Rischi tecnologici specifici delle criptovalute

Le criptovalute aggiungono una categoria di rischio a cui i programmi AML tradizionali hanno dovuto prestare poca attenzione: la tecnologia stessa. Che un'impresa supporti una privacy coin, accetti depositi provenienti da un bridge o consenta ai clienti di prelevare verso qualsiasi indirizzo cambia la sua esposizione tanto quanto l'identità dei clienti. Il responsabile della compliance deve comprendere ogni funzionalità abbastanza bene da valutarla, controllarla e spiegare al consiglio di amministrazione perché l'impresa la accetta, la limita o la rifiuta.

La tecnologia come categoria di rischio

La Raccomandazione 15 impone alle imprese di valutare i rischi dei nuovi prodotti, delle pratiche commerciali, dei meccanismi di distribuzione e delle tecnologie prima del lancio; inoltre, le Linee guida aggiornate del GAFI del 2021 sugli asset virtuali trattano le funzionalità che aumentano l'anonimato o nascondono i flussi. Nella valutazione del rischio a livello aziendale (vedi la lezione L'approccio basato sul rischio), la categoria delle tecnologie pone tre domande per ogni funzionalità:

1. Interrompe la tracciabilità? Il valore può spostarsi senza un collegamento visibile tra la provenienza e la destinazione?
2. Elimina l'intermediario? Il valore può spostarsi senza che alcun soggetto obbligato applichi la CDD?
3. Possiamo vederlo? I nostri strumenti di screening e di analisi coprono la blockchain, il token o il protocollo?

Una risposta «sì, sì, no» descrive una funzionalità ad alto rischio.

Privacy coin, mixer e CoinJoin

Le privacy coin, che il GAFI definisce criptovalute con funzionalità avanzate di anonimato, nascondono per progettazione i mittenti, i destinatari o gli importi, ad esempio tramite firme ad anello, indirizzi stealth o prove a conoscenza zero. Alcune offrono privacy facoltativa: in tal caso, le transazioni trasparenti restano tracciabili. Per un VASP il problema è concreto: una volta che i fondi entrano in un pool schermato, gli strumenti di analisi non possono mostrare da dove provengono i depositi.

I mixer raggruppano i fondi di molti utenti e li versano su nuovi indirizzi. I mixer centralizzati prendono in custodia i fondi; i mixer basati su smart contract, come Tornado Cash, operano senza un gestore che detenga i fondi. CoinJoin combina gli input di diversi utenti in un'unica transazione con output di pari valore. Il mixing ha usi legittimi legati alla privacy, ma i mixer sono stati anche centrali nel riciclaggio dei proventi degli attacchi ransomware e dei furti collegati alla Corea del Nord; inoltre, gli indicatori di allarme del GAFI (settembre 2020) elencano i fondi provenienti direttamente da servizi di mixing. Il modo in cui il mixing appare sulla blockchain è trattato nella lezione IDFE-BA Mixer, CoinJoin e offuscamento nei grafi; le sanzioni applicate agli smart contract sono trattate nella lezione Screening di wallet e transazioni.

Bridge, passaggio da una blockchain all'altra, DeFi e DEX

I bridge trasferiscono valore tra blockchain bloccandolo o bruciandolo su una blockchain e rilasciandolo o coniandolo su un'altra. Il passaggio da una blockchain all'altra consiste nell'usare bridge e swap per spostare rapidamente il valore attraverso più blockchain, così che ciascuna vista analitica mostri solo un frammento. Dopo il furto di circa 620 milioni di USD dal bridge Ronin nel 2022 e il furto ai danni di Bybit nel 2025, entrambi attribuiti ad attori legati alla Corea del Nord, gli asset rubati sono passati attraverso diverse blockchain nel giro di pochi giorni. Anche i bridge sono bersagli di attacchi informatici.

I protocolli DeFi e gli exchange decentralizzati (DEX) consentono agli utenti di scambiare, prestare e prendere in prestito senza un depositario. Per un VASP il rischio è indiretto: i fondi provenienti da un router DEX o da un pool di prestito non contengono informazioni su chi li ha forniti e il protocollo non applica la CDD. I controlli consistono nell'analisi dell'esposizione on-chain, nella copertura delle blockchain coinvolte e nei metodi di tracciamento cross-chain descritti nella lezione IDFE-BA Tracciamento cross-chain.

Wallet non custoditi, P2P e OTC

I wallet non custoditi sono controllati dall'utente, senza intermediari. La maggior parte dei trasferimenti da e verso questi wallet è legittima, ma i trasferimenti P2P tra wallet non custoditi avvengono interamente al di fuori del perimetro dei soggetti obbligati, una lacuna che gli aggiornamenti mirati del GAFI hanno evidenziato ripetutamente. I controlli dei VASP si concentrano sul punto di contatto: raccolta delle informazioni sulla controparte, verifica della titolarità dell'indirizzo quando il rischio lo richiede e monitoraggio dell'esposizione (vedi la lezione Wallet non custoditi e trasferimenti autogestiti).

Le piattaforme P2P e i broker OTC generano un rischio correlato: un cliente che esegue operazioni per conto terzi su larga scala potrebbe gestire un exchange non registrato tramite il tuo account, una situazione nota come servizio annidato. Gli sportelli OTC che regolano operazioni di grande valore in contanti o tramite terzi sono una via classica per convertire in criptovalute e poi riconvertire valuta fiat di provenienza illecita.

Chioschi, NFT e stablecoin su larga scala

Gli ATM e i chioschi di criptovalute combinano il contante con la consegna immediata di criptovalute. I rischi ricorrenti sono le vittime di truffe indotte a depositare contanti, i prestanome che effettuano numerose piccole transazioni e i controlli d'identità deboli per gli importi modesti. Gli operatori mitigano questi rischi con limiti alle transazioni, verifica dell'identità, avvisi visualizzati sullo schermo, monitoraggio degli utilizzi ripetuti in diversi chioschi e screening degli indirizzi di destinazione.

Gli NFT generalmente non rientrano nella definizione di VA quando sono usati come oggetti da collezione (vedi la lezione Il VASP come soggetto obbligato), ma i marketplace registrano operazioni di wash trading, manipolazione dei prezzi e vendite di valore elevato tra wallet collegati, che possono mascherare trasferimenti di valore.

Le stablecoin sono ormai il principale asset di regolamento per molti flussi legittimi e illeciti. Il rapporto mirato del GAFI sulle stablecoin e sui wallet non custoditi (marzo 2026) si basava su dati di settore che mostravano come siano diventate la classe di asset più utilizzata nei flussi illeciti di asset virtuali, un cambiamento spiegato dalla stabilità dei prezzi, dalla liquidità e dalla diffusione tra blockchain. Per la valutazione del rischio ciò significa che l'esposizione alle stablecoin, per token e per blockchain, è di per sé un fattore importante. Le stablecoin offrono anche una misura di mitigazione che manca alla maggior parte degli asset: molti emittenti possono congelare gli indirizzi e lo stesso rapporto indicava come buona pratica l'obbligo per gli emittenti di poter congelare, bruciare o ritirare i token sul mercato secondario. Un team di compliance dovrebbe sapere quali stablecoin supporta, su quali blockchain e se i relativi emittenti applicano concretamente il congelamento.

Come ciascuna funzionalità entra nella valutazione del rischio

Le valutazioni dovrebbero basarsi sui dati dell'impresa, non su una tabella generica. La query seguente misura la quota del volume mensile in entrata proveniente direttamente da ciascuna categoria di analisi, offrendo alla EWRA una base fattuale e consentendo al consiglio di amministrazione di osservare le tendenze.

-- Volume mensile in entrata per categoria di esposizione diretta (schema fittizio)
SELECT DATE_TRUNC('month', d.block_time)          AS month,
       COALESCE(e.category, 'unlabeled')          AS category,  -- mixer, bridge, dex...
       COUNT(*)                                   AS deposits,
       SUM(d.amount_usd)                          AS volume_usd,
       SUM(d.amount_usd) * 1.0 / SUM(SUM(d.amount_usd))
         OVER (PARTITION BY DATE_TRUNC('month', d.block_time)) AS share_of_month
FROM deposits d
LEFT JOIN address_exposure e
  ON  e.address = d.source_address
  AND e.exposure_type = 'direct'
  AND e.snapshot_date = d.screened_on          -- etichetta come nota al momento dello screening
GROUP BY DATE_TRUNC('month', d.block_time), COALESCE(e.category, 'unlabeled')
ORDER BY month, volume_usd DESC;

La query associa ogni deposito all'etichetta analitica applicabile all'indirizzo di provenienza nel giorno in cui è stato sottoposto a screening, così che i dati riflettano ciò che l'impresa sapeva in quel momento. Un left join mantiene nel totale i depositi senza etichetta, evitando che le quote risultino gonfiate; la funzione finestra divide il volume di ciascuna categoria per il totale mensile. Le funzioni per le date differiscono tra i motori (alcuni usano DATETRUNC o DATE_FORMAT). L'esposizione indiretta e i limiti delle etichette sono trattati nella lezione Analisi blockchain per la compliance.

Mitigazione invece di una riduzione generalizzata del rischio

Di fronte a una funzionalità rischiosa, un'impresa ha a disposizione diverse opzioni: accettarla applicando il monitoraggio, imporre limiti o una due diligence rafforzata, limitarne l'uso (ad esempio, consentire depositi ma non prelievi verso determinati protocolli) oppure rifiutarla del tutto. L'approccio basato sul rischio prevede che la scelta derivi dalla valutazione e sia effettuata caso per caso.

Il GAFI ha ripetutamente messo in guardia contro la riduzione generalizzata del rischio, ossia l'interruzione dei rapporti con intere categorie di clienti o attività per evitare il rischio anziché gestirlo. Nella sua dichiarazione dell'ottobre 2014 ha affermato che l'approccio basato sul rischio implica decisioni caso per caso, non una riduzione generalizzata del rischio; inoltre, il bilancio dell'ottobre 2021 sulle conseguenze indesiderate degli standard ha rilevato che tale riduzione spinge le attività verso canali meno trasparenti e danneggia l'inclusione finanziaria. Gli emendamenti del febbraio 2025 alla Nota interpretativa della R.1 chiedono ai supervisori di vigilare sull'eccesso di conformità basato su una comprensione parziale dei rischi.

Rifiutare una funzionalità è comunque legittimo quando l'impresa non è davvero in grado di controllarla, ad esempio nel caso di una privacy coin le cui transazioni non possono essere sottoposte a screening con gli strumenti disponibili. Il criterio è che la decisione sia documentata, basata sulla valutazione dell'impresa e riesaminata quando cambiano gli strumenti o i fatti. «Abbiamo bloccato tutti i trasferimenti verso wallet non custoditi perché era più facile» non supera il criterio; «non quotiamo l'asset Z perché non esiste una copertura di screening, decisione riesaminata ogni trimestre» lo supera.

Focus sull'esame: l'obbligo previsto dalla R.15 di valutare le nuove tecnologie prima del lancio; le tre domande (tracciabilità interrotta, intermediario eliminato, visibilità) per valutare una funzionalità; i rischi di privacy coin, mixer e CoinJoin, bridge e passaggio da una blockchain all'altra, DeFi e DEX, wallet non custoditi e P2P, OTC e servizi annidati, chioschi, NFT e stablecoin; perché le stablecoin sono sia un importante canale illecito sia una fonte di mitigazione grazie ai congelamenti degli emittenti; la misurazione dell'esposizione con etichette riferite al momento specifico; le opzioni di mitigazione e i motivi per cui il GAFI respinge la riduzione generalizzata del rischio, pur ammettendo rifiuti documentati.