Segnalazione di attività sospette · Lezione 3 di 5
Blocchi, richieste delle autorità e recupero degli asset
9 min di lettura
Dopo un furto, un attacco ransomware o una frode di grandi dimensioni, gli asset crypto rubati possono attraversare diverse blockchain e servizi nel giro di poche ore, e i momenti in cui passano attraverso un prestatore regolamentato sono le principali occasioni per fermarli. Un VASP che gestisce correttamente le richieste e i blocchi aiuta a restituire i fondi alle vittime; uno che li gestisce male lascia che i fondi spariscano oppure blocca gli asset dei clienti senza una valida giustificazione. Questa lezione tratta gli aspetti operativi: richieste, blocchi, blocchi da parte degli emittenti, trasferimenti di asset sequestrati e cooperazione.
Tipi di richieste
Le autorità contattano i VASP attraverso diversi canali, ciascuno con una diversa base giuridica e un diverso grado di urgenza. I dettagli variano da un paese all'altro, ma le categorie sono comuni.
| Richiesta | Finalità tipica | Aspetti fondamentali della gestione |
|---|---|---|
| Richiesta di informazioni aggiuntive da parte della FIU | Approfondimento di una segnalazione o analisi della segnalazione di un'altra società | La Raccomandazione 29 del GAFI consente alla FIU di ottenere informazioni aggiuntive dai soggetti segnalanti; di solito è prevista una scadenza; la richiesta è riservata |
| Ordine di consegna o richiesta di informazioni | Registri dei clienti, cronologia delle transazioni, dati IP e dei dispositivi per un'indagine | Verificare la base giuridica, l'ambito e l'autorità emanante; produrre solo quanto richiesto |
| Richiesta di conservazione | Conservare registri che altrimenti potrebbero essere cancellati, in attesa di un ordine formale | Applicare un blocco legale alla cancellazione; conservare i dati prima che arrivi l'ordine formale |
| Ordine di blocco, sequestro conservativo o sequestro | Impedire il trasferimento di asset identificati o trasferirli alle autorità | Agire immediatamente una volta verificato l'ordine; registrare i saldi e l'ora in cui si è intervenuti |
| Richiesta urgente di divulgazione | Minaccia imminente alla vita o rischio di danni gravi | Limitata, rapida e documentata; la procedura formale segue in un secondo momento |
| Richiesta estera | Un'autorità straniera richiede dati o un blocco | Di norma deve passare attraverso canali nazionali, come l'assistenza giudiziaria reciproca o la FIU locale |
Tutte le richieste seguono gli stessi passaggi: registrarle, verificarle, sottoporle a valutazione legale, agire entro i limiti previsti, documentare quanto fatto e rispettare eventuali condizioni di non divulgazione. Le richieste sono riservate come le segnalazioni; il cliente non viene informato, salvo che la legge e l'autorità lo consentano.
La verifica merita particolare attenzione. I criminali inviano false «richieste della polizia» e falsi ordini del tribunale per ottenere dati dei clienti o far bloccare il conto di un concorrente. Verificare tramite un canale individuato autonomamente dall'azienda (i recapiti pubblicati dell'autorità, un funzionario di collegamento conosciuto, un portale sicuro), mai soltanto attraverso i recapiti indicati nella richiesta stessa.
{
"request_id": "LER-2026-0381",
"received": "2026-10-14T08:22:00Z",
"type": "freeze_order",
"issuer": "competent authority, Country B",
"verified_via": "call-back to published switchboard, officer ID confirmed",
"legal_review": "in scope; domestic recognition confirmed",
"assets": [{"customer_id": "C-77310", "asset": "USDC", "amount": "48,215.00"}],
"action": "account frozen 2026-10-14T09:05:00Z; balances recorded",
"non_disclosure": true,
"related_str": "STR-2026-1172"
}La voce del registro indica quando è arrivata la richiesta, come ne è stata confermata l'autenticità, la valutazione legale, quali asset sono stati interessati e quando l'azione è diventata effettiva. Collegarla a una segnalazione correlata agevola le successive verifiche e le informazioni gestionali.
Blocchi e sospensioni volontari
Non tutti i blocchi iniziano con un ordine. Un VASP può venire a conoscenza di fondi rubati tramite una vittima, un altro exchange, un avviso del settore o il proprio sistema di monitoraggio, spesso prima che intervenga un'autorità. La possibilità per l'azienda di bloccare i fondi dipende dalla legge nazionale e dai termini contrattuali con i clienti, che di solito le consentono di sospendere l'attività durante una verifica di conformità. Anche alcune autorità possono sospendere le transazioni: le revisioni del GAFI agli standard sul recupero degli asset dell'ottobre 2023 hanno aggiunto il potere delle autorità competenti di sospendere le transazioni collegate al riciclaggio di denaro, al finanziamento del terrorismo e ai reati gravi, e hanno reso obbligatoria la confisca senza condanna.
Una sospensione volontaria è una decisione basata sul rischio e deve essere documentata.
| Situazione | Azione tipica |
|---|---|
| Avviso credibile di furto; deposito tracciato direttamente dall'indirizzo del furto | Bloccare l'importo depositato, indagare, segnalare il caso alla FIU e contattare le autorità |
| Denuncia della vittima con prove della transazione; fondi tracciati attraverso diversi passaggi | Bloccare i fondi in attesa di verifica se la tracciabilità è solida; chiedere alla vittima di denunciare il caso alla polizia; presentare una segnalazione se sorgono sospetti |
| Denuncia non verificata, tracciabilità debole o risalente nel tempo | Non bloccare; segnalare il conto per il monitoraggio e registrare la denuncia |
| Fondi provenienti da un indirizzo designato | Procedura sanzionatoria: bloccare e segnalare secondo quanto richiesto dal regime applicabile |
I blocchi dovrebbero essere proporzionati (riguardare l'importo tracciato, non l'intero conto se ciò è evitabile), limitati nel tempo e sottoposti a verifica. Un blocco che diventa indefinito senza che intervenga alcuna autorità espone l'azienda a reclami e contenziosi. Solleva anche questioni di segnalazione al cliente, che si accorgerà del blocco; il personale usa formulazioni neutre.
Blocchi degli emittenti di stablecoin
Molti contratti di stablecoin garantite da valute fiat includono funzioni amministrative che consentono all'emittente di impedire a un indirizzo di trasferire token e, in alcuni modelli, di bruciarli e riemetterli. Nel rapporto mirato del GAFI sulle stablecoin e i wallet non ospitati (3 marzo 2026) si osserva che alcune giurisdizioni impongono agli emittenti di predisporre controlli programmabili di questo tipo, inclusi blocchi e liste di esclusione, per consentire loro di intervenire sul mercato secondario.
Per un VASP, i blocchi degli emittenti sono rilevanti in due modi:
- Quando i fondi si trovano al di fuori del VASP. Se le stablecoin rubate si trovano in un wallet non ospitato, solo l'emittente può bloccarle. Il contributo utile del VASP consiste nel fornire rapidamente alle autorità informazioni precise: il contratto del token, la blockchain, gli indirizzi e i txid, oltre alla tracciabilità. Di norma gli emittenti intervengono su richiesta delle forze dell'ordine, secondo le proprie politiche.
- Quando il VASP detiene token presso un indirizzo bloccato. Il wallet dell'azienda potrebbe essere interessato da un blocco dell'emittente, per esempio nel caso di un indirizzo di deposito che ha ricevuto fondi rubati. Il personale della tesoreria e della compliance ha bisogno di una procedura per individuare i saldi e i clienti coinvolti.
I limiti sono reali. Non tutti i token possono essere bloccati; i criminali convertono rapidamente le stablecoin in asset nativi o in monete incentrate sulla privacy; inoltre, il blocco dell'emittente congela i token, ma non li restituisce a nessuno. Per il recupero serve comunque una procedura legale.
Cooperazione nei sequestri
Quando un'autorità ordina il trasferimento degli asset sequestrati, il VASP trasferisce valore on-chain, quindi il processo richiede la stessa disciplina di qualsiasi operazione di tesoreria. La Guida e le buone pratiche del GAFI sul recupero degli asset (novembre 2025) considera il recupero da wallet detenuti da exchange una delle principali modalità per sequestrare asset virtuali, insieme all'acquisizione delle chiavi private e ai blocchi degli emittenti, e sottolinea l'importanza della rapidità e della custodia sicura una volta sequestrati gli asset. Una procedura solida comprende:
- Verificare l'ordine e l'indirizzo di destinazione direttamente con l'autorità, attraverso un canale indipendente.
- Confermare gli asset, gli importi e le blockchain esatti, inclusi i token e gli eventuali premi maturati.
- Inviare una piccola transazione di prova e chiedere all'autorità di confermarne la ricezione.
- Eseguire il trasferimento principale con doppio controllo, possibilmente da un wallet segregato.
- Registrare i txid, le altezze dei blocchi, gli importi e le commissioni, e fornire all'autorità una conferma firmata.
- Aggiornare il conto del cliente e conservare i registri insieme all'ordine.
Cooperazione transfrontaliera
I casi crypto sono quasi sempre internazionali, ma un VASP non dovrebbe rispondere direttamente alle autorità straniere, a meno che la propria legge lo consenta. La cooperazione avviene tramite canali ufficiali: scambio da FIU a FIU attraverso il Gruppo Egmont, canali di polizia come INTERPOL e assistenza giudiziaria reciproca per le prove formali e la confisca (Raccomandazioni 37, 38 e 40 del GAFI). L'assistenza giudiziaria reciproca può essere lenta, quindi le autorità chiedono prima la conservazione dei dati o un blocco urgente; inoltre, alcuni trattati sulla criminalità informatica prevedono procedure accelerate per la conservazione dei dati.
Un VASP può velocizzare il lavoro transfrontaliero pubblicando un punto di contatto per le forze dell'ordine, rispondendo rapidamente alle richieste nazionali, mantenendo i registri facilmente reperibili e presentando segnalazioni che identifichino chiaramente le controparti estere, affinché la propria FIU possa trasmetterle.
Collaborazione con le vittime e partenariati
Le vittime spesso contattano il VASP che ha ricevuto i loro fondi. Il personale dovrebbe trattarle con attenzione senza promettere il recupero: raccogliere i fatti e le prove delle transazioni, spiegare che l'azienda non può condividere informazioni su un altro cliente e invitare la vittima a sporgere denuncia alla polizia. Le vittime sono bersagli privilegiati delle truffe sul recupero dei fondi, in cui i truffatori si spacciano per investigatori o avvocati che offrono di recuperare i fondi in cambio di un pagamento; metterle in guardia è parte delle buone pratiche.
I partenariati pubblico-privati consentono ad autorità e aziende di condividere informazioni più rapidamente di quanto permettano le richieste caso per caso, nel rispetto dei limiti della legge nazionale. Alcuni si concentrano su casi operativi (furti in corso, reti specifiche), altri su schemi strategici. I canali di allerta del settore tra exchange dopo attacchi informatici di grande portata seguono lo stesso principio. Il furto di circa 1,46 miliardi di USD dall'exchange Bybit nel febbraio 2025, attribuito ad attori nordcoreani, ha illustrato entrambi gli aspetti: alcuni fondi sono stati bloccati da exchange ed emittenti, ma la maggior parte è stata trasferita tramite swap, bridge e broker prima che fosse possibile fermarla. Rapidità, informazioni verificate e procedure pronte determinano l'esito.
Focus sull'esame: i principali tipi di richiesta (approfondimento della FIU, consegna, conservazione, blocco o sequestro, richiesta urgente, richiesta estera) e le fasi comuni di gestione; la verifica delle richieste tramite canali indipendenti perché esistono richieste contraffatte; quando è ragionevole un blocco volontario e come mantenerlo proporzionato e documentato; le modifiche del GAFI dell'ottobre 2023 sul recupero degli asset (potere di sospendere le transazioni, confisca senza condanna); cosa possono e non possono fare i blocchi degli emittenti di stablecoin e il ruolo del VASP; un trasferimento controllato di asset sequestrati, con transazione di prova e registrazioni; perché le richieste estere passano attraverso canali ufficiali; la protezione delle vittime, anche dalle truffe sul recupero dei fondi, e il ruolo dei partenariati pubblico-privati.