Custodia presso terzi e autocustodia

Chi può autorizzare una transazione?

La custodia riguarda chi controlla i mezzi necessari per trasferire gli asset digitali e quali responsabilità derivano da tale controllo. Nell’autocustodia, una persona o un’organizzazione mantiene l’autorità diretta di firma senza dipendere da un custode terzo per autorizzare i normali trasferimenti. In un accordo di custodia, un fornitore di servizi detiene o controlla i mezzi di firma pertinenti per conto dei clienti oppure fornisce, in altro modo, servizi di custodia e amministrazione secondo una definizione giuridica applicabile. La questione fondamentale non è quale marchio compare sullo schermo, ma di chi siano l’approvazione e l’infrastruttura necessarie per trasferire gli asset.

L’espressione «not your keys» coglie una parte di questa distinzione, ma la semplifica eccessivamente. Le titolarità giuridiche, i diritti contrattuali, la governance, il trattamento in caso di insolvenza e l’autorità tecnica di firma sono aspetti correlati, ma distinti. Un cliente può vantare un diritto riconosciuto dalla legge nei confronti di un custode senza possedere la chiave di rete. Un utente in autocustodia può controllare direttamente una chiave e continuare comunque a dipendere da fornitori di servizi Internet, software di wallet o servizi di rete per effettuare transazioni. L’indipendenza è quindi relativa, non assoluta.

Possono essere coinvolti due registri

Quando un cliente deposita asset presso un fornitore, quest’ultimo può tenere un registro contabile interno degli importi dovuti al cliente. La blockchain sottostante può mostrare un indirizzo controllato dal fornitore che aggrega gli asset di molti clienti. Di conseguenza, il saldo mostrato nell’app del cliente può rappresentare un credito registrato nel sistema interno del fornitore, anziché un indirizzo distinto sulla blockchain sotto il controllo del cliente. La corrispondenza tra questi due registri, ottenuta tramite riconciliazione, è un’importante attività operativa e di audit.

Autocustodia: vantaggi e responsabilità

L’autocustodia offre al titolare un modo diretto per autorizzare operazioni on-chain, nel rispetto delle regole della rete pertinente e di eventuali condizioni aggiuntive dell’account. Ciò può ridurre la dipendenza dalla solvibilità o dalle procedure di prelievo di un determinato custode. Al tempo stesso, trasferisce al titolare la responsabilità della sicurezza, dei backup, della continuità di accesso, della prevenzione degli errori e della risposta in caso di compromissione. Normalmente non esiste un servizio di assistenza blockchain in grado di ripristinare chiavi private indipendenti perse in modo irreversibile.

L’autocustodia non è necessariamente individuale o priva di governance. Un’organizzazione può distribuire i ruoli operativi tra il personale, applicare requisiti di approvazione interna, utilizzare più firmatari e registrare gli accessi. Ciò che conta è se un fornitore esterno abbia l’autorità di firma necessaria o la facoltà contrattuale di impedire le transazioni. Nella pratica, «autocustodia» può descrivere un’ampia gamma di architetture di governance; per questo, una valutazione gestionale dovrebbe specificare l’accordo concreto anziché limitarsi all’etichetta.

Servizi di custodia: vantaggi e rischi

I fornitori di servizi di custodia possono offrire amministrazione degli account, operazioni di sicurezza, rendicontazione, screening delle transazioni, recupero dell’accesso all’account in determinate condizioni e integrazione con i processi istituzionali. Possono supportare volumi di transazioni maggiori e una tenuta centralizzata dei registri. Questi servizi possono essere preziosi, ma comportano dipendenze e rischi specifici del fornitore, tra cui interruzioni operative, elaborazioni errate, incidenti informatici, insolvenza, controversie sulla titolarità e restrizioni previste dalla legge applicabile o dalle condizioni contrattuali.

Un cliente che può reimpostare la password di accesso a un fornitore non dovrebbe presumere che il fornitore detenga un wallet blockchain separato per ciascun utente. Analogamente, quando un fornitore dichiara che gli asset sono «segregati», occorre chiarire il significato: gli asset possono essere identificati nei registri interni, separati on-chain dalle disponibilità proprie del fornitore e soggetti a requisiti giuridici di segregazione, ma si tratta di meccanismi distinti. Gli obblighi precisi dipendono dalla giurisdizione, dal servizio e dalle norme applicabili.

Inquadramento giuridico e normativo

La Raccomandazione 15 del Gruppo di azione finanziaria internazionale (GAFI), «Nuove tecnologie», e la relativa Nota interpretativa forniscono il quadro internazionale in materia di antiriciclaggio e di contrasto al finanziamento del terrorismo relativo agli asset virtuali e ai fornitori di servizi per asset virtuali. L’Updated Guidance for a Risk-Based Approach to Virtual Assets and Virtual Asset Service Providers (2021) del GAFI illustra le attività pertinenti e un approccio funzionale per identificare i fornitori. Le raccomandazioni del GAFI sono standard internazionali attuati dalle giurisdizioni; non sostituiscono direttamente la legislazione locale.

La custodia regolamentata aggiunge obblighi giuridici al controllo tecnico. Molti regimi richiedono che i fornitori che detengono cripto-asset per i clienti siano autorizzati e rispettino obblighi di custodia, come accordi con i clienti, politiche di custodia, rendicontazioni delle posizioni, procedure di restituzione e segregazione; il regolamento MiCA dell’UE ne è un esempio. Tali obblighi dipendono dal quadro giuridico applicabile e non si applicano automaticamente a tutte le applicazioni di wallet in tutto il mondo.

Domande per la governance e gli acquisti

Prima di scegliere o valutare un modello di custodia, occorre individuare chi controlla le chiavi private o le quote di firma; di chi sia indispensabile l’approvazione; quale titolo o diritto giuridico abbia il cliente; in che modo fondi e registri siano segregati; come vengano riconciliati i saldi; quali eventi consentano di sospendere i prelievi; e come vengano restituiti gli asset al termine del servizio. Una descrizione del servizio in fase di acquisto limitata a «servizio di wallet sicuro» è inadeguata per affrontare questi aspetti.

L’esame del contratto dovrebbe riguardare l’ambito del servizio, la conservazione dei registri, la notifica degli incidenti, l’accesso per gli audit, il ricorso a subappaltatori, le reti supportate, l’autorizzazione delle transazioni, la risoluzione delle controversie e le misure per garantire la continuità. Chi conduce un esame dovrebbe riconoscere che l’identificazione dei clienti e il monitoraggio delle transazioni sono distinti dalla prova tecnica che il fornitore sia in grado di firmare. Un wallet implementato correttamente può essere gestito illegalmente; anche un’impresa autorizzata può subire guasti tecnici.

Un esempio neutrale

Si supponga che un’agenzia riceva un estratto conto che mostra un saldo di asset digitali presso un fornitore di servizi. Il solo estratto conto può dimostrare l’obbligazione registrata dal fornitore, ma non l’esistenza di un indirizzo segregato controllato dall’agenzia. Per comprovare integralmente la posizione, l’agenzia potrebbe aver bisogno dei documenti contrattuali, delle registrazioni nel registro del fornitore, delle evidenze di riconciliazione e delle osservazioni on-chain. Viceversa, un indirizzo di wallet gestito autonomamente che mostra un saldo non identifica, di per sé, la persona o l’istituzione legittimata a disporre di tali asset.

Evidenze, continuità e controversie

In una controversia relativa alla custodia, le evidenze spesso provengono da più di un sistema. Gli identificativi delle transazioni blockchain possono dimostrare che si sono verificati determinati trasferimenti, ma potrebbero non dimostrare quale cliente avesse diritto alla posizione risultante. I registri degli account del fornitore, i log di audit, le condizioni contrattuali e le cronologie delle autorizzazioni possono chiarire l’allocazione di tali trasferimenti. Un caso di autocustodia può invece dipendere dai registri relativi a chi poteva utilizzare una credenziale di firma, a come venivano ottenute le approvazioni e all’eventuale condivisione del controllo. In entrambi i contesti, chi svolge l’indagine deve evitare di equiparare il possesso di un indirizzo alla prova della titolarità.

Una verifica della continuità dovrebbe chiedere cosa accade se il fornitore sospende i prelievi, se un operatore di autocustodia diventa indisponibile o se la rete interessata smette temporaneamente di elaborare transazioni. Questi scenari non sono intercambiabili: incidono in modi diversi sull’applicazione dei contratti, sulla disponibilità della firma e sul regolamento delle transazioni sulla rete. La documentazione di emergenza dovrebbe pertanto definire le responsabilità a ciascun livello. Un diritto giuridicamente azionabile non può, da solo, produrre una firma crittografica non disponibile; allo stesso modo, l’accesso a una chiave privata non risolve, da solo, una controversia sulla titolarità giuridica.

Criteri decisionali e limiti

Nessuno dei due modelli è universalmente più sicuro. L’autocustodia privilegia il controllo diretto, ma richiede competenze operative autonome. La custodia affidata a un fornitore può migliorare i processi gestiti, ma dipende dalla governance e dalla solvibilità del fornitore e dall’esistenza di diritti azionabili. Gli approcci ibridi possono ripartire le responsabilità di firma o utilizzare un custode per alcune attività e la firma interna per altre. L’esame verifica la differenza concettuale e le relative conseguenze, non la preferenza per un modello specifico.

Focus d’esame: Determina chi controlla effettivamente l’autorizzazione delle transazioni, distingui i registri on-chain dai saldi interni dei clienti tenuti da un fornitore e separa la capacità tecnica di firmare dai diritti contrattuali e giuridici. Ricorda che la Raccomandazione 15 del GAFI è uno standard internazionale, mentre gli obblighi di custodia derivano dalla legge di ciascuna giurisdizione.