Obblighi AML/CFT per i VASP · Lezione 1 di 5
Riciclaggio di denaro e finanziamento del terrorismo con cripto-attività
9 min di lettura
Ogni controllo in un programma di conformità per le cripto-attività è pensato per impedire, rilevare o segnalare una specifica modalità di abuso delle cripto-attività. Se non sai descrivere come i criminali trasferiscono effettivamente valore attraverso exchange, wallet e protocolli, non puoi valutare se una regola, una soglia di screening o un punteggio di rischio del cliente siano adeguati allo scopo. Questa lezione applica alle cripto-attività il modello classico del riciclaggio di denaro, illustra le principali tipologie e spiega perché il registro pubblico è uno strumento utile ai team di conformità tanto quanto un rischio.
Le tre fasi applicate alle cripto-attività
Il modello da manuale del riciclaggio di denaro prevede tre fasi. È una semplificazione (gli schemi reali saltano, ripetono o fondono le fasi), ma resta il vocabolario condiviso da investigatori, autorità di vigilanza e unità di informazione finanziaria.
| Fase | Scopo | Mondo fiat | Mondo crypto |
|---|---|---|---|
| Collocamento | Immettere nel sistema valore di origine illecita | Depositi in contanti, attività ad alta intensità di contante | Acquistare crypto in contanti presso un chiosco o tramite un broker OTC; ricevere riscatti, pagamenti da truffe o token rubati direttamente on-chain |
| Stratificazione | Spezzare il legame tra la fonte e i fondi | Catene di bonifici, società di comodo | Numerosi passaggi attraverso indirizzi nuovi, catene peel, mixer e CoinJoin, swap su DEX, bridge verso altre chain, privacy coin, conti annidati presso altri servizi |
| Integrazione | Restituire valore che appare legittimo | Immobili, beni di lusso, prestiti | Convertire in denaro presso un exchange con controlli deboli, desk OTC che pagano in fiat, acquistare beni, NFT o immobili, depositare in banca i «profitti di trading» |
Due caratteristiche modificano il quadro rispetto al fiat. Primo, i crimini nativi delle crypto (ransomware, attacchi informatici, truffe pagate in crypto) saltano completamente il collocamento: i proventi nascono on-chain, quindi il compito principale di chi ricicla è la stratificazione e trovare un canale affidabile per convertire in fiat. Secondo, il canale di conversione in fiat è il punto critico. Quasi tutti gli schemi finiscono per aver bisogno di un servizio di custodia, di solito un exchange, un desk OTC o un prestatore di servizi di pagamento, per convertire le crypto in fiat spendibile. Quel servizio è la tua azienda.
Le principali tipologie
Il FATF, i team di monitoraggio del Consiglio di Sicurezza delle Nazioni Unite e le unità di informazione finanziaria descrivono schemi ricorrenti. Un professionista della conformità dovrebbe saper riconoscere ciascuno di essi e indicare il controllo a cui è destinato.
| Tipologia | Come vengono usate le crypto | Dove le rileva un VASP |
|---|---|---|
| Frodi e truffe | Truffe sugli investimenti e sentimentali, false piattaforme di trading, furto d'identità; le vittime vengono guidate ad acquistare crypto e a inviarle altrove | Clienti che, poco dopo l'onboarding, inviano fondi a indirizzi nuovi e non correlati; clienti più anziani che acquistano crypto ai chioschi |
| Ransomware | Riscatto richiesto in bitcoin o altri asset, poi sottoposto a stratificazione e convertito in denaro | Depositi riconducibili a wallet di ransomware; vittime o loro negoziatori che acquistano crypto per pagare |
| Mercati darknet | Pagamento di droghe, dati rubati e servizi illeciti; i venditori convertono regolarmente in denaro | Depositi ricorrenti con esposizione diretta o indiretta ai wallet dei mercati |
| Furti e attacchi informatici | Exploit di exchange, bridge e DeFi; token rubati scambiati, trasferiti tra chain e mescolati nel giro di poche ore | Fondi in entrata a pochi passaggi da un attacco informatico; improvvisi tentativi di convertire in denaro importi elevati |
| Elusione delle sanzioni | Persone o Stati designati trasferiscono valore al di fuori del sistema bancario | Esposizione a indirizzi o servizi designati, indirizzi IP in aree soggette a sanzioni globali |
| Finanziamento del terrorismo | Campagne di donazione online, piccoli trasferimenti, uso di stablecoin e wallet non ospitati | Piccoli trasferimenti frequenti verso indirizzi resi pubblici dalle campagne; collegamenti a wallet di raccolta fondi noti |
| Riciclaggio di proventi fiat | Contanti provenienti dalla droga o proventi di reati fiscali convertiti in stablecoin, trasferiti oltre confine e poi venduti in cambio di valuta locale | Operazioni OTC finanziate in contanti, conti usati come tramite, profili dei clienti incoerenti |
Diverse tipologie si sovrappongono. Gli hacker legati agli Stati combinano furti, stratificazione ed elusione delle sanzioni. Le reti di truffatori si servono di prestanome che aprono conti presso gli exchange per convertire in denaro i fondi delle vittime. I segnali d'allarme dettagliati per ciascuno schema sono trattati nella lezione Segnali d'allarme e tipologie; qui l'obiettivo è conoscere gli schemi esistenti e sapere che ciascuno deve rientrare nella valutazione del rischio.
Casi pubblici a titolo di esempio
I casi pubblici mostrano che cosa non ha funzionato, ed è proprio questo che un team di conformità deve imparare.
- Ransomware: nel 2021 l'operatore di un'importante rete di oleodotti per il carburante ha pagato un riscatto di circa 75 BTC. In seguito gli investigatori ne hanno ricondotto la maggior parte a un singolo indirizzo e l'hanno recuperata, dimostrando che i proventi del ransomware restano visibili on-chain fino a quando non raggiungono un intermediario collaborativo.
- Furti legati agli Stati: nel marzo 2024 il Panel of Experts on the DPRK del Consiglio di Sicurezza delle Nazioni Unite ha riferito di stare indagando su 58 presunti attacchi informatici della DPRK contro società legate alle crypto tra il 2017 e il 2023, per un valore di circa 3 miliardi di USD. Il furto di circa 1,46 miliardi di USD dall'exchange Bybit nel febbraio 2025, attribuito ad attori nordcoreani, è stato il più grande furto singolo mai registrato fino a quel momento. Nel giro di pochi giorni, gli asset rubati sono stati scambiati e trasferiti tra chain.
- Stratificazione di fondi provenienti da attacchi informatici: le persone condannate per aver riciclato i proventi del furto di Bitfinex del 2016 hanno utilizzato migliaia di transazioni automatizzate, il passaggio tra chain, conti di mercati darknet come tramite, la conversione in privacy coin e conti aperti presso exchange con false identità. Quei conti erano il passaggio per convertire i fondi in denaro, motivo per cui la verifica dell'identità presso ogni exchange era importante.
- Finanziamento del terrorismo: nel 2020 le autorità hanno interrotto campagne online di gruppi terroristici che chiedevano ai sostenitori donazioni in bitcoin, pubblicando gli indirizzi sui social media e sui canali di messaggistica. Una volta noti, quegli indirizzi potevano essere sottoposti a screening.
Pseudonimia non significa anonimato
La maggior parte delle blockchain pubbliche è pseudonima: le transazioni sono collegate a indirizzi, non a nomi, ma ogni transazione è pubblica, permanente e contrassegnata da data e ora. Per la conformità ne conseguono tre fatti.
- Un singolo punto identificato permette di ricostruire una cronologia. Quando un cliente verifica la propria identità presso la tua azienda, ogni indirizzo da cui deposita o verso cui preleva viene collegato a una persona reale nei tuoi registri, e la cronologia on-chain di quegli indirizzi diventa una prova.
- L'analisi può raggruppare e attribuire etichette agli indirizzi. Le euristiche di clustering e l'attribuzione permettono agli analisti di stimare quali indirizzi appartengano alla stessa entità e quali siano riconducibili a servizi, soggetti sanzionati o wallet criminali. Queste stime hanno margini di errore (vedi la lezione IDFE-BA Che cos'è il clustering e perché è importante).
- L'offuscamento lascia tracce. L'uso di un mixer, di un bridge o di una privacy coin è visibile ai confini: sia il deposito nel mixer sia il prelievo verso la tua piattaforma compaiono on-chain, anche quando il legame tra i due è interrotto.
La vera anonimato è più difficile da ottenere di quanto sperino i criminali, ma non è impossibile. Le privacy coin nascondono per design gli importi e le controparti e alcune tecniche di mixing rendono la tracciabilità impraticabile. La lezione Rischi tecnologici specifici delle crypto tratta queste caratteristiche come fattori di rischio.
Interpretare i dati sui volumi dei crimini
Ai team di conformità viene spesso chiesto quanto sia grande il problema. Usa i dati con cautela.
- L'Ufficio delle Nazioni Unite contro la droga e il crimine cita da tempo stime secondo cui ogni anno viene riciclato dal 2% al 5% del PIL globale. Il dato è datato, molto approssimativo e riguarda tutti i canali, non solo le crypto.
- Le società di analisi blockchain pubblicano stime della quota illecita dei volumi on-chain. Queste stime conteggiano solo gli indirizzi già etichettati come illeciti, quindi di solito vengono riviste al rialzo man mano che si identificano altri indirizzi.
- Anche la composizione degli asset cambia. Per molte tipologie, le stablecoin hanno superato bitcoin come asset principale dei flussi illeciti, un aspetto che influisce sui token e sulle chain che un'azienda deve essere in grado di sottoporre a screening.
Considera ogni dato un esempio datato, dipendente dal metodo utilizzato. In un documento per il consiglio di amministrazione o in una valutazione del rischio, indica chi lo ha stimato, quando e come, e non basarti mai su un dato relativo all'intero mercato per stabilire il rating di rischio della tua azienda. Ciò che conta è l'esposizione mostrata dai tuoi clienti e dai tuoi flussi.
Dalla tipologia al controllo
L'abitudine pratica che questo corso intende sviluppare consiste nel tradurre ogni tipologia in una domanda a cui il tuo programma deve saper rispondere.
| Se la tipologia è | Il programma deve essere in grado di |
|---|---|
| Truffe con clienti vittime | Rilevare i primi prelievi di importo elevato verso nuovi indirizzi e intervenire prima che i fondi escano |
| Ransomware e attacchi informatici | Sottoporre a screening i fondi in entrata e trattenere i depositi con esposizione diretta a wallet criminali noti |
| Venditori darknet che convertono in denaro | Monitorare nel tempo l'esposizione indiretta, non solo le singole transazioni |
| Elusione delle sanzioni | Sottoporre a screening indirizzi, nomi e posizioni IP rispetto agli elenchi aggiornati |
| Finanziamento del terrorismo | Sottoporre a screening gli indirizzi delle campagne pubblicati e individuare trasferimenti di importo ridotto con schemi ricorrenti |
| Riciclaggio di fiat tramite crypto | Verificare l'origine dei fondi per le attività finanziate in contanti e quelle OTC |
Ogni riga ricompare più avanti nel corso come controllo concreto corredato da evidenze: lo screening nella lezione Screening di wallet e transazioni, il monitoraggio nella lezione Monitoraggio delle transazioni per le imprese crypto e la segnalazione nella lezione Obblighi di segnalazione delle transazioni sospette.
Focus sull'esame: collocamento, stratificazione e integrazione e i loro equivalenti nel mondo crypto; perché i proventi nativi delle crypto saltano il collocamento e perché il canale di conversione in fiat è il punto critico; le sette principali tipologie e dove le rileva un VASP; che cosa mostrano sui fallimenti dei controlli i casi pubblici (recupero dei proventi del ransomware, furti della DPRK, riciclaggio dei fondi di Bitfinex, campagne di donazione terroristica); perché pseudonimia non significa anonimato e come un cliente verificato collega un indirizzo alla sua cronologia; perché i dati pubblicati sui volumi dei crimini sono esempi datati e dipendenti dal metodo, non una base per il rating di rischio della propria azienda.