AML/KYC nel mondo cripto: la Travel Rule FATF e gli obblighi VASP sotto MiCA

La Travel Rule non è un consiglio: è un obbligo di legge

Nel linguaggio corrente del settore cripto si sente spesso la parola "compliance" usata come sinonimo di buona pratica, di scelta volontaria, di differenziale competitivo. È un fraintendimento che può costare molto. La Travel Rule, derivata dalla FATF Recommendation 16, non è una best practice: è un obbligo normativo che, dal 30 dicembre 2024, è diventato direttamente applicabile nell'Unione Europea attraverso il Regolamento (UE) 2023/1113 — il cosiddetto Transfer of Funds Regulation rifuso, comunemente denominato TFR. Chi gestisce un Virtual Asset Service Provider nell'Unione Europea non ha margine di discrezionalità. Ha obblighi precisi, scadenze certe e sanzioni già comminate.

Questo articolo spiega cosa impone concretamente la Travel Rule ai VASP, come MiCA la inserisce nel quadro regolatorio, dove si trova il punto critico degli unhosted wallet, e come si muove la prassi olandese — che rimane tra le più rigorose d'Europa, come dimostrano i precedenti della De Nederlandsche Bank.

FATF Recommendation 16: l'origine della norma

Il Financial Action Task Force è l'organismo intergovernativo che stabilisce gli standard globali di contrasto al riciclaggio di denaro (AML) e al finanziamento del terrorismo (CFT). La Recommendation 16, nella sua versione originale del 1996, imponeva alle banche di trasmettere le informazioni sull'ordinante in ogni trasferimento di fondi. Nel 2019, il FATF ha aggiornato la Recommendation 15 e modificato la 16 per estendere l'obbligo ai Virtual Asset Service Provider, equiparandoli ai prestatori di servizi di pagamento tradizionali.

Il principio è semplice: ogni volta che un VASP trasferisce cripto-asset per conto di un cliente verso un altro VASP, deve trasmettere — insieme alla transazione — un pacchetto di dati identificativi. Questo pacchetto include, per l'ordinante: nome e cognome, numero del conto o identificativo del wallet, indirizzo fisico o numero di documento d'identità o data e luogo di nascita o numero identificativo del cliente. Per il beneficiario: nome e cognome e numero del conto o identificativo del wallet. La soglia minima originaria del FATF era di 1.000 USD/EUR, ma molti ordinamenti nazionali — incluso quello europeo nel TFR rifuso — hanno abbassato o eliminato questa soglia in determinati contesti.

La logica è quella del "travelling with the transaction": le informazioni devono viaggiare insieme ai fondi, come il bagaglio che accompagna il passeggero. Da qui il nome Travel Rule.

Il TFR 2023/1113: cosa cambia rispetto al vecchio regolamento

Il Regolamento (UE) 2023/1113, in vigore dal 29 giugno 2023 e applicabile dal 30 dicembre 2024, sostituisce il precedente Regolamento (UE) 2015/847 ed estende esplicitamente la Travel Rule ai trasferimenti di cripto-asset. È questo il testo normativo che ogni VASP operante nell'Unione deve conoscere in dettaglio.

L'articolo 4 del TFR impone al VASP dell'ordinante di accompagnare ogni trasferimento di cripto-asset con le seguenti informazioni: nome dell'ordinante, numero del conto distribuito (ossia l'indirizzo del wallet o l'identificativo dell'account), e — almeno per i trasferimenti superiori a 1.000 EUR — indirizzo, numero di documento ufficiale e data e luogo di nascita, oppure numero identificativo del cliente. L'articolo 7 impone al VASP del beneficiario di raccogliere e verificare le informazioni sul beneficiario stesso, inclusi nome e indirizzo del conto distribuito.

Un punto cruciale introdotto dal TFR rifuso: l'obbligo non ha soglia minima per i trasferimenti VASP-to-VASP. Qualsiasi importo, anche microscopico, deve essere accompagnato dalle informazioni sull'ordinante e sul beneficiario. La soglia dei 1.000 EUR vale solo per il livello di dettaglio richiesto, non per l'obbligo di trasmissione in sé. Questo differisce dalla normativa sui pagamenti tradizionali e costituisce un elemento di rigore specifico del settore cripto.

Il TFR impone inoltre ai VASP di implementare procedure per verificare l'accuratezza delle informazioni ricevute, e di bloccare o rifiutare la transazione se le informazioni mancano o sono incomplete. L'articolo 12 consente di eseguire comunque la transazione in casi eccezionali, ma impone di segnalare l'anomalia e di sottoporre l'operazione a ulteriore monitoraggio.

MiCA art. 83 e il coordinamento con TFR

Il Regolamento (UE) 2023/1114 — Market in Crypto-Assets, MiCA — è diventato pienamente applicabile il 30 dicembre 2024 per i CASP (Crypto-Asset Service Provider, la denominazione MiCA degli operatori del settore). L'articolo 83 di MiCA non introduce una Travel Rule autonoma, ma rinvia espressamente al TFR per gli obblighi di tracciabilità dei trasferimenti. Il coordinamento tra i due regolamenti è intenzionale: MiCA disciplina l'autorizzazione, i requisiti organizzativi e la condotta dei CASP; TFR disciplina gli obblighi AML/CFT nelle transazioni.

Il risultato pratico è che ogni CASP autorizzato sotto MiCA è automaticamente soggetto al TFR. Non è possibile ottenere l'autorizzazione MiCA e ignorare gli obblighi Travel Rule. Le autorità nazionali competenti — in Italia la Banca d'Italia e l'OAM, nei Paesi Bassi la DNB — vigilano su entrambi i profili in modo integrato.

MiCA, attraverso i suoi articoli 72-76, impone anche obblighi di custodia e separazione dei cripto-asset dei clienti che si sovrappongono parzialmente agli obblighi AML: la segregazione dei wallet, la tracciabilità dei movimenti interni, e la capacità di ricostruire in qualsiasi momento la posizione di ciascun cliente. Questi requisiti sono strumentali anche alla compliance Travel Rule, perché senza una gestione ordinata degli account interni è impossibile produrre le informazioni richieste dal TFR.

Il problema degli unhosted wallet: dove la traccia si interrompe

Il punto più critico della Travel Rule — e quello su cui si concentrano i maggiori rischi di non conformità — riguarda i trasferimenti verso o da wallet non custoditi, cioè wallet che non sono gestiti da un VASP/CASP ma direttamente dall'utente finale (hardware wallet, software wallet, wallet auto-custodito). In gergo regolatorio si chiamano "unhosted wallet" o "self-hosted wallet".

Quando un utente invia cripto-asset dal proprio account su un CASP verso il proprio wallet non custodito, la catena del trasferimento si interrompe: non esiste un VASP di destinazione che possa ricevere le informazioni Travel Rule e verificarle. Simmetricamente, quando un utente deposita cripto-asset da un wallet non custodito verso il proprio account su un CASP, il CASP ricevente non può ottenere le informazioni sull'ordinante da un intermediario, perché non ce n'è uno.

Il TFR 2023/1113 affronta esplicitamente questo scenario. L'articolo 14 impone ai CASP di raccogliere direttamente dall'ordinante (o dal beneficiario) le informazioni mancanti quando la controparte è un wallet non custodito, per i trasferimenti superiori a 1.000 EUR. Per i trasferimenti inferiori a 1.000 EUR, il CASP deve valutare se il wallet appartiene effettivamente al cliente (ownership verification) e se non vi sono indicatori di rischio.

La verifica della titolarità del wallet non custodito è la pratica più dibattuta del settore. I metodi più diffusi includono la firma crittografica (il cliente firma un messaggio con la chiave privata del wallet per dimostrare di controllarla), la micro-transazione di verifica (il CASP invia una somma infinitesimale al wallet e chiede al cliente di confermare la ricezione), e la dichiarazione sostitutiva. Nessuno di questi metodi è imposto dal TFR come obbligatorio in modo specifico: il regolamento lascia ai CASP la scelta della procedura, purché il risultato — la verifica della titolarità — sia raggiunto con un livello di affidabilità proporzionato al rischio.

Il rischio principale degli unhosted wallet, dal punto di vista AML, è che consentono di uscire dalla catena tracciata. Un utente potrebbe ricevere fondi di provenienza illecita su un wallet non custodito, mixarli attraverso protocolli di privacy (mixer, coinjoin), e poi depositarli su un CASP presentandoli come fondi propri. Questo schema — noto come "layering via self-custody" — è esattamente il tipo di condotta che la Travel Rule cerca di intercettare, anche se non può mai eliminarlo del tutto.

Obblighi di identificazione del beneficiario in un trasferimento cripto

Nella pratica operativa, il flusso di compliance per un trasferimento VASP-to-VASP si articola come segue. Il VASP dell'ordinante raccoglie i dati identificativi dell'ordinante in fase di onboarding (KYC), verifica l'identità secondo le procedure AML/CDD (Customer Due Diligence), e allega questi dati al messaggio di trasferimento usando uno dei protocolli tecnici disponibili (su cui si tornerà). Il VASP del beneficiario riceve i dati, verifica la completezza e l'accuratezza delle informazioni, confronta il nome del beneficiario dichiarato con il titolare dell'account interno, e solo allora accredita i fondi.

Se il VASP del beneficiario riceve fondi senza le informazioni richieste, deve — ai sensi dell'art. 12 TFR — valutare se accreditare comunque i fondi (documentando la valutazione del rischio) o restituirli. In caso di anomalie ripetute dallo stesso VASP mittente, il TFR prevede che il VASP ricevente possa segnalare il pattern all'Unità di Informazione Finanziaria (FIU) competente e, nei casi più gravi, rifiutare sistematicamente le transazioni proveniente da quella controparte.

Il CASP deve inoltre conservare tutte le informazioni Travel Rule per almeno cinque anni ai sensi della IV e V Direttiva AML (recepite in Italia con D.Lgs. 231/2007 e successive modifiche, nei Paesi Bassi con la Wet ter voorkoming van witwassen en financieren van terrorisme — Wwft).

I protocolli tecnici: IVMS101 e le soluzioni di mercato

La Travel Rule crea un problema tecnico non banale: la blockchain non è progettata per trasmettere dati identificativi insieme alle transazioni. Il registro distribuito trasferisce valore, non informazioni personali. Le informazioni Travel Rule devono quindi viaggiare su un canale separato, sicuro e interoperabile tra i VASP coinvolti.

Lo standard di messaggistica IVMS101 (InterVASP Messaging Standard) è stato sviluppato dal Joint Working Group on interVASP Messaging Standards per definire il formato comune dei dati Travel Rule. IVMS101 specifica il dizionario dei campi (nome, indirizzo, identificativo, ecc.) e i formati di codifica. È lo standard de facto, anche se non è formalmente imposto dal TFR.

Sul mercato esistono diverse piattaforme che intermediano lo scambio di dati Travel Rule tra VASP: Notabene, Sygna Bridge, Shyft Network, OpenVASP (protocollo open source sviluppato da iniziativa europea) (da verificare). Queste piattaforme costruiscono reti di VASP "partner" che si riconoscono reciprocamente e scambiano i dati in forma cifrata. Il problema è la frammentazione: non esiste un'unica rete globale, e un VASP potrebbe non essere connesso alla stessa rete del VASP controparte. In questi casi si ricorre a soluzioni di fallback, che tuttavia aumentano il rischio operativo.

Sanzioni già comminate nell'UE e la prassi olandese

La DNB — De Nederlandsche Bank — ha dimostrato fin dall'entrata in vigore della Wwft applicata ai VASP di voler esercitare il potere sanzionatorio senza esitazione. Il caso più noto riguarda Binance, al quale la DNB ha comminato nel 2021 una multa di 3,3 milioni di euro per aver operato nei Paesi Bassi senza registrazione, e successivamente ha avviato procedimenti per carenze nei sistemi AML. Binance ha ottenuto la registrazione DNB nel 2022, ma il precedente ha segnato il mercato.

Sempre la DNB ha sanzionato nel 2023 BitMEX per violazioni degli obblighi di registrazione e AML (da verificare l'importo esatto della sanzione olandese, distinto dalle sanzioni statunitensi). Nel contesto più ampio europeo, il 2024 ha visto l'apertura di procedimenti da parte della BaFin tedesca e della FCA britannica (pre-Brexit) verso operatori cripto con sistemi KYC insufficienti.

La prassi olandese si distingue per alcuni elementi specifici. La DNB richiede ai VASP registrati una politica Travel Rule scritta e approvata dal management, un registro delle controparti VASP con cui si scambiano informazioni, una procedura documentata per gli unhosted wallet con criteri di risk scoring, e test periodici dei sistemi tecnici di trasmissione dati. L'ispezione DNB verifica non solo la policy sul paper, ma la sua effettiva implementazione attraverso campioni di transazioni reali.

La Wwft olandese — Wet ter voorkoming van witwassen en financieren van terrorisme — nella sua versione aggiornata recepisce il TFR e impone ai VASP registrati obblighi di segnalazione alla FIU-the Netherlands (unità di intelligence finanziaria) per le operazioni sospette. La soglia per la segnalazione automatica non è definita per importo ma per indicatori di rischio, tra cui: transazioni verso wallet che appaiono su liste di indirizzi associati a sanzioni (OFAC, EU Consolidated List), transazioni con mixer o protocolli di privacy noti, transazioni in cripto-asset ad alta privacy (Monero, Zcash) (da verificare se la DNB li tratta diversamente).

Obbligo	Fonte normativa	Soglia	Conservazione
Trasmissione dati ordinante/beneficiario (VASP-to-VASP)	TFR 2023/1113, artt. 4-7	Nessuna soglia minima	5 anni
Verifica titolarità wallet non custodito	TFR 2023/1113, art. 14	> 1.000 EUR	5 anni
KYC completo dell'ordinante	VI Direttiva AML / Wwft (NL)	Sempre (indipendente dall'importo)	5 anni
Segnalazione operazione sospetta (STR)	Wwft art. 16 (NL) / D.Lgs. 231/2007 (IT)	Basata su indicatori, non su importo	5 anni
Autorizzazione/registrazione CASP	MiCA, art. 59 ss.	N/A	Continua

I tool di blockchain analytics: come la compliance diventa operativa

La norma impone gli obblighi. La tecnologia rende possibile assolverli in scala. I VASP che gestiscono volumi significativi di transazioni non possono fare KYC e monitoring manualmente: usano strumenti di blockchain analytics che analizzano il grafo delle transazioni on-chain e assegnano a ciascun indirizzo wallet un profilo di rischio.

I principali strumenti utilizzati dai VASP europei in compliance includono Chainalysis Reactor e KYT (Know Your Transaction), Elliptic Navigator, TRM Labs, CipherTrace (ora parte di Mastercard) e Crystal Blockchain (sviluppato da società con radici scandinave). Questi strumenti mantengono database di indirizzi classificati per tipologia di attività: exchange centralizzato, darknet market, mixer, gambling, ransomware, entità sanzionata. Ogni transazione in entrata o in uscita viene confrontata in tempo reale con questo database, e se l'indirizzo controparte supera una soglia di rischio prestabilita, scatta un alert che richiede revisione umana.

La DNB ha incluso nelle sue linee guida del 2022 (da verificare la data esatta della circolare) l'aspettativa che i VASP registrati utilizzino strumenti di blockchain analytics proporzionati al volume operativo. Un operatore che processa decine di migliaia di transazioni al giorno senza alcuno strumento automatizzato sarebbe considerato non conforme agli standard di adeguata verifica della clientela, indipendentemente dalla qualità delle sue procedure KYC iniziali.

Il punto critico — che spesso sfugge agli operatori più piccoli — è che la blockchain analytics non sostituisce il KYC: lo integra. L'identità del cliente è verificata all'onboarding; il comportamento delle sue transazioni è monitorato in continuo. Se un cliente il cui profilo KYC è perfettamente regolare inizia a inviare fondi verso indirizzi associati a entità sanzionate, l'alert deve scattare e deve essere gestito. L'assenza di un sistema che intercetti questo scenario non è una scusa accettabile davanti alla DNB.

I nodi aperti: cosa la norma non risolve

Sarebbe disonesto concludere senza segnalare i problemi che la Travel Rule non risolve e che rimangono oggetto di discussione regolamentare.

Il primo è la frammentazione delle reti di trasmissione dati. Come accennato, non esiste un'unica infrastruttura globale per lo scambio di messaggi Travel Rule. Finché i VASP non convergono su protocolli comuni o su reti interoperabili, il rischio che le informazioni non raggiungano la controparte — o che raggiungano la controparte sbagliata — rimane reale. Il FATF stesso ha riconosciuto questo problema nel suo rapporto del 2023 di revisione dell'implementazione della Travel Rule.

Il secondo è la copertura geografica. La Travel Rule è pienamente implementata nell'Unione Europea, nel Regno Unito, a Singapore, nei principali centri finanziari. Ma esistono giurisdizioni — alcune delle quali ospitano exchange di dimensioni rilevanti — che non hanno ancora recepito la Recommendation 16 o la applicano in modo molto blando. Un VASP europeo che riceve fondi da un exchange in una giurisdizione non conforme si trova in una posizione difficile: deve applicare misure rafforzate di due diligence verso quella controparte, ma non può ottenere i dati che la norma richiede.

Il terzo è la tensione tra Travel Rule e privacy. I dati identificativi trasmessi attraverso i protocolli Travel Rule sono dati personali ai sensi del GDPR. La loro trasmissione a VASP esteri solleva questioni di trasferimento internazionale di dati personali (artt. 44-49 GDPR) che non sono ancora state pienamente risolte a livello europeo.

Cosa deve fare oggi un VASP operativo

Le implicazioni pratiche di tutto quanto esposto si riducono a un checklist operativo che ogni CASP autorizzato o in via di autorizzazione sotto MiCA deve essere in grado di esibire in sede ispettiva. Primo: policy Travel Rule scritta, approvata dal management e aggiornata al TFR 2023/1113. Secondo: procedura documentata per gli unhosted wallet, con metodo di verifica della titolarità scelto e giustificato in base al rischio. Terzo: contratto con almeno un fornitore di blockchain analytics con copertura delle principali blockchain utilizzate dal VASP. Quarto: registro aggiornato delle controparti VASP con cui si scambiano informazioni Travel Rule e del protocollo tecnico usato. Quinto: procedura di gestione degli alert, con traccia delle decisioni prese (accredito con motivazione, blocco, segnalazione STR). Sesto: formazione del personale operativo documentata e aggiornata.

Nessuno di questi elementi è opzionale. La DNB — e, dopo l'entrata in vigore di MiCA, le autorità nazionali competenti degli altri Stati membri — verificano sistematicamente questa infrastruttura di compliance. Non il prodotto, non la tecnologia: il sistema di controllo interno. È questa la lezione che il settore cripto sta imparando, spesso a caro prezzo, dall'incontro con la regulation tradizionale.

"La Travel Rule ha fatto alla finanza digitale quello che il passaporto ha fatto ai confini: non elimina il movimento, lo rende tracciabile. Chi costruisce un VASP senza progettare il sistema di compliance dalla fondamenta non sta costruendo un'azienda: sta costruendo un problema."

— Lieke, Specialista Crypto Law & MiCA, TheDevilLawyer