{"id":861,"date":"2026-10-30T10:36:09","date_gmt":"2026-10-30T10:36:09","guid":{"rendered":"https:\/\/hoge.gg\/it\/compliance-defi-2026-colli-bottiglia-sala-macchine-italia\/"},"modified":"2026-10-30T10:36:09","modified_gmt":"2026-10-30T10:36:09","slug":"compliance-defi-2026-colli-bottiglia-sala-macchine-italia","status":"publish","type":"post","link":"https:\/\/hoge.gg\/it\/compliance-defi-2026-colli-bottiglia-sala-macchine-italia\/","title":{"rendered":"Compliance DeFi 2026: cinque colli di bottiglia e la sala macchine"},"content":{"rendered":"

A Parigi si chiude oggi la prima riunione plenaria del GAFI (Financial Action Task Force) sotto la presidenza britannica di Giles Thomson: una settimana di lavori dedicata, tra gli altri temi, alla frode industrializzata e alla finanza decentralizzata, con la conferenza stampa finale che ne annuncia gli esiti (fatf-gafi.org<\/a>). Sui mercati il clima resta nervoso: Bitcoin viaggia intorno ai 69.000 euro dopo settimane in discesa (CoinGecko<\/a>), in una fase in cui perfino i beni rifugio tradizionali sono finiti in rosso<\/a>, e il valore totale bloccato nei protocolli DeFi \u00e8 sceso di circa il 40% da inizio anno (DefiLlama<\/a>). La domanda che muove i regolatori, per\u00f2, non cambia: come si fa rispettare una regola a un software che nessuno pu\u00f2 spegnere?<\/p>

La risposta, ormai netta dopo un 2026 fatto di consultazioni e di sentenze, \u00e8 che la regola al codice non la si fa rispettare affatto. Uno smart contract immutabile non apre un conto, non chiede un documento, non congela niente e non si presenta davanti a un giudice. Perci\u00f2 la compliance non insegue il protocollo: colpisce i pochi punti di controllo centralizzati che ogni applicazione DeFi, anche la pi\u00f9 \u00abdecentralizzata\u00bb, usa comunque per funzionare. Questa \u00e8 la mappa di quei colli di bottiglia, ordinati dal pi\u00f9 presidiato alla frontiera ancora contesa, e del modo in cui ciascuno arriva fino a chi, in Italia, apre un’app e firma una transazione.<\/p>

Non si regola il codice, si regolano i punti di controllo<\/h2>

Il principio che tiene insieme tutta la compliance DeFi del 2026 lo ha scritto proprio il GAFI nel suo rapporto mirato sulla finanza decentralizzata, pubblicato il 21 luglio 2026: il perimetro delle regole antiriciclaggio non segue l’etichetta \u00abDeFi\u00bb, segue il controllo. L’organismo parigino lo chiama test del controllo o influenza sufficiente: ovunque una persona fisica o giuridica eserciti controllo o influenza determinante su un servizio, quella persona rientra nell’ambito della Raccomandazione 15, con obblighi da intermediario, a prescindere da quanto il marketing insista sulla parola \u00abdecentralizzato\u00bb (fatf-gafi.org<\/a>).<\/p>

Ne discende una conseguenza pratica e un po’ spietata: il codice che gira da solo \u00e8 intoccabile, ma quasi nessun protocollo gira davvero da solo. C’\u00e8 chi gestisce il sito da cui si entra, chi incassa le commissioni, chi tiene le chiavi di aggiornamento, chi fornisce la liquidit\u00e0 in euro all’ingresso e in dollari all’uscita, chi ospita i server che smistano le transazioni. Ognuno di questi \u00e8 un punto in cui qualcosa di controllabile tocca qualcosa di incontrollabile, ed \u00e8 l\u00ec che la regola si aggancia. L’analisi di Chainalysis sul rapporto GAFI lo riassume bene: la vera domanda non \u00e8 se un’attivit\u00e0 sia \u00abdecentralizzata\u00bb, ma se esista qualcuno in grado di cambiarne le regole o di spegnerne l’accesso (chainalysis.com<\/a>).<\/p>

Chiamiamoli colli di bottiglia: i pochi passaggi obbligati dove il flusso rallenta, diventa visibile e pu\u00f2 essere fermato. Alcuni sono gi\u00e0 saldamente presidiati, altri restano una frontiera dove l’esito \u00e8 tutt’altro che deciso. Elencarli in ordine serve a capire dove conviene davvero guardare, sia per chi fa rispettare le regole sia per chi prova ad aggirarle.<\/p>

La mappa: cinque colli di bottiglia e una frontiera<\/h2>

Dalla rampa in euro fino alla sala macchine dei server, i punti in cui la compliance entra nella DeFi sono sostanzialmente cinque. La tabella li ordina dal pi\u00f9 catturato (dove la regola \u00e8 ormai prassi consolidata) a quello di frontiera (dove tutto \u00e8 ancora in movimento), indicando per ciascuno chi lo controlla, qual \u00e8 la leva normativa e qual \u00e8 la via di fuga che i flussi illeciti cercano di imboccare.<\/p>

Collo di bottiglia<\/th>Chi lo controlla<\/th>La leva normativa<\/th>Quanto \u00e8 catturato<\/th>La via di fuga<\/th><\/tr><\/thead>
Rampa fiat (da euro a crypto)<\/td>Exchange e CASP autorizzati<\/td>KYC, Travel Rule, MiCA, antiriciclaggio<\/td>Pieno<\/td>P2P, wallet non ospitati<\/td><\/tr>
Interfaccia (sito, wallet, aggregatore)<\/td>Chi pubblica il front-end<\/td>Oscuramento siti, screening indirizzi, servizio di accesso ESMA<\/td>Alto<\/td>Codice open source, IPFS, copie mirror<\/td><\/tr>
Asset di regolamento (stablecoin)<\/td>L’emittente<\/td>Congelamento su ordine legittimo (GENIUS, MiCA, GAFI)<\/td>Medio alto<\/td>Stablecoin non congelabili, token esteri<\/td><\/tr>
Le persone (sviluppatori, DAO, LP)<\/td>Chi controlla e incassa<\/td>Giurisprudenza penale e civile<\/td>Medio<\/td>Anonimato, nessun operatore identificabile<\/td><\/tr>
La sala macchine (relay MEV, RPC, sequencer, oracoli)<\/td>Operatori di infrastruttura<\/td>Nessuna regola dedicata, pressione di mercato<\/td>Basso e conteso<\/td>Relay neutrali, nodi propri, ridondanza<\/td><\/tr><\/tbody><\/table><\/figure>

La rampa in euro: il collo di bottiglia gi\u00e0 chiuso<\/h2>

Il punto dove quasi tutti entrano e quasi tutti escono \u00e8 la rampa fiat, cio\u00e8 il momento in cui gli euro diventano crypto e viceversa. \u00c8 il collo di bottiglia pi\u00f9 vecchio e il pi\u00f9 presidiato, perch\u00e9 qui non c’\u00e8 nulla di decentralizzato: un exchange che converte euro in stablecoin \u00e8 un intermediario in carne e ossa, con un conto bancario, una sede e dei dipendenti. In Italia e nel resto dell’Unione un operatore del genere \u00e8 un CASP (Crypto-Asset Service Provider) ai sensi di MiCA, vigilato per la condotta di mercato dalla Consob e per il profilo prudenziale dalla Banca d’Italia, secondo il riparto fissato dal decreto legislativo 5 settembre 2024, n. 129.<\/p>

Su quella rampa si concentra l’intero armamentario antiriciclaggio: identificazione del cliente (KYC), adeguata verifica, segnalazione delle operazioni sospette all’UIF presso la Banca d’Italia, screening delle sanzioni e Travel Rule. Il regolamento europeo sui trasferimenti di fondi (TFR) impone di far viaggiare i dati di ordinante e beneficiario senza soglia minima per le crypto, una linea pi\u00f9 dura della soglia dei 1.000 euro raccomandata dal GAFI. Dal 1 luglio 2026 il regime transitorio di MiCA in Italia \u00e8 terminato: chi non si \u00e8 fatto autorizzare come CASP non pu\u00f2 pi\u00f9 operare, e il vecchio registro OAM degli operatori valutari \u00e8 andato in soffitta. Il risultato \u00e8 che la rampa \u00e8, di fatto, gi\u00e0 chiusa: la via di fuga resta lo scambio diretto tra persone (P2P) e i wallet non ospitati, ma prima o poi quasi tutti devono tornare agli euro, e quel ritorno passa da un soggetto autorizzato.<\/p>

Questo spiega perch\u00e9 le autorit\u00e0 investono qui pi\u00f9 che altrove: la rampa raccoglie, senza bisogno di nuove leggi, la stragrande maggioranza del flusso. E dal 10 luglio 2027 il nuovo regolamento antiriciclaggio dell’Unione (AMLR) render\u00e0 uniformi in tutti i 27 Stati gli obblighi che oggi variano da Paese a Paese, affidandone la supervisione dei soggetti pi\u00f9 rischiosi all’AMLA, la nuova autorit\u00e0 europea con sede a Francoforte.<\/p>

Per un operatore italiano, in concreto, questo significa un percorso autorizzativo tutt’altro che leggero: capitale minimo, requisiti di governance e di onorabilit\u00e0, procedure antiriciclaggio documentate e un presidio informatico conforme al regolamento DORA sulla resilienza operativa. Non sorprende che, chiuso il regime transitorio, il numero dei CASP pienamente autorizzati in Italia resti ancora ristretto, da realt\u00e0 specializzate nella custodia fino a gruppi bancari che hanno portato i servizi su crypto dentro il perimetro vigilato. \u00c8 il prezzo d’ingresso del collo di bottiglia: alto abbastanza da scoraggiare gli improvvisati, e proprio per questo efficace come filtro.<\/p>

L’interfaccia: quando il sito diventa il bersaglio<\/h2>

Il secondo collo di bottiglia \u00e8 l’interfaccia: il sito web, l’app o il wallet attraverso cui l’utente raggiunge il protocollo. Il contratto on-chain \u00e8 incensurabile, ma il sito che lo rende usabile \u00e8 un’entit\u00e0 legale che vive su server, domini e servizi di hosting, tutte cose che un’autorit\u00e0 pu\u00f2 toccare. La dimostrazione pi\u00f9 nota arriva dagli Stati Uniti: dopo le sanzioni a Tornado Cash nel 2022, Uniswap Labs ha iniziato a filtrare con TRM Labs gli indirizzi collegati a fondi rubati o sanzionati, bloccandoli dalla propria interfaccia pur lasciando intatto il contratto sottostante (The Block<\/a>). Il codice resta libero, il front-end no.<\/p>

In Italia questa leva ha un nome preciso e una lunga storia: l’oscuramento dei siti. La Consob ordina ai provider di bloccare l’accesso ai portali abusivi dal 2019, grazie ai poteri del Decreto Crescita (articolo 7-octies del Testo Unico della Finanza), e dalla disciplina MiCAR recepita con il d.lgs. 129\/2024 ha ottenuto lo stesso potere anche per i siti che offrono servizi su cripto-attivit\u00e0 senza autorizzazione. A fine settembre 2026 il contatore dei portali oscurati dal 2019 aveva superato quota 1.800 (1.829 per l’esattezza), con i provvedimenti che proseguono quasi ogni settimana (consob.it<\/a>; Teleborsa<\/a>). Non tutti riguardano la DeFi, ma lo strumento \u00e8 esattamente quello che serve per colpire l’accesso senza toccare lo smart contract.<\/p>

L’Europa vuole trasformare questa prassi in categoria. Nella risposta alla revisione di MiCA, depositata il 30 settembre 2026, l’ESMA ha proposto un nuovo servizio regolamentato dedicato a chi fornisce ai clienti l’accesso a protocolli decentralizzati, cio\u00e8 proprio le interfacce web, i wallet e gli aggregatori, con obblighi di due diligence sul protocollo e di gestione dei conflitti di interesse. L’autorit\u00e0 mette in guardia dal cosiddetto decentralisation washing, il trucco dell’operatore identificabile che si traveste da protocollo neutro per sfuggire alle regole, e chiede che l’esenzione per la DeFi genuina sia \u00abla pi\u00f9 stretta possibile\u00bb (esma.europa.eu<\/a>). Che a guidare questa stretta ci sia ora un italiano al vertice dell’ESMA<\/a> rende il dibattito ancora pi\u00f9 vicino a casa.<\/p>

Lo stablecoin: il pulsante di congelamento come regolamento<\/h2>

Il terzo collo di bottiglia non sta ai bordi del sistema ma al suo centro, perch\u00e9 quasi ogni transazione DeFi si regola in stablecoin. E lo stablecoin, a differenza del protocollo, ha un padrone: l’emittente. \u00c8 lui che pu\u00f2 congelare, sequestrare o bruciare le monete su un indirizzo, e questa capacit\u00e0 \u00e8 diventata lo strumento di compliance pi\u00f9 efficace dell’intero settore. Negli Stati Uniti il GENIUS Act, in vigore dal luglio 2025, impone agli emittenti di stablecoin di pagamento di avere la capacit\u00e0 tecnica di bloccare i fondi su ordine legittimo dell’autorit\u00e0. Nell’Unione, MiCA raggiunge lo stesso risultato per altra via: un token come USDT \u00e8 stato di fatto rimosso dalle piattaforme europee perch\u00e9 Tether non ha chiesto l’autorizzazione come token di moneta elettronica (EMT), mentre USDC ed EURC, autorizzati, circolano liberamente con il passaporto nei 27 Stati.<\/p>

Il GAFI ha spinto questa logica fino in fondo. Nel rapporto mirato su stablecoin e wallet non ospitati del marzo 2026 raccomanda agli emittenti di incorporare nei contratti controlli programmabili di congelamento e liste di esclusione, oltre al monitoraggio del mercato secondario. Non \u00e8 un caso: secondo il rapporto 2026 di Chainalysis, gli stablecoin rappresentano ormai circa l’84% dei flussi illeciti on-chain, segno che il grosso del rischio si \u00e8 spostato proprio sull’asset di regolamento (chainalysis.com<\/a>). La via di fuga qui \u00e8 nata per reazione: stablecoin progettati per essere non congelabili, o monete legate a valute estere fuori dalla portata delle autorit\u00e0 occidentali. \u00c8 la stessa partita che in Europa si gioca anche sul fronte opposto, con le banche che lanciano stablecoin in euro pienamente regolati<\/a>, pensati per competere restando dentro il perimetro.<\/p>

Le persone: dove la responsabilit\u00e0 segue il controllo<\/h2>

Il quarto collo di bottiglia sono le persone: sviluppatori, membri di una DAO, fornitori di liquidit\u00e0. Qui il principio guida, uscito dalle aule di tribunale pi\u00f9 che dai regolamenti, \u00e8 che la responsabilit\u00e0 segue il controllo e il profitto, non l’etichetta. La trilogia di Tornado Cash lo illustra in ogni sfumatura. Da un lato la causa Van Loon contro il Tesoro ha stabilito che gli smart contract immutabili non sono \u00abpropriet\u00e0\u00bb sanzionabile, tanto che l’OFAC ha rimosso Tornado Cash dalla lista nel marzo 2025 (CoinDesk<\/a>). Dall’altro lo sviluppatore Roman Storm \u00e8 stato condannato nell’agosto 2025 per aver gestito un’attivit\u00e0 di trasmissione di denaro senza licenza, con un nuovo processo fissato al 26 aprile 2027 sui capi rimasti sospesi (Decrypt<\/a>). Il codice, insomma, \u00e8 intoccabile; gestire un servizio attorno al codice \u00e8 condotta.<\/p>

Il confine lo ha riassunto Matthew Galeotti, allora a capo della Divisione penale del Dipartimento di Giustizia statunitense, con una frase diventata un punto di riferimento: \u00abscrivere codice, di per s\u00e9 e senza intenti illeciti, non \u00e8 un reato\u00bb (CoinDesk<\/a>). Il rovescio della medaglia \u00e8 che chi tiene le chiavi, incassa commissioni o governa un protocollo esce dal riparo. Lo ha imparato la Ooki DAO, condannata in contumacia dalla CFTC nel 2023: il giudice ha stabilito che una DAO \u00e8 una \u00abpersona\u00bb ai fini di legge e che i detentori del token di governance ne sono i membri, con una sanzione civile da 643.542 dollari e l’ordine di chiudere il sito (cftc.gov<\/a>).<\/p>

Soggetto<\/th>Caso o precedente<\/th>Dove si aggancia la responsabilit\u00e0<\/th><\/tr><\/thead>
Sviluppatori<\/td>Stati Uniti contro Roman Storm (processo bis 26 aprile 2027)<\/td>Gestione di un servizio, non la sola scrittura del codice<\/td><\/tr>
Front-end<\/td>Uniswap Labs e lo screening con TRM<\/td>Pubblicazione e controllo dell’interfaccia<\/td><\/tr>
DAO<\/td>CFTC contro Ooki DAO (643.542 dollari)<\/td>Governance tramite token, membri identificabili<\/td><\/tr>
Fornitori di liquidit\u00e0 e relayer<\/td>Nessun precedente consolidato<\/td>Zona grigia, in larga parte non ancora testata<\/td><\/tr><\/tbody><\/table><\/figure>

La sala macchine: la frontiera contesa<\/h2>

Sotto l’interfaccia e sotto lo stablecoin c’\u00e8 uno strato che quasi nessuno vede e che pochissimi regolatori hanno finora nominato: la sala macchine della DeFi. Sono i relay MEV che impacchettano i blocchi su Ethereum, i fornitori di nodi RPC che inoltrano le transazioni, i sequencer che ordinano le operazioni sulle reti di livello 2, gli oracoli che portano i prezzi dentro i contratti. Nessuno di questi componenti \u00e8 lo smart contract, ma senza di loro il contratto non riceve ordini e non vede il mondo esterno. Molti sono concentrati nelle mani di pochi operatori. Sulla carta, dunque, sono un collo di bottiglia perfetto: controllabili, identificabili, indispensabili. In pratica, sono la frontiera pi\u00f9 scivolosa di tutte.<\/p>

Lo dimostra proprio la vicenda dei relay MEV, l’unico esperimento su larga scala di censura a questo livello. Dopo le sanzioni a Tornado Cash nell’agosto 2022, nei mesi successivi alla Merge la quota di relay che filtravano le transazioni secondo le liste OFAC arriv\u00f2 a sfiorare i due terzi dei blocchi, facendo temere una rete programmabile ma censurabile. Poi il mercato ha invertito la rotta da solo. A met\u00e0 ottobre 2026 i relay che applicano filtri pesano appena il 17% circa dei payload, mentre i relay neutrali costruiscono intorno al 70% dei blocchi, con Ultra Sound (circa il 34%) e Titan (circa il 32%) in testa e i relay che fanno screening (bloXroute Regulated al 15% e Flashbots sotto il 2%) ormai marginali (MEV Watch<\/a>; shattered.io<\/a>).<\/p>

Il dettaglio decisivo \u00e8 un altro: l’OFAC non ha mai ordinato ai relay di censurare alcunch\u00e9. La censura \u00e8 arrivata per prudenza di alcuni operatori e se n’\u00e8 andata per concorrenza, non per un cambio di protocollo n\u00e9 per un intervento di legge. \u00c8 la lezione che rende la sala macchine una frontiera e non un collo di bottiglia gi\u00e0 chiuso: l’infrastruttura \u00e8 concentrata abbastanza da sembrare un bersaglio, ma abbastanza sostituibile da sfuggire. Se un relay inizia a filtrare, i validatori possono passare a un altro; se un fornitore RPC blocca un indirizzo, l’utente ne cambia o ne ospita uno proprio. Gli oracoli e i sequencer centralizzati, pi\u00f9 difficili da rimpiazzare, sono i candidati pi\u00f9 probabili per il prossimo giro di vite, ma per ora nessun regolatore ha messo nero su bianco un obbligo. Qui la partita \u00e8 ancora tutta da giocare.<\/p>

Vale la pena insistere sul perch\u00e9 questa frontiera sia diversa dalle altre. Un oracolo che alimenta i prezzi di un protocollo di prestito, o il sequencer che ordina le transazioni di una rete di livello 2, sono spesso gestiti all’inizio da una sola societ\u00e0, con una chiave che potrebbe filtrare o riordinare gli ordini. \u00c8 esattamente il tipo di controllo che il test del GAFI cerca. La differenza \u00e8 che qui l’obbligo non esiste ancora, e che i progetti pi\u00f9 seri corrono a decentralizzare proprio questi componenti prima che qualcuno pensi di regolarli. La compliance, per una volta, insegue un bersaglio che si sta muovendo da solo verso l’uscita.<\/p>

Il test del GAFI: controllo o influenza sufficiente<\/h2>

Se i cinque colli di bottiglia sono i luoghi, il test del controllo o influenza sufficiente del GAFI \u00e8 la bussola che dice quando accendere la luce su ciascuno. Il rapporto di luglio divide gli arrangiamenti DeFi in tre categorie. Nella prima ci sono protocolli con controllori identificabili: qui scatta lo status di VASP e l’intero obbligo antiriciclaggio. Nella seconda ci sono piattaforme di fatto centralizzate che nascondono i propri controllori dietro la retorica della decentralizzazione: restano comunque nell’ambito delle regole, e tocca ai supervisori smascherare chi muove i fili. Nella terza, infine, ci sono protocolli genuinamente senza leader: escono dalle regole da VASP, ma non dal dovere di mitigare il rischio residuo.<\/p>

Il problema \u00e8 l’attuazione. Lo stesso GAFI riconosce che circa il 93% delle giurisdizioni esaminate non aveva ancora recepito gli standard per la DeFi qualificata, e che solo una manciata aveva autorizzato o sanzionato un singolo arrangiamento (chainalysis.com<\/a>). La plenaria che si chiude oggi a Parigi non riscrive queste regole: all’ordine del giorno ci sono la tabella di marcia contro la frode e le valutazioni reciproche di Messico e Stati Uniti nel nuovo ciclo, con la conferenza stampa del presidente a tirare le somme (fatf-gafi.org<\/a>). Il GAFI, del resto, non ha n\u00e9 eserciti n\u00e9 tribunali: la sua vera leva sono le liste grigia e nera, che spostano capitali e inducono le banche a tagliare i rapporti, e i colli di bottiglia nazionali dove quelle raccomandazioni diventano divieti concreti.<\/p>

Quelle liste contano pi\u00f9 di quanto sembri. Finire nella lista grigia del GAFI significa vedersi tagliare linee di credito, rallentare i pagamenti transfrontalieri e pagare di pi\u00f9 per raccogliere capitali: una pressione che passa dai mercati, non dai tribunali, ma che i governi avvertono eccome. Sotto la presidenza Thomson l’organismo ha fatto della frode la sua priorit\u00e0 dichiarata, definendola il reato presupposto nella stragrande maggioranza delle valutazioni svolte in tutto il network globale e stimandone il giro d’affari in centinaia di miliardi di dollari l’anno. La DeFi entra in questo quadro non come bersaglio a s\u00e9, ma come uno dei canali attraverso cui quei proventi si muovono.<\/p>

L’Europa regola la porta, non il motore<\/h2>

Messe in fila le leve, emerge la filosofia di fondo di Bruxelles: non si regola il motore (il protocollo), si regola la porta (il punto di accesso). MiCA, per esempio, non pretende di disciplinare la DeFi autonoma; lo ammette lo stesso Considerando 22 del regolamento, che tiene fuori dal perimetro i servizi prestati in modo pienamente decentralizzato. Ma la revisione di MiCA, la cui consultazione si \u00e8 chiusa il 30 settembre 2026 con 86 domande e un’intera sezione dedicata a DeFi, staking, prestito e mercati di previsione, serve proprio a stringere le maglie attorno a quella porta. Accanto all’ESMA, anche l’Autorit\u00e0 bancaria europea (EBA) ha chiesto di regolare il prestito di crypto, comprese le situazioni in cui un CASP facilita l’accesso a protocolli decentralizzati.<\/p>

L’approccio europeo \u00e8 lento ma duraturo: una legge scritta oggi vale finch\u00e9 non la si cambia. Il regolamento antiriciclaggio unico (AMLR) si applicher\u00e0 in tutta l’Unione dal 10 luglio 2027, con il divieto di conti anonimi e di monete pensate per l’anonimato, e l’AMLA di Francoforte, guidata dall’ex capo dell’antiriciclaggio della Banca d’Italia Bruna Szego, inizier\u00e0 la vigilanza diretta dal 2028. La Commissione dovr\u00e0 presentare le relazioni previste dagli articoli 140 e 142 di MiCA entro il 30 giugno 2027, passaggio che aprir\u00e0 la strada a un’eventuale \u00abMiCA 2\u00bb. Non tutti, per\u00f2, sono convinti che serva. Peter Kerstens, consigliere della Commissione europea e tra gli architetti di MiCA, ha liquidato cos\u00ec la foga regolatoria sulla DeFi: \u00abNon vedo quale sia il problema. E se non c’\u00e8 un problema, perch\u00e9 regolarlo?\u00bb (Cointelegraph<\/a>).<\/p>

Gli Stati Uniti scommettono sul contrario<\/h2>

Oltreoceano la scommessa \u00e8 opposta: non una legge solida e lenta, ma regole di agenzia, rapide e reversibili. Il tentativo di dare agli Stati Uniti una legge quadro sulla struttura del mercato, il CLARITY Act, si \u00e8 arenato al Senato a met\u00e0 settembre 2026, quando \u00e8 mancato il quorum procedurale. Senza statuto, la palla \u00e8 passata ai regolatori. La SEC guidata da Paul Atkins ha proposto la sua \u00abRegulation Crypto Assets\u00bb, il cui periodo di commento pubblico si \u00e8 chiuso il 20 ottobre 2026 con oltre 140 contributi: prevede un porto sicuro per i contratti di investimento (la cosiddetta Rule 400) e la possibilit\u00e0 di raccogliere fino a 75 milioni di dollari con la pre-vendita di prodotti tokenizzati senza emettere azioni (sec.gov<\/a>; FinanceFeeds<\/a>).<\/p>

Il limite di questo modello \u00e8 che ci\u00f2 che un’agenzia concede, un’agenzia pu\u00f2 togliere: una regola non \u00e8 una legge, e cambia con le maggioranze. L’unico tassello davvero stabile \u00e8 il GENIUS Act sugli stablecoin, che raggiunge la DeFi proprio dove abbiamo visto, cio\u00e8 attraverso l’asset di regolamento. Nel frattempo l’applicazione resta affidata ai casi, come racconta il nuovo fronte dell’enforcement SEC contro le frodi crypto<\/a>, dove l’intelligenza artificiale \u00e8 insieme strumento degli imputati e dei controllori. Due continenti, due architetture: l’Europa costruisce mura di pietra, l’America alza recinti mobili. Entrambe, per\u00f2, puntano agli stessi colli di bottiglia.<\/p>

L’Italia: gli strumenti che mordono davvero<\/h2>

Tra tutte le leve, quella che l’Italia pu\u00f2 azionare da sola, senza aspettare Bruxelles, \u00e8 l’oscuramento dell’interfaccia. La Consob non pu\u00f2 riscrivere uno smart contract che gira su Ethereum, ma pu\u00f2 ordinare ai provider nazionali di rendere irraggiungibile il sito da cui quel contratto viene offerto a un residente italiano, ed \u00e8 esattamente ci\u00f2 che fa a ritmo settimanale. \u00c8 il collo di bottiglia dell’interfaccia calato nel diritto italiano: non spegne il protocollo, spegne la porta locale.<\/p>

Il resto dell’impianto segue il riparto del d.lgs. 129\/2024. La Consob vigila sulla condotta di mercato e sulla tutela dell’investitore; la Banca d’Italia presidia il profilo prudenziale e, con la Vigilanza, gli aspetti legati a token di moneta elettronica e asset-referenced; l’UIF, incardinata in Banca d’Italia, raccoglie le segnalazioni di operazioni sospette. I derivati su crypto, come perpetual e futures, non ricadono sotto MiCA ma sono strumenti finanziari ai sensi della MiFID II, vigilati dalla Consob. Sul fronte fiscale, infine, chi usa la DeFi resta sotto l’occhio dell’Agenzia delle Entrate, con l’obbligo di quadro RW per il monitoraggio e lo scambio automatico di informazioni che la direttiva DAC8 estender\u00e0 alle cripto-attivit\u00e0. Il protocollo \u00e8 apolide; l’utente che lo usa dall’Italia no.<\/p>

Ma funziona? Il prezzo dei colli di bottiglia<\/h2>

Resta la domanda scomoda: tutto questo riduce davvero il crimine? I dati raccontano due storie opposte. Da un lato, la trasparenza della blockchain funziona da prova: secondo Chainalysis l’attivit\u00e0 illecita vale meno dell’1% del volume on-chain, anche se in valore assoluto il 2026 segna oltre 154 miliardi di dollari, con gli indirizzi sanzionati in crescita di quasi il 700% e, come visto, l’84% dei flussi illeciti ormai in stablecoin (chainalysis.com<\/a>). Dall’altro, c’\u00e8 chi sostiene che l’apparato antiriciclaggio costi molto e intercetti poco. Peter Van Valkenburgh, del centro studi Coin Center, \u00e8 netto: l’attuale regime \u00abfa notevolmente poco per prevenire la finanza illecita\u00bb, a fronte di un costo globale di compliance stimato in decine di miliardi l’anno (coincenter.org<\/a>). Chi vuole il conto dettagliato lo trova nella nostra analisi su quanto costa e se funziona davvero la compliance DeFi<\/a>.<\/p>

C’\u00e8 poi una conseguenza che i numeri da soli non mostrano: ogni giro di vite rischia di dividere il mondo in due. Da una parte una DeFi conforme e sorvegliata, con interfacce autorizzate, stablecoin congelabili e utenti identificati; dall’altra una DeFi residuale, spinta verso protocolli davvero senza leader, monete non congelabili e infrastruttura che nessuno controlla. Il paradosso \u00e8 che pi\u00f9 si stringono i colli di bottiglia facili, pi\u00f9 si alimenta quella seconda met\u00e0, meno visibile e meno raggiungibile. La compliance, in questo senso, non elimina il rischio: lo sposta verso i punti ancora aperti della mappa.<\/p>

La verit\u00e0, probabilmente, sta nel disegno della mappa. I colli di bottiglia gi\u00e0 chiusi (rampa e interfaccia) catturano la stragrande maggioranza del flusso normale, ma spingono il flusso illecito verso le vie di fuga: scambio diretto, stablecoin non congelabili, infrastruttura non presidiata. Ogni collo di bottiglia che si stringe, in altre parole, aumenta la pressione su quello successivo. Ecco perch\u00e9 la frontiera della sala macchine conta: \u00e8 l\u00ec che si sposta ci\u00f2 che gli altri quattro punti non riescono a trattenere.<\/p>

Collo di bottiglia<\/th>Tiene?<\/th>Perch\u00e9<\/th><\/tr><\/thead>
Rampa fiat<\/td>S\u00ec<\/td>Nessuna decentralizzazione, obblighi pieni sul CASP<\/td><\/tr>
Interfaccia<\/td>In gran parte<\/td>Oscurabile a livello locale, ma il codice e i mirror restano<\/td><\/tr>
Stablecoin<\/td>Dipende dalla moneta<\/td>Il congelamento funziona su USDC, non sulle monete non congelabili<\/td><\/tr>
Le persone<\/td>Solo dove c’\u00e8 controllo<\/td>Protegge il codice puro, colpisce chi gestisce e incassa<\/td><\/tr>
Sala macchine<\/td>Non ancora<\/td>Concentrata ma sostituibile, nessun obbligo di legge<\/td><\/tr><\/tbody><\/table><\/figure>

Cosa cambia per chi usa e chi costruisce<\/h2>

Per l’utente italiano la lezione pratica \u00e8 semplice. Usare la DeFi non \u00e8 illegale e la custodia personale delle chiavi resta legittima, ma conviene mettere in conto due cose: all’ingresso e all’uscita, cio\u00e8 sulla rampa in euro, ci saranno sempre la verifica dell’identit\u00e0 e la tracciabilit\u00e0; e l’interfaccia che si usa oggi potrebbe essere oscurata domani se l’operatore dietro di essa non \u00e8 in regola. Scegliere un CASP autorizzato, conservare la documentazione delle operazioni e compilare il quadro RW non sono formalit\u00e0, ma il modo per restare dal lato giusto del collo di bottiglia.<\/p>

Per chi costruisce, il messaggio \u00e8 ancora pi\u00f9 diretto: il controllo \u00e8 responsabilit\u00e0. Un front-end, un interruttore sulle commissioni, una chiave di amministrazione, una tesoreria: ognuno di questi elementi \u00e8 un filo che riporta a una persona, e nessuna quantit\u00e0 di retorica sulla decentralizzazione cancella quel filo se l’operatore resta identificabile. Le scelte di progettazione, nel 2026, sono scelte di compliance. Decentralizzare davvero il controllo, o accettare di essere l’intermediario che si dichiara di non essere: una via di mezzo credibile, dopo i casi Storm e Ooki, non c’\u00e8 pi\u00f9.<\/p>

Il calendario che viene dir\u00e0 il resto. L’AMLR scatta il 10 luglio 2027, le relazioni di MiCA sono attese entro il 30 giugno 2027, l’AMLA entra in vigilanza diretta nel 2028 e il processo bis a Roman Storm si terr\u00e0 nell’aprile 2027. La forma della mappa, per\u00f2, non cambier\u00e0: finch\u00e9 esister\u00e0 un punto di controllo, la regola lo trover\u00e0. L’unica vera incognita \u00e8 se i regolatori decideranno di spingersi fin dentro la sala macchine, l’ultimo collo di bottiglia ancora libero. Per ora, \u00e8 l’unico posto in cui il codice gira davvero senza che nessuno possa fermarlo.<\/p>

Domande frequenti<\/h2>

La DeFi \u00e8 regolata in Italia nel 2026?<\/h3>

Il protocollo in s\u00e9 no: uno smart contract decentralizzato non \u00e8 soggetto a MiCA. Lo sono per\u00f2 i punti di accesso, cio\u00e8 gli exchange e i CASP che convertono euro in crypto, le interfacce che offrono il servizio e gli emittenti degli stablecoin, vigilati tra Consob, Banca d’Italia e, dal 2027, le nuove regole antiriciclaggio europee.<\/p>

Cosa pu\u00f2 fare la Consob contro un protocollo DeFi?<\/h3>

Non pu\u00f2 modificare n\u00e9 spegnere lo smart contract, ma pu\u00f2 ordinare ai provider italiani di oscurare il sito attraverso cui quel protocollo viene offerto senza autorizzazione, usando i poteri del Decreto Crescita e della disciplina MiCAR. A fine settembre 2026 i portali oscurati dal 2019 avevano superato quota 1.800.<\/p>

Gli sviluppatori di uno smart contract sono responsabili di come viene usato?<\/h3>

Dipende dal controllo. Secondo il principio emerso dai casi statunitensi, scrivere codice senza intenti illeciti non \u00e8 di per s\u00e9 un reato, ma gestire un servizio attorno al codice, tenere le chiavi o incassare commissioni sposta la responsabilit\u00e0 sulla persona che esercita quel controllo.<\/p>

Perch\u00e9 gli stablecoin sono cos\u00ec importanti per la compliance DeFi?<\/h3>

Perch\u00e9 quasi ogni transazione DeFi si regola in stablecoin e, a differenza del protocollo, lo stablecoin ha un emittente che pu\u00f2 congelare i fondi su ordine dell’autorit\u00e0. \u00c8 il motivo per cui il congelamento \u00e8 diventato lo strumento pi\u00f9 efficace, e per cui circa l’84% dei flussi illeciti on-chain passa oggi proprio dagli stablecoin.<\/p>

I relay MEV possono censurare le mie transazioni?<\/h3>

Alcuni applicano filtri sugli indirizzi sanzionati, ma nel 2026 circa il 70% dei blocchi di Ethereum passa da relay neutrali e la quota di quelli che censurano \u00e8 scesa intorno al 17%. Nessuna autorit\u00e0 ha mai ordinato ai relay di filtrare: la censura \u00e8 salita e scesa per scelte di mercato, non per legge.<\/p>