Obblighi AML/CFT per i VASP · Lezione 1 di 5
Riciclaggio di denaro e finanziamento del terrorismo mediante cripto-attività
10 min di lettura
Ogni controllo di un programma di conformità per le cripto-attività esiste per impedire, individuare o segnalare una specifica modalità di abuso delle cripto-attività. Se non si è in grado di descrivere come i criminali trasferiscano concretamente valore attraverso exchange, wallet e protocolli, non si può valutare se una regola, una soglia di screening o un punteggio di rischio del cliente sia adeguato allo scopo. Questa lezione applica il modello classico del riciclaggio di denaro alle cripto-attività, passa in rassegna le principali tipologie e spiega perché il registro pubblico sia tanto uno strumento per i team di conformità quanto un rischio.
Le tre fasi applicate alle cripto-attività
Il modello teorico del riciclaggio di denaro prevede tre fasi. È una semplificazione (gli schemi reali saltano, ripetono o combinano le fasi), ma rimane il vocabolario condiviso da investigatori, autorità di vigilanza e unità di informazione finanziaria.
| Fase | Scopo | Mondo delle valute fiat | Mondo delle cripto-attività |
|---|---|---|---|
| Collocamento | Immettere nel sistema valore di provenienza illecita | Versamenti di contante, attività ad alta intensità di contante | Acquisto di cripto-attività in contanti presso un chiosco o tramite un intermediario OTC; ricezione di riscatti, pagamenti legati a truffe o token rubati direttamente on-chain |
| Stratificazione | Interrompere la tracciabilità tra la fonte e i fondi | Catene di bonifici, società di comodo | Numerosi passaggi attraverso nuovi indirizzi, peel chain, mixer e CoinJoin, swap su DEX, bridge verso altre blockchain, privacy coin, conti annidati presso altri servizi |
| Integrazione | Reimmettere valore dall'apparenza legittima | Immobili, beni di lusso, prestiti | Conversione in valuta fiat presso un exchange con controlli deboli, desk OTC che erogano valuta fiat, acquisto di beni, NFT o immobili, «profitti di trading» depositati presso una banca |
Due caratteristiche modificano il quadro rispetto alle valute fiat. In primo luogo, la criminalità nativa delle cripto-attività (ransomware, attacchi informatici, truffe con pagamenti in cripto-attività) salta completamente il collocamento: i proventi nascono on-chain, quindi il compito principale del riciclatore è la stratificazione e la ricerca di un canale affidabile di conversione in valuta fiat. In secondo luogo, tale canale è il punto di strozzatura. Quasi ogni schema richiede infine un servizio di custodia, solitamente un exchange, un desk OTC o un prestatore di servizi di pagamento, per trasformare le cripto-attività in valuta fiat spendibile. Quel servizio è la vostra impresa.
Le principali tipologie
Il GAFI, i gruppi di monitoraggio del Consiglio di sicurezza delle Nazioni Unite e le unità di informazione finanziaria descrivono schemi ricorrenti. Un professionista della conformità dovrebbe essere in grado di riconoscere ciascuno di essi e indicare il controllo che lo contrasta.
| Tipologia | Come vengono utilizzate le cripto-attività | Dove la rileva un VASP |
|---|---|---|
| Frodi e truffe | Truffe sugli investimenti e sentimentali, false piattaforme di trading, impersonificazione; le vittime vengono istruite ad acquistare cripto-attività e a trasferirle all'esterno | Clienti che inviano fondi a indirizzi nuovi e non correlati poco dopo l'instaurazione del rapporto; clienti anziani che effettuano acquisti presso chioschi |
| Ransomware | Riscatto richiesto in bitcoin o altre attività, seguito da stratificazione e conversione in valuta fiat | Depositi riconducibili a wallet legati a ransomware; vittime o loro negoziatori che acquistano cripto-attività per pagare |
| Mercati darknet | Pagamento di stupefacenti, dati rubati e servizi illeciti; i venditori convertono regolarmente i proventi in valuta fiat | Depositi ricorrenti con esposizione diretta o indiretta ai wallet dei mercati |
| Furti e attacchi informatici | Sfruttamento di vulnerabilità di exchange, bridge e DeFi; token rubati sottoposti a swap, trasferiti tramite bridge e mescolati entro poche ore | Fondi in entrata a pochi passaggi da un attacco informatico; tentativi improvvisi di convertire grandi importi in valuta fiat |
| Elusione delle sanzioni | Soggetti o Stati designati che trasferiscono valore al di fuori del sistema bancario | Esposizione a indirizzi o servizi designati, indirizzi IP in aree soggette a sanzioni globali |
| Finanziamento del terrorismo | Campagne di donazione online, piccoli trasferimenti, uso di stablecoin e wallet non custodiali | Piccoli trasferimenti frequenti verso indirizzi pubblicizzati dalle campagne; collegamenti con wallet noti per la raccolta di fondi |
| Riciclaggio di proventi in valuta fiat | Contante proveniente dal traffico di stupefacenti o proventi di reati fiscali convertiti in stablecoin, trasferiti oltre frontiera e poi venduti in cambio di valuta locale | Operazioni OTC finanziate in contanti, conti utilizzati per il transito dei fondi, profili dei clienti non coerenti |
Molte di queste tipologie si sovrappongono. Gli hacker legati a Stati combinano furto, stratificazione ed elusione delle sanzioni. Le reti di truffatori utilizzano prestanome finanziari che aprono conti presso exchange per convertire in valuta fiat i fondi delle vittime. Gli indicatori di anomalia dettagliati per ciascuno schema sono trattati nella lezione Indicatori di anomalia e tipologie; qui l'obiettivo è conoscere gli schemi esistenti e sapere che ciascuno rientra nella valutazione del rischio.
Casi pubblici a titolo illustrativo
I casi pubblici mostrano che cosa non ha funzionato, ossia ciò che un team di conformità deve apprendere.
- Ransomware: nel 2021 il gestore di un importante oleodotto ha pagato un riscatto di circa 75 BTC. Gli investigatori ne hanno successivamente tracciato la maggior parte fino a un unico indirizzo e l'hanno recuperata, dimostrando che i proventi del ransomware rimangono visibili on-chain fino a quando raggiungono un intermediario collaborativo.
- Furti legati a Stati: nel marzo 2024 il gruppo di esperti del Consiglio di sicurezza delle Nazioni Unite sulla DPRK ha riferito che stava indagando su 58 presunti attacchi informatici della DPRK contro imprese legate alle cripto-attività tra il 2017 e il 2023, per un valore di circa 3 miliardi di USD. Il furto di circa 1,46 miliardi di USD ai danni dell'exchange Bybit nel febbraio 2025, attribuito ad attori nordcoreani, era all'epoca il più grande furto singolo mai registrato. Le attività rubate sono state sottoposte a swap e trasferite tramite bridge tra diverse blockchain nel giro di pochi giorni.
- Stratificazione di fondi sottratti mediante attacchi informatici: le persone condannate per il riciclaggio dei proventi del furto ai danni di Bitfinex del 2016 hanno utilizzato migliaia di transazioni automatizzate, passaggi tra blockchain, conti presso mercati darknet come canali di transito, conversioni in privacy coin e conti aperti con identità false presso exchange. Quei conti costituivano la porta d'accesso alla conversione in valuta fiat, motivo per cui la verifica dell'identità presso ciascun exchange era importante.
- Finanziamento del terrorismo: nel 2020 le autorità hanno interrotto campagne online di gruppi terroristici che chiedevano ai sostenitori donazioni in bitcoin, pubblicando indirizzi sui social media e sui canali di messaggistica. Una volta noti, tali indirizzi potevano essere sottoposti a screening.
La pseudonimia non è anonimato
La maggior parte delle blockchain pubbliche è pseudonima: le transazioni sono collegate a indirizzi, non a nomi, ma ogni transazione è pubblica, permanente e dotata di marca temporale. Ne derivano tre fatti rilevanti per la conformità.
- Un solo punto identificato rende accessibile un'intera cronologia. Quando un cliente verifica la propria identità presso la vostra impresa, ogni indirizzo da cui effettua depositi o verso cui effettua prelievi viene collegato a una persona reale nei vostri registri, e la cronologia on-chain di tali indirizzi diventa un elemento di prova.
- Gli strumenti di analisi possono raggruppare ed etichettare gli indirizzi. Le euristiche di raggruppamento e l'attribuzione consentono agli analisti di stimare quali indirizzi appartengano alla stessa entità e quali appartengano a servizi, soggetti sanzionati o wallet criminali. Queste stime presentano tassi di errore (si veda la lezione IDFE-CF Raggruppamento ed euristica della proprietà comune degli input).
- L'offuscamento lascia tracce. L'uso di un mixer, di un bridge o di una privacy coin è di per sé visibile nei punti di ingresso e di uscita: il deposito nel mixer e il prelievo verso la vostra piattaforma compaiono entrambi on-chain, anche quando il collegamento tra i due viene interrotto.
Il vero anonimato è più difficile da ottenere di quanto sperino i criminali, ma non è impossibile. Le privacy coin nascondono importi e controparti per progettazione, e alcune tecniche di mixing impediscono nella pratica il tracciamento. La lezione Rischi tecnologici specifici delle cripto-attività tratta queste caratteristiche come fattori di rischio.
Interpretare i dati sui volumi delle attività criminali
Ai team di conformità viene spesso chiesto quanto sia esteso il problema. I dati vanno utilizzati con cautela.
- L'Ufficio delle Nazioni Unite contro la droga e il crimine cita da tempo stime secondo cui ogni anno viene riciclato dal 2% al 5% del PIL mondiale. Il dato è datato, molto approssimativo e riguarda tutti i canali, non le sole cripto-attività.
- Le società di analisi blockchain pubblicano stime della quota illecita dei volumi on-chain. Queste stime conteggiano soltanto gli indirizzi già etichettati come illeciti, quindi vengono solitamente riviste al rialzo man mano che vengono identificati altri indirizzi.
- Anche la composizione delle attività cambia. Le stablecoin hanno superato bitcoin come principale attività nei flussi illeciti per molte tipologie, un aspetto rilevante per i token e le blockchain che un'impresa deve essere in grado di sottoporre a screening.
Ogni dato va considerato come un'illustrazione riferita a una data specifica e dipendente dal metodo utilizzato. In un documento per il consiglio di amministrazione o in una valutazione del rischio, occorre indicare chi ha prodotto la stima, quando e come, e non basarsi mai su un dato relativo all'intero mercato per determinare il livello di rischio della propria impresa. Ciò che conta è l'esposizione evidenziata dai propri clienti e flussi.
Dalla tipologia al controllo
L'abitudine pratica sviluppata da questo corso consiste nel tradurre ogni tipologia in una domanda a cui il programma deve saper rispondere.
| Se la tipologia è | Il programma deve essere in grado di |
|---|---|
| Truffe in cui i clienti sono vittime | Individuare i primi prelievi di importo elevato verso nuovi indirizzi e intervenire prima che i fondi escano |
| Ransomware e attacchi informatici | Sottoporre a screening i fondi in entrata e bloccare i depositi con esposizione diretta a wallet criminali noti |
| Venditori darknet che convertono i proventi in valuta fiat | Monitorare l'esposizione indiretta nel tempo, non soltanto le singole transazioni |
| Elusione delle sanzioni | Sottoporre a screening indirizzi, nomi e localizzazioni IP rispetto agli elenchi aggiornati |
| Finanziamento del terrorismo | Effettuare lo screening rispetto agli indirizzi pubblicati dalle campagne e individuare piccoli trasferimenti che seguono schemi ricorrenti |
| Riciclaggio di valuta fiat tramite cripto-attività | Verificare l'origine dei fondi per le attività finanziate in contanti e le attività OTC |
Ogni riga riapparirà più avanti nel corso sotto forma di un controllo concreto corredato di evidenze: lo screening nella lezione Screening dei wallet e delle transazioni, il monitoraggio nella lezione Monitoraggio delle transazioni per le imprese di cripto-attività e la segnalazione nella lezione Obblighi di segnalazione delle operazioni sospette.
Focus sull'esame: collocamento, stratificazione e integrazione e i loro equivalenti nelle cripto-attività; perché i proventi nativi delle cripto-attività saltano il collocamento e perché il canale di conversione in valuta fiat è il punto di strozzatura; le sette tipologie principali e dove un VASP rileva ciascuna di esse; che cosa mostrano i casi pubblici (recupero di riscatti ransomware, furti della DPRK, riciclaggio dei proventi di Bitfinex, campagne di donazione terroristiche) sulle carenze dei controlli; perché la pseudonimia non è anonimato e come un singolo cliente verificato consenta di collegare la cronologia di un indirizzo; perché i dati pubblicati sui volumi delle attività criminali sono illustrazioni riferite a una data specifica e dipendenti dal metodo, non una base per determinare il livello di rischio della singola impresa.