Esposizione alle sanzioni e screening · Lezione 4 di 5
Screening dei wallet e delle transazioni
9 min di lettura
Lo screening dei nomi dice a un'impresa chi sono i suoi clienti; lo screening dei wallet le dice da dove proviene il loro denaro e dove va. Su una blockchain pubblica, un singolo deposito può contenere fondi usciti da un indirizzo designato pochi minuti prima, e un singolo prelievo può trasferire valore direttamente a uno di essi. Questa lezione illustra come sottoporre a screening indirizzi e trasferimenti per individuare l'esposizione alle sanzioni, come stabilire limiti di hop e soglie e cosa fare quando arrivano effettivamente fondi designati.
Due fonti di rischio degli indirizzi
Lo screening dei wallet si basa su due diversi tipi di dati.
Gli indirizzi presenti negli elenchi sono indirizzi di asset virtuali pubblicati da un'autorità come identificativi di una parte designata. La corrispondenza è binaria e autorevole: l'indirizzo appartiene a qualcuno con cui l'impresa non può operare.
L'esposizione attribuita tramite analisi deriva dalle analisi della blockchain: cluster di indirizzi attribuiti a una persona o a un servizio designato e tracciamento delle transazioni che misura quanta parte del valore di un trasferimento può essere ricondotta a essi. Copre un ambito molto più ampio degli elenchi, ma è probabilistica. L'attribuzione può essere errata o non aggiornata e strumenti diversi possono non concordare. Le lezioni IDFE-BA Attribuzione ed etichettatura e Valutazione della qualità dei cluster spiegano perché; la lezione Analisi della blockchain per la conformità tratta la convalida dei risultati delle analisi.
Un programma solido utilizza entrambe le fonti: gli indirizzi presenti negli elenchi per la certezza, le analisi per l'ampiezza e una registrazione della fonte che ha determinato ogni decisione.
Esposizione diretta e indiretta
Per esposizione diretta si intende che l'indirizzo della controparte di un trasferimento è esso stesso un indirizzo designato o appartiene a un cluster designato. Per esposizione indiretta si intende che i fondi sono transitati attraverso uno o più indirizzi intermedi tra la fonte designata e il trasferimento. Gli strumenti di analisi esprimono solitamente l'esposizione indiretta come quota del valore del trasferimento e numero di hop, qui conteggiati come indirizzi o entità intermedi tra la fonte designata e il trasferimento. Gli strumenti conteggiano gli hop in modi diversi, perciò la configurazione dell'impresa dovrebbe specificare la convenzione adottata.
L'esposizione indiretta si attenua con la distanza e il mescolamento. Un deposito che ha ricevuto l'80% del suo valore da un exchange designato un hop prima è un caso molto diverso da uno in cui lo 0,5% del valore è riconducibile a un mixer designato sei hop prima. Anche il metodo di tracciamento influisce sul calcolo della quota (vedere la lezione IDFE-BA Tracciamento dei fondi in avanti e a ritroso), quindi il metodo dovrebbe far parte della configurazione documentata dell'impresa.
Limiti di hop e soglie
Le regole traducono l'esposizione in azioni. Devono essere calibrate sulla valutazione del rischio dell'impresa e documentate. Una policy esemplificativa:
| Esposizione su un trasferimento | Azione |
|---|---|
| La controparte è un indirizzo presente in un elenco o un cluster designato (diretta) | Sospendere; inoltrare al responsabile sanzioni; congelare e segnalare se confermata |
| Indiretta, 1–2 hop, almeno il 10% del valore | Sospendere l'accredito; indagare l'origine dei fondi prima del rilascio |
| Indiretta, 1–2 hop, meno del 10% | Accreditare; creare un avviso da esaminare entro un termine stabilito |
| Indiretta, 3 o più hop, qualsiasi quota | Accreditare; includere nel punteggio di rischio del cliente e nel monitoraggio |
| Indirizzo appartenente a una categoria di giurisdizione soggetta a sanzioni, ma non designato | Gestire secondo la policy geografica; verificare la posizione del cliente |
Le percentuali e il numero di hop indicati sopra sono esempi, non standard. L'impresa li stabilisce verificandoli su casi noti, documenta le motivazioni e li riesamina al mutare delle tipologie di rischio. Una regola che genera un avviso per qualsiasi esposizione indiretta, a qualunque distanza, sommergerà gli analisti; una che ignora del tutto l'esposizione indiretta non rileverà i servizi annidati e il riciclaggio a un solo passaggio di distanza dall'indirizzo presente nell'elenco.
La seguente regola individua i depositi in sospeso che, secondo la policy, devono essere trattenuti:
-- Depositi in sospeso con esposizione diretta a sanzioni o esposizione indiretta elevata
SELECT d.deposit_id, d.customer_id, d.txid, d.amount_usd,
e.exposure_type, e.min_hops, e.sanctioned_share_pct, e.source
FROM deposits d
JOIN sanctions_exposure e
ON e.txid = d.txid AND e.output_index = d.output_index
WHERE d.status = 'PENDING_CREDIT'
AND (e.exposure_type = 'DIRECT'
OR (e.min_hops <= 2 AND e.sanctioned_share_pct >= 10.0))
ORDER BY e.exposure_type, e.sanctioned_share_pct DESC;La query collega ogni deposito in sospeso al record di esposizione prodotto dal processo di analisi, usando l'ID della transazione e l'indice dell'output per considerare soltanto l'output del cliente. Seleziona tutti i casi diretti e tutti i casi indiretti entro due hop con una quota pari o superiore al 10% del valore, quindi ordina prima i casi diretti. La colonna source registra se l'esposizione è stata rilevata tramite un indirizzo presente in un elenco o un'attribuzione analitica: un'informazione necessaria all'analista per decidere. Nelle blockchain basate su account, l'indice dell'output viene sostituito da un indice di log o di trasferimento.
Screening prima e dopo la transazione
La direzione di un trasferimento determina ciò che lo screening può ottenere.
I trasferimenti in uscita possono essere sottoposti a screening prima di essere eseguiti. L'indirizzo di destinazione viene sottoposto a screening quando il cliente invia la richiesta di prelievo e di nuovo appena prima della trasmissione, perché nel frattempo gli elenchi possono cambiare. Una corrispondenza blocca il trasferimento: una volta trasmesso e confermato, non può essere richiamato.
I trasferimenti in entrata non possono essere rifiutati a livello di protocollo. I fondi arrivano all'indirizzo di deposito del cliente che all'impresa piaccia o meno. Lo screening avviene quindi dopo l'arrivo, ma prima dell'accredito: il deposito rimane in sospeso finché lo screening non dà esito positivo. Se il messaggio Travel Rule arriva prima del trasferimento, i dati dell'ordinante e l'indirizzo di origine possono essere sottoposti a screening in anticipo e l'impresa può chiedere al VASP mittente di non inviare i fondi.
Fondi provenienti da un indirizzo designato: congelare e segnalare
Quando un deposito arriva direttamente da un indirizzo designato, l'istinto di «rispedirlo indietro» è sbagliato. Restituire i fondi renderebbe gli asset disponibili a una parte designata, proprio ciò che il divieto impedisce. La procedura abituale è:
- lasciare il deposito non accreditato oppure trasferirlo in un wallet segregato controllato dall'impresa e registrato come congelato;
- limitare l'account del cliente in attesa della verifica;
- confermare la corrispondenza con il responsabile sanzioni, registrando la voce dell'elenco o l'attribuzione, il txid e l'importo;
- segnalare gli asset congelati all'autorità competente entro il termine previsto dal relativo regime e presentare una segnalazione di transazione sospetta all'unità di informazione finanziaria quando sussistono i presupposti;
- rilasciare o trasferire i fondi soltanto su istruzione scritta o previa licenza dell'autorità.
Non tutti i depositi provenienti da una fonte designata rendono il cliente un trasgressore. Dopo designazioni di grande risonanza, soggetti sconosciuti hanno inviato piccoli importi da indirizzi designati a wallet noti, una pratica chiamata dusting. Anche la polvere va congelata e segnalata, ma l'account del cliente dovrebbe essere valutato nel suo complesso, non chiuso automaticamente.
Un caso pratico
Un cliente retail, acquisito otto mesi fa e con una storia di trading modesta, riceve un deposito di 2,4 ETH da un wallet non custodito. Il motore di esposizione segnala un'esposizione indiretta: il 35% del valore è riconducibile, a un hop di distanza, a un cluster attribuito a un exchange designato. In base alla policy sopra riportata, il deposito va sospeso.
L'analista esamina il caso nel modo seguente:
- Verificare la fonte. L'attribuzione deriva da un'analisi, non da un indirizzo presente in un elenco. L'analista controlla la cronologia delle etichette del cluster e constata che è rimasta stabile fin da prima della designazione, a sostegno dell'attribuzione.
- Esaminare il wallet intermedio. Ha ricevuto fondi dal cluster designato due ore prima di inoltrarli al cliente e non presenta altre attività. Questo schema indica un intermediario di passaggio, non una terza parte estranea.
- Chiedere informazioni al cliente. Una richiesta di informazioni chiede chi ha inviato i fondi e perché. Il cliente afferma che un amico ha rimborsato un prestito, ma non sa spiegare perché l'amico abbia utilizzato l'exchange designato.
- Decidere. Il responsabile sanzioni conclude che è probabile che i fondi derivino dagli asset di una parte designata. Il deposito rimane congelato, l'account è soggetto a restrizioni, il congelamento viene segnalato all'autorità competente e viene presentata una segnalazione di transazione sospetta.
Se il wallet intermedio fosse stato un wallet consolidato, con anni di attività diversificata, e la quota designata fosse stata ridotta, la stessa regola avrebbe potuto portare al rilascio con un monitoraggio rafforzato. La documentazione dovrebbe indicare quali fatti hanno determinato la decisione.
Gli smart contract come oggetti soggetti a sanzioni
Nell'agosto 2022 gli Stati Uniti hanno designato il mixer Tornado Cash nell'ambito del proprio programma sanzionatorio, inserendo nell'elenco gli indirizzi dei suoi smart contract anziché una persona o un'azienda. Ciò ha sollevato nuovi interrogativi: se il codice possa essere considerato «proprietà», se interagire con un contratto immutabile equivalga a «operare» e come trattare gli utenti che avevano fondi nel pool. Nel novembre 2024 una corte d'appello statunitense ha stabilito che i contratti immutabili non erano proprietà suscettibili di blocco e la designazione è stata revocata il 21 marzo 2025.
L'episodio ha lasciato tre insegnamenti pratici. Lo screening deve comprendere gli indirizzi dei contratti, inclusi quelli dei router e dei pool, e non soltanto gli indirizzi controllati esternamente. Finché la designazione è in vigore, i prelievi da un pool designato costituiscono esposizione diretta, anche quando il cliente è il depositante originario. La rimozione dall'elenco elimina il divieto previsto dalle sanzioni, ma non il rischio di riciclaggio di denaro: l'esposizione ai mixer resta un indicatore di rischio elevato nel monitoraggio e nella valutazione del rischio del cliente.
Focus sull'esame: indirizzi presenti negli elenchi rispetto all'esposizione attribuita tramite analisi e perché sono necessarie entrambe le fonti; esposizione diretta rispetto a quella indiretta, hop e quota del valore; definizione e documentazione di regole basate su hop e soglie; screening dei prelievi prima della transazione (al momento dell'invio della richiesta e prima della trasmissione) rispetto allo screening dei depositi prima dell'accredito; perché i fondi provenienti da un indirizzo designato vengono congelati e segnalati, mai restituiti; dusting; Tornado Cash come contesto per gli smart contract quali oggetti soggetti a sanzioni e per la differenza tra rimozione dall'elenco e rischio residuo.