resiste a qualunque decentralizzazione: l’asset con cui si regola tutto.<\/p>

La scorciatoia dell’asset di regolamento<\/h2>

C’\u00e8 un punto in cui la compliance entra nella DeFi senza dover toccare il protocollo: la stablecoin con cui si regolano gli scambi. Il GENIUS Act americano impone agli emittenti di stablecoin di pagamento di avere la capacit\u00e0 tecnica di sequestrare, congelare o bruciare token su ordine legittimo, oltre a vietare di girare rendimento ai detentori (Congress.gov, S.1582<\/a>). In Europa il MiCA impone obblighi analoghi agli emittenti di token di moneta elettronica. Il risultato \u00e8 che Circle o Tether possono, di fatto, congelare un saldo a un indirizzo specifico, indipendentemente da quanto sia decentralizzato il protocollo che quell’indirizzo sta usando.<\/p>

\u00c8 la scorciatoia pi\u00f9 efficace e, insieme, la pi\u00f9 inquietante: il pulsante di congelamento dell’emittente batte la decentralizzazione del protocollo. Qui la compliance \u00abfunziona\u00bb sulla DeFi proprio perch\u00e9 non passa dalla DeFi, passa dall’asset. E ha un risvolto economico spesso trascurato: gli emittenti guadagnano sul rendimento delle riserve, lo stesso rendimento dei Treasury<\/a> che nel 2026 ha ridisegnato i conti di mezzo settore; il divieto di girarlo agli utenti, previsto dal GENIUS, rende la posizione dell’emittente ancora pi\u00f9 centrale. La domanda su chi tenga quel pulsante richiama lo stesso nodo di concentrazione che emerge quando si guarda chi custodisce gli ETF cripto<\/a>: pochi soggetti, enormi poteri di fatto.<\/p>

La scommessa europea: regolare la porta, non il codice<\/h2>

L’Europa ha fatto una scommessa diversa da quella americana. Invece di inseguire il codice, prova a regolare le porte d’accesso. Nella sua risposta del 30 settembre alla revisione del MiCA, l’ESMA ha proposto un nuovo servizio soggetto a licenza per chi fornisce accesso ai protocolli DeFi (interfacce web, wallet, aggregatori), con criteri di decentralizzazione tarati sul controllo effettivo e un avvertimento esplicito contro il \u00abdecentralisation washing\u00bb, cio\u00e8 l’uso dell’etichetta decentralizzata per sfuggire alle regole (ESMA<\/a>). Nello stesso pacchetto, la richiesta di poteri per bloccare siti fraudolenti e congelare asset.<\/p>

Su quest’ultimo punto l’Italia \u00e8, non per caso, il modello. La Consob oscura siti web abusivi dal 2019, grazie all’articolo 7-octies del TUF introdotto dal Decreto Crescita, e a fine settembre 2026 il contatore dei portali oscurati aveva superato quota 1.800 (consob.it<\/a>). Ci\u00f2 che l’ESMA chiede per l’intera Unione, la Consob lo pratica da anni. E il segnale politico \u00e8 ancora pi\u00f9 marcato dal 1 novembre, quando alla guida dell’ESMA arriva Carlo Comporti, ex commissario proprio della Consob, a succedere a Verena Ross (FOW<\/a>): un italiano con un passato da autorit\u00e0 di mercato alla testa del supervisore europeo, mentre il dibattito sulla DeFi entra nel vivo.<\/p>

Non tutti, a Bruxelles, sono convinti che serva. Peter Kerstens, consigliere della Commissione e tra gli architetti del MiCA, ha liquidato l’idea di una regolazione ad hoc della DeFi con una battuta diventata celebre nel settore: \u00abNon vedo quale sia il problema. E se non c’\u00e8 un problema, perch\u00e9 dovrebbe essere regolato?\u00bb (Cointelegraph<\/a>). La scommessa europea, in sostanza, \u00e8 su regole lente ma durature, scritte in una legge, contro il modello americano fatto di regole veloci ma reversibili, scritte da un’agenzia. In mezzo cresce una terza via tecnica, le prove a conoscenza zero, gli stessi strumenti alla base dei mercati di prove per l’AI verificabile<\/a>, che promettono di dimostrare la conformit\u00e0 senza rivelare l’identit\u00e0. Promettente, ma ancora lontana dalla scala.<\/p>

Il pezzo mancante del mosaico europeo \u00e8 l’antiriciclaggio vero e proprio, che non sta nel MiCA ma nel pacchetto AMLR. Dal 10 luglio 2027 le regole saranno uniformi nei 27 Stati membri e la nuova autorit\u00e0 AMLA di Francoforte vigiler\u00e0 direttamente sui soggetti obbligati a pi\u00f9 alto rischio, coordinando le unit\u00e0 di informazione finanziaria nazionali come l’UIF italiana. Nel frattempo l’ESMA chiede di stringere anche sulla reverse-solicitation, la scappatoia per cui una piattaforma extra-UE sostiene di servire un cliente europeo solo su iniziativa di quest’ultimo, aggirando l’obbligo di licenza.<\/p>

In Italia: Consob, Banca d’Italia e l’UIF<\/h2>

Portato il discorso a casa, la mappa italiana \u00e8 pi\u00f9 ordinata di quanto sembri. Il decreto legislativo 5 settembre 2024, n. 129, che adatta l’ordinamento al MiCA, affida alla Consob la vigilanza sulla condotta di mercato e sulla tutela dell’investitore, e alla Banca d’Italia i profili prudenziali e quelli relativi alle stablecoin (i token di moneta elettronica e asset-referenced). L’antiriciclaggio operativo passa dall’Unit\u00e0 di Informazione Finanziaria presso la Banca d’Italia, che riceve e analizza le segnalazioni di operazioni sospette. I derivati su cripto, perpetual e future, restano strumenti finanziari sotto la MiFID II e la vigilanza della Consob, non sotto il MiCA. Il fisco, infine, fa capo all’Agenzia delle Entrate, tra quadro RW per il monitoraggio e scambio automatico di informazioni secondo la direttiva DAC8.<\/p>

Che cosa significa in pratica? Un utente che opera su un exchange autorizzato come CASP, iscritto ai registri e vigilato dalla Consob, incontra tutta la filiera: verifica dell’identit\u00e0, monitoraggio, eventuali segnalazioni. Un utente che usa un protocollo puramente decentralizzato, invece, dal punto di vista dell’enforcement incontra quasi nulla, perch\u00e9 rientra in quel 93% di casi che nessuna autorit\u00e0 ha ancora agganciato. Resta per\u00f2 esposto a due cose molto concrete: gli obblighi fiscali, che non spariscono con la decentralizzazione, e il rischio che la stablecoin con cui opera venga congelata a monte. La decentralizzazione protegge dal supervisore, non dall’emittente n\u00e9 dal fisco. Vale la pena ricordare che l’Italia ha chiuso il periodo transitorio del MiCA il 1 luglio 2026, nel gruppo di Paesi che hanno scelto la tempistica pi\u00f9 breve.<\/p>

Allora funziona? La pagella<\/h2>

Tirando le somme, obiettivo per obiettivo, il quadro \u00e8 sfumato ma leggibile. La compliance DeFi non \u00e8 n\u00e9 il muro invalicabile che promettono i regolatori n\u00e9 la finzione inutile che denunciano i critici pi\u00f9 radicali. \u00c8 un manuale quasi completo agganciato a pochi punti di presa: funziona dove c’\u00e8 un controllore o un bordo (exchange, front-end, emittenti), e quasi non funziona dove non ce ne sono (il protocollo in s\u00e9). La tabella sintetizza il verdetto.<\/p>

Obiettivo dichiarato<\/th>Il verdetto<\/th>Il prezzo<\/th><\/tr><\/thead>
Fermare il riciclaggio on-chain<\/td>Parziale: tracciabilit\u00e0 reale ai bordi, ma meno dell’1% intercettato e flussi DeFi in crescita del 343%<\/td>Oltre 26 miliardi di dollari l’anno, costo regressivo<\/td><\/tr>
Far rispettare la Travel Rule<\/td>No, quasi ovunque: l’83% ha la legge, 55 Paesi su 91 non la applicano<\/td>Oneri di conformit\u00e0 sui CASP in regola<\/td><\/tr>
Portare la DeFi nel perimetro<\/td>No: il 93% non individua un protocollo, 4 licenze, 1 enforcement<\/td>Effetto raffreddamento sullo sviluppo<\/td><\/tr>
Congelare i fondi illeciti<\/td>S\u00ec, ma solo tramite l’asset di regolamento (stablecoin)<\/td>Potere concentrato in pochi emittenti e custodi<\/td><\/tr>
Tutelare l’investitore europeo<\/td>In costruzione: MiCA ai bordi, servizio di accesso DeFi ancora da approvare<\/td>Lentezza; rischio di spingere l’attivit\u00e0 offshore<\/td><\/tr><\/tbody><\/table><\/figure>

Il verdetto onesto \u00e8 dunque doppio. Il beneficio esiste ma \u00e8 stretto, concentrato dove un soggetto responsabile c’\u00e8 gi\u00e0. Il costo \u00e8 grande, regressivo e in buona parte sostenuto da chi non delinque. E il fatto dominante, quello che un revisore scriverebbe in cima alla relazione, \u00e8 il divario di applicazione: la regola c’\u00e8 ovunque, l’enforcement quasi in nessun luogo. La scommessa europea sulla \u00abporta\u00bb potrebbe colmarne una parte, ma lentamente, e solo se le autorit\u00e0 avranno davvero le risorse per fare quello che la Consob fa gi\u00e0 con gli oscuramenti.<\/p>

Cosa cambia per chi usa, costruisce o investe<\/h2>

Dalla teoria alla pratica, il bilancio si traduce in tre indicazioni operative diverse a seconda del ruolo.<\/p>

  • Per chi usa:<\/strong> il protocollo non chieder\u00e0 i tuoi documenti, ma la rampa fiat e l’exchange s\u00ec, l’emittente della stablecoin pu\u00f2 congelare un saldo e il fisco vuole comunque il quadro RW. La decentralizzazione non azzera il rischio di compliance, lo sposta.<\/li>
  • Per chi costruisce:<\/strong> il test COSI significa che controllo equivale a responsabilit\u00e0. Chiavi di amministrazione, interruttori sulle commissioni, hosting del front-end: ognuno di questi \u00e8 esposizione legale. Il front-end \u00e8 il soggetto giuridico, va trattato come tale.<\/li>
  • Per chi investe:<\/strong> il punto di controllo che resiste a tutto \u00e8 l’asset di regolamento. In Europa una stablecoin non conforme va incontro alla chiusura dei servizi entro l’8 gennaio 2027; sapere in che cosa si regolano le operazioni conta quanto sapere su quale protocollo si opera.<\/li><\/ul>

    La settimana del GAFI non chiuder\u00e0 questo capitolo. Ma il messaggio che esce da Parigi, da Bruxelles e dai tribunali americani \u00e8 coerente: la compliance non insegue il codice, insegue chi lo controlla e chi ci guadagna. Finch\u00e9 quei punti di controllo esistono, la rete ha una presa; dove svaniscono davvero, resta solo la trasparenza del libro mastro, che aiuta a ricostruire i fatti dopo, non a impedirli prima.<\/p>

    Domande frequenti<\/h2>

    La compliance DeFi funziona davvero?<\/h3>

    In parte. Funziona ai bordi del sistema, cio\u00e8 su exchange, front-end ed emittenti di stablecoin, dove esiste un soggetto responsabile; quasi non funziona dentro i protocolli, dove il 93% delle giurisdizioni non ha ancora individuato un assetto da regolare.<\/p>

    La Consob regola l’antiriciclaggio delle crypto in Italia?<\/h3>

    No. La Consob vigila sulla condotta di mercato e sulla tutela dell’investitore nel quadro del MiCA; l’antiriciclaggio fa capo all’UIF presso la Banca d’Italia e, dal 2027, al regolamento europeo AMLR con la nuova autorit\u00e0 AMLA.<\/p>

    Usare un protocollo DeFi mi mette al riparo dalle regole?<\/h3>

    No. Protegge dal supervisore di mercato, ma non dal fisco, perch\u00e9 gli obblighi di monitoraggio e sulle plusvalenze restano, n\u00e9 dal rischio che l’emittente congeli la stablecoin con cui operi.<\/p>

    Che cos’\u00e8 il test COSI del GAFI?<\/h3>

    \u00c8 il criterio \u00abcontrol or sufficient influence\u00bb: un assetto DeFi rientra nelle regole ogni volta che una persona o un’impresa esercita un controllo o un’influenza sufficiente. Conta chi tiene le leve, non l’etichetta che il progetto si d\u00e0.<\/p>

    Quanto costa l’antiriciclaggio e quanto intercetta?<\/h3>

    Negli Stati Uniti la spesa supera i 26 miliardi di dollari l’anno, mentre si stima che venga sequestrato circa lo 0,2% dei proventi criminali e la quota illecita resta sotto l’1% del volume on-chain.<\/p>