Esposizione alle sanzioni e screening · Lezione 4 di 5
Screening di wallet e transazioni
9 min di lettura
Lo screening dei nominativi consente a un'impresa di sapere chi sono i suoi clienti; lo screening dei wallet consente di sapere da dove provengono e dove vanno i loro fondi. Su una blockchain pubblica, un singolo deposito può contenere fondi usciti da un indirizzo designato pochi minuti prima, e un singolo prelievo può trasferire valore direttamente a uno di tali indirizzi. Questa lezione illustra come sottoporre a screening indirizzi e trasferimenti per rilevare l'esposizione a sanzioni, come impostare limiti di hop e soglie e come procedere quando arrivano effettivamente fondi soggetti a sanzioni.
Due fonti di rischio degli indirizzi
Lo screening dei wallet si basa su due diversi tipi di dati.
Gli indirizzi presenti negli elenchi sono indirizzi di attività virtuali pubblicati da un'autorità come identificativi di un soggetto designato. La corrispondenza è binaria e autorevole: l'indirizzo appartiene a un soggetto con il quale l'impresa non può intrattenere rapporti.
L'esposizione attribuita tramite analisi deriva dall'analisi blockchain: cluster di indirizzi attribuiti a una persona o a un servizio designato e tracciamento delle transazioni che misura quanta parte del valore di un trasferimento possa essere collegata a tali soggetti. Offre una copertura molto più ampia rispetto agli elenchi, ma ha natura probabilistica. L'attribuzione può essere errata o non aggiornata e strumenti diversi possono fornire risultati discordanti. Le lezioni IDFE-CF Dall'indirizzo all'entità alla persona: attribuzione ed etichettatura e Valutare la qualità dei cluster ne spiegano le ragioni; la lezione Analisi blockchain per la conformità tratta la convalida dei risultati dell'analisi.
Un programma solido utilizza entrambe le fonti: gli indirizzi presenti negli elenchi per la certezza, l'analisi per l'ampiezza della copertura, e una registrazione della fonte che ha determinato ciascuna decisione.
Esposizione diretta e indiretta
L'esposizione diretta si verifica quando l'indirizzo della controparte di un trasferimento è esso stesso un indirizzo designato o appartiene a un cluster designato. L'esposizione indiretta si verifica quando i fondi sono transitati attraverso uno o più indirizzi intermedi tra la fonte designata e il trasferimento. Gli strumenti di analisi esprimono solitamente l'esposizione indiretta come quota del valore del trasferimento e numero di hop, qui conteggiati come gli indirizzi o le entità intermedi tra la fonte designata e il trasferimento. Gli strumenti conteggiano gli hop in modi diversi, pertanto la configurazione dell'impresa dovrebbe specificare la convenzione adottata.
L'esposizione indiretta si attenua con la distanza e il mescolamento dei fondi. Un deposito che ha ricevuto l'80% del proprio valore da un exchange designato un hop prima è un caso molto diverso da uno in cui lo 0,5% del valore è riconducibile a un mixer designato sei hop prima. Il calcolo della quota dipende anche dal metodo di tracciamento (si veda la lezione IDFE-CF Metodi di tracciamento e relative conseguenze), pertanto il metodo dovrebbe far parte della configurazione documentata dell'impresa.
Limiti di hop e soglie
Le regole traducono l'esposizione in azioni. Devono essere calibrate sulla valutazione del rischio dell'impresa e formalizzate per iscritto. Una politica esemplificativa:
| Esposizione relativa a un trasferimento | Azione |
|---|---|
| La controparte è un indirizzo presente negli elenchi o un cluster designato (diretta) | Sospendere; sottoporre al responsabile delle sanzioni; congelare e segnalare se confermata |
| Indiretta, 1–2 hop, almeno il 10% del valore | Sospendere l'accredito; indagare sull'origine dei fondi prima dello sblocco |
| Indiretta, 1–2 hop, inferiore al 10% | Accreditare; generare un avviso da esaminare entro un termine stabilito |
| Indiretta, 3 o più hop, qualsiasi quota | Accreditare; integrare il dato nel punteggio di rischio del cliente e nel monitoraggio |
| Indirizzo appartenente a una categoria di giurisdizioni soggette a sanzioni, non designato | Applicare la politica sul rischio geografico; verificare l'ubicazione del cliente |
Le percentuali e i numeri di hop sopra riportati sono esempi, non standard. L'impresa li stabilisce mediante test su casi noti, ne documenta le motivazioni e li riesamina al mutare delle tipologie. Una regola che genera avvisi per qualsiasi esposizione indiretta a qualsiasi distanza sommergerà gli analisti; una che ignora del tutto l'esposizione indiretta non rileverà i servizi annidati e il riciclaggio separato da un solo passaggio dagli indirizzi presenti negli elenchi.
La seguente regola individua i depositi in attesa che, secondo la politica, devono essere sospesi:
-- Depositi in attesa con esposizione diretta a sanzioni o elevata esposizione indiretta
SELECT d.deposit_id, d.customer_id, d.txid, d.amount_usd,
e.exposure_type, e.min_hops, e.sanctioned_share_pct, e.source
FROM deposits d
JOIN sanctions_exposure e
ON e.txid = d.txid AND e.output_index = d.output_index
WHERE d.status = 'PENDING_CREDIT'
AND (e.exposure_type = 'DIRECT'
OR (e.min_hops <= 2 AND e.sanctioned_share_pct >= 10.0))
ORDER BY e.exposure_type, e.sanctioned_share_pct DESC;La query collega ciascun deposito in attesa al record di esposizione prodotto dal processo di analisi, utilizzando l'ID della transazione e l'indice dell'output affinché venga considerato soltanto l'output del cliente. Seleziona tutti i casi diretti e tutti i casi indiretti entro due hop con una quota pari o superiore al 10% del valore, ordinando prima i casi diretti. La colonna source registra se l'esposizione deriva da un indirizzo presente negli elenchi o da un'attribuzione analitica, informazione necessaria all'analista per decidere. Nelle blockchain basate su account, l'indice dell'output viene sostituito da un indice del log o del trasferimento.
Screening prima e dopo la transazione
La direzione di un trasferimento determina ciò che lo screening può ottenere.
I trasferimenti in uscita possono essere sottoposti a screening prima che avvengano. L'indirizzo di destinazione viene sottoposto a screening nel momento in cui il cliente inoltra la richiesta di prelievo e nuovamente subito prima della trasmissione alla rete, poiché nel frattempo gli elenchi possono cambiare. Una corrispondenza arresta il trasferimento: una volta trasmesso alla rete e confermato, non può essere richiamato.
I trasferimenti in entrata non possono essere rifiutati a livello di protocollo. I fondi arrivano all'indirizzo di deposito del cliente indipendentemente dalla volontà dell'impresa. Lo screening avviene quindi dopo l'arrivo ma prima dell'accredito: il deposito rimane in attesa finché lo screening non ne autorizza l'accredito. Quando un messaggio Travel Rule arriva prima del trasferimento, i dati dell'ordinante e l'indirizzo di origine possono essere sottoposti a screening in anticipo e l'impresa può chiedere al VASP dell'ordinante di non inviare i fondi.
Fondi provenienti da un indirizzo designato: congelare e segnalare
Quando un deposito arriva direttamente da un indirizzo designato, l'istinto di "rimandarlo indietro" è sbagliato. Restituire i fondi significherebbe mettere attività a disposizione di un soggetto designato, ossia proprio ciò che il divieto impedisce. La procedura abituale è la seguente:
- mantenere il deposito non accreditato oppure trasferirlo in un wallet segregato controllato dall'impresa e registrato come congelato;
- limitare l'operatività del conto del cliente in attesa del riesame;
- confermare la corrispondenza con il responsabile delle sanzioni, registrando la voce dell'elenco o l'attribuzione, il txid e l'importo;
- segnalare le attività congelate all'autorità competente entro il termine previsto dal relativo regime e presentare una segnalazione di operazione sospetta all'unità di informazione finanziaria qualora ne ricorrano i presupposti;
- sbloccare o trasferire i fondi soltanto su istruzione scritta o autorizzazione dell'autorità.
Non tutti i depositi provenienti da una fonte designata rendono il cliente responsabile di un illecito. Dopo designazioni di grande rilievo, soggetti sconosciuti hanno inviato piccoli importi da indirizzi designati a wallet noti, una pratica chiamata dusting. Questi piccoli importi vengono comunque congelati e segnalati, ma il conto del cliente dovrebbe essere valutato nel quadro complessivo, non chiuso automaticamente.
Un caso svolto
Un cliente al dettaglio, acquisito otto mesi fa e con una modesta attività di negoziazione pregressa, riceve un deposito di 2,4 ETH da un wallet non custodial. Il motore di rilevamento dell'esposizione segnala un'esposizione indiretta: il 35% del valore è riconducibile, un hop prima, a un cluster attribuito a un exchange designato. In base alla politica sopra riportata, il deposito deve essere sospeso.
L'analista esamina il caso:
- Verificare la fonte. L'attribuzione deriva dall'analisi, non da un indirizzo presente negli elenchi. L'analista verifica la cronologia delle etichette del cluster e rileva che è stabile da prima della designazione, elemento che avvalora l'attribuzione.
- Esaminare il wallet intermedio. Ha ricevuto fondi dal cluster designato due ore prima di inoltrarli al cliente e non presenta altre attività. Questo schema indica un semplice transito, non una terza parte estranea.
- Interpellare il cliente. Una richiesta di informazioni domanda chi abbia inviato i fondi e per quale motivo. Il cliente afferma che un amico gli ha restituito un prestito, ma non sa spiegare perché l'amico abbia utilizzato l'exchange designato.
- Decidere. Il responsabile delle sanzioni conclude che i fondi derivano probabilmente dalle attività di un soggetto designato. Il deposito rimane congelato, l'operatività del conto viene limitata, il congelamento viene segnalato all'autorità competente e viene presentata una segnalazione di operazione sospetta.
Se il wallet intermedio fosse stato un wallet consolidato con anni di attività diversificate e la quota designata fosse stata esigua, la stessa regola avrebbe potuto portare allo sblocco con monitoraggio rafforzato. La documentazione dovrebbe indicare quali fatti hanno determinato la decisione.
Smart contract come oggetti soggetti a sanzioni
Nell'agosto 2022 gli Stati Uniti hanno designato il mixer Tornado Cash nell'ambito del proprio programma sanzionatorio, inserendo negli elenchi gli indirizzi dei suoi smart contract anziché una persona o una società. Ciò ha sollevato nuovi interrogativi: se il codice possa essere considerato un "bene", se interagire con un contratto immutabile costituisca un'"operazione" e come trattare gli utenti che avevano fondi nel pool. Nel novembre 2024 una corte d'appello statunitense ha stabilito che i contratti immutabili non erano beni suscettibili di congelamento e la designazione è stata revocata il 21 marzo 2025.
L'episodio ha lasciato tre insegnamenti pratici. Lo screening deve includere gli indirizzi dei contratti, compresi i contratti router e pool, e non soltanto gli indirizzi controllati esternamente. I prelievi da un pool designato costituiscono esposizione diretta finché la designazione rimane in vigore, anche quando il cliente è il depositante originario. Inoltre, la rimozione dagli elenchi elimina il divieto sanzionatorio ma non il rischio di riciclaggio: l'esposizione a mixer rimane un indicatore di rischio elevato nel monitoraggio e nell'attribuzione del punteggio di rischio del cliente.
Focus sull'esame: indirizzi presenti negli elenchi ed esposizione attribuita tramite analisi e perché siano entrambi necessari; esposizione diretta e indiretta, hop e quota del valore; progettazione e documentazione di regole basate su hop e soglie; screening dei prelievi prima della transazione (al momento della richiesta e prima della trasmissione alla rete) rispetto allo screening dei depositi prima dell'accredito; perché i fondi provenienti da un indirizzo designato vengono congelati e segnalati, mai restituiti; dusting; Tornado Cash come contesto per gli smart contract quali oggetti soggetti a sanzioni e per la differenza tra rimozione dagli elenchi e rischio residuo.