Se negli ultimi anni hai aperto un conto su pi\u00f9 di una piattaforma crypto, conosci la scena a memoria: foto del documento fronte e retro, un selfie con il viso ruotato a destra e a sinistra, a volte una bolletta come prova di residenza. Poi ricominci da capo sul secondo exchange. E sul terzo. Ogni volta consegni la stessa identit\u00e0 a un soggetto diverso, che la archivia da qualche parte sui propri server. Con Bitcoin intorno ai 69.700 euro<\/a> e una capitalizzazione di circa 1.400 miliardi di euro il 4 novembre 2026 (CoinGecko<\/a>), il mercato \u00e8 maturo, ma il modo in cui ci identifichiamo \u00e8 rimasto fermo al 2017.<\/p> Questo articolo parte da una domanda semplice: perch\u00e9 devo ripetere lo stesso controllo decine di volte, e perch\u00e9 ogni ripetizione peggiora la mia sicurezza invece di migliorarla? La risposta porta dritti a un cambio di modello che regolatori e industria stanno costruendo in parallelo: identit\u00e0 riutilizzabile, credenziali verificabili, prove a conoscenza zero e, in Italia, l’IT-Wallet dentro l’app IO. L’idea si riassume in una formula: verifica una volta, dimostra ovunque. Non \u00e8 fantascienza regolatoria, \u00e8 un cantiere con scadenze precise che cadono proprio adesso, fra la fine del 2026 e il 2027.<\/p> Prima di parlare della cura serve chiarire la malattia. Il KYC (know your customer<\/em>, adeguata verifica della clientela) \u00e8 la componente di identit\u00e0: stabilire chi sei e avere ragionevole certezza che tu sia davvero tu. L’AML (anti money laundering<\/em>, antiriciclaggio) \u00e8 l’ombrello pi\u00f9 largo, l’insieme di leggi e controlli che dovrebbe impedire al sistema finanziario di ripulire denaro sporco. Il KYC \u00e8 il primo mattone dell’AML, non un sinonimo: puoi avere un’identificazione perfetta e un antiriciclaggio pessimo, e viceversa.<\/p> Un equivoco va corretto subito, perch\u00e9 ritorna di continuo nei commenti dei lettori: in Italia l’antiriciclaggio non lo fa la Consob. Il perimetro \u00e8 disegnato dal D.lgs 231\/2007. La politica di prevenzione spetta al Ministero dell’Economia e delle Finanze; l’Unit\u00e0 di Informazione Finanziaria (UIF) incardinata in Banca d’Italia raccoglie e analizza le segnalazioni di operazioni sospette; l’analisi investigativa e il contrasto passano dal Nucleo Speciale di Polizia Valutaria della Guardia di Finanza e dalla DIA. La Consob, come autorit\u00e0 che autorizza i CASP<\/a> sotto MiCA, vigila sulla condotta di mercato e sulla tutela dell’investitore, non sul riciclaggio. MiCA regola i servizi crypto; l’antiriciclaggio vive in un corpo normativo separato (regolamento AMLR, direttiva AMLD6 e regolamento sui trasferimenti di fondi).<\/p> Dentro il 231 l’adeguata verifica ha tre intensit\u00e0: semplificata quando il rischio \u00e8 basso, ordinaria come regola generale, rafforzata per i rapporti ad alto rischio. Gli artt. 18 e 19 dicono anche come<\/em> si verifica un cliente: identificazione tramite un documento d’identit\u00e0 valido, con dati raccolti da una fonte affidabile e indipendente. \u00c8 proprio quella formula, fonte affidabile e indipendente, la chiave che pi\u00f9 avanti aprir\u00e0 la porta all’identit\u00e0 digitale.<\/p> Dietro la schermata di onboarding di un exchange ci sono quasi sempre quattro passaggi, spesso affidati a fornitori specializzati come Sumsub, Onfido, Jumio o IDnow. Primo: la verifica del documento, cio\u00e8 la lettura ottica di passaporto o carta d’identit\u00e0 e il controllo degli elementi di sicurezza. Secondo: la liveness<\/em>, il selfie dinamico che deve dimostrare che davanti alla fotocamera c’\u00e8 una persona reale e viva, non una foto o un video. Terzo: lo screening contro liste di sanzioni, persone politicamente esposte e notizie negative. Quarto: il monitoraggio continuo delle operazioni, che non finisce all’iscrizione ma accompagna tutto il rapporto.<\/p> Nella verifica rafforzata i passaggi si moltiplicano: origine dei fondi, provenienza del patrimonio, controlli pi\u00f9 frequenti. Tutto questo ha un costo, che la piattaforma scarica in parte sull’utente sotto forma di attrito e in parte su s\u00e9 stessa sotto forma di personale e fornitori. Ma il punto debole non \u00e8 nessuno di questi passaggi preso singolarmente. \u00c8 il modello di fondo: ogni piattaforma esegue l’intero controllo da sola, conserva le copie dei tuoi documenti nei propri archivi e non si fida di quello che ha gi\u00e0 fatto il concorrente. Il risultato \u00e8 un sistema a silos, dove la stessa identit\u00e0 viene fotocopiata decine di volte e parcheggiata in decine di database diversi. Comodo da costruire, pessimo da difendere.<\/p> Il controllo non si esaurisce nell’identificazione: alimenta il monitoraggio che poi genera le segnalazioni di operazioni sospette. E qui i numeri italiani raccontano un sistema sotto pressione. Nel 2025 la UIF ha ricevuto 162.059 segnalazioni, in crescita dell’11,5 per cento, e la quota legata agli operatori in valuta virtuale \u00e8 passata da 3.165 a 5.859 soggetti segnalanti, un balzo dell’85,1 per cento (UIF, Banca d’Italia<\/a>). Ogni identit\u00e0 raccolta male a monte si traduce in rumore a valle: pi\u00f9 copie di documenti, pi\u00f9 falsi positivi, pi\u00f9 segnalazioni difensive.<\/p> Il primo difetto \u00e8 che il documento da solo vale sempre meno. Falsi generati con l’intelligenza artificiale si comprano per cifre irrisorie, e gli attacchi di tipo injection<\/em>, in cui un video sintetico viene iniettato direttamente nel flusso della fotocamera, sono cresciuti in modo a tre cifre nel corso del 2025 secondo i report di settore. Una verifica basata su foto e selfie \u00e8 una gara tecnologica che il difensore non vince mai del tutto; lo abbiamo raccontato nel dettaglio parlando di biometria e prova di essere umani<\/a>, dove la conclusione era netta: dimostrare che c’\u00e8 una persona viva non equivale a dimostrare chi sia quella persona.<\/p> Il secondo difetto \u00e8 pi\u00f9 insidioso, perch\u00e9 colpisce proprio chi ha fatto tutto bene. Ogni archivio di documenti \u00e8 un honeypot<\/em>, un barattolo di miele per i criminali. Nel maggio 2025 Coinbase ha rivelato che alcuni addetti al supporto corrotti all’estero avevano copiato dati di circa 69.461 utenti, comprese foto di documenti; l’azienda ha rifiutato un riscatto da 20 milioni di dollari e ha stimato il danno fra 180 e 400 milioni (CoinDesk<\/a>). Pi\u00f9 volte ripeti il KYC, pi\u00f9 copie della tua identit\u00e0 esistono, pi\u00f9 bersagli offri. La sicurezza individuale peggiora a ogni iscrizione, non migliora.<\/p> \u00c8 qui che si innesta una critica di fondo al regime. Peter Van Valkenburgh del Coin Center, nel rapporto Tear Down this Walled Garden<\/em>, sostiene che l’attuale impianto AML\/KYC \u00abfa notevolmente poco\u00bb per fermare la finanza illecita e che \u00abimpone enormi costi e oneri sulla privacy a fronte di un beneficio trascurabile\u00bb (Coin Center<\/a>). Non serve condividere la tesi radicale per vedere il punto pratico: il modello a silos moltiplica costi e rischi senza moltiplicare la sicurezza.<\/p> L’alternativa capovolge la logica. Invece di rifare il controllo a ogni porta, lo fai una volta sola con un soggetto fidato, poi dimostri solo ci\u00f2 che serve a chi te lo chiede. Il modello si regge su tre ruoli. L’emittente (per esempio una banca, un ente pubblico o un fornitore KYC qualificato) verifica la tua identit\u00e0 e ti rilascia una credenziale firmata. Il titolare sei tu, che la conservi in un portafoglio digitale sul tuo telefono. Il verificatore (l’exchange, il protocollo, il servizio) riceve una prova crittografica che la credenziale \u00e8 valida, senza dover raccogliere e custodire di nuovo i tuoi documenti.<\/p> Perch\u00e9 il triangolo regga serve un quarto elemento invisibile: una cornice di fiducia che stabilisca quali emittenti sono affidabili e con quali regole. \u00c8 la differenza tra un’attestazione che vale e una che non vale nulla. Non \u00e8 teoria: secondo le analisi di settore il KYC riutilizzabile pu\u00f2 tagliare i costi di onboarding dal 30 al 50 per cento rispetto alla verifica documentale ripetuta, e comprimere un controllo manuale da dieci minuti o pi\u00f9 a pochi secondi di conferma automatica (Start With Identity<\/a>). Per l’utente significa meno attrito; per la piattaforma meno costi e, soprattutto, meno dati sensibili da difendere.<\/p>KYC e AML non sono la stessa cosa (e in Italia non \u00e8 la Consob)<\/h2>
Come funziona oggi un controllo KYC<\/h2>
I due difetti del modello attuale: documento falsificabile e honeypot<\/h2>
Verifica una volta, dimostra ovunque: il triangolo emittente, titolare, verificatore<\/h2>