30 giugno 2026 – La comunicazione ufficiale di Consob e Banca d’Italia elenca gli otto operatori autorizzati a prestare servizi su cripto-attività in Italia a partire dal 1° luglio, data di piena entrata in vigore del Regolamento europeo MiCAR (Market in Crypto Assets Regulation). CheckSig, Conio, CryptoSmart, Hercle, Hodlie, Olliv, Riv Digital e Young Platform diventano i soli soggetti, insieme a Banca Sella che ha completato la notifica, abilitati a operare sul mercato nazionale e, grazie al regime del “passaporto europeo”, in tutta l’Unione. Per centinaia di altre piattaforme, attive fino a quel momento in un regime di sostanziale deregolamentazione, scatta l’obbligo perentorio di cessare l’attività, limitandosi a gestire la chiusura dei rapporti con la clientela. L’Autorità europea degli strumenti finanziari e dei mercati (ESMA) aveva da mesi richiesto a questi operatori di predisporre e attuare piani di dismissione ordinata, un’istruzione chiara volta a proteggere gli utenti e garantire una transizione sicura dei loro asset verso operatori autorizzati o wallet auto-custoditi.
Per la dirigenza di CryptoExchange International S.p.A., un operatore con sede a Milano e decine di migliaia di clienti in Italia, Francia e Spagna, la scadenza del 30 giugno non rappresenta un traguardo, ma l’inizio di una crisi operativa e legale. L’azienda non ha ottenuto l’autorizzazione in nessuno Stato membro e il suo piano di dismissione, richiesto dall’ESMA, è rimasto allo stato di bozza informale, mai formalmente approvato dal Consiglio di Amministrazione né comunicato alle autorità di vigilanza. Questa omissione è il primo anello di una catena di responsabilità che porterà al disastro. Se l’azienda avesse adottato un sistema di gestione integrata dei rischi come Scudo231, la direttiva ESMA sarebbe stata censita mesi prima come un obbligo normativo non derogabile, generando un workflow vincolante per la funzione Compliance e Legale. La mancata approvazione del piano di dismissione da parte del CdA entro la data limite interna, fissata dal sistema, avrebbe innescato un’escalation automatica e tracciata all’Organismo di Vigilanza (OdV), documentando l’inerzia del management e creando una prima, fondamentale barriera a tutela della responsabilità dell’ente.
Il 2 luglio, due giorni dopo la scadenza, le operazioni sulla piattaforma di CryptoExchange International non si fermano. Anzi, il responsabile commerciale per il Sud Europa, spinto da obiettivi di bonus trimestrali, invia una comunicazione a una lista di clienti “premium” proponendo un nuovo servizio di staking tramite una società veicolo con sede nelle Isole Cayman, presentandola come una soluzione per “continuare a operare senza le complessità della burocrazia MiCAR”. L’operazione è una palese violazione della normativa, configurando l’esercizio abusivo di servizi su cripto-attività, un reato che espone la società a sanzioni penali e amministrative gravissime. Il management, pur non avendola ordinata direttamente, ne è a conoscenza per via informale, ma non interviene. L’assenza di un controllo formale su comunicazioni esterne e sull’avvio di nuovi servizi si rivela fatale. Con un’architettura di controllo come quella di Scudo231, l’invio di una comunicazione di massa contenente parole chiave ad alto rischio come “Cayman”, “eludere MiCAR” o “nuovo servizio non autorizzato” avrebbe attivato un alert in tempo reale. Il sistema, monitorando i flussi di dati in uscita, avrebbe bloccato l’invio della campagna email e contemporaneamente notificato l’anomalia al Responsabile Antiriciclaggio e all’OdV, creando una prova documentale inalterabile del tentativo di elusione fraudolenta delle procedure da parte del dirigente. L’intervento preventivo avrebbe bloccato il reato sul nascere, isolando la responsabilità a livello individuale e proteggendo l’ente dalla contestazione di una colpa organizzativa.
Nelle settimane successive, decine di clienti aderiscono alla proposta, trasferendo asset per un valore complessivo di 15 milioni di euro verso i wallet della società veicolo offshore. La tracciabilità di questi fondi diventa immediatamente opaca. La funzione Tesoreria di CryptoExchange International esegue i trasferimenti senza applicare i presidi di adeguata verifica rafforzata, omettendo di documentare la natura dell’operazione e la destinazione finale dei fondi. Questa grave negligenza integra gli estremi del reato di riciclaggio, poiché l’azienda agevola il trasferimento di fondi derivanti da un’attività illecita (l’esercizio abusivo) verso un ordinamento non cooperativo. La mancanza di segregazione tra i fondi della società e quelli dei clienti, unita a registrazioni contabili sommarie, rende impossibile per chiunque, inclusi i revisori, ricostruire i flussi con certezza. In un’organizzazione dotata di un modello di prevenzione efficace, ogni trasferimento di cripto-attività sarebbe stato soggetto a un processo autorizzativo a più livelli, tracciato digitalmente. Il tentativo di spostare fondi verso un indirizzo wallet non censito e localizzato in una giurisdizione a rischio avrebbe causato il blocco automatico della transazione da parte del sistema. Per procedere, sarebbe stata necessaria un’autorizzazione esplicita e motivata da parte della funzione Compliance, che, di fronte a un’operazione palesemente illegittima, l’avrebbe negata, documentando il rifiuto. Questo controllo operativo avrebbe impedito la commissione del reato di riciclaggio, salvaguardando il patrimonio dei clienti e mettendo al riparo la società dal rischio di una confisca per equivalente.
L’inevitabile arriva il 15 settembre 2026. Su segnalazione di un operatore autorizzato che aveva ricevuto lamentele da ex clienti di CryptoExchange International, la Consob trasmette gli atti alla Procura della Repubblica di Milano. Alle prime luci dell’alba, il Nucleo Speciale di Polizia Valutaria della Guardia di Finanza si presenta presso la sede della società con un decreto di perquisizione e sequestro. Gli inquirenti acquisiscono server, documentazione contabile e corrispondenza elettronica. L’analisi forense rivela rapidamente il quadro: la mancata adozione di un piano di dismissione, la continuazione dell’attività tramite la società offshore e la gestione opaca dei fondi dei clienti. Al legale rappresentante e a tre dirigenti vengono contestati i reati di abusivismo finanziario (art. 166 del Testo Unico della Finanza, applicabile per analogia) e riciclaggio (art. 648-bis c.p.).
Contestualmente, in base al Decreto Legislativo 231/2001, la Procura iscrive nel registro degli indagati anche la società CryptoExchange International S.p.A. in quanto ente nel cui interesse e a cui vantaggio sono stati commessi i reati. L’assenza di un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo ed efficacemente attuato rende la posizione dell’ente indifendibile. Il Giudice per le Indagini Preliminari, accogliendo la richiesta del Pubblico Ministero, dispone il sequestro preventivo finalizzato alla confisca di 15 milioni di euro, pari al profitto del reato, direttamente dai conti correnti della società. L’impatto è devastante: l’azienda, già priva di liquidità, è di fatto paralizzata e avviata al fallimento, lasciando i restanti clienti nell’impossibilità di recuperare i propri asset. Se l’azienda avesse potuto esibire i report e i log immutabili generati da un ecosistema come Scudo231, la difesa avrebbe avuto una base solida per dimostrare la cosiddetta “prova liberatoria”. Avrebbe potuto argomentare che l’ente non solo aveva adottato un modello idoneo a prevenire quei reati, ma che questo era stato fraudolentemente eluso da specifici individui. I registri delle mancate approvazioni, degli allarmi generati e delle transazioni bloccate avrebbero costituito una prova tecnologica schiacciante, potenzialmente in grado di evitare l’applicazione delle sanzioni interdittive (come il divieto di esercitare l’attività) e di ridurre drasticamente l’importo del sequestro, dimostrando che la colpa organizzativa era assente e che l’ente aveva agito attivamente per impedire l’illecito. La vicenda di CryptoExchange International diventa così un caso di studio emblematico non solo sulle conseguenze dell’entrata in vigore del MiCAR, ma sulla differenza cruciale tra una compliance puramente formale e una prevenzione dei reati radicata nei processi operativi e sorvegliata da sistemi di controllo autonomi e in tempo reale.