Rischi sanzionatori specifici delle criptovalute

Le criptovalute modificano il modo in cui si genera l'esposizione alle sanzioni. Un soggetto designato può aprire un wallet in pochi secondi, trasferire valore oltre confine senza una banca e nascondersi dietro servizi che raggruppano i fondi di molti utenti. Allo stesso tempo, ogni trasferimento lascia una registrazione pubblica permanente che un team di conformità adeguatamente attrezzato può tracciare. Questa lezione delinea i rischi sanzionatori specifici delle criptovalute, affinché i controlli di screening delle prossime lezioni siano rivolti agli obiettivi corretti.

Indirizzi designati e relativi limiti

Dal 2018 alcuni regimi sanzionatori autonomi includono indirizzi di asset virtuali nelle voci di designazione, elencandoli come identificativi di una persona o di un'entità designata, analogamente a un numero di passaporto. Un trasferimento verso o da un simile indirizzo costituisce un'operazione diretta con il soggetto designato.

Gli elenchi di indirizzi sono utili, ma hanno una portata limitata:

• Copertura. L'elenco consolidato delle Nazioni Unite non prevede un campo dedicato agli indirizzi di asset virtuali; pertanto, le designazioni delle Nazioni Unite riguardano solitamente le criptovalute attraverso nomi ed entità, non attraverso indirizzi. Gli elenchi autonomi pubblicano indirizzi soltanto per alcune designazioni.
• Abbondanza. Un soggetto designato può generare nuovi indirizzi senza alcun costo. Un indirizzo elencato indica dove il soggetto si trovava, non tutti i luoghi in cui si trova.
• Formato. Gli elenchi possono pubblicare indirizzi con un'etichetta della blockchain o del token mancante, ambigua o errata, e la stessa stringa può essere valida su più blockchain compatibili con EVM.
• Punti di partenza, non confini. È opportuno trattare gli indirizzi elencati come punti di partenza. L'analisi della blockchain li amplia in cluster di indirizzi probabilmente controllati dallo stesso soggetto (si vedano le lezioni IDFE-CF sul clustering), e lo screening copre quindi il cluster.

La regola pratica è che un'impresa che effettua lo screening soltanto sugli indirizzi pubblicati non rileverà la maggior parte dell'esposizione alle sanzioni. Gli indirizzi sono uno degli elementi da considerare; gli altri sono nomi, entità, geografia e comportamento.

Servizi soggetti a sanzioni

I regimi sanzionatori autonomi hanno designato non soltanto persone fisiche, ma anche servizi di criptovalute: exchange accusati di trattare proventi di ransomware e del darknet, mixer utilizzati per riciclare fondi sottratti mediante furti riconducibili a Stati e, in un caso, un insieme di smart contract: nel 2022 gli Stati Uniti hanno designato il mixer Tornado Cash elencando gli indirizzi dei suoi contratti (si veda la lezione Screening di wallet e transazioni). Quando un servizio viene designato, ogni indirizzo di deposito e hot wallet a esso attribuito diventa una fonte di esposizione alle sanzioni per le controparti.

Ricorrono due schemi. In primo luogo, un exchange designato spesso continua a operare, talvolta con un nuovo nome o attraverso un'entità successore che ne rileva clienti e liquidità. In secondo luogo, i clienti di un servizio designato possono trasferirsi su altre piattaforme, portando con sé fondi con esposizione diretta o indiretta. Entrambi implicano che agli aggiornamenti degli elenchi debbano seguire aggiornamenti dell'analisi e che l'adeguata verifica del VASP controparte (si veda la lezione Identificazione e verifica della controparte) debba esaminare i legami con soggetti sanzionati, non soltanto la preparazione rispetto alla Travel Rule.

Furti riconducibili a Stati: il caso della DPRK

Il principale rischio sanzionatorio a livello statale nel settore delle criptovalute è costituito dai furti commessi da attori legati alla Repubblica Popolare Democratica di Corea, comunemente indicati con il nome Lazarus Group. La DPRK è soggetta alle sanzioni del Consiglio di sicurezza delle Nazioni Unite ai sensi della risoluzione 1718 (2006) e delle risoluzioni successive, volte a interrompere il finanziamento dei suoi programmi di armamento.

Il Gruppo di esperti che supportava il Comitato 1718 ha documentato questa attività per anni. Il suo rapporto pubblicato nel marzo 2024 dichiarava che erano in corso indagini su 58 presunti attacchi informatici contro società legate alle criptovalute tra il 2017 e il 2023, per un valore di circa 3 miliardi di USD, e riferiva che i furti informatici generavano fino alla metà delle entrate in valuta estera della DPRK. Il mandato del Gruppo è terminato il 30 aprile 2024 dopo che, nel marzo 2024, era stato posto il veto a un progetto di risoluzione per il rinnovo. Un gruppo di 11 Stati ha quindi istituito una squadra di monitoraggio al di fuori del quadro delle Nazioni Unite, che continua a riferire sui furti informatici della DPRK. Il furto di circa 1,46 miliardi di USD ai danni dell'exchange Bybit nel febbraio 2025 è stato attribuito ad attori della DPRK.

Lo schema di riciclaggio descritto nei rapporti pubblici è costante: rapidi scambi dei token rubati su exchange decentralizzati, uso di mixer e bridge tra blockchain, conversione in bitcoin o stablecoin e monetizzazione attraverso broker OTC e conti presso exchange in giurisdizioni permissive. Il Gruppo e i successivi rapporti pubblici hanno descritto anche lavoratori informatici della DPRK all'estero che utilizzavano identità false o di altre persone per ottenere impieghi da remoto e contratti di lavoro autonomo, spesso retribuiti in stablecoin. Per un VASP questo crea una seconda esposizione: l'acquisizione di un cliente che, in realtà, agisce per conto di uno Stato designato.

Ransomware e criminali informatici designati

Alcuni regimi sanzionatori autonomi designano gli operatori di ransomware, le persone che vi sono dietro e i servizi che ne riciclano i proventi. Questo è rilevante per i VASP sotto due aspetti. Una vittima che acquista criptovalute attraverso un exchange per pagare un riscatto può inviarle a un indirizzo controllato da un soggetto designato, rendendo potenzialmente il pagamento, e qualsiasi impresa che lo agevoli, una violazione delle sanzioni. Inoltre, i proventi dei riscatti arrivano successivamente agli exchange come depositi con esposizione diretta o indiretta. Le imprese che servono società di risposta agli incidenti o vittime devono disporre di una procedura per i trasferimenti legati ai riscatti: screening della destinazione, segnalazione al responsabile delle sanzioni e coinvolgimento dell'autorità competente prima di qualsiasi invio.

Tipologie di elusione

Queste tipologie si combinano. Un singolo caso può coinvolgere un mixer, un bridge, un broker OTC e un conto annidato; ogni passaggio riduce la probabilità che un semplice controllo sugli elenchi lo rilevi. Le lezioni Indicatori di rischio e tipologie e Analisi della blockchain per la conformità trattano l'aspetto del monitoraggio.

Geografia: controlli sugli IP e sulla posizione

Alcune sanzioni sono territoriali: vietano operazioni con persone situate o abitualmente residenti in un Paese o in una regione. Per un'impresa online priva di filiali, l'unico modo per applicarle è dedurre dove si trovi il cliente. Tra i segnali utili figurano:

• il Paese del documento d'identità e l'indirizzo di residenza dichiarato;
• l'indirizzo IP al momento dell'acquisizione del cliente, dell'accesso e del prelievo, con segnalazioni relative a VPN, nodi di uscita Tor e fornitori di hosting;
• il prefisso internazionale del numero di telefono e il Paese dei conti bancari o delle carte collegati;
• le impostazioni del dispositivo, come fuso orario e lingua, utilizzate come elementi di riscontro anziché come prove.

Un controllo efficace combina questi elementi. Bloccare gli indirizzi IP dei territori sanzionati all'ingresso è il minimo indispensabile; verificare i dati IP dei conti esistenti e intervenire sulle incongruenze è ciò che distingue un programma efficace da uno puramente formale. Un cliente che ha superato la procedura di acquisizione con un documento di un Paese consentito, ma accede mese dopo mese da un territorio sanzionato, costituisce un allarme sanzionatorio, non una curiosità.

I segnali talvolta saranno in contrasto, e la procedura dovrebbe specificare cosa accade in questi casi. Un singolo accesso da un territorio sanzionato da parte di un cliente di lunga data con uno storico coerente può giustificare una richiesta di spiegazioni, come una prova di viaggio. Accessi ripetuti, uno schema di utilizzo di VPN che inizia subito dopo l'acquisizione del cliente o il passaggio a un numero di telefono con il prefisso di quel Paese giustificano la limitazione del conto finché non viene chiarita la posizione del cliente e la cessazione del rapporto qualora non sia possibile chiarirla. Ogni decisione, comprese le prove fornite dal cliente, deve essere inserita nel fascicolo del caso. La lezione Gestione di un programma di conformità alle sanzioni mostra come i provvedimenti pubblici di applicazione delle norme abbiano sanzionato imprese che avevano raccolto questi dati e li avevano ignorati.

Focus sull'esame: perché gli indirizzi elencati sono punti di partenza, non confini, e perché lo screening dei soli indirizzi non rileva la maggior parte dell'esposizione; il fatto che l'elenco consolidato delle Nazioni Unite non preveda un campo dedicato agli indirizzi di asset virtuali e che le designazioni delle Nazioni Unite riguardino le criptovalute attraverso nomi ed entità; i servizi designati e le entità successore; lo schema di furto e riciclaggio della DPRK e il ruolo del Gruppo di esperti (le cifre forniscono un contesto riferito a date specifiche); i lavoratori informatici della DPRK come rischio nella fase di acquisizione dei clienti; i pagamenti di riscatti come rischio sanzionatorio; le principali tipologie di elusione e i relativi segnali; la combinazione dei segnali relativi a IP, documenti, telefoni e dispositivi per le sanzioni territoriali e l'intervento sui dati IP dei clienti esistenti.