pool di un market maker automatico divergono, rispetto a tenere semplicemente gli stessi token. Diventa definitiva al prelievo.">Il 16 ottobre 2026 il curatore di Mt. Gox, l’exchange centralizzato di Tokyo fallito nel 2014, ha spostato ancora una volta la scadenza dei rimborsi ai creditori, dal 31 ottobre 2026 al 31 ottobre 2027, come si legge in un avviso pubblicato dal curatore (in inglese). A dodici anni dal blocco dei prelievi, i portafogli collegati alla procedura contengono ancora circa 34.388 bitcoin, intorno a 2,8 miliardi di dollari secondo i dati di Arkham riportati da Decrypt. È la quarta proroga di un anno; nella nostra notizia sulla nuova scadenza di Mt. Gox trovi i dettagli.
Quell’attesa è la spiegazione più breve di cosa sia un exchange centralizzato. È un’unica società che fa tre mestieri insieme: gestisce un mercato dove incontrano compratori e venditori, verifica chi sono i clienti e custodisce le loro monete. Quando tieni bitcoin su una piattaforma di questo tipo, ciò che possiedi è un credito verso quella società, scritto nel suo database. Quasi sempre la differenza non si nota. Quando la società fallisce, è l’unica cosa che conta.
Questa lezione spiega come funziona dall’interno un exchange centralizzato: il libro degli ordini e il motore che abbina gli ordini, i controlli d’identità noti come KYC, dove stanno davvero le monete dei clienti, cosa è successo a Mt. Gox e a FTX, che cosa la proof of reserves può e non può dimostrare e in cosa differisce un exchange decentralizzato. Il regolamento europeo MiCA compare solo dove tocca custodia e negoziazione; il quadro generale è nella nostra guida al regolamento MiCA, lezione precedente di questo percorso. Per scegliere una piattaforma c’è la guida alla scelta di un exchange di criptovalute.
Un exchange centralizzato è un mercato, un posto di controllo e un caveau
Una borsa valori tradizionale gestisce il mercato ma non custodisce le tue azioni: l’ordine passa da un intermediario e i titoli stanno presso un depositario distinto. Un exchange di criptovalute come Coinbase, Kraken o Binance, di solito, fa tutto sotto lo stesso tetto. Quota le attività, riceve l’ordine, lo abbina, tiene il registro di chi possiede cosa e conserva le monete.
La SEC americana ha messo in guardia da questa combinazione in un avviso agli investitori sui titoli cripto (in inglese): riunire in un’unica società le funzioni di borsa, intermediario e depositario, scrive l’autorità, crea conflitti di interesse e rischi per chi investe. La tabella qui sotto ordina i tre mestieri e il modo in cui ciascuno tende a rompersi.
| Mestiere | Cosa fa la società | Cosa può andare storto |
|---|---|---|
| Mercato | Quota le coppie di scambio, tiene un libro degli ordini, abbina compratori e venditori, pubblica i prezzi | Blocchi nei momenti di punta, libri degli ordini sottili, un operatore che negozia contro i propri clienti |
| Posto di controllo | Verifica l’identità, controlla clienti e trasferimenti, segnala le attività sospette | Controlli deboli che lasciano passare denaro criminale, con sanzioni o chiusura |
| Caveau | Custodisce le monete dei clienti nei propri wallet e il denaro dei clienti su conti bancari | Furti dai wallet, fondi dei clienti usati per scopi della società, insolvenza |
Cosa possiedi davvero quando le monete stanno su un exchange
Quando compri 0,1 BTC su un exchange centralizzato, sulla blockchain di Bitcoin non si muove nulla. L’exchange cambia due numeri nel proprio registro interno: il tuo sale di 0,1 BTC, quello del venditore scende. Le monete restano in wallet di cui l’exchange controlla le chiavi private. Il tuo saldo è una promessa: la società ti invierà quell’importo quando lo chiederai.
Solo un prelievo trasforma la promessa in monete. Quando prelevi verso un wallet di cui hai le chiavi, l’exchange firma una vera transazione e le monete diventano tue sulla blockchain, senza che nessuno possa bloccarle. È la differenza tra custodia affidata a terzi e self-custody, spiegata nella nostra guida ai wallet crypto. L’avviso della SEC descrive il rischio senza giri di parole: chi deposita cripto presso una società di questo tipo potrebbe smettere di esserne il proprietario legale.
Libro degli ordini e motore di matching: come un acquisto incontra una vendita
Ogni coppia di scambio di un exchange centralizzato, per esempio BTC/USD, ha un libro degli ordini (order book): due elenchi di ordini in attesa. Il primo contiene le offerte di acquisto, dette bid, a un prezzo indicato. Il secondo contiene le offerte di vendita, dette ask. Il software che confronta gli ordini in arrivo con questi elenchi e decide quali scambi avvengono si chiama motore di matching. Gli exchange non pubblicano il codice dei loro motori e i dettagli cambiano da piattaforma a piattaforma, quindi quello che segue è il meccanismo generale dei mercati a libro ordini, in borsa come nelle cripto.
La regola più comune è prima il prezzo, poi il tempo. Un ordine d’acquisto a prezzo più alto viene servito prima di uno a prezzo più basso; tra due ordini allo stesso prezzo passa avanti quello arrivato per primo. Quando un nuovo ordine trova una controparte in attesa sul lato opposto, lo scambio avviene al prezzo dell’ordine che era già nel libro.
Bid, ask e spread, con un esempio numerico
Ecco un libro degli ordini inventato, con numeri tondi scelti solo per mostrare il meccanismo. Nessun prezzo è reale.
| Lato | Prezzo (USD per BTC) | Quantità (BTC) |
|---|---|---|
| Ask (vendita) | 100.300 | 2,0 |
| Ask (vendita) | 100.200 | 0,5 |
| Ask (vendita) | 100.100 | 0,3 |
| Bid (acquisto) | 100.000 | 0,4 |
| Bid (acquisto) | 99.900 | 1,0 |
| Bid (acquisto) | 99.800 | 3,0 |
Il miglior ask è 100.100 dollari e il miglior bid è 100.000. I 100 dollari di distanza tra i due sono lo spread: nessuno ha ancora accettato di scambiare all’interno di quell’intervallo. Un mercato con molti ordini vicini ai prezzi migliori si dice profondo o liquido; un mercato con pochi ordini è sottile, e gli ordini grandi ne spostano il prezzo.
Ora immagina di mandare un ordine a mercato per comprare 0,6 BTC, cioè «compra subito al prezzo che offre il libro». Il motore esegue 0,3 BTC a 100.100 dollari, esaurendo quel livello, poi 0,3 BTC a 100.200. Hai pagato in media 100.150 dollari per bitcoin, 150 sopra l’ultimo miglior bid, più la commissione dell’exchange. La differenza tra il prezzo che vedevi e quello che hai ottenuto si chiama slippage, e su un libro sottile può essere molto maggiore.
Ordini a mercato, ordini limite e chi paga la commissione
Un ordine limite fissa il prezzo peggiore che accetti. Un ordine limite per comprare 1 BTC a 99.950 dollari non può essere eseguito contro gli ask attuali, quindi entra nell’elenco dei bid e aspetta, diventando il nuovo miglior bid. Diventi quello che gli exchange chiamano maker, perché hai aggiunto liquidità al libro. Chi vende dopo nel tuo ordine è il taker. Molti exchange fanno pagare ai taker una commissione più alta che ai maker proprio per questo. I livelli di commissione spettano alle recensioni dei singoli exchange e alla guida alla scelta, non a questa lezione.
Un ordine limite ti protegge da un’esecuzione sfavorevole ma può non essere mai eseguito. Un ordine a mercato viene sempre eseguito su un mercato che funziona, ma il prezzo non lo controlli. La maggior parte degli exchange offre anche ordini stop, che diventano ordini a mercato o limite quando si raggiunge un prezzo di innesco.
Prima il registro interno, poi la blockchain
Questo schema spiega una sorpresa frequente per i principianti. Uno scambio sull’exchange è istantaneo, perché è soltanto una modifica nel database della società. Un deposito o un prelievo richiede minuti od ore, perché è una vera transazione che va confermata sulla blockchain, e molti exchange aspettano diverse conferme prima di accreditare un deposito.
Spiega anche perché l’exchange può gestire milioni di scambi al giorno senza pagare commissioni di rete su ognuno. La blockchain vede solo il denaro che entra ed esce dall’exchange, non ciò che accade al suo interno.
Cosa chiede MiCA a una piattaforma di negoziazione nell’Unione europea
Nell’Unione europea, un prestatore di servizi per le cripto-attività che gestisce una piattaforma di negoziazione deve rispettare l’articolo 76 del regolamento MiCA (in inglese). La piattaforma deve fissare regole e procedure non discrezionali che garantiscano una negoziazione equa e ordinata, quindi l’operatore non può scegliere quale cliente viene eseguito. Non deve negoziare per conto proprio sulla propria piattaforma e può ricorrere alla negoziazione in contropartita abbinata solo con il consenso del cliente. Deve pubblicare in modo continuo, durante l’orario di negoziazione, i prezzi bid e ask e la profondità degli interessi, e prezzo, volume e ora di ogni scambio il più possibile in tempo reale.
L’articolo 76 fissa anche un termine di regolamento: la piattaforma deve avviare il regolamento definitivo di un’operazione sul registro distribuito entro 24 ore dallo scambio, o entro la fine della giornata per le operazioni regolate fuori dal registro. Le piattaforme americane che negoziano cripto per i clienti rispondono soprattutto alla registrazione antiriciclaggio presso il governo federale e alle licenze concesse Stato per Stato, descritte nella sezione successiva.
KYC e antiriciclaggio: perché un exchange ti chiede il documento
Aprire un conto presso un exchange regolamentato significa caricare un documento d’identità, spesso un selfie o un breve video, e un giustificativo di residenza. È il KYC, cioè know your customer, i controlli d’identità che fanno anche le banche. È una parte del programma antiriciclaggio (AML) di una società, che comprende anche il confronto dei clienti con le liste delle sanzioni, il monitoraggio delle operazioni alla ricerca di schemi legati a reati e la segnalazione delle attività sospette alle autorità.
Gli exchange chiedono di più quando gli importi crescono. Depositi o prelievi più alti possono far scattare domande sull’origine dei fondi, con una busta paga, un contratto di vendita o documenti fiscali. I limiti esatti cambiano per piattaforma e per paese: contano quelli mostrati nella schermata di verifica dell’app.
Le regole dietro i controlli, paese per paese
Negli Stati Uniti un’attività che accetta e trasmette cripto per i clienti è un money transmitter ai sensi del Bank Secrecy Act, secondo le indicazioni di FinCEN del maggio 2019 (in inglese). FinCEN è l’unità del Tesoro contro i reati finanziari. Una società di questo tipo deve registrarsi presso FinCEN come money services business e gestire un programma antiriciclaggio, conservare i registri e inviare segnalazioni di attività sospette. La registrazione è una comunicazione, non un’approvazione. Gli Stati aggiungono un livello proprio: la Conference of State Bank Supervisors afferma che gli Stati autorizzano da quasi dieci anni i money transmitter che muovono criptovalute, quindi una piattaforma ha di norma bisogno di una licenza in ogni Stato in cui serve clienti, con regole diverse da uno Stato all’altro.
Le regole britanniche stanno cambiando. Oggi le società cripto devono avere una registrazione presso la Financial Conduct Authority ai sensi della normativa antiriciclaggio. Un regime di autorizzazione completo la sostituirà: secondo la FCA le domande di autorizzazione si aprono dal 30 settembre 2026, e il nuovo regime entra in vigore il 25 ottobre 2027. Le sue linee guida indicano la gestione di una piattaforma di negoziazione di cripto-attività e la custodia di cripto-attività tra le attività che possono richiedere un’autorizzazione.
Il diritto europeo aggiunge la cosiddetta travel rule: i trasferimenti che coinvolgono un prestatore di servizi per le cripto-attività devono riportare le informazioni su chi invia e chi riceve, ai sensi del regolamento (UE) 2023/1113 sui trasferimenti di fondi. Per questo un exchange europeo può chiederti se il wallet verso cui prelevi è tuo. Un nuovo regolamento antiriciclaggio dell’Unione, applicabile dal 10 luglio 2027, introduce controlli più severi sui clienti delle società cripto.
In Italia: Consob, Banca d’Italia e l’elenco ESMA
Per chi vive in Italia il passaggio decisivo è recente. Con un comunicato congiunto del 30 giugno 2026, Consob e Banca d’Italia hanno ricordato che dal primo luglio è terminato il periodo transitorio previsto dal regolamento europeo sui mercati delle cripto-attività (stablecoin e i prestatori di servizi per le cripto-attività (CASP) in tutta l’UE. Si applica pienamente dal 30 dicembre 2024.">MiCAR). Il vecchio regime nazionale, quello dell’elenco dei prestatori di servizi tenuto dall’OAM, non basta più: gli operatori che non hanno ottenuto l’autorizzazione come prestatori di servizi per le cripto-attività (CASP) devono cessare la propria attività e possono solo svolgere ciò che serve a chiudere i rapporti con i clienti, consentendo il trasferimento o la liquidazione delle posizioni. L’ESMA ha chiesto loro piani di dismissione ordinata, con il trasferimento delle attività dei clienti a operatori autorizzati o a portafogli auto-custoditi.
Il comunicato elenca gli otto CASP autorizzati dalla Consob in Italia al 30 giugno 2026: CheckSig, Conio, CryptoSmart, Hercle, Hodlie, Olliv Italia, Riv Digital e Young Platform. A questi si aggiunge Banca Sella, che come intermediario bancario ha notificato alla Banca d’Italia l’intenzione di prestare servizi per le cripto-attività, per un totale di nove soggetti. La Consob ha autorizzato i CASP in stretto coordinamento con la Banca d’Italia, e le due autorità proseguono la vigilanza e l’informazione al pubblico in coordinamento con l’ESMA. Gli operatori autorizzati figurano nel registro dei prestatori tenuto dall’ESMA e possono offrire servizi in tutta l’Unione grazie al passaporto europeo.
L’indicazione pratica del comunicato vale per qualsiasi exchange, italiano o straniero: controlla il registro ESMA e individua quale soggetto giuridico presta davvero il servizio, perché le tutele di MiCAR non coprono le società dello stesso gruppo prive di autorizzazione. Se il tuo fornitore non è autorizzato, il comunicato invita a spostare le attività o a chiudere le posizioni. Il trattamento fiscale delle cripto in Italia ha una lezione a parte, più avanti nel percorso.
Quando i controlli falliscono: Binance nel 2023
Il caso di enforcement più grande finora ha riguardato il maggiore exchange del mondo per volumi. A novembre 2023 Binance si è dichiarata colpevole negli Stati Uniti di violazione del Bank Secrecy Act, di mancata registrazione come money transmitter e di violazione delle sanzioni statunitensi, accettando di pagare circa 4,3 miliardi di dollari, secondo il Dipartimento di Giustizia americano (in inglese). Il fondatore, Changpeng Zhao, si è dichiarato colpevole di un reato legato al Bank Secrecy Act, ha lasciato la carica di amministratore delegato e ha accettato una multa di 50 milioni di dollari. Binance ha accettato anche un monitor indipendente. Lo stesso giorno FinCEN ha annunciato un proprio accordo da 3,4 miliardi di dollari, con cinque anni di monitoraggio, e l’ufficio sanzioni del Tesoro, OFAC, ha concluso un accordo separato.
Per un cliente il punto è pratico. Controlli deboli lasciano entrare denaro criminale, e le sanzioni che ne seguono ricadono sulla società, il cui bilancio sostiene tutti i conti dei clienti.
Si può fare trading senza KYC?
Molti cercano un exchange senza KYC. Alcune strade esistono: un exchange decentralizzato, dove scambi dal tuo wallet, e alcune piattaforme peer-to-peer. Hanno altri rischi. Non c’è assistenza e non c’è rimedio se una controparte o un sito falso ti truffa, le monete ricevute possono essere segnalate in seguito da un exchange regolamentato, e gli obblighi fiscali restano gli stessi. Un exchange centralizzato che offre depositi in moneta legale a persone negli Stati Uniti, nel Regno Unito o nell’Unione europea senza controlli d’identità, nella maggior parte dei casi, opera fuori dalla legge in quei luoghi, e non è un buon posto dove lasciare denaro.
Custodia: dove stanno davvero le monete dei clienti
Un exchange detiene due tipi di beni dei clienti. Il denaro (dollari, euro, sterline) sta su conti bancari. Le monete stanno in wallet blockchain controllati dall’exchange. Il modo in cui organizza quei wallet decide quanto i clienti sono esposti ai furti e agli errori della società.
Hot wallet, cold storage e la quota in ciascuno
Un hot wallet è collegato a internet e può firmare i prelievi in automatico. È veloce e comodo, ed è la parte che gli attaccanti prendono di mira. Un cold wallet tiene le chiavi offline, spesso divise tra più persone e dispositivi in luoghi diversi, quindi spostare i fondi richiede una procedura deliberata e tempo. Gli exchange tengono una piccola quota negli hot wallet per i prelievi quotidiani e la parte maggiore in cold storage, rifornendo il lato caldo quando si svuota.
La quota è dichiarata dalla società stessa. Coinbase scrisse in un post sul proprio blog del dicembre 2018, citato da CryptoSlate (in inglese), di custodire il 98% o più delle attività dei clienti in cold storage; per questa lezione non era disponibile alcuna verifica indipendente di quella cifra, né di una più recente. Qualsiasi percentuale di questo tipo va letta come una dichiarazione dell’azienda.
Anche il cold storage può essere svuotato: Bybit, febbraio 2025
Intorno al 21 febbraio 2025 degli aggressori hanno sottratto circa 1,5 miliardi di dollari in asset virtuali all’exchange Bybit. L’FBI ha dichiarato in un annuncio di pubblica utilità del 26 febbraio 2025 (in inglese) che la responsabilità era della Corea del Nord, in una campagna che chiama TraderTraitor, e che i ladri hanno convertito rapidamente parte dei fondi disperdendoli su migliaia di indirizzi di diverse blockchain. I fondi provenivano da un wallet freddo multi-firma su Ethereum. Safe, la società il cui software Bybit usava per approvare i trasferimenti, ha dichiarato che gli aggressori erano passati da un computer compromesso di uno sviluppatore, e gli investigatori incaricati da Bybit hanno trovato che un codice alterato sull’interfaccia web di Safe cambiava la transazione mentre i firmatari approvavano quella che sembrava un’operazione di routine. Le chiavi offline fermano molti attacchi. Non proteggono il momento in cui persone e software approvano un movimento di fondi.
Un unico fondo per molti clienti
Di solito gli exchange non aprono un wallet blockchain separato per le monete di ogni cliente. Una soluzione comune, presa in prestito dall’intermediazione finanziaria dove si chiama conto omnibus, è un unico fondo di monete che copre molti clienti, con la ripartizione tra loro registrata solo nei libri dell’exchange. L’indirizzo di deposito può essere personale, ma le monete vengono poi spostate in wallet condivisi. È la descrizione in parole semplici di una prassi diffusa, non di una regola; gli exchange descrivono in modi diversi la propria organizzazione.
Un fondo condiviso è efficiente, ma rende critiche due cose: l’esattezza del registro interno e una garanzia giuridica che il fondo appartenga ai clienti e non alla società. Se i libri dicono che i clienti possiedono 100.000 BTC e i wallet ne contengono 80.000, ogni cliente è in difetto, e dalla sola blockchain nessuno può accorgersene.
La segregazione secondo MiCA e ciò che non promette
MiCA risponde al secondo punto per le società autorizzate nell’Unione. L’articolo 70 del regolamento (in inglese) prevede che un prestatore che detiene cripto-attività dei clienti, o i mezzi di accesso ad esse, predisponga disposizioni adeguate per tutelare i diritti di proprietà dei clienti, soprattutto in caso di insolvenza del prestatore, e ne impedisca l’uso per conto proprio. Il denaro dei clienti diverso dai token di moneta elettronica deve essere depositato presso un ente creditizio o una banca centrale entro la fine del giorno lavorativo successivo, su un conto identificabile separatamente dal denaro della società. Queste regole sul denaro non si applicano quando il prestatore è esso stesso una banca, un istituto di moneta elettronica o un istituto di pagamento, perché tali soggetti hanno regole di salvaguardia proprie.
MiCA non crea una garanzia sui depositi né un fondo di indennizzo degli investitori per le cripto. Se una società autorizzata perde monete dei clienti, la tutela del cliente è la segregazione stessa e la responsabilità della società, non un fondo pubblico. La tutela vale inoltre solo per il soggetto giuridico autorizzato: una società sorella con lo stesso marchio in un altro paese può restarne fuori.
La salvaguardia può fallire anche presso una società con licenza. Il 22 ottobre 2026 la Banca centrale d’Irlanda ha multato Coinbase Ireland, la società di moneta elettronica del gruppo, per 3.252.618 euro per violazioni delle regole su salvaguardia ed esternalizzazione tra novembre 2020 e agosto 2025. Secondo l’avviso di transazione (in inglese), il conto di salvaguardia era in ammanco ogni giorno per almeno 18 mesi, fino a 5,2 milioni di euro nel 2024. L’autorità non ha trovato prove di danni effettivi ai clienti, ma ha rilevato il rischio in caso di insolvenza della società. Le reazioni sono nella nostra notizia sulla multa a Coinbase Ireland. Il caso rientra nelle regole sulla moneta elettronica, non in MiCA, ma il principio è lo stesso: la segregazione vale quanto la riconciliazione quotidiana che c’è dietro.
Negli Stati Uniti e nel Regno Unito, nessuno schema di garanzia per le monete
Chi è abituato a conti bancari e di intermediazione americani deve sapere cosa manca. I depositi bancari sono coperti dall’assicurazione FDIC e i conti di intermediazione dalla protezione SIPC se la società fallisce. L’avviso della SEC, dopo aver descritto quei sistemi, afferma che tali protezioni non esistono per i conti presso entità cripto. Se le monete detenute da un exchange americano appartengano ai clienti o ai creditori in un fallimento dipende dai termini contrattuali dell’exchange e da come li interpreta un tribunale.
Quando un exchange fallisce i clienti diventano creditori: Mt. Gox e FTX
Due crolli hanno plasmato tutto quanto detto sopra. Le cause sono diverse, ma per i clienti sono finiti allo stesso modo: un saldo congelato, una procedura giudiziaria e una lunga attesa per recuperare una parte del denaro.
Mt. Gox, 2014: il leader del mercato hackerato
Mt. Gox, gestito da Tokyo da Mark Karpelès, era nel 2014 tra i maggiori exchange di bitcoin al mondo. A febbraio di quell’anno bloccò i prelievi, poi chiese la protezione fallimentare a Tokyo, attribuendo agli hacker la perdita di 750.000 bitcoin dei clienti e di 100.000 propri. A marzo 2014 disse di aver ritrovato circa 200.000 BTC in un wallet di vecchio formato che credeva vuoto, riferì NBC News (in inglese), il che lasciava circa 650.000 BTC senza spiegazione. A marzo 2019 il tribunale distrettuale di Tokyo condannò Karpelès per manipolazione di dati elettronici, con una pena sospesa di due anni e sei mesi, e lo assolse dall’appropriazione indebita, secondo l’Associated Press (in inglese).
I creditori approvarono un piano di riabilitazione il 20 ottobre 2021 e il tribunale distrettuale di Tokyo lo confermò lo stesso giorno; divenne definitivo il 16 novembre 2021, come si legge nell’avviso del curatore (in inglese). Il curatore effettuò i primi rimborsi in bitcoin e bitcoin cash il 5 luglio 2024, dieci anni dopo il crollo. Nell’avviso di ottobre 2026 afferma che i rimborsi principali sono in gran parte completati, ma molti creditori non hanno ancora concluso le pratiche necessarie per essere pagati, ed è per questo che la scadenza ora arriva al 31 ottobre 2027.
FTX, 2022: depositi dei clienti usati da una società sorella
FTX è caduta in pochi giorni. Il 2 novembre 2022 CoinDesk pubblicò il bilancio di Alameda Research, la società di trading del fondatore di FTX Sam Bankman-Fried: circa 5,8 miliardi dei suoi 14,6 miliardi di attività erano FTT, un token creato dalla stessa FTX, come riassunse allora TechCrunch (in inglese). Il 6 novembre l’amministratore delegato di Binance disse che Binance avrebbe venduto i propri FTT. I clienti si precipitarono a prelevare e l’8 novembre i prelievi erano di fatto sospesi. L’11 novembre 2022 FTX Trading, Alameda e decine di società collegate presentarono istanza di fallimento secondo il Chapter 11 in Delaware, come risulta dalla dichiarazione di primo giorno depositata nel procedimento (in inglese).
Il nuovo amministratore delegato nominato per gestire il fallimento, John J. Ray III, che aveva seguito la liquidazione di Enron, scrisse in quella dichiarazione, datata 17 novembre 2022, di non aver mai visto in carriera un fallimento così completo dei controlli societari. Al processo l’accusa mostrò che i depositi dei clienti erano stati usati da Alameda. Il 2 novembre 2023 una giuria condannò Bankman-Fried per sette capi di frode e cospirazione. Il 28 marzo 2024 il giudice Lewis Kaplan lo condannò a Manhattan a 25 anni di carcere, ritenendo che i clienti di FTX avessero perso 8 miliardi di dollari, riferì AAP (in inglese). Bankman-Fried disse che avrebbe fatto appello.
Per i clienti la decisione chiave è arrivata nel tribunale fallimentare. Il giudice John Dorsey ha confermato il piano di FTX a ottobre 2024. Circa il 98% dei creditori avrebbe ricevuto almeno il 118% del proprio credito in contanti, con i crediti valutati in dollari alla data del deposito dell’istanza, novembre 2022, riferì The Block (in inglese); un consulente della procedura disse al tribunale che non aveva le cripto necessarie per rimborsare in natura. Sembra generoso finché non si guarda la data. Un cliente che aveva un bitcoin è stato rimborsato in dollari al valore di novembre 2022, non in bitcoin, e ha perso il rialzo successivo.
Cosa insegnano i due casi sul tuo credito
Quando un exchange centralizzato diventa insolvente, le monete sul tuo conto smettono di essere qualcosa che puoi prelevare e diventano un credito in una procedura legale. Quattro elementi decidono allora quanto recuperi. Il primo è se le monete fossero legalmente tue o della società, ciò che le regole di segregazione come l’articolo 70 di MiCA cercano di stabilire in anticipo. Il secondo è quanto resta davvero una volta che i curatori hanno contato i wallet. Il terzo è il tempo: due anni perché i clienti di FTX vedessero un piano confermato, più di dieci per Mt. Gox. Il quarto è la data di valutazione, perché i crediti sono spesso fissati in denaro al prezzo del giorno in cui la società ha depositato l’istanza.
| Al 23 ottobre 2026 | Mt. Gox | FTX |
|---|---|---|
| Prelievi bloccati | Febbraio 2014 | Circa l’8 novembre 2022 |
| Istanza di insolvenza | Febbraio 2014, Tokyo | 11 novembre 2022, Delaware (Chapter 11) |
| Causa riferita | Monete scomparse, attribuite agli hacker | Depositi dei clienti usati da Alameda Research |
| Ammanco riferito | Circa 850.000 BTC, circa 650.000 dopo il ritrovamento di monete | 8 miliardi di dollari di perdite dei clienti (accertamento del giudice alla condanna) |
| Piano approvato | 20 ottobre 2021 (definitivo il 16 novembre 2021) | 7 ottobre 2024 |
| Clienti pagati dal | 5 luglio 2024, in BTC e BCH | Dopo il piano, in dollari ai valori di novembre 2022 |
| Stato | Scadenza 31 ottobre 2027; circa 34.388 BTC nei wallet collegati (Arkham) | Distribuzioni previste dal piano |
Proof of reserves: cosa mostra e cosa nasconde
Dopo FTX molti exchange hanno cominciato a pubblicare una proof of reserves, una prova delle riserve: la dimostrazione di possedere almeno tante monete quante ne sommano i saldi dei clienti. Ha due metà. Sul lato dell’attivo l’exchange indica quali indirizzi blockchain controlla, spesso firmando un messaggio con le loro chiavi, così che chiunque possa sommare le monete che contengono. Sul lato del passivo deve dimostrare il totale di ciò che deve ai clienti.
Come un albero di Merkle ti permette di controllare il tuo saldo
Lo strumento usuale per il lato del passivo è l’albero di Merkle. Ogni saldo di un cliente diventa una foglia, etichettata con una versione rimescolata dell’identificativo del cliente. Le coppie di foglie si combinano in un nodo padre che conserva la loro somma e un hash di entrambe, e così via fino a un’unica radice che contiene il totale. L’exchange pubblica la radice. Ogni cliente riceve il breve ramo che collega la sua foglia alla radice e può verificare che il suo saldo sia incluso e che le somme tornino.
Il cofondatore di Ethereum Vitalik Buterin ha descritto il metodo in un post del 19 novembre 2022 (in inglese). Se gli attivi coprono il totale nella radice, scrive, si è dimostrato che l’exchange ha i fondi per restituire il denaro a tutti i depositanti. Ne ha elencato anche i punti deboli.
I limiti: un’istantanea, un totale dichiarato da sé e utenti esclusi
Una proof of reserves è l’istantanea di un momento. Le monete possono essere prese in prestito per il giorno del controllo e restituite dopo. Due exchange potrebbero passarsi lo stesso collaterale per superare i controlli, un rischio che Buterin segnala. Un exchange potrebbe anche lasciare fuori dall’albero alcuni clienti; come osserva Buterin, escluderli avrebbe lo stesso effetto, e funziona solo se pochi controllano il proprio ramo. E non dice nulla dei debiti che non sono saldi dei clienti, come i prestiti contratti dall’exchange.
Anche i revisori hanno tracciato lo stesso confine. A dicembre 2022 la società di revisione Mazars, che aveva prodotto rapporti per Binance e altri, ha sospeso tutto il lavoro sulle proof of reserves delle cripto. Come spiegava il 16 dicembre 2022 un articolo di Bloomberg ripreso da American Banker (in inglese), questi rapporti verificano ciò che una società possiede ma non ciò che deve, e solo in un dato momento. Il post di Buterin sostiene che le prove a conoscenza zero possono mostrare che nessun saldo dell’albero è negativo senza rivelare il conto di nessuno, il che chiude alcune lacune ma non quelle dei debiti fuori dalla blockchain.
Come leggere una proof of reserves nella pratica
Quando un exchange ne pubblica una, vale la pena fare tre controlli. Guarda la data dell’istantanea e ogni quanto viene ripetuta. Verifica se il lato del passivo è incluso e se puoi controllare il tuo saldo al suo interno. E guarda se l’ha esaminata una società indipendente, e con quali parole: un’attestazione su procedure concordate non è una revisione dei conti della società.
Exchange centralizzato o decentralizzato: la differenza
Un exchange decentralizzato è un insieme di smart contract su una blockchain. Scambi dal tuo wallet, nessuna società custodisce le tue monete e nella maggior parte dei casi nessuno ti chiede l’identità. Molti usano un automated market maker: invece di un libro degli ordini, un fondo di due token prezza ogni scambio con una formula. Altri gestiscono libri degli ordini su blockchain veloci. La tabella confronta i due modelli sui punti trattati in questa lezione.
| Exchange centralizzato (CEX) | Exchange decentralizzato (DEX) | |
|---|---|---|
| Chi custodisce le monete | L’exchange, nei suoi wallet | Tu, nel tuo wallet, fino al regolamento on-chain dello scambio |
| Controlli d’identità | KYC obbligatorio per legge negli Stati Uniti, nel Regno Unito e nell’UE | Di solito nessuno a livello di protocollo; i siti che fanno da interfaccia possono bloccare alcuni paesi |
| Come si abbinano gli scambi | Libro degli ordini e motore di matching sui server della società | Fondi di automated market maker o libro degli ordini on-chain |
| Principali modi in cui fallisce | Insolvenza, furto dai wallet dell’exchange, prelievi bloccati | Errori negli smart contract, token falsi, slippage, front-running |
| Depositi in moneta legale | Bonifico e carta | Non direttamente; servono prima delle cripto |
| Aiuto se qualcosa va storto | Assistenza clienti e un’autorità di vigilanza | Nessuno oltre ai canali della comunità |
| Regolamentazione | Soggetti autorizzati o registrati (MiCA, FCA, FinCEN e Stati) | In gran parte fuori dalle attuali regole di autorizzazione; in revisione in vari paesi |
Le dimensioni sono cambiate. A luglio 2026 gli scambi spot sugli exchange decentralizzati equivalevano a circa il 24% del volume spot degli exchange centralizzati, un record e in aumento dal 17% di un anno prima, secondo i dati di The Block (in inglese). È un rapporto tra volume DEX e volume CEX, non una quota del totale; altri fornitori di dati presentano una quota del volume combinato e quindi mostrano percentuali più basse per gli stessi mesi.
Usare un exchange centralizzato a occhi aperti
Milioni di persone usano gli exchange ogni giorno senza problemi. L’abitudine utile è sapere cosa si possiede. Prima di depositare, controlla che la società esatta a cui ti iscrivi sia autorizzata dove vivi: il registro ESMA dei prestatori MiCA per chi sta in Italia e nell’UE, con la verifica del soggetto giuridico indicato anche negli elenchi della Consob, il registro della FCA nel Regno Unito, l’elenco dei money services business di FinCEN e la licenza dello Stato per le piattaforme americane.
Tieni sull’exchange ciò che pensi di negoziare e sposta le posizioni di lungo periodo in un wallet di cui controlli le chiavi, se sei pronto a custodire una seed phrase (la nostra guida alla sicurezza della seed phrase spiega come). Prova un prelievo con un importo piccolo prima di averne bisogno. Attiva l’autenticazione a due fattori con un’app o una chiave di sicurezza invece dell’SMS e usa una lista di indirizzi di prelievo consentiti quando la piattaforma la offre.
Recensiamo una per una le principali piattaforme: Binance, Coinbase, Kraken e, per i lettori europei, Bitvavo e Bitpanda. Per confrontarle con i tuoi criteri usa la guida alla scelta di un exchange. Le lezioni successive del percorso mostrano passo passo come comprare bitcoin ed ether.
