14 agosto 2026 – Un portafoglio digitale contenente criptovalute per un valore di oltre 7,5 milioni di dollari è stato congelato e posto sotto sequestro. L’operazione, denominata “Cagliostro”, segna uno dei colpi più significativi mai inferti in Italia alla finanza criminale basata su asset virtuali e rappresenta il secondo, decisivo capitolo di un’indagine partita nell’autunno precedente. A condurla, in un’azione coordinata dalla Procura di Bologna, sono stati gli specialisti della Polizia di Stato e gli investigatori finanziari della Guardia di Finanza, che hanno così disvelato l’ultimo anello della catena di riciclaggio legata al caso “Voltaiko”.
L’inchiesta originaria, avviata nell’ottobre 2025, aveva smascherato uno schema fraudolento transnazionale di vasta portata. Circa 6.000 risparmiatori, attratti dalla promessa di alti rendimenti derivanti da presunti investimenti “green” in impianti fotovoltaici localizzati all’estero, avevano affidato i propri capitali a un’organizzazione che si è rivelata essere una sofisticata macchina per la truffa. Gli impianti, come accertato dagli inquirenti, erano del tutto inesistenti. I fondi raccolti, invece, erano reali e seguivano un percorso studiato per renderne impossibile la tracciabilità: una volta incassati su conti correnti societari, venivano sistematicamente dirottati su piattaforme digitali e convertiti in criptovalute.
La raccolta di capitali da una platea così vasta e frammentata avrebbe dovuto costituire il primo, invalicabile, campanello d’allarme per qualsiasi struttura societaria dotata di presidi di controllo minimamente efficaci. L’accettazione di migliaia di bonifici da persone fisiche, per importi eterogenei, è un’operatività palesemente anomala per una società che dichiara di operare nel settore degli investimenti energetici su larga scala. In un’organizzazione che avesse adottato un’architettura di difesa integrata, questo flusso anomalo sarebbe stato intercettato in tempo reale. Un sistema come Scudo231, che esegue un monitoraggio massivo e non a campione dei flussi finanziari, avrebbe immediatamente rilevato la divergenza tra il profilo di rischio dichiarato e l’operatività effettiva, generando un alert automatico. La segnalazione, corredata da un’analisi statistica che evidenziava la natura atipica delle transazioni, sarebbe stata scalata istantaneamente all’Organismo di Vigilanza e alla funzione Antiriciclaggio, imponendo un blocco cautelativo dei fondi e l’avvio di una verifica interna approfondita, prima ancora che potesse configurarsi il reato di truffa aggravata ai danni dei risparmiatori.
Invece, per mesi, i capitali sono affluiti senza ostacoli sui 95 conti correnti poi congelati dagli inquirenti. Il passaggio successivo, ovvero la conversione in valuta virtuale, rappresenta una seconda, e ancora più grave, omissione di controllo. Il trasferimento di ingenti somme di denaro da conti aziendali verso exchange di criptovalute è un’operazione ad altissimo rischio che richiede una giustificazione economica e commerciale ferrea, nonché una catena autorizzativa robusta e tracciata. L’assenza di tali controlli ha permesso ai promotori della truffa di polverizzare il denaro, rendendo estremamente complesse le indagini successive. Se l’ente si fosse dotato di protocolli operativi vincolanti, l’ordine di disporre un bonifico verso un soggetto non censito e operante in un settore ad alto rischio come quello degli asset digitali sarebbe stato bloccato alla fonte. La procedura implementata da un ecosistema sovrano avrebbe imposto una serie di validazioni incrociate: la coerenza dell’operazione con l’oggetto sociale, l’esistenza di un contratto sottostante e l’approvazione formale e registrata da parte degli organi apicali. In mancanza di questa documentazione, il sistema non solo avrebbe impedito l’esecuzione del pagamento, ma avrebbe generato un “incidente di rischio” formale, documentando in un log immodificabile il tentativo di porre in essere un’operazione potenzialmente illecita. Tale documentazione sarebbe poi diventata la prova regina dell’efficace attuazione del modello organizzativo, scindendo la responsabilità dell’ente da quella degli amministratori infedeli.
L’indagine della Procura di Bologna è potuta partire solo dopo le prime denunce, quando il danno per i 6.000 risparmiatori era ormai pienamente compiuto. Il primo intervento, nell’autunno del 2025, aveva portato all’oscuramento del sito web utilizzato per la raccolta dei fondi e al sequestro di beni per un valore complessivo di quasi 2 milioni di euro. Tra questi, figuravano dispositivi elettronici, beni di lusso, lingotti d’oro e, soprattutto, due ville in provincia di Rimini, beni che rappresentavano la materializzazione di una frazione minima dei profitti illeciti. Questo primo sequestro, eseguito per equivalente, ha colpito il patrimonio dell’ente e delle persone fisiche indagate, prefigurando quella che è una delle conseguenze più severe previste dal D.Lgs. 231/2001: la confisca del profitto del reato.
L’assenza di un modello organizzativo idoneo a prevenire reati come la truffa (art. 24 D.Lgs. 231/2001) e il riciclaggio (art. 25-octies.1 D.Lgs. 231/2001) espone l’ente a sanzioni pecuniarie devastanti e, appunto, alla confisca. L’adozione di un sistema di controllo avanzato non è un mero adempimento formale, ma una barriera operativa. La prova tecnologica generata da un’infrastruttura come Scudo231 avrebbe permesso di dimostrare in sede giudiziaria non solo l’esistenza di un modello, ma la sua concreta e ineludibile applicazione. Di fronte a un tentativo di distrazione dei fondi, il sistema avrebbe prodotto una “ricostruzione causale scientifica” dell’evento, un XAI Packet che attesta l’esatto momento in cui la procedura di controllo ha bloccato l’azione illecita. Questo sposta l’onere della prova e dimostra l’assenza di colpa organizzativa, proteggendo il patrimonio sociale da misure ablative come il sequestro. L’ente non sarebbe stato considerato il beneficiario del reato, ma la prima vittima del comportamento fraudolento dei suoi amministratori.
La fase più complessa dell’operazione “Cagliostro” è stata la caccia al tesoro digitale. La conversione in criptovalute era finalizzata a sfruttare l’anonimato e la delocalizzazione tipiche di questi strumenti. Per rintracciare i 7,5 milioni di dollari è stata necessaria una cooperazione internazionale di altissimo livello, attivata tramite Eurojust. Gli specialisti della polizia cibernetica e gli investigatori finanziari italiani hanno lavorato in stretta sinergia con le autorità francesi, riuscendo a identificare i portafogli digitali dove erano confluiti i capitali e a ottenerne il blocco tempestivo prima che potessero essere ulteriormente movimentati. Questa collaborazione dimostra come la criminalità economica moderna operi senza confini, rendendo indispensabili presidi di controllo interni che siano in grado di mappare e valutare anche i rischi transnazionali.
Un’organizzazione protetta da un modello di gestione del rischio evoluto avrebbe analizzato e classificato i flussi finanziari in uscita non solo sulla base della controparte, ma anche della giurisdizione di destinazione. Il trasferimento di fondi verso un exchange di criptovalute basato in una giurisdizione estera avrebbe automaticamente innalzato il livello di rischio dell’operazione, attivando protocolli di due diligence rafforzata. In assenza di risposte adeguate e documentate, l’operazione sarebbe stata bloccata a prescindere dalla volontà degli organi amministrativi. La prevenzione interna, basata su regole automatiche e non discrezionali, avrebbe reso superflua la complessa e dispendiosa attività di cooperazione giudiziaria internazionale, perché il denaro non avrebbe mai lasciato i conti correnti italiani.
Il sequestro odierno non chiude la vicenda, ma apre la strada a un complesso iter processuale. I 7,5 milioni di dollari, sommati ai quasi 2 milioni già vincolati, costituiscono il profitto diretto dei reati contestati. La loro confisca, in caso di condanna, sarà una conseguenza quasi certa. Per l’ente coinvolto, al di là della sua probabile liquidazione, questa vicenda rappresenta un caso di studio sulla totale assenza di cultura della legalità e del controllo. Ogni singolo passaggio della catena criminale – dalla raccolta abusiva alla conversione in cripto – era talmente palese da poter essere intercettato da sistemi di controllo basilari. La mancanza di questi presidi non è stata una semplice negligenza, ma una condizione necessaria per la riuscita del piano.
Se un’architettura di difesa totale fosse stata operativa, la storia sarebbe stata radicalmente diversa. Non ci sarebbero stati 6.000 risparmiatori truffati. Non ci sarebbe stata un’indagine internazionale. E non ci sarebbe stato un maxi sequestro, perché il profitto illecito non si sarebbe mai formato. L’ente, anziché diventare uno strumento per commettere reati, avrebbe agito come la prima linea di difesa, documentando i tentativi di frode e auto-tutelando il proprio patrimonio e la propria reputazione. La responsabilità penale sarebbe rimasta confinata alle persone fisiche che hanno tentato di perpetrare la truffa, mentre l’organizzazione avrebbe dimostrato con prove tecnologiche immodificabili di aver fatto tutto il possibile per impedirlo, neutralizzando alla radice il rischio di sanzioni e sequestri.