KYC e AML nelle cripto spiegati
KYC e AML nelle cripto spiegati: cosa verificano gli exchange, perché chiedono un documento d'identità, come funziona il monitoraggio delle transazioni e come proteggere i tuoi dati rispettando le regole.
KYC (Know Your Customer, «conosci il tuo cliente») e AML (Anti-Money Laundering, antiriciclaggio) sono le regole che impongono alle aziende di cripto regolamentate, come exchange e custodi, di verificare chi sono i propri clienti e di monitorare le transazioni per individuare segnali di riciclaggio di denaro, frode, finanziamento del terrorismo o elusione delle sanzioni. In pratica, il KYC è il motivo per cui un exchange ti chiede un documento d'identità, e l'AML è il motivo per cui può fare domande su alcune transazioni o trattenerle.
Queste regole non sono esclusive delle cripto: banche e società di pagamento ne seguono di simili. Ma poiché le cripto si muovono rapidamente e oltre i confini, le autorità di regolamentazione le hanno estese ai fornitori di servizi per le cripto nella maggior parte delle principali giurisdizioni. Sapere come funzionano ti aiuta ad aprire conti senza intoppi, a capire i ritardi e a riconoscere le false richieste di «verifica».
In cosa consiste il KYC
Il KYC è la parte di verifica dell'identità. Una tipica registrazione su un exchange richiede:
- 1Dati personali: nome completo, data di nascita, indirizzo e nazionalità.
- 2Documento d'identità: passaporto, carta d'identità o patente di guida.
- 3Verifica di esistenza in vita (liveness check): un selfie o un breve video per confermare che sei una persona reale corrispondente al documento.
- 4Prova di residenza: talvolta una bolletta recente o un estratto conto bancario.
- 5Origine dei fondi o del patrimonio: per i conti più consistenti, domande sulla provenienza del tuo denaro.
Molte piattaforme usano una verifica a livelli: i controlli di base consentono piccoli importi, mentre i livelli superiori sbloccano depositi e prelievi più elevati. Le aziende sono soggette a controlli aggiuntivi sui propri titolari e amministratori, spesso chiamati KYB (Know Your Business). Lettura correlata: Le tutele per i consumatori quando usi le piattaforme di cripto.
In cosa consiste l'AML
L'AML è la parte continuativa. Un'azienda di cripto regolamentata in genere deve:
- Valutare il rischio di ogni cliente e applicare controlli rafforzati ai profili a rischio più elevato.
- Verificare clienti e indirizzi rispetto alle liste delle sanzioni.
- Monitorare le transazioni per individuare schemi insoliti, spesso con strumenti di analisi blockchain che tracciano i fondi fino a hack noti, mercati del darknet o mixer.
- Segnalare le attività sospette all'unità di informazione finanziaria nazionale.
- Conservare la documentazione per un determinato numero di anni.
- Applicare la Travel Rule, che in molte giurisdizioni richiede di trasmettere informazioni di base su mittente e destinatario nei trasferimenti tra fornitori. La nostra guida sulla Travel Rule nelle cripto la spiega.
Da dove vengono le regole
Il FATF, un organismo intergovernativo, stabilisce gli standard internazionali. Nel 2019 ha chiarito che i suoi standard si applicano ai «virtual asset service providers» (fornitori di servizi per le attività virtuali), e da allora i Paesi li hanno recepiti nella legislazione nazionale. Tra gli esempi figurano i regimi di registrazione o di autorizzazione per le aziende di cripto e, nell'Unione europea, il Markets in Crypto-Assets Regulation insieme a norme antiriciclaggio aggiornate. Il nostro approfondimento su MiCA illustra il quadro dell'UE. Il nostro articolo Le cripto sono legali? Come cambiano le regole nel mondo approfondisce questo punto. Il nostro articolo Che cos'è un VASP? I fornitori di servizi per le attività virtuali spiegati approfondisce questo punto.
Poiché ogni Paese attua gli standard in modo diverso, soglie, documenti e regole di segnalazione variano. Le regole cambiano anche nel tempo, quindi consulta il sito della tua autorità di vigilanza nazionale per i requisiti attuali. Il sito del FATF pubblica gli standard di riferimento.
Chi deve fare il KYC e chi no
| Servizio | KYC di solito richiesto? | Perché |
|---|---|---|
| Exchange centralizzato | Sì | Custodisce i fondi dei clienti ed è collegato alle banche |
| Gestore di ATM per cripto | Spesso, almeno oltre certi limiti | Converte contanti in cripto |
| Custode o piattaforma di lending | Sì | Custodisce o gestisce gli asset dei clienti |
| App di wallet in autocustodia | In genere no | Solo software; le chiavi le hai tu |
| Smart contract di un exchange decentralizzato | In genere no | È codice, non un'azienda che custodisce fondi, anche se i gestori del front-end possono limitare l'accesso |
Questo è uno schema generale, non una regola giuridica valida per ogni Paese. Alcune giurisdizioni impongono obblighi sui trasferimenti da e verso wallet in autocustodia. Se hai dubbi, il nostro articolo su come scegliere tra autocustodia e custodia sull'exchange spiega i pro e i contro. Se vuoi approfondire, leggi Wallet self-hosted e regolamentazione.
I compromessi sulla privacy
Il KYC comporta che un'azienda conservi dati personali sensibili, e le violazioni dei dati succedono. Collegare la tua identità a un account su un exchange significa anche che, tramite l'analisi blockchain, i tuoi depositi e prelievi possono spesso essere ricondotti agli indirizzi che usi altrove. Vedi anche: Sanzioni e cripto.
Misure ragionevoli per limitare l'esposizione:
- Usa solo le piattaforme strettamente necessarie e chiudi gli account che non usi più.
- Preferisci piattaforme che spiegano per quanto tempo conservano i dati e come li proteggono.
- Fai attenzione a collegare pubblicamente il tuo nome agli indirizzi dei wallet.
Queste misure riducono il rischio senza violare alcuna regola. Nascondere deliberatamente l'origine dei fondi a una piattaforma regolamentata è tutt'altra cosa e può avere conseguenze legali.
Disagi comuni e come gestirli
- Verifica in ritardo. Usa foto nitide e non ritagliate, nomi coincidenti e un documento di residenza aggiornato.
- Prelievi trattenuti. I fondi collegati a indirizzi segnalati o ad attività insolite possono essere sottoposti a verifica. Rispondi onestamente alle domande e conserva documentazione sulla provenienza delle tue cripto.
- Limitazioni dell'account. Le piattaforme possono limitare il servizio in base al Paese. Usare una VPN per aggirare queste limitazioni di solito viola i termini di servizio e può portare al blocco dei fondi.
Tenere un semplice registro di depositi, prelievi e indirizzi rende le verifiche più rapide, e aiuta anche con le tasse.
Truffe legate al KYC a cui prestare attenzione
I criminali sfruttano il fatto che le persone si aspettano che vengano loro chiesti documenti:
- Exchange falsi che raccolgono passaporti e selfie, poi spariscono o vendono i dati.
- Messaggi «Verifica il tuo wallet» che chiedono la tua seed phrase. Nessuna procedura KYC legittima ha mai bisogno della tua seed phrase o della tua chiave privata.
- Commissioni di sblocco. Falsi operatori dell'assistenza sostengono che devi pagare una «commissione di compliance» o un «deposito AML» per sbloccare i fondi. È una caratteristica comune degli exchange di cripto falsi.
- Link di phishing verso pagine di verifica che imitano quelle vere.
Prima di caricare qualsiasi cosa, verifica che la piattaforma sia autorizzata o registrata presso la tua autorità di vigilanza e di averla raggiunta tramite il suo dominio ufficiale.
In sintesi
KYC e AML sono il prezzo da pagare per collegare le cripto al sistema finanziario regolamentato: controlli d'identità all'ingresso e monitoraggio delle transazioni in seguito. Aspettateli da qualsiasi exchange legittimo, conserva la documentazione per rendere le verifiche indolori e considera una truffa qualsiasi richiesta della tua seed phrase o di una «commissione di sblocco». Le regole variano da Paese a Paese e cambiano spesso, quindi consulta le fonti ufficiali o un professionista qualificato per la tua situazione.
Domande frequenti
Perché un exchange di cripto ha bisogno del mio documento d'identità?
In molti Paesi gli exchange e gli altri fornitori di servizi per le cripto sono tenuti per legge a identificare i propri clienti e a monitorare le transazioni nell'ambito delle norme antiriciclaggio. Chiedere un documento d'identità, una prova di residenza e talvolta un selfie è il modo in cui adempiono a questi obblighi, e una piattaforma che salta del tutto questi passaggi potrebbe non essere regolamentata correttamente.
Posso usare le cripto senza KYC?
I wallet in autocustodia e molte applicazioni decentralizzate non chiedono l'identità, perché non custodiscono i tuoi fondi. Tuttavia, la conversione tra cripto e denaro bancario passa di solito da un servizio regolamentato che richiede il KYC, e le norme sui wallet non ospitati variano da Paese a Paese. Verifica sempre le regole del luogo in cui vivi.
Perché il mio prelievo dall'exchange è stato bloccato per una verifica?
Gli exchange monitorano le transazioni alla ricerca di schemi collegati a frodi, sanzioni o riciclaggio di denaro. Un prelievo può essere trattenuto se è insolitamente consistente, se è diretto a un indirizzo segnalato o se non corrisponde al tuo profilo. Rispondi solo tramite il canale di assistenza ufficiale e non inviare mai denaro a chi promette di sbloccare il tuo account.
È sicuro caricare il mio passaporto su una piattaforma di cripto?
È sicuro quanto lo sono la sicurezza e le pratiche di gestione dei dati della piattaforma. Carica i documenti solo su servizi affermati e autorizzati, raggiunti tramite il sito web o l'app ufficiale, mai tramite link ricevuti in messaggi. I truffatori gestiscono exchange falsi e pagine di verifica false proprio per raccogliere documenti d'identità.