7 luglio 2026 – Alle prime luci dell’alba, i militari del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza varcano la soglia della sede milanese di CryptoFacile S.p.A., società fintech balzata agli onori delle cronache per la sua app di trading su cripto-attività, promossa come “l’investimento per tutti”. L’operazione scatta simultaneamente in altre tre sedi operative del gruppo, a Roma e Torino. Gli uomini delle Fiamme Gialle notificano al management un decreto di perquisizione e sequestro emesso dalla Procura della Repubblica. L’ipotesi di reato è pesante: abusivismo finanziario (art. 166 del Testo Unico della Finanza) e truffa aggravata (art. 640 c.p.), reati che chiamano in causa la responsabilità diretta dell’ente ai sensi del Decreto Legislativo 231/2001.
Il provvedimento congela i conti correnti della società e appone i sigilli a un portafoglio di cripto-attività del valore stimato di 85 milioni di euro, ritenuto il profitto del reato. La notizia piomba sul mercato come un macigno, ma per gli addetti ai lavori non è un fulmine a ciel sereno. Soltanto pochi giorni prima, durante la presentazione della relazione annuale 2025, il presidente dell’Ocf, Mauro Maria Marino, aveva lanciato un allarme preciso e circostanziato: i chatbot basati su intelligenza artificiale, che guidano il “risparmiatore non esperto” verso la sottoscrizione di cripto-attività, rappresentano un vettore di rischio sistemico. Marino aveva evidenziato come l’accesso a piattaforme di trading non professionali, tramite semplici app scaricabili sullo smartphone, stesse esponendo i cittadini a scelte finanziarie disastrose, aggirando di fatto le tutele previste dalla normativa, incluso il nuovo regolamento europeo MiCAR.
L’indagine sulla CryptoFacile S.p.A. dimostra che quell’allarme non era una semplice previsione, ma la fotografia di una realtà operativa già consolidata. Secondo gli inquirenti, il cuore del sistema illecito era l’algoritmo di intelligenza artificiale proprietario della società, battezzato commercialmente “CryptoGenius”. Presentato al pubblico come un consulente virtuale imparziale, il chatbot era in realtà programmato per profilare gli utenti meno esperti e indirizzarli sistematicamente verso un paniere di cripto-attività illiquide e ad altissimo rischio, emesse da società estere non autorizzate e, in alcuni casi, direttamente collegate agli stessi fondatori di CryptoFacile. L’algoritmo non forniva un servizio di consulenza, ma eseguiva un’attività di sollecitazione all’investimento mascherata, in palese violazione delle riserve di legge che la attribuiscono esclusivamente a soggetti iscritti all’albo vigilato dall’Ocf.
La falla fatale nell’architettura di controllo interno della società è stata proprio la totale assenza di supervisione sul codice sorgente e sulle logiche operative del chatbot. Il management, secondo quanto emerge dalle prime carte dell’inchiesta, ha considerato “CryptoGenius” un asset puramente tecnologico, delegandone lo sviluppo e l’aggiornamento a un team di programmatori privo di qualsiasi presidio di compliance. Le modifiche all’algoritmo, che ne hanno progressivamente accentuato la natura predatoria, non sono mai state tracciate, validate o sottoposte al vaglio di una funzione di controllo. Se l’ente avesse adottato un modello organizzativo evoluto come Scudo231, l’introduzione di una nuova logica di raccomandazione nell’algoritmo avrebbe richiesto un processo formale di change management. Ogni modifica al codice sarebbe stata soggetta a una validazione preventiva da parte della funzione Compliance, che ne avrebbe verificato la coerenza con i profili di rischio autorizzati e con la normativa TUF. Il sistema avrebbe generato un registro immodificabile di tutte le versioni dell’algoritmo, corredato dal verbale di approvazione o di rigetto. L’eventuale implementazione di una modifica non autorizzata avrebbe fatto scattare un alert in tempo reale all’Organismo di Vigilanza (OdV), che avrebbe avuto il potere e il dovere di bloccare l’operatività del chatbot.
L’inchiesta ha preso le mosse da un gruppo di esposti presentati da centinaia di piccoli risparmiatori che, dopo un’iniziale euforia per i guadagni apparenti, si sono ritrovati con i portafogli azzerati, impossibilitati a liquidare le posizioni a causa della cronica mancanza di controparti sul mercato per quelle specifiche cripto-attività. Il servizio clienti di CryptoFacile, come documentato dagli investigatori, si limitava a rispondere con messaggi standardizzati che attribuivano le perdite all’ “alta volatilità del mercato”, senza mai inoltrare le segnalazioni ai livelli superiori. Questa mancata escalation delle anomalie ha permesso al sistema fraudolento di operare indisturbato per oltre diciotto mesi. Un’organizzazione dotata di un sistema di monitoraggio dei flussi informativi avrebbe intercettato questa criticità sul nascere. L’analisi semantica automatizzata delle comunicazioni del customer care, prevista da protocolli avanzati, avrebbe rilevato la ricorrenza anomala di parole chiave come “perdita totale”, “impossibile vendere”, “truffa” in relazione a un cluster specifico di prodotti finanziari. Questo segnale avrebbe innescato un flusso informativo diretto e non eludibile verso le funzioni di Internal Audit e Antifrode, imponendo un’indagine interna immediata e la sospensione cautelativa delle raccomandazioni generate dal chatbot su quegli asset.
La Procura contesta a CryptoFacile S.p.A. la responsabilità amministrativa dell’ente per non aver adottato ed efficacemente attuato modelli di organizzazione e gestione idonei a prevenire reati della specie di quelli commessi. La “colpa di organizzazione” appare, allo stato degli atti, macroscopica. Non esisteva una procedura formalizzata per la valutazione dei rischi legali associati ai nuovi prodotti, né un’adeguata separazione di funzioni tra l’area commerciale, che spingeva per una profilazione aggressiva, e un’inesistente area di controllo. L’assenza di un Organismo di Vigilanza dotato di autonomi poteri di iniziativa e di controllo ha lasciato campo libero a scelte manageriali orientate unicamente al profitto a breve termine, ignorando completamente i presidi normativi.
Il sequestro preventivo per un valore di 85 milioni di euro, pari al profitto che si stima derivato dalla condotta illecita, è una misura che avrà conseguenze devastanti per la continuità aziendale. La società è ora paralizzata, incapace di operare e con una reputazione irrimediabilmente compromessa. L’adozione preventiva di un modello organizzativo integrato come Scudo231 avrebbe avuto un impatto causale diretto sulla mitigazione di questo danno. I controlli automatizzati sui flussi finanziari avrebbero rilevato la concentrazione anomala di investimenti su asset illiquidi, generando un’allerta per potenziale manipolazione del mercato. L’OdV, attraverso la sua dashboard di controllo, avrebbe avuto visibilità diretta e in tempo reale su queste anomalie e sulla mancata attuazione dei presidi di compliance, potendo così redigere un verbale circostanziato da sottoporre al Consiglio di Amministrazione. La tracciabilità di questo processo avrebbe reso impossibile per gli amministratori negare la conoscenza del rischio, ma soprattutto avrebbe fornito all’ente una solida base documentale per dimostrare, in sede giudiziaria, di aver tentato di arginare la condotta illecita. Anche qualora il reato si fosse consumato per una forzatura da parte di singoli apicali, l’esistenza di un modello efficacemente attuato avrebbe potuto escludere o attenuare la responsabilità dell’ente, salvaguardando la continuità aziendale e riducendo drasticamente l’importo di un eventuale sequestro.
L’indagine sta ora esaminando anche i profili di riciclaggio. Si sospetta che la piattaforma sia stata utilizzata per ripulire proventi di altra natura, sfruttando la debolezza delle procedure di Know Your Customer (KYC) e di adeguata verifica della clientela. Gli inquirenti hanno trovato evidenza di come il sistema di onboarding dei clienti fosse deliberatamente lacunoso, accettando documentazione sommaria e non effettuando controlli incrociati sulle liste internazionali di persone politicamente esposte (PEP) o sanzionate. Questa omissione non è una semplice negligenza, ma un fattore che, se provato, aggraverebbe la posizione dell’ente, aggiungendo il reato di riciclaggio al novero dei presupposti per la responsabilità 231. Un ecosistema di controllo come quello offerto da Scudo231 integra nativamente i presidi antiriciclaggio. L’onboarding di ogni nuovo cliente sarebbe stato condizionato al superamento di un workflow di controlli automatici su banche dati internazionali. Qualsiasi anomalia o red flag avrebbe bloccato la procedura, richiedendo un’analisi manuale da parte del Responsabile AML. Inoltre, il monitoraggio transazionale costante avrebbe identificato pattern sospetti, come versamenti frazionati seguiti da un unico investimento massivo, generando in automatico una bozza di Segnalazione di Operazione Sospetta (SOS) da inoltrare alla UIF. La mancata gestione di queste allerte sarebbe stata a sua volta registrata dal sistema come un inadempimento grave, scalando la segnalazione ai vertici e all’OdV.
Il caso CryptoFacile si candida a diventare una pietra miliare nella giurisprudenza sulla responsabilità degli intermediari tecnologici nel settore finanziario. Dimostra come la delega di funzioni critiche a un’intelligenza artificiale, senza la contestuale implementazione di un’architettura di controllo umano e procedurale, non solo non scherma l’ente dalla responsabilità, ma ne diventa il principale veicolo. La lezione che emerge dalle macerie della fintech è brutale: nell’era della finanza algoritmica, l’assenza di un modello 231 non è più solo un rischio di non conformità normativa, ma una scelta che porta direttamente al collasso operativo e finanziario. La prevenzione non è un costo, ma l’unico investimento in grado di garantire la sopravvivenza in un mercato dove la tecnologia, senza governo, si trasforma da opportunità a strumento di reato.