Apri blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il sito di Uniswap, premi «Connect wallet», conferma la finestra che compare in MetaMask e scambia un po’ di ether con una stablecoin. La pagina che hai usato gira su server pagati da un’azienda, Uniswap Labs. Lo scambio, invece, è stato eseguito da un codice che sta su Ethereum e che nessuna azienda può modificare o spegnere. Metti insieme le due metà e ottieni una dapp, abbreviazione di applicazione decentralizzata.
Dapp cos’è, dunque, in una frase? È un’app dall’aspetto normale le cui regole vivono negli smart contract di una blockchain pubblica e non nel database di un’azienda. La documentazione per sviluppatori di ethereum.org (in inglese) la descrive come un’applicazione costruita su una rete decentralizzata, che abbina uno smart contract a un’interfaccia utente. Tu vedi un sito o un’app per il telefono; la parte che custodisce e sposta il denaro è un codice sulla catena, e ogni azione la firma il tuo wallet.
Alcuni degli episodi che seguono, dall’attacco a Ronin alle sanzioni contro Tornado Cash, sono già comparsi nella nostra cronologia della storia delle criptovalute. Qui servono a uno scopo più stretto: mostrare quale parte di una dapp ha tenuto e quale ha ceduto. I dati di mercato vengono da DefiLlama e sono del 22 ottobre 2026. Niente di quanto leggi è un consiglio di investimento.
Dapp cos’è: un front end che parla con gli smart contract
Ogni dapp ha due metà, costruite, ospitate e controllate in modi molto diversi.
Il back end è un insieme di smart contract, cioè programmi pubblicati su una blockchain come Ethereum, Solana, BNB Chain o Base. La documentazione di ethereum.org colloca questo back end su una rete peer-to-peer decentralizzata e non su un server aziendale. Una volta pubblicato, il contratto funziona esattamente come è scritto, su migliaia di computer insieme, e chiunque può leggerne il codice e chiamarne le funzioni. Se ti serve un ripasso su come funziona la catena che ospita più dapp, la nostra guida a che cos’è Ethereum e come esegue gli smart contract lo spiega.
Il front end è tutto il resto: i pulsanti, i grafici, la casella di ricerca, l’anteprima del prezzo prima di uno scambio. Secondo ethereum.org può essere scritto in qualsiasi linguaggio, come una normale app, e ha il compito di chiamare il back end. Di solito è un sito costruito con strumenti web comuni, ospitato su server ordinari o su un servizio cloud, con un normalissimo nome di dominio.
In mezzo c’è il tuo wallet. Il sito prepara una transazione, il wallet te la mostra e solo la tua firma la manda sulla catena. L’azienda che gestisce il sito non tiene mai in mano i tuoi fondi. Qui sta la vera differenza con l’app della banca.
Nell’app di una banca il tuo saldo è una riga nel database dell’istituto. La banca può bloccarlo, annullare un pagamento o chiudere il conto, e un giudice può ordinarglielo. In una dapp il saldo sta al tuo indirizzo sulla blockchain e le regole per muoverlo sono un codice pubblico. Nessun servizio clienti può stornare uno scambio. Nessuna azienda può cambiare di nascosto la commissione scritta nel contratto, a meno che il contratto non sia stato scritto per permetterlo.
Riprendiamo l’esempio di Uniswap passo dopo passo. Il sito app.uniswap.org legge i prezzi dai pool di Uniswap sulla catena e ti mostra un preventivo. Quando confermi, il tuo wallet firma una transazione indirizzata al contratto «router» di Uniswap. I validatori di Ethereum la inseriscono in un blocco, il contratto prende i tuoi ether e ti manda l’altro token, e il risultato resta pubblico su un block explorer. Uniswap Labs, l’azienda, ha scritto il sito e buona parte del codice, ma nel suo post del 19 aprile 2022 (in inglese) distingue tra l’app, che controlla, e il protocollo, raggiungibile da altri attraverso qualsiasi interfaccia.
Il termine inglese «decentralized application» è più vecchio di Ethereum, ma il modello descritto sopra, sito più contratti più wallet, è quello in cui si imbatte oggi quasi ogni utente di criptovalute. Chi cerca informazioni in italiano trova sia «dapp» sia «applicazioni decentralizzate»: indicano la stessa cosa.
Quanto è decentralizzata una dapp: dal contratto al nome di dominio
Una dapp raramente è decentralizzata dalla cima al fondo. Per giudicarne una conviene guardare quattro livelli separatamente.
- Gli smart contract sulla catena sono la parte più decentralizzata, a patto che nessuno abbia una chiave capace di aggiornarli o metterli in pausa. Molti progetti conservano chiavi di amministrazione, almeno all’inizio, oppure usano contratti «proxy aggiornabili», la cui logica si può sostituire.
- I dati da cui dipendono i contratti possono arrivare da fuori. I prezzi, per esempio, di solito passano da un oracolo, un altro servizio di cui devi fidarti.
- Il front end, il suo hosting e il suo dominio sono gestiti da un’azienda o da un piccolo gruppo. Si possono modificare, bloccare, violare o chiudere come qualunque altro sito.
- Il tuo wallet è l’ultimo livello. È un software sul telefono o sul computer, ed è l’unico punto in cui un tuo errore diventa direttamente fondi persi.
Tra gli svantaggi delle dapp, ethereum.org elenca la stessa tensione: la centralizzazione rientra dalla finestra quando le chiavi stanno su un server o i front end sono serviti da macchine centrali. Nella maggior parte dei casi di guasto raccontati più avanti il codice del contratto al centro ha continuato a funzionare, mentre cedeva uno dei tre livelli esterni.
Le dapp della finanza decentralizzata custodiscono il denaro: 90,8 miliardi di dollari bloccati al 22 ottobre 2026
La finanza decentralizzata è la famiglia di dapp con più utenti e più denaro. Comprende gli exchange in cui si scambia contro pool di token invece che contro un order book (gli exchange decentralizzati), i mercati del prestito, lo staking liquido e i bridge tra una catena e l’altra. La nostra guida alla DeFi per principianti spiega ciascuno di questi meccanismi; qui interessa la scala.
DefiLlama, un cruscotto aperto che monitora i contratti DeFi su centinaia di catene, ha misurato 90,8 miliardi di dollari di valore totale bloccato nella DeFi alle 00:00 UTC del 22 ottobre 2026, contro 91,6 miliardi del giorno prima. Il valore totale bloccato è il controvalore in dollari dei token depositati in quei contratti. Non è un profitto, non è un ricavo e non misura la sicurezza.
| Misura (DefiLlama, 22 ottobre 2026) | Valore |
|---|---|
| Valore bloccato totale nella DeFi, tutte le catene | 90,8 miliardi di dollari |
| Valore bloccato su Ethereum | 49,9 miliardi di dollari |
| Valore bloccato su Base | 6,2 miliardi di dollari |
| Valore bloccato su Solana | 6,0 miliardi di dollari |
| Valore bloccato su BNB Chain (BSC) | 5,7 miliardi di dollari |
| Lido (staking liquido) | 23,7 miliardi di dollari |
| Aave V3 (prestiti) | 17,1 miliardi di dollari |
| Uniswap V3 e V4 (exchange) | 1,7 e 1,5 miliardi di dollari |
| Volume degli exchange decentralizzati, ultimi 30 giorni | 265,4 miliardi di dollari, di cui Uniswap 69,4 miliardi |
Due nomi spiccano per chi comincia. Uniswap è il maggiore exchange decentralizzato per volume di scambi in quella finestra di 30 giorni. Aave è un mercato del prestito diffuso su una ventina di catene, dove chi deposita incassa interessi e chi prende in prestito offre cripto come garanzia. Entrambi funzionano da anni con lo stesso schema di base, cosa che non si può dire della maggior parte delle altre famiglie di dapp.
Una parola sul modo di contare. Per anni si è citato DappRadar per il numero di dapp in uso. Il 17 novembre 2025 i fondatori di DappRadar hanno annunciato la chiusura della piattaforma, spiegando che gestirla a quella scala era diventato finanziariamente insostenibile, come ha riferito Cointelegraph (in inglese). I suoi conteggi di dapp hanno smesso di aggiornarsi. L’elenco dei protocolli di DefiLlama conta oggi 8.795 voci, ma mescola portafogli di exchange centralizzati, bridge e più versioni dello stesso protocollo. Non esiste un conteggio attendibile e aggiornato delle dapp: ogni cifra che incontri deve riportare la fonte e la data.
SocialFi: Farcaster e Lens sono sopravvissuti alla moda, friend.tech si è spento
Le dapp SocialFi cercano di portare i social network su una blockchain: profilo, follower o post sono legati al tuo wallet, così in teoria nessuna azienda possiede il tuo pubblico. Finora i risultati sono altalenanti e insegnano qualcosa su ciò che la «decentralizzazione» protegge davvero.
friend.tech, lanciata nell’agosto 2023 su Base, la rete di Coinbase, permetteva di comprare «chiavi» delle chat di altre persone, con prezzi che salivano man mano che se ne vendevano di più. La corsa non è durata. L’8 settembre 2024 gli sviluppatori hanno consegnato il controllo dei contratti all’indirizzo nullo di Ethereum, quindi nessuno può più cambiare commissioni o funzioni; CryptoSlate ha riferito (in inglese) che l’app aveva incassato 21 dollari di ricavi negli ultimi 30 giorni, secondo DefiLlama. I contratti esistono ancora. Il 22 ottobre 2026 DefiLlama elencava ancora friend.tech V1 nella categoria SocialFi, con circa 2 milioni di dollari depositati e nessun team rimasto a svilupparla.
Farcaster ha scelto un’altra strada: un protocollo per account social che più app possono leggere, invece di un token per la speculazione. Il 21 gennaio 2026 la società di strumenti per sviluppatori Neynar ha annunciato di rilevare Farcaster (in inglese) da Merkle Manufactory, il gruppo che l’aveva creato, e di gestire il protocollo, il client principale e lo strumento per token Clanker. «Farcaster non chiude», ha detto il cofondatore Dan Romero, citato da The Block (nostra traduzione dall’inglese), aggiungendo che Merkle intendeva restituire agli investitori tutti i 180 milioni di dollari raccolti.
Il nuovo proprietario è rimasto poco. Nell’agosto 2026, circa sette mesi dopo l’acquisto, il cofondatore di Neynar Rish Mukherji ha dichiarato che la società aveva cominciato a cercare un nuovo team per gestire Farcaster, Clanker e la piattaforma per sviluppatori, e che Neynar avrebbe restituito la maggior parte del bilancio residuo. The Defiant (in inglese), citando DefiLlama, ha indicato commissioni del protocollo per 35,43 milioni di dollari nel primo trimestre 2026 e per 376.740 dollari nel terzo trimestre fino all’annuncio.
Anche Lens, un protocollo social avviato dal gruppo dietro Aave, ha cambiato mano. Il 21 gennaio 2026 Aave ha passato la guida di Lens a Mask Network, mantenendo un ruolo di consulente tecnico, ha riferito Cointelegraph (in inglese). Un portavoce di Aave ha spiegato che la proprietà intellettuale, la catena, il sito e l’account Lens su X sono passati a Mask; lo stesso articolo non trova segni di un passaggio di mano delle tesorerie o del controllo della governance. Il grafo sociale e i contratti restano open source.
I due cambi di proprietario di Farcaster in un anno chiariscono il punto. Gli smart contract di una dapp sociale possono continuare a girare dopo che l’azienda se n’è andata, ma l’app che la gente apre, i server che indicizzano i post e il denaro che paga gli sviluppatori dipendono da poche persone. Un contratto decentralizzato non equivale a un prodotto decentralizzato.
GameFi e play-to-earn: che cosa ha insegnato Axie Infinity sui token pagati come stipendio
GameFi indica i giochi i cui oggetti, personaggi o ricompense sono token che tieni nel tuo wallet. Il play-to-earn si è spinto oltre: i giocatori venivano pagati in token per giocare e potevano venderli per dollari. Axie Infinity, creato dallo studio Sky Mavis sulla propria catena Ronin, ne era la bandiera.
Il suo token di ricompensa, Smooth Love Potion (SLP), mostra la debolezza del modello. Secondo Decrypt nel febbraio 2022 (in inglese), SLP aveva toccato un massimo vicino a 0,40 dollari nell’agosto 2021 ed era sceso a circa un centesimo. Sky Mavis ne attribuiva la colpa all’inflazione: ogni giorno si creava circa quattro volte più SLP di quanto ne venisse bruciato nel gioco. Gli utenti attivi giornalieri, oltre 2,7 milioni al picco del novembre 2021, erano poco sotto i 2,2 milioni alla fine di gennaio 2022, e lo studio ha ridotto le ricompense in SLP nella stagione successiva.
Il token era insieme lo stipendio e la cosa che ogni giocatore voleva vendere. Un’economia di gioco costruita così ha bisogno di un flusso costante di nuovi acquirenti che assorbano le vendite. Quando il flusso rallenta, lo stipendio perde valore, i giocatori se ne vanno e le vendite aumentano.
Poi è arrivato l’attacco. Il 23 marzo 2022 degli aggressori hanno svuotato il bridge di Ronin, che trasferiva asset tra Ethereum e Ronin: 173.600 ETH e 25,5 milioni di USDC, scoperti solo il 29 marzo quando un utente non è riuscito a prelevare 5.000 ETH, secondo il riepilogo dell’analisi post-mortem su Rekt (in inglese). Per prelevare servivano cinque firme su nove validatori. Sky Mavis ne controllava quattro, e una quinta, appartenente all’Axie DAO, le aveva permesso di firmare al suo posto da novembre 2021 con un accordo temporaneo mai revocato. Il Tesoro degli Stati Uniti (in inglese) ha poi attribuito il furto, «del valore di quasi 620 milioni di dollari», al gruppo nordcoreano Lazarus.
Non erano gli smart contract del gioco il punto debole. Lo era il bridge, e la sua sicurezza poggiava su poche chiavi in mano a un’unica azienda. La cronologia della lezione precedente colloca l’attacco tra gli altri eventi del 2022.
DePIN: Helium, Filecoin e Render pagano in token per hardware reale
DePIN sta per reti decentralizzate di infrastrutture fisiche. Invece di un’azienda che costruisce ripetitori radio, data center o centri di rendering, migliaia di persone collegano il proprio hardware e vengono pagate in token. I clienti pagano per usare la rete. Una dapp tiene la contabilità sulla catena.
Helium lo fa per la copertura wireless, con piccoli hotspot gestiti da privati; DefiLlama lo classifica nella categoria DePIN. Filecoin vende archiviazione decentralizzata di file attraverso fornitori indipendenti. Render mette in contatto chi ha bisogno di elaborazione grafica con chi possiede GPU inutilizzate.
I dati d’uso di queste reti arrivano per lo più dai progetti stessi o da blog di settore, e spesso si contraddicono, quindi qui non li riportiamo. Per chi comincia la domanda utile è un’altra: quanta parte di ciò che guadagnano i fornitori viene da clienti paganti e quanta da nuovi token stampati per premiarli? Quando la quota maggiore è fatta di nuovi token, la rete somiglia molto al play-to-earn con dell’hardware attaccato. Controlla questa ripartizione, con una fonte datata, prima di credere a qualsiasi dichiarazione di crescita di un progetto DePIN.
Identità decentralizzata: dall’indirizzo del wallet agli identificatori DID
L’identità più semplice nel mondo cripto è l’indirizzo del tuo wallet. Molte dapp non usano altro: dimostri chi sei firmando un messaggio con la chiave collegata a quell’indirizzo. Sign-In with Ethereum, lo standard ERC-4361 (in inglese), lo formalizza. Il sito chiede al wallet di firmare un breve testo che include il dominio del sito e un codice casuale monouso. La firma avviene fuori dalla catena, quindi non è una transazione, e lo standard impone ai wallet di verificare che la richiesta provenga davvero dal dominio mostrato.
Gli indirizzi sono lunghi e difficili da leggere, perciò i servizi di nomi permettono di associarne uno a un nome leggibile. L’Ethereum Name Service, per esempio, collega nomi che finiscono in .eth a indirizzi.
Gli identificatori decentralizzati vanno oltre. Il W3C, l’organismo che stabilisce gli standard del web, ha pubblicato DID Core 1.0 come Raccomandazione il 19 luglio 2022 (in inglese). Nel suo abstract i DID sono presentati come un nuovo tipo di identificatore che rende possibile un’identità digitale verificabile e decentralizzata (nostra traduzione). Un DID permette di conservare credenziali, come un diploma o la prova della maggiore età, firmate da chi le emette, e di esibirle senza interpellare ogni volta l’emittente. Alcuni metodi DID usano una blockchain; molti no.
Un punto da tenere distinto. L’Unione europea sta introducendo i portafogli europei di identità digitale con il regolamento (UE) 2024/1183, noto come eIDAS 2: ogni Stato membro dovrà metterne a disposizione almeno uno entro 24 mesi dalle norme di attuazione della Commissione. Sono app di identità pubblica costruite sulla stessa famiglia di standard per le credenziali. Non sono dapp su blockchain e non custodiscono cripto.
Come collegare un wallet a una dapp in sicurezza, passo per passo
Gli exploit dei contratti fanno i titoli più grossi, ma per un singolo utente il momento più rischioso è di solito la finestra del wallet. Scam Sniffer, società di sicurezza che monitora i siti di phishing «drainer», ha contato 83,85 milioni di dollari rubati a 106.106 vittime nel 2025 nel suo ultimo rapporto annuale (in inglese), pubblicato a gennaio 2026. È l’83% in meno rispetto ai 494 milioni del 2024, ma il furto singolo più grande, 6,5 milioni di dollari nel settembre 2025, è partito da una sola firma su una richiesta «Permit». Il rapporto riguarda le catene EVM e il solo phishing, non gli exploit dei contratti.
Le nostre immagini non contengono testo, quindi ecco i passaggi a parole. Valgono per MetaMask, Phantom e la maggior parte degli altri wallet; i nomi dei menu cambiano da una versione all’altra.
- Raggiungi la dapp da un indirizzo di cui ti fidi. Digitalo o usa un segnalibro creato da te, e non seguire mai pubblicità, risposte o messaggi diretti. Controlla l’ortografia del dominio lettera per lettera: i siti-clone cambiano un carattere o aggiungono una parola.
- Tieni un wallet «caldo» separato, con un saldo piccolo, per le dapp. Lascia i risparmi in un altro wallet, meglio se hardware, che non si collega mai a siti nuovi.
- Prova prima la dapp su una rete di test come Sepolia, con monete di prova gratuite. Le schermate e le firme sono le stesse, e un errore non costa nulla.
- Premi «Connect wallet» e scegli il tuo wallet. Collegarlo mostra al sito soltanto il tuo indirizzo pubblico e i saldi; non sposta nulla. Qualsiasi sito o «assistente» che a questo punto ti chiede la seed phrase è una truffa, senza eccezioni.
- Leggi ogni richiesta di firma prima di approvarla. Un messaggio di accesso deve mostrare il dominio in cui ti trovi. Una transazione deve mostrare il contratto, l’importo e la rete, e ha una commissione. Un’approvazione o una firma Permit dà a un contratto il diritto di spendere i tuoi token, a volte senza limite e senza una commissione che ti avvisi.
- Quando il wallet lo permette, imposta l’approvazione sull’importo che serve per quell’operazione invece che su un importo illimitato.
- Attiva gli avvisi di sicurezza o l’anteprima delle transazioni del wallet, se li ha. Mostrano che cosa uscirà dal wallet prima che tu firmi. Riducono il rischio, non lo eliminano.
- Quando hai finito, controlla e annulla le vecchie approvazioni con uno strumento come revoke.cash o il controllo delle approvazioni token di Etherscan. Revoke.cash (in inglese) spiega che annullare un’approvazione è a sua volta una transazione sulla catena, quindi costa una piccola commissione. Metti nei segnalibri anche l’indirizzo vero di questi strumenti.
- Disconnetti il sito dall’elenco dei siti collegati del wallet. Se pensi di aver firmato qualcosa di dannoso, revoca prima l’approvazione, poi sposta ciò che resta su un wallet nuovo.
Le richieste di approvazione e di Permit meritano la massima attenzione. Scam Sniffer ha rilevato che le firme di tipo Permit hanno pesato per il 38% delle perdite nei casi più grossi del 2025, 8,72 milioni di dollari in tre furti. Le nostre guide per proteggere la seed phrase e riconoscere le truffe cripto vanno più a fondo.
Dove le dapp si rompono: front end, domini, hosting e facilità d’uso
Il contratto può essere difficile da fermare. Il sito che gli sta davanti no, e la storia delle dapp è piena di casi in cui il punto debole era il normale livello web.
L’azienda può filtrare il proprio front end
Il 23 luglio 2021 Uniswap Labs ha tolto dalla propria interfaccia più di 100 token, tra cui azioni tokenizzate e derivati, citando il mutato quadro normativo, secondo The Block (in inglese). I token sono rimasti nel protocollo; altre interfacce potevano ancora raggiungerli. Nell’aprile 2022 l’azienda ha dichiarato che la sua app blocca gli indirizzi colpiti da sanzioni dell’Office of Foreign Assets Control (OFAC) degli Stati Uniti e i wallet che la società di analisi TRM Labs collega a reati come furto e ransomware. Chi usa il sito ufficiale vive secondo le regole dell’azienda, anche se i contratti non hanno nessun filtro simile.
I governi possono spingersi oltre. L’8 agosto 2022 il Tesoro statunitense ha sanzionato il mixer Tornado Cash (in inglese), che secondo il Tesoro era servito a riciclare più di 7 miliardi di dollari dal 2019. GitHub ha quindi rimosso il codice del progetto. Dopo il chiarimento del Tesoro del 13 settembre 2022, secondo cui i cittadini e residenti statunitensi potevano copiare il codice open source, GitHub lo ha ripristinato in sola lettura, secondo The Block (in inglese). I contratti dei pool hanno continuato a funzionare per tutto il tempo. Il 26 novembre 2024 la Corte d’appello del Quinto Circuito ha stabilito, nel caso Van Loon contro Department of the Treasury (in inglese), che gli smart contract immutabili di Tornado Cash non sono una proprietà e quindi non possono essere bloccati in base alla legge sulle sanzioni; il 21 marzo 2025 il Tesoro ha revocato le sanzioni (in inglese).
Il dominio può essere dirottato
Nel settembre 2023 degli aggressori hanno preso il controllo del dominio dell’exchange Balancer e hanno reindirizzato i visitatori verso una copia del sito collegata a un contratto malevolo; PeckShield ha stimato che siano stati sottratti circa 238.000 dollari, come ha riferito The Block (in inglese). Curve ha subìto un attacco DNS al dominio curve.fi nel 2022 e un altro nel maggio 2025 (in inglese), quando il team ha detto che l’incidente era «limitato al solo livello DNS» (nostra traduzione) e ha indirizzato gli utenti a curve.finance. In ogni caso gli smart contract non sono stati toccati. Chi aveva digitato l’indirizzo giusto è arrivato comunque sul sito sbagliato: per questo un segnalibro aiuta ma da solo non basta.
Una risposta parziale è pubblicare il front end su IPFS, un insieme di protocolli aperti che trovano i file in base al contenuto e non all’indirizzo di un server, così che chiunque possa ospitarne una copia identica. Distribuisce l’hosting; non impedisce a un utente di aprire una copia falsa.
L’esperienza d’uso resta la parte più difficile
Usare una dapp significa pagare le commissioni (gas) nella moneta della catena, scegliere la rete giusta, custodire una seed phrase e accettare che un errore non si possa annullare. Ethereum.org elenca l’esperienza d’uso, la congestione della rete e la manutenzione tra gli svantaggi delle dapp. Le reti di livello 2 abbassano molto le commissioni; una lezione successiva le confronta con le catene di livello 1.
I wallet stanno diventando lentamente più semplici. Lo standard ERC-4337 (in inglese) per gli «account intelligenti», il cui contratto EntryPoint è entrato in funzione su Ethereum il 1° marzo 2023 (in inglese), permette a un wallet di essere un contratto con regole proprie: più firmatari, recupero personalizzato, commissioni pagate in token o dall’app. L’aggiornamento Pectra del 7 maggio 2025 ha aggiunto EIP-7702, che consente a un indirizzo ordinario di prendere in prestito queste funzioni, compresi i limiti di spesa, secondo la Ethereum Foundation (in inglese). La stessa funzione ha aperto un nuovo trucco: Scam Sniffer ha registrato due grossi furti con firme malevole di batch EIP-7702 nell’agosto 2025, per 2,54 milioni di dollari in tutto. Ogni comodità in un wallet è anche una cosa in più da leggere prima di firmare.
Cosa dicono Consob, Banca d’Italia e le autorità di Stati Uniti e Regno Unito sulle dapp
Cominciamo dall’Italia e dall’Europa, che toccano più da vicino chi legge. Il regolamento europeo MiCA (Markets in Crypto-Assets) è la cornice delle cripto-attività nell’Unione, e in Italia la vigilanza spetta a Banca d’Italia e Consob. Consob, oltre a vigilare, pubblica avvertenze per i risparmiatori e può disporre l’oscuramento dei siti abusivi che offrono servizi o prodotti senza autorizzazione. Per una dapp questo conta perché il livello colpito è quasi sempre il sito, cioè il front end, mentre il contratto sulla catena resta dov’è.
L’Unione europea ha scritto la decentralizzazione nella sua legge sulle cripto. Il considerando 22 del regolamento MiCA (testo ufficiale, qui consultabile in inglese) dice che MiCA si applica anche quando solo una parte di un servizio è decentralizzata, ma che i servizi per le cripto-attività prestati in modo completamente decentralizzato e senza alcun intermediario restano fuori dal suo ambito. Il testo non definisce che cosa sia «completamente decentralizzato», e la maggior parte delle dapp ha un’azienda da qualche parte nella catena. La nostra guida a MiCA e a ciò che cambia per gli utenti spiega il resto.
Va letto anche l’altro lato di quel considerando. Una dapp davvero decentralizzata non ha alle spalle una società autorizzata, quindi non c’è un ufficio reclami, non c’è una garanzia sui depositi e non c’è un’autorità a cui rivolgersi se qualcosa va storto. Le tre autorità di vigilanza finanziaria dell’Unione (EBA, EIOPA ed ESMA) hanno ribadito il concetto in un avviso congiunto ai consumatori del 6 ottobre 2025 (in inglese), diffuso anche dalle autorità nazionali come Consob: la tutela legale, se c’è, può essere limitata a seconda della cripto-attività. Per il fisco italiano le regole sono altre e vanno verificate sul sito dell’Agenzia delle Entrate: qui non le trattiamo.
Negli Stati Uniti la SEC ha inviato a Uniswap Labs una Wells notice nel 2024, cioè un avviso che avrebbe potuto portare a un’azione. Il 25 febbraio 2025 Uniswap Labs ha scritto (in inglese) che la SEC aveva chiuso ufficialmente, senza alcuna azione, l’indagine pluriennale su Uniswap Labs (nostra traduzione). Si è chiusa un’indagine; non è una sentenza che renda lecito ogni front end DeFi, e le sanzioni americane continuano a valere per chi li usa e li gestisce, come ha mostrato il caso Tornado Cash.
Anche le tasse non spariscono, in nessun paese. Negli Stati Uniti l’IRS (in inglese) tratta la valuta virtuale come un bene, e nelle sue risposte alle domande frequenti scrive che scambiarla con un’altra valuta virtuale produce una plusvalenza o una minusvalenza: lì, uno scambio su una dapp è un evento imponibile anche se nessuna azienda ti manda un modulo. Nel Regno Unito, dall’8 ottobre 2023, le imprese che promuovono cripto ai consumatori britannici devono essere autorizzate o registrate presso la FCA (in inglese), far approvare la pubblicità da una società autorizzata o rientrare in un’esenzione, ovunque abbiano sede.
Cinque controlli prima di usare una dapp
- Scopri chi gestisce il front end e se i contratti possono essere aggiornati o messi in pausa da una chiave di amministrazione.
- Cerca il protocollo su DefiLlama o su un block explorer e annota da quanto tempo è in funzione.
- Usa un wallet caldo separato con un saldo piccolo e prova prima con un importo minimo.
- Leggi ogni firma e rifiuta le approvazioni illimitate che non ti servono.
- Revoca le vecchie approvazioni e disconnetti il sito quando hai finito.
Gran parte del denaro che passa per le dapp è in stablecoin, token che seguono il dollaro. La prossima lezione di questo percorso mette a confronto le due più grandi, in USDT o USDC: le differenze tra Tether e Circle.
