FCA e wallet non custodial: i controlli extra sono buona prassi, non una regola, e senza soglia

La Financial Conduct Authority (FCA), l’autorità britannica dei mercati finanziari, vuole che le società crypto del Regno Unito considerino i depositi provenienti da wallet non custodial (i cosiddetti unhosted wallet) un motivo per controlli più attenti, ma non ne fa una regola. Nelle bozze di modifica della sua Financial Crime Guide, pubblicate blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il 23 ottobre 2026 nel documento di consultazione CP26/38, il regolatore cita come esempio di buona prassi l’«adeguata verifica rafforzata» (enhanced due diligence) su clienti o operazioni finanziati da unhosted wallet. I commenti si possono inviare fino al 24 dicembre 2026.

La proposta non fissa alcun importo oltre il quale scattano i controlli e non vieta né limita i trasferimenti da e verso un wallet controllato dal cliente. Il documento precisa che la Guide «non contiene regole né impone nuovi obblighi». Indica però alle società come l’FCA valuterà i loro controlli quando il nuovo regime britannico per le crypto partirà, il 25 ottobre 2027, ed elenca due pratiche scorrette: interrompere la ricostruzione di un flusso dopo un numero fisso di «hop» (passaggi) e affidarsi a punteggi di analisi che nessuno in azienda sa spiegare.

È un approccio diverso da quello dell’Unione europea, dove un exchange deve già verificare per legge se un indirizzo self-hosted appartiene al proprio cliente, quando il trasferimento supera i 1.000 euro. Coindaro ha letto le 91 pagine del documento di consultazione, compreso il testo della Guide in bozza nell’Appendice 1; la pagina web dell’FCA si limita a elencare gli argomenti.

CP26/38 è la terza consultazione crypto dell’FCA nel giro di una settimana. Il 21 ottobre il regolatore ha aperto la consultazione sulle linee guida di perimetro e quella sulle linee guida DeFi, che abbiamo raccontato nel nostro articolo sulla consultazione FCA sul perimetro e sulle app di instradamento degli ordini. Quel documento stabilisce chi ha bisogno di una licenza. Questo riguarda il modo in cui le società autorizzate devono contrastare il riciclaggio di denaro.

Che cosa dice la bozza dell’FCA sui wallet non custodial

Un wallet non custodial, detto anche self-hosted o personale, è un portafoglio in cui l’utente detiene le chiavi private, al posto di un exchange o di un custode. Ne fanno parte i wallet hardware e le app non custodial per telefono o browser. La nostra voce di glossario sulla self-custody spiega la differenza rispetto a un conto detenuto su un exchange.

Il passaggio sui wallet si trova nel capitolo 3 della Guide, dedicato a riciclaggio e finanziamento del terrorismo, al punto FCG 3.2.8, la sezione sull’adeguata verifica rafforzata nelle situazioni a rischio più alto. La bozza aggiunge due righe alla colonna delle buone prassi. La prima descrive una società che valuta quando clienti od operazioni legati alle criptovalute presentano un rischio più elevato e «applica l’adeguata verifica rafforzata nei casi opportuni, comprese le operazioni o i clienti finanziati da unhosted wallet». La stessa riga mette nello stesso gruppo mixer, tumbler e monete che rafforzano la privacy. La seconda riga è più breve: la società applica l’adeguata verifica rafforzata alle operazioni che coinvolgono unhosted wallet.

L’adeguata verifica rafforzata, o EDD, è lo strato più pesante di controlli sul cliente che la normativa britannica antiriciclaggio già impone nei casi ad alto rischio: più domande sull’origine del denaro, un monitoraggio più stretto del conto, a volte l’approvazione di un dirigente. La bozza non elenca le domande che una società dovrebbe rivolgere a chi usa un wallet personale e non dice che la società debba dimostrare che il cliente è il proprietario del wallet. Questi dettagli sono lasciati alla singola società.

La formula «nei casi opportuni» conta. L’FCA non afferma che ogni deposito da un wallet personale sia sospetto. Dice che una società deve valutare quando queste operazioni presentano un rischio più alto e agire di conseguenza. La Guide oggi in vigore cita già le «operazioni che comportano l’uso di indirizzi self-hosted» al punto FCG 3.2.7, secondo l’FCA Handbook. La bozza trasforma quel riferimento in esempi di ciò che l’FCA considera buona prassi.

Un caso è più netto. Al punto FCG 3.2.7, che elenca le situazioni in cui il regolamento britannico antiriciclaggio (Money Laundering Regulations) richiede misure specifiche di EDD, la bozza include le operazioni per le quali i risultati dell’analisi della blockchain indicano un’esposizione ad attività criminali o sanzionate. In quel caso l’EDD «deve essere eseguita», secondo le parole della Guide.

Tracciare i fondi: niente numero fisso di hop, niente punteggi opachi

La seconda modifica riguarda il monitoraggio continuo, al punto FCG 3.2.5. Tra gli esempi di cattiva prassi, la bozza descrive una società crypto che applica «una regola rigida sul numero di “hop” o di trasferimenti rilevanti che esamina» senza tenere conto del rischio. Un hop è un passaggio nella catena di trasferimenti tra indirizzi. Un limite fisso, per esempio due hop a ritroso da un deposito, chiude il controllo sempre nello stesso punto, qualunque cosa mostrino i passaggi precedenti.

La bozza non indica un numero proprio. Chiede misure proporzionate al rischio: una società che individua un mixer o un indirizzo segnalato pochi passaggi più indietro può dover continuare a tracciare, mentre una storia breve e pulita può non richiedere altro.

Un secondo esempio di cattiva prassi riguarda l’analisi affidata a terzi. Una società che usa tecnologia di terzi nei propri controlli «e non è in grado di spiegare o documentare la base delle conclusioni raggiunte o dei punteggi applicati» è inadeguata, secondo la bozza. La riga non cita alcun fornitore, ma si adatta agli strumenti di analisi della blockchain i cui punteggi di rischio gli exchange usano per accettare o bloccare i depositi. Sul versante delle buone prassi, la bozza descrive una società che calibra i propri strumenti sui rischi che le sono propri e conserva una traccia verificabile di ogni regola e di ogni decisione.

Anche fare troppo poco viene criticato: la bozza indica come cattiva prassi una società che, una volta individuata l’attività crypto, non usa dati o analisi della blockchain nel monitoraggio continuo. E nella sezione sui controlli sul cliente, FCG 3.2.4, precisa che una società che si affida a strumenti di terzi per parti essenziali dell’adeguata verifica della clientela o del monitoraggio delle operazioni «resta responsabile» della supervisione e del rispetto dei propri obblighi.

Banche, emittenti di stablecoin e travel rule

Le righe sui wallet sono la parte più visibile, ma le modifiche per le crypto vanno oltre. Al punto FCG 3.2.3, sulla valutazione del rischio, la bozza chiede a ogni società coperta dal capitolo, comprese le banche, di considerare dove operano i servizi crypto usati da un cliente il cui patrimonio o i cui fondi derivano da criptovalute. L’esempio contrappone una società crypto regolamentata in un paese a basso rischio a una non regolamentata in un paese ad alto rischio. Conta anche l’esposizione a prodotti anonimi, orientati alla privacy o decentralizzati.

Per le stablecoin, la bozza afferma che un emittente autorizzato nel Regno Unito, o un terzo che gestisce per suo conto i controlli antiriciclaggio, dovrebbe eseguire le verifiche sul cliente entro un termine ragionevole all’apertura del rapporto e al rimborso, e che il rimborso dovrebbe avvenire solo dopo il rispetto degli obblighi di contrasto ai reati finanziari. Una riga del punto FCG 3.2.7 invita le società a valutare un rafforzamento dei controlli quando sono esposte a stablecoin qualificate emesse fuori dal Regno Unito, in particolare se le loro regole differiscono da quelle britanniche.

Sulla travel rule, che si applica ai trasferimenti crypto nel Regno Unito dal 1° settembre 2023, la bozza aggiunge indicazioni per i messaggi incompleti. Quando i dati richiesti su mittente o destinatario sono incompleti o mancano, la società dovrebbe avere una procedura per chiederli alla controparte e, se le informazioni non arrivano, prendere una decisione sull’operazione in base al rischio. Alle società viene inoltre ricordato che devono segnalare all’FCA il mancato rispetto persistente della travel rule; l’FCA aveva già illustrato le sue aspettative in una dichiarazione del 2023 sulla travel rule per le criptovalute.

Non è una nuova regola, dice l’FCA, e non c’è una stima dei costi

Una linea guida ha un peso giuridico diverso da una regola. Secondo il documento, la Guide raccoglie indicazioni generali, esempi di buone e cattive prassi tratti dalla vigilanza e domande di autovalutazione. Le società sono tenute a leggerla e a usarla insieme al proprio giudizio. Nell’Allegato 2 il documento aggiunge che discostarsene non indica, di per sé, una violazione delle regole dell’FCA, un punto sottolineato anche da CryptoSlate nel suo articolo del 26 ottobre.

Non vincolante non significa ignorata. L’FCA scrive di aspettarsi che le società abbiano letto e preso in considerazione la Guide e presenta gli esempi sulle crypto come un aiuto per chi prepara la domanda di autorizzazione.

Il documento non è accompagnato da un’analisi costi-benefici. Nell’Allegato 2 l’FCA dice che gli aggiornamenti «riflettono le aspettative regolamentari esistenti e le prassi consolidate del settore» e che non prevede un aumento rilevante del lavoro di conformità né di costi rilevanti per i consumatori.

Il documento motiva la sezione sulle crypto. La National Risk Assessment britannica del 2025 ha valutato alto il rischio di riciclaggio legato alle criptovalute e medio quello di finanziamento del terrorismo, e l’FCA osserva che la velocità transfrontaliera dei trasferimenti su blockchain rende difficile individuare gli abusi. Molte società, aggiunge, saranno nuove a questi obblighi.

Il calendario britannico delle crypto: dalla registrazione all’autorizzazione

Gli exchange crypto e i fornitori di servizi di custodia di wallet devono registrarsi presso l’FCA ai sensi dei Money Laundering Regulations dal gennaio 2020. Quel regime di registrazione sta per essere sostituito. Con il Financial Services and Markets Act 2000 (Cryptoassets) Regulations 2026, le società che svolgono attività crypto regolamentate nel Regno Unito dovranno ottenere la piena autorizzazione dell’FCA dal 25 ottobre 2027 e rispettare le regole dell’FCA sul contrasto ai reati finanziari, pubblicate, secondo il documento, nel PS26/13.

Le domande di autorizzazione sono aperte dal 30 settembre 2026 e si chiudono il 28 febbraio 2027, secondo le pagine dell’FCA sul nuovo regime. L’aggiornamento della Financial Crime Guide serve ad aiutare chi presenta domanda a costruire i controlli prima di inoltrarla.

Regno Unito e UE sui wallet self-hosted: una linea guida contro un obbligo di legge

L’Unione europea è andata nella direzione opposta. Con il regolamento sui trasferimenti di fondi (TFR), il regolamento (UE) 2023/1113, in vigore dal 30 dicembre 2024, un fornitore di servizi per le cripto-attività che invia a un indirizzo self-hosted, o che riceve da esso, deve raccogliere informazioni sul trasferimento. Oltre i 1.000 euro deve anche adottare misure per valutare se quell’indirizzo appartenga o sia controllato dal proprio cliente (articoli 14 e 16).

L’Autorità bancaria europea (EBA) ha pubblicato a luglio 2024 gli orientamenti sulla travel rule che indicano come eseguire questa verifica di titolarità. Le fonti secondarie descrivono in modi diversi quanti metodi di verifica richieda il testo finale e Coindaro non ha controllato questo punto sul documento dell’EBA, quindi non lo indichiamo.

Chi in Italia o in Francia preleva più di 1.000 euro da un exchange verso un wallet personale può quindi già sentirsi chiedere di dimostrare che il wallet è suo; il modo in cui la piattaforma lo verifica varia. In Francia la vigilanza sulle società crypto ai sensi del MiCA spetta ad AMF e ACPR; in Italia a Consob e Banca d’Italia, mentre l’OAM tiene il registro dei prestatori di servizi in valuta virtuale di vecchio tipo. L’UE andrà oltre dal 10 luglio 2027, quando il regolamento antiriciclaggio (AMLR) vieterà i conti crypto anonimi, come riportato nella nostra pagina evento sul regolamento antiriciclaggio UE.

Altri paesi sono stati più severi. La Russia metterà fine il 1° luglio 2027 agli scambi crypto peer-to-peer tra privati e, secondo la sua banca centrale, una persona non potrà spostare monete da un conto regolamentato al proprio wallet non custodial, come abbiamo raccontato nel nostro articolo sulle restrizioni russe a P2P e wallet. Accanto a questo, e accanto alla soglia europea, la bozza britannica è la più leggera dei tre approcci: lascia aperto il trasferimento e chiede alla società di valutare il rischio.

Che cosa cambia per un utente britannico che preleva verso un wallet personale

Oggi non cambia nulla. CP26/38 è una bozza e la Guide definitiva arriverà solo con un Policy Statement, di cui l’FCA non ha indicato la data.

Se il testo resterà così com’è, un exchange britannico che riceve monete dal wallet di un cliente sarà più propenso a chiedere da dove vengono, soprattutto se sono passate da un mixer o hanno toccato una moneta per la privacy. Ricevere la domanda non è un’accusa. La bozza rende anche più difficile per un exchange giustificare un rifiuto basato soltanto sul punteggio di un fornitore che il suo stesso personale non sa spiegare.

Senza una soglia nella bozza, un piccolo deposito può attirare domande se compaiono altri fattori di rischio, e uno grande può non attirarne se la storia è pulita. È il compromesso di un modello basato sul rischio: meno controlli automatici, più margine per ogni società e meno prevedibilità per l’utente. Per le basi sulla custodia e sui tipi di wallet, vedi la nostra guida i crypto wallet spiegati.

Come rispondere e che cosa non si sa ancora

Le risposte si inviano con il modulo online sulla pagina dell’FCA, oppure via email a [email protected] per chi non può usare il modulo. L’Allegato 1 del documento elenca cinque domande, tra cui se i rispondenti siano d’accordo con la formulazione e se prevedano conseguenze non volute. L’FCA pubblicherà il suo riscontro insieme al testo definitivo della Guide in un Policy Statement.

Restano aperti diversi punti. La bozza non dice come una società debba stabilire che un wallet personale sia collegato al proprio cliente, ammesso che debba farlo. Non distingue tra depositi e prelievi oltre alla formula «finanziati da unhosted wallet» in una riga e «che coinvolgono unhosted wallet» nell’altra. Nessuna associazione di categoria britannica aveva pubblicato una reazione al 26 ottobre, per quanto Coindaro abbia potuto verificare. I commenti si chiudono il 24 dicembre 2026; il regime a cui preparano comincia il 25 ottobre 2027.