La Banca centrale d’Irlanda ha inflitto a Coinbase Ireland Limited una sanzione di 3.252.618 euro giovedì 22 ottobre 2026, per aver violato le norme sulla salvaguardia e sull’esternalizzazione che proteggono blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il denaro dei clienti presso gli istituti di moneta elettronica. Le violazioni vanno dal 1° novembre 2020 al 19 agosto 2025, secondo il comunicato della Banca centrale, e l’accordo transattivo è stato firmato il 21 ottobre. La multa a Coinbase Irlanda, circa 3,6 milioni di dollari secondo la conversione di CoinDesk, si accompagna a un richiamo formale.
Nessun cliente ha perso denaro, afferma Coinbase, e l’autorità non ha trovato prove di danni subiti da qualcuno. Il rilievo è un altro. Per lunghi periodi la società non è stata in grado di dimostrare che i fondi dei clienti fossero interamente accantonati e pronti a essere restituiti in caso di fallimento. Nel giorno peggiore del 2024 il conto di salvaguardia era scoperto di 5,2 milioni di euro.
Conta molto capire quale società sia coinvolta. Coinbase Ireland Limited è un istituto di moneta elettronica, autorizzato dalla Banca centrale nell’ottobre 2019 e operativo dal 1° novembre 2020. Emette e rimborsa la moneta elettronica con cui i clienti fanno entrare e uscire euro e altre valute tradizionali dalle piattaforme di trading di Coinbase, e offre il servizio in tutto lo Spazio economico europeo grazie al passaporto europeo. Le regole violate sono le Electronic Money Regulations 2011, come modificate: la normativa irlandese sulla moneta elettronica. Non è un caso MiCA, e Coinbase Ireland non è la società che detiene la licenza cripto europea del gruppo.
Coinbase multa Irlanda: l’accordo in cifre
L’avviso di transazione pubblicato insieme al comunicato mostra come la Banca centrale sia arrivata alla cifra. Il punto di partenza è il fatturato lordo medio annuo di Coinbase Ireland nel periodo delle violazioni, arrotondato a 63.219.000 euro; il caso è stato classificato al livello 7 della scala di gravità da 1 a 10 e ne è stato preso il 7%. A questo si è aggiunto un 5% perché la società non aveva completato due programmi di mitigazione del rischio imposti dall’autorità nel 2022 e nel 2023, e il totale è stato ridotto del 30%, il massimo previsto, per aver scelto la transazione.
| Voce | Cifra | Fonte |
|---|---|---|
| Punto di partenza (fatturato medio annuo, arrotondato) | 63.219.000 € | Avviso di transazione della Banca centrale |
| Gravità di livello 7 su 10 (7%) | 4.425.330 € | Avviso di transazione della Banca centrale |
| Fattore aggravante (5%) | 221.267 € | Avviso di transazione della Banca centrale |
| Sanzione prima dello sconto | 4.646.597 € | Avviso di transazione della Banca centrale |
| Sconto per la transazione | 30% | Avviso di transazione della Banca centrale |
| Multa finale | 3.252.618 € (circa 3,6 milioni di dollari) | Banca centrale d’Irlanda; conversione di CoinDesk |
| Massimo di legge in questo caso | 10 milioni di euro | Avviso di transazione della Banca centrale |
| Ammanco giornaliero massimo | 3,4 milioni di euro (2023), 5,2 milioni di euro (2024) | Avviso di transazione della Banca centrale |
| Ammanco giornaliero medio | 0,54% degli obblighi | Avviso di transazione della Banca centrale |
| Obbligo medio di salvaguardia | 323 milioni di euro (2023), 470 milioni di euro (2024) | Avviso di transazione della Banca centrale |
Lo 0,54% riguarda il periodo in cui il conto è stato scoperto ogni singolo giorno, dal 1° gennaio 2023 al 27 giugno 2024, ed è per questo che Coinbase parla di «2023 e primo semestre 2024». Applicato agli obblighi medi, significa in una giornata tipica circa 1,7-2,5 milioni di euro mancanti, secondo il calcolo di Coindaro. La regola ne chiede il 100%, ogni giorno.
Le sanzioni diventano efficaci solo quando l’Alta Corte le conferma. Il caso è il 164° esito di enforcement della Banca centrale, che porta il totale delle multe oltre i 432 milioni di euro, ed è il quinto chiuso con la via dei «fatti non contestati» della sua procedura sanzionatoria amministrativa, introdotta dal Central Bank (Individual Accountability Framework) Act 2023.
Le tre mancanze accertate dalla Banca centrale irlandese
Il comunicato riassume il caso in tre rilievi. Coinbase Ireland ha fatto troppo affidamento sulla parte statunitense del gruppo Coinbase per gestire processi e controlli di salvaguardia, senza avere personale proprio abbastanza qualificato per sorvegliarli. Una progettazione carente dei sistemi e controlli troppo scarsi hanno lasciato il conto di salvaguardia sottofinanziato per lunghi periodi. E una catena di segnalazione debole ha fatto sì che modifiche rilevanti all’assetto della salvaguardia non fossero mai comunicate alla Banca centrale.
Le società di pagamento e di moneta elettronica devono salvaguardare per intero i fondi dei clienti, ha dichiarato nel comunicato Karen O’Leary, direttrice dell’enforcement della Banca centrale: «non tolleriamo debolezze nelle misure di salvaguardia». Ha aggiunto che non rispettare le garanzie date al momento dell’autorizzazione, o non comunicare le modifiche rilevanti, «è del tutto inaccettabile».
Delle quattro violazioni, quella sull’esternalizzazione è giudicata temeraria (reckless) nell’avviso di transazione, perché l’autorità aveva chiesto per iscritto alla società, nel luglio 2022, di seguire gli orientamenti EBA sull’esternalizzazione. Le tre violazioni sulla salvaguardia sono classificate come negligenti. Fino al dicembre 2024 chi sorvegliava la salvaguardia era dipendente di altre società Coinbase con sede fuori dall’Irlanda, e perfino le verifiche di secondo e terzo livello sul lavoro esternalizzato erano a loro volta affidate a Coinbase Inc.
Dove stavano davvero i soldi
L’ammanco nasce dai dati, non da un bonifico mancato. Nel luglio 2022 Coinbase Ireland ha cambiato il modo in cui teneva le tabelle di dati alla base del report «Looker», che calcolava ogni giorno quanto la società dovesse salvaguardare. Da quel momento il report lavorava su registrazioni incomplete. La società ha individuato il problema nel gennaio 2024 e credeva riguardasse solo valute non usate dai clienti. L’ispezione della Banca centrale ha accertato che toccava tutte le valute, clienti retail e istituzionali compresi. Una seconda lacuna, i depositi che non si riuscivano ad associare a un cliente, ha lasciato fuori dal calcolo altro denaro tra settembre 2023 e giugno 2024.
Il denaro dei clienti è stato anche mescolato con quello di altre società Coinbase. Fino al marzo 2023 i clienti istituzionali versavano dollari su un conto di Coinbase Ireland presso Silvergate Bank. Il 2 marzo 2023, mentre Silvergate vacillava, la società ha detto a 30 di loro di versare invece su un conto di Coinbase Inc. presso Signature Bank. Signature è fallita il 12 marzo e i depositi sono passati a un conto di Coinbase Inc. presso Cross River Bank. La situazione è durata fino all’ottobre 2024, quando Coinbase Ireland ha aperto un proprio conto presso Customers Bank. Coinbase sosteneva che il denaro fosse registrato cliente per cliente e detenuto «a beneficio» dei clienti. La Banca centrale ha risposto che il divieto di mescolare i fondi è assoluto.
La violazione più lunga è nata con la Brexit. Nel 2020 oltre 6,3 milioni di clienti sono passati da Coinbase UK, cioè CB Payments Limited, autorizzata dalla FCA, a Coinbase Ireland. Alcuni hanno continuato a versare denaro sul vecchio conto di salvaguardia britannico. La società lo ha comunicato alla Banca centrale il 17 gennaio 2024 e ha iniziato a respingere quei pagamenti il 15 marzo 2024, ma nell’agosto 2025 la sua revisione interna ha trovato 33 clienti che potevano ancora usare il canale britannico. I depositi su quel canale sono stati bloccati per tutti dal 19 agosto 2025, ultimo giorno del periodo delle violazioni.
Un altro flusso andava in senso opposto. Fino al 19 gennaio 2024 i prelievi in euro dei clienti di Coinbase UK e di Coinbase Inc. venivano pagati dal conto di salvaguardia di Coinbase Ireland, che di solito custodisce la maggior parte degli euro del gruppo.
Perché la salvaguardia conta anche se nessun cliente ha perso denaro
Gli istituti di moneta elettronica non sono banche. Non possono prestare il denaro dei clienti e devono tenerlo separato dal proprio, di norma su un conto dedicato presso una banca. Il conto designato di Coinbase Ireland è presso AS LHV Pank, banca estone. Il senso di questa separazione si vede nel giorno peggiore: se la società fallisce, il fondo salvaguardato torna ai clienti invece di essere spartito tra i creditori.
Per questo l’autorità considera un euro mancante un problema anche quando i prelievi continuano a funzionare. Se Coinbase Ireland fosse diventata insolvente mentre le violazioni erano in corso, i clienti avrebbero potuto non riavere subito e per intero il loro denaro, scrive l’avviso di transazione, che parla di «un grave venir meno alle aspettative della Banca centrale riguardo alla strategia di uscita ordinata dal mercato».
Per chi usa Coinbase, la parte di moneta elettronica è quella in contanti del conto: gli euro inviati con bonifico e in attesa di comprare cripto, oppure il ricavato di una vendita in attesa di essere prelevato. Coinbase Ireland non gestisce direttamente le operazioni in cripto. Quelle stanno presso altre società Coinbase, con regole diverse.
Gli avvertimenti del 2022 e 2023, le correzioni dal 2024
Nel marzo 2022 il consiglio di amministrazione di Coinbase Ireland ha dichiarato alla Banca centrale, in un’attestazione obbligatoria, che la società rispettava gli obblighi di salvaguardia. L’autorità le ha scritto il 14 luglio 2022 per segnalare «carenze significative» nella governance e di nuovo il 27 marzo 2023, rilevando che il primo ciclo di correzioni richieste non aveva funzionato. Una revisione esterna sulla salvaguardia ha poi prodotto 20 rilievi. Coinbase Ireland ha segnalato da sé tre problemi di salvaguardia nel gennaio 2024 e la Banca centrale ha avviato un’ispezione in loco nel maggio 2024. Le riparazioni sono arrivate per tappe:
- 27 giugno 2024: il sottofinanziamento giornaliero è cessato una volta individuato l’errore.
- Ottobre 2024: sono stati corretti il difetto nei dati e la lacuna dei depositi non associati, e la società ha aperto un proprio conto in dollari.
- 16 dicembre 2024: è stato nominato un responsabile direttamente incaricato della salvaguardia.
- Gennaio 2025: un nuovo programma di mitigazione del rischio, chiuso dalla Banca centrale nel giugno 2026 dopo una verifica esterna.
- Luglio 2025: è stata aperta l’indagine formale.
- 19 agosto 2025: il canale di deposito britannico è stato chiuso per tutti i clienti.
La risposta di Coinbase: una garanzia da 25 milioni e un responsabile della salvaguardia
Coinbase ha risposto con un post intitolato «Resolving past safeguarding issues». La pagina del blog ha respinto le richieste di Coindaro, quindi la dichiarazione è citata dal testo integrale pubblicato da FX News Group. «Non ci sono stati effetti sui clienti: nessun cliente ha subito perdite finanziarie né è stato impossibilitato ad accedere ai propri fondi a causa di queste pratiche passate», ha scritto la società.
Coinbase divide le questioni in cinque ambiti: i depositi in dollari durante la crisi bancaria americana del 2023, i depositi dei clienti britannici migrati, i prelievi in euro per clienti di altre entità Coinbase, gli errori di codice nel calcolo giornaliero e le modifiche non comunicate. Per le prime tre sostiene che il riequilibrio quotidiano della tesoreria riportasse ogni giorno il denaro sul conto di salvaguardia, pur riconoscendo che questo non ha evitato la mescolanza iniziale.
Tra le correzioni elencate ci sono una garanzia (guaranty bond) da 25 milioni di euro, un responsabile della salvaguardia dedicato, nominato prima che la Banca centrale rendesse quel ruolo uno standard di settore quest’anno, e due convalide esterne dal gennaio 2025 che non avrebbero trovato problemi residui. Coinbase aggiunge che la sua sede europea è ora in Lussemburgo e che i clienti del SEE conservano il servizio senza interruzioni.
Seconda multa irlandese in un anno, su un’altra società Coinbase
Non è la prima sanzione di Coinbase a Dublino. Nel novembre 2025 la Banca centrale ha multato Coinbase Europe Limited per 21,46 milioni di euro per carenze nel monitoraggio antiriciclaggio: oltre 30 milioni di transazioni per più di 176 miliardi di euro non erano state monitorate correttamente, ricorda FinanceFeeds. L’Alta Corte ha confermato quella multa nel gennaio 2026, circa due mesi dopo l’annuncio.
I due casi non vanno confusi. La multa del 2025 ha colpito Coinbase Europe Limited, allora registrata in Irlanda come prestatore di servizi per le attività virtuali (VASP), in base alla normativa antiriciclaggio. Quella del 2026 colpisce Coinbase Ireland Limited, l’istituto di moneta elettronica, in base alle Electronic Money Regulations. Insieme fanno circa 24,7 milioni di euro, inflitti dalla stessa autorità a due società dello stesso gruppo a meno di un anno di distanza.
La licenza MiCA è un’altra cosa, rilasciata in Lussemburgo
L’autorizzazione di Coinbase ai sensi del regolamento europeo sui mercati delle cripto-attività (MiCA) non arriva dall’Irlanda. Il registro ESMA dei prestatori di servizi per le cripto-attività elenca Coinbase Luxembourg S.A., autorizzata dalla CSSF lussemburghese il 20 giugno 2025 per sette servizi, tra cui custodia e scambio, e con passaporto in 30 paesi del SEE, tra cui Francia, Italia e Irlanda. L’avviso di transazione aggiunge che Coinbase ha trasferito l’attività di Coinbase Europe a quella società lussemburghese e non gestisce più dall’Irlanda alcun servizio per le cripto-attività. Le registrazioni VASP irlandesi hanno smesso di avere effetto alla fine del 2025.
Dunque la multa irlandese non è una sanzione MiCA e non tocca la licenza lussemburghese. MiCA ha regole proprie su custodia e segregazione delle cripto-attività, distinte da quelle sulla salvaguardia della moneta elettronica in questo caso. La nostra guida a cosa significa il regolamento MiCA per gli utenti spiega come funzionano licenza e passaporto europeo; la versione breve è nella voce del glossario su MiCA.
Come vadano vigilate le società MiCA è, di per sé, oggetto di dibattito a Bruxelles. La Francia vorrebbe che l’ESMA supervisionasse direttamente più società cripto, come abbiamo raccontato nel nostro articolo sulle proposte francesi di revisione di MiCA.
Cosa cambia per chi usa Coinbase in Italia e nel SEE
La società irlandese resta l’istituto di moneta elettronica del gruppo per l’Europa: Coinbase la descrive come l’entità «che fornisce servizi in valuta tradizionale ai clienti europei». Su questa descrizione, i saldi in euro tenuti su Coinbase da utenti italiani o francesi stanno presso la società irlandese, mentre i loro servizi in cripto passano dalla licenza MiCA lussemburghese. In passato ha rilevato anche tutti i clienti di Coinbase Germany GmbH, secondo l’avviso di transazione.
Né la Banca centrale né Coinbase hanno detto quanti clienti retail avessero denaro sul conto nei giorni in cui era scoperto, né in quali paesi vivano. Finora nulla di quanto pubblicato dice che clienti italiani o francesi siano stati colpiti in modo particolare. In Italia la vigilanza sugli istituti di moneta elettronica nazionali spetta alla Banca d’Italia; per le cripto-attività sotto MiCA le autorità competenti sono Banca d’Italia e Consob, mentre l’OAM tiene il registro dei prestatori di servizi in regime transitorio. Al momento non è nota alcuna azione di queste autorità sul caso.
Per chi confronta le piattaforme, il caso mostra che un marchio di exchange è spesso un insieme di società regolamentate, ciascuna con la sua licenza e la sua autorità di vigilanza. La nostra recensione di Coinbase copre la piattaforma nel suo insieme, e la guida per scegliere un exchange di criptovalute spiega quale entità cercare nelle condizioni di servizio.
La conferma dell’Alta Corte è il prossimo passo
Entrambe le parti sono vincolate dall’accordo, ma non è ancora in vigore. La Banca centrale si rivolge all’Alta Corte «non appena possibile», e il tribunale conferma la sanzione a meno che la ritenga manifestamente sproporzionata. Per la multa a Coinbase Europe ci sono volute circa due mesi. Per questa non è stata indicata alcuna data di udienza.