blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il 1° aprile 2026 un protocollo di trading su Solana, che si definiva decentralizzato, ha perso circa 285 milioni di dollari in dodici minuti. Nessuna riga del suo codice era rotta. Due dei cinque membri del Security Council erano stati indotti, giorni prima, a firmare transazioni che non avevano capito, e questo è bastato a consegnare le chiavi a un aggressore. Il 28 ottobre 2026, invece, scambiare qualche centinaio di dollari di USDC in ether su Base è costato circa un quarto di centesimo di commissioni di rete ed è stato definitivo in circa due secondi. Sono due storie di DeFi, e una buona differenza tra DeFi e CeFi deve spiegarle entrambe.
C’è poi una terza strada che si dimentica quando si confrontano le prime due: la banca e il broker. La versione da brochure dice che la DeFi è non custodial, aperta, trasparente, senza permessi e sempre accesa, mentre exchange centralizzati e banche sarebbero chiusi e lenti. Ognuna di queste cinque affermazioni contiene del vero. Ognuna ha anche un punto debole che la brochure non cita.
Qui sotto le cinque caratteristiche vengono messe alla prova una per una contro un exchange centralizzato come Coinbase, Binance o Kraken e contro una banca o un broker. Poi si segue una sola operazione, 500 dollari di USDC trasformati in esposizione a ether, attraverso tre porte diverse, con le commissioni misurate il 28 ottobre 2026. Le domande da portarsi via valgono per qualunque prodotto finanziario: chi può muovere o congelare i miei soldi, chi può cambiare le regole e che cosa vedo prima di firmare?
Tre tipi di finanza, un paragrafo ciascuno
Un ripasso breve. La DeFi è l’insieme di prestiti, scambi e risparmio gestiti da smart contract su una blockchain pubblica, con il tuo portafoglio e nessuna società che custodisca i fondi nel mezzo; la guida cos’è la DeFi e come funziona ha la definizione completa. Uno smart contract è un programma salvato sulla blockchain che esegue esattamente ciò che è scritto quando qualcuno lo chiama.
La CeFi, finanza centralizzata, è il crypto gestito da un’azienda. Un exchange come Coinbase, Binance o Kraken ti apre un conto dopo la verifica d’identità, tiene le monete nei propri wallet e incrocia compratori e venditori in un order book privato. Il meccanismo, dal libro ordini al cold storage, è spiegato in come funzionano gli exchange centralizzati, quindi qui non lo ripetiamo.
La TradFi, finanza tradizionale, è il mondo di banche e broker. Il tuo denaro sul conto è un deposito, che giuridicamente è un prestito che fai alla banca. I tuoi titoli stanno presso un intermediario. Entrambi sono coperti da norme consolidate sui depositi e sui mercati finanziari, da autorità di vigilanza (in Italia la Banca d’Italia per le banche e la Consob per i mercati e gli intermediari mobiliari) e da sistemi di garanzia che intervengono se l’istituto fallisce.
| DeFi (protocollo + il tuo wallet) | CeFi (exchange crypto) | TradFi (banca + broker) | | |
|---|---|---|---|
| Chi detiene l’asset | Tu, tramite la chiave privata | L’exchange, nei suoi wallet | La banca (deposito) o il depositario del broker (titoli) | |
| Che cosa possiedi | Il token stesso | Un credito verso l’exchange | Un credito verso la banca, o titoli custoditi per te | |
| Chi può congelarlo | L’emittente del token (per USDC o USDT), nella maggior parte dei casi non il protocollo | L’exchange, le autorità, i giudici | La banca, le autorità, i giudici | |
| Chi vigila | Nessuno direttamente; front end ed emittenti sono regolati in alcuni paesi | Autorità cripto (MiCA nell’UE: in Italia Consob e Banca d’Italia) | Autorità bancarie e dei mercati | |
| Orari | La rete gira di continuo, salvo blocchi e pause | Trading 24 ore su 24, assistenza e canali in euro negli orari d’ufficio | Orari di mercato, regolamento nei giorni lavorativi | |
| Tutela in caso di fallimento | Nessuna | Nessuna per i cripto nei sistemi di garanzia dei depositi | Fino a 100.000 euro per depositante e per banca (FITD) sui depositi | |
Le cinque caratteristiche della DeFi, una alla volta
Le cinque caratteristiche qui sotto sono un modo diffuso di descrivere la DeFi, non uno standard ufficiale. Conviene trattarle come manopole e non come interruttori: un protocollo può essere pienamente non custodial e quasi per niente permissionless nello stesso tempo.
Non custodial: la chiave è tua, e con lei tutto il rischio
Nella DeFi l’asset sta a un indirizzo che solo la tua chiave privata può firmare. Un pool di prestito o un contratto di scambio non «ha» mai il tuo conto: gli mandi i token quando vuoi tu, e le regole del contratto decidono che cosa ricevi indietro. Questa è la custodia autonoma, ed è la linea più netta tra DeFi e CeFi.
Su un exchange centralizzato lo schermo mostra un saldo, ma le monete stanno nei wallet della società. Quello che hai in mano è una promessa. Quando la società è onesta e solvibile la differenza non si vede. Quando non lo è, diventa tutta la storia: Celsius ha bloccato i prelievi nel giugno 2022 e FTX ha chiesto il fallimento a novembre, e i clienti sono diventati creditori in attesa di un tribunale. La nostra storia della DeFi racconta entrambi i crolli.
Anche il deposito bancario è una promessa, ma una promessa protetta. In Italia il Fondo Interbancario di Tutela dei Depositi (FITD) garantisce i depositi fino a 100.000 euro per depositante e per banca, con le risorse versate dal sistema bancario (dato letto sul sito del Fondo il 28 ottobre 2026). La garanzia riguarda i depositi in denaro: un saldo in cripto su un exchange non è un deposito bancario e non rientra in quella tutela. Negli Stati Uniti il meccanismo analogo è l’FDIC, che indica sul proprio sito che i cripto-asset non sono coperti, nemmeno se acquistati tramite una banca (FDIC, in inglese); presso un broker fallito la SIPC protegge fino a 500.000 dollari, di cui 250.000 in contanti, e sostituisce i titoli mancanti, ma non copre i cali di valore né i cripto che non sono titoli registrati.
Dove la custodia autonoma è più debole di come sembra: nessuno può congelare il tuo wallet, ma nessuno può nemmeno ripristinarlo. Se perdi la seed phrase o firmi un’approvazione malevola, i fondi sono andati, senza assistenza clienti e senza assicurazione. La chiave protegge inoltre solo il portafoglio. I token al suo interno possono comunque avere il pulsante di blocco dell’emittente, come mostra la sezione su USDC più sotto.
Open source e componibile: codice leggibile, non sempre codice fisso
Gran parte dei contratti DeFi è pubblicata e verificata sugli explorer, quindi chiunque può leggere che cosa fa il codice, copiarlo o costruirci sopra. Quest’ultimo punto, i protocolli che si incastrano come mattoncini, si chiama composabilità e avrà una lezione tutta sua più avanti, sui money legos. Il motore di abbinamento di un exchange o il sistema centrale di una banca, al contrario, sono chiusi: ti fidi di audit che non vedrai mai.
Leggibile non vuol dire immutabile. Molti protocolli usano contratti aggiornabili, in cui un amministratore può puntare l’indirizzo a codice nuovo. Base, la rete layer 2 sviluppata da Coinbase, mostra la sfumatura. L2BEAT la classifica Stage 1, il che significa che le fraud proof permettono a soggetti esterni di contestare uno stato errato. Eppure la stessa pagina, consultata il 28 ottobre 2026, indica per Base una finestra di uscita «None» perché i suoi «contracts are instantly upgradable»: per un aggiornamento bastano l’approvazione del Base Coordinator Multisig e del Base Security Council, e gli utenti non hanno tempo per uscire prima. Per ricordare perché esistono le reti layer 2, c’è layer 1 contro layer 2.
La domanda utile quindi non è «è open source?» ma «chi può cambiare questo codice, e con quanto preavviso?». Un timelock di alcuni giorni permette agli utenti di uscire prima che un aggiornamento arrivi. Senza timelock ci si affida a chi tiene le chiavi.
Trasparente: ogni transazione è pubblica, i rischi no
Ogni scambio, prestito e liquidazione nella DeFi è scritto su un registro pubblico. Explorer come Etherscan o Basescan mostrano ogni transazione, e dashboard come DefiLlama sommano i totali: al 28 ottobre 2026 le catene che monitora contenevano 88,69 miliardi di dollari in protocolli DeFi, 46,21 miliardi su Ethereum e 6,13 su Base. È una somma di cifre per catena, e la lezione su come misurare il TVL della DeFi spiega perché va letta con cautela.
Un exchange centralizzato pubblica ciò che sceglie di pubblicare: a volte una proof of reserves, a volte niente. Una banca o un broker quotati depositano bilanci certificati ogni trimestre, con regole che stabiliscono che cosa va comunicato. Nessuno dei due ti lascia guardare il registro in tempo reale.
Dove la trasparenza è più debole di come sembra: dato pubblico non significa dato capito. Le impostazioni del multisig di Drift, due firme su cinque e nessun ritardo, erano visibili sulla blockchain prima di aprile 2026; pochissimi utenti le avevano lette. La trasparenza ha poi un rovescio per la privacy. Il tuo wallet è pseudonimo, non anonimo: appena un indirizzo viene collegato al tuo nome, per esempio con un prelievo da un exchange, tutta la tua storia diventa leggibile da chiunque.
Permissionless: chiunque può chiamare il contratto, non tutti passano dalla porta principale
Nessuno ti approva prima che tu chiami uno smart contract. Niente account, niente verifica d’identità, niente elenco di paesi a livello di protocollo. È una differenza reale rispetto a un exchange, che deve identificare i clienti, e rispetto a una banca, che può chiudere un conto senza dire perché.
I punti deboli stanno intorno al contratto, non dentro. La maggior parte delle persone arriva alla DeFi da un sito, e i siti li gestiscono aziende. L’app di Uniswap Labs bloccava già da anni gli indirizzi inclusi nelle liste di sanzioni americane quando, nell’aprile 2022, ha cominciato a bloccare anche quelli legati a fondi rubati o ransomware, usando lo screening di TRM Labs. L’azienda ha precisato che il protocollo non era stato modificato e che «we do not control users’ access to it via any portal other than our own app» (blog di Uniswap Labs, 19 aprile 2022, in inglese). I contratti restano aperti; la porta più usata ha un guardiano.
Il secondo punto di strozzatura è l’asset. Stablecoin come USDC e USDT sono emesse da società che possono bloccare gli indirizzi, e i governi possono sanzionare il codice stesso, come ha mostrato il caso Tornado Cash. Entrambi gli aspetti sono nella sezione successiva.
Aperto 24 ore su 24: la rete non chiude, a meno che qualcuno la metta in pausa
Una blockchain non ha orari d’ufficio. Base produce un blocco ogni due secondi, Ethereum ogni dodici, nei weekend e nei giorni festivi. Anche gli exchange crypto fanno trading senza sosta, anche se i depositi in valuta e l’assistenza seguono i giorni bancari. Un ordine su azioni americane dato di sabato aspetta il lunedì, e i titoli si regolano un giorno lavorativo dopo la negoziazione, il ciclo T+1 che la SEC ha adottato e applicato dal 28 maggio 2024. In Europa il ciclo di regolamento è diverso: per un titolo italiano controlla il dato nella scheda del tuo broker.
Dove il «sempre acceso» è più debole di come sembra: le reti layer 2 dipendono da un sequencer che può bloccarsi, e molti protocolli hanno pulsanti di pausa in mano a un guardiano o a un multisig. Su Aave, per esempio, un multisig guardiano può mettere il veto a un payload di governance che giudica malevolo, e un altro detiene il ruolo di emergenza che può mettere in pausa i mercati. Una pausa può proteggere gli utenti durante un attacco. È anche, per definizione, un gruppo di persone che può fermare il servizio.
| Caratteristica | Promessa della DeFi | Exchange centralizzato | Banca o broker | Dove la promessa è più debole | |
|---|---|---|---|---|
| Non custodial | La chiave è tua | L’exchange tiene le monete | La banca tiene il deposito | Nessun recupero; i token possono avere un blocco dell’emittente | |
| Open source | Codice leggibile e riutilizzabile | Sistemi chiusi | Sistemi chiusi | Contratti aggiornabili, alcuni senza ritardo | |
| Trasparente | Ogni transazione è pubblica | Parziale, a scelta | Bilanci certificati, in ritardo | Dati pubblici ma poco letti; la privacy ne soffre | |
| Permissionless | Nessuna registrazione | Verifica d’identità | Verifica d’identità | I front end bloccano indirizzi, gli emittenti congelano i token | |
| 24 ore su 24 | Un blocco ogni pochi secondi | Trading 24 ore su 24, valuta nei giorni bancari | Orari di mercato | Blocchi del sequencer e poteri di pausa | |
Dove finisce la decentralizzazione: chiavi di amministrazione, emittenti e legge
Le cinque caratteristiche poggiano tutte su una cosa: che nessuno in particolare comandi. Nella pratica di solito qualcuno c’è, e i casi del 2025 e del 2026 mostrano dove.
Chiavi di amministrazione: a Drift sono bastate due firme
Su Drift, un exchange di futures perpetui su Solana, i poteri di amministrazione stavano in un Security Council: un multisig 2 su 5 senza timelock. Secondo l’analisi pubblicata da BlockSec il 3 aprile 2026 (in inglese), fu un’operazione di diverse settimane: l’aggressore ottenne da due firmatari transazioni pre-firmate, tramite phishing o richieste di firma ingannevoli. Le chiavi dei firmatari non furono mai rubate. Una funzione di Solana chiamata durable nonce teneva valide quelle firme finché l’aggressore non decise di usarle, il 1° aprile. Con i diritti di amministratore, l’aggressore inserì come collaterale un token senza valore, gli attribuì un prezzo falso tramite un oracolo sotto il suo controllo e prelevò asset veri in 31 transazioni in circa dodici minuti. BlockSec stima la perdita in circa 285,3 milioni di dollari.
Quattro settimane dopo, lo stesso schema ha colpito in piccolo. Il 30 aprile 2026 Wasabi Protocol, un protocollo di trading su Ethereum e Base, ha perso circa 4,55 milioni di dollari, riferisce CoinDesk. Un singolo wallet ordinario deteneva l’unico ruolo di amministratore, senza multisig né timelock. Compromessa quella chiave, l’aggressore si è assegnato i diritti di amministratore e ha aggiornato i vault con codice che li svuotava. CoinDesk contava a quella data oltre 770 milioni di dollari persi nella DeFi in più di 30 incidenti nel 2026.
Le piattaforme centralizzate non sono immuni. Il 21 febbraio 2025 l’exchange Bybit ha perso circa 1,5 miliardi di dollari in ether, un furto che l’FBI ha attribuito alla Corea del Nord con un avviso pubblico cinque giorni dopo. La custodia sposta il rischio, non lo elimina. Su un exchange un attacco è prima di tutto una perdita dell’azienda; nella DeFi ricade su chi aveva fondi nel contratto.
USDC e USDT: il pulsante di blocco dentro il token
USDC è emessa da Circle, USDT da Tether; le trovi nella guida cosa sono le stablecoin. I loro smart contract includono una blacklist. I termini di USDC di Circle dicono che l’emittente «reserves the right to block the transfer of USDC to and from an address» in base alla sua politica di blocco, e che può essere tenuto a congelare USDC quando riceve «a legal order from a valid government authority». Tenere USDC nel proprio wallet ti rende non custodial per la chiave, non per il token.
Un caso del 2026 mostra quanto sia ampio quel potere. Il 30 maggio 2026, dopo un ordine restrittivo temporaneo di un giudice federale del distretto settentrionale della California, Circle ha messo in blacklist il contratto Ethereum dietro il wrapper confidenziale di USDC di Zama, congelando 12.606.386 USDC, riferisce The Block sulla base della transazione di blacklist sulla blockchain. L’ordine veniva da una causa civile, Newton AC/DC Fund v. Ermilov, in cui alcuni fondi di investimento sostengono che un fondatore DeFi abbia stornato fondi della tesoreria; lui contesta le accuse. Zama non era parte in causa. Poiché il wrapper era un pool condiviso, tutti i depositanti sono rimasti bloccati insieme al deposito contestato, e Zama ha messo in pausa i suoi wrapper. Dopo un’udienza il 1° giugno il tribunale ha revocato il congelamento, ha detto Zama il giorno dopo: circa tre giorni di blocco per utenti che con la disputa non c’entravano nulla.
Tornado Cash: quando un governo sanziona il codice
Tornado Cash è un mixer su Ethereum che spezza il legame tra depositi e prelievi. L’8 agosto 2022 l’ufficio sanzioni del Tesoro americano, l’OFAC, lo ha inserito nella lista delle sanzioni, il che ha reso illegale per i soggetti americani usare i contratti e ha spinto front end e fornitori di infrastruttura a tagliarlo fuori.
I tribunali hanno poi tirato in direzioni diverse. Il 26 novembre 2024 la Corte d’appello del Quinto Circuito ha stabilito in Van Loon v. Department of the Treasury che gli smart contract immutabili di Tornado Cash non sono «property», cioè beni che la normativa sulle sanzioni possa bloccare. Il 21 marzo 2025 il Tesoro ha revocato le sanzioni, citando il proprio esame delle «novel legal and policy issues» sollevate dalle sanzioni su una tecnologia in evoluzione. Il procedimento penale è proseguito a parte: nell’agosto 2025 una giuria ha condannato il cofondatore Roman Storm per un solo capo, cospirazione per gestire un’attività di trasferimento di denaro senza licenza, senza trovare un accordo sui capi di riciclaggio e sanzioni. Secondo un articolo di The Block del 26 agosto 2026, la sua richiesta di assoluzione era ancora pendente e il nuovo processo sui due capi aperti era fissato per il 26 aprile 2027.
La legge: le regole puntano agli intermediari, e la DeFi qualche regola ce l’ha
I regolatori scrivono soprattutto regole per gli intermediari, e la DeFi pura cerca di non averne. Nell’Unione europea, MiCA autorizza i prestatori di servizi per le cripto-attività (CASP). Il suo considerando 22 dice che i servizi prestati «in a fully decentralised manner without any intermediary» non dovrebbero rientrare nel suo ambito. La porta è più stretta di come appare. Un considerando spiega la norma, non è un articolo operativo. MiCA non definisce mai che cosa sia «fully decentralised». E lo stesso considerando dice che le regole si applicano ancora quando solo una parte dell’attività è svolta in modo decentralizzato. È una deroga con una porta stretta, non un’esenzione generale per la DeFi. La guida il regolamento MiCA spiegato copre il resto.
Negli Stati Uniti le autorità si dividono il lavoro per attività: la SEC si occupa di titoli, la CFTC di materie prime e derivati, e un front end DeFi può ricadere sotto l’una o l’altra. Sul fisco il Congresso ha preso nel 2025 la direzione opposta: una risoluzione firmata il 10 aprile 2025 (H.J.Res.25) ha annullato la regola dell’IRS che avrebbe imposto ai «broker» DeFi di emettere il modulo 1099-DA, secondo la commissione Ways and Means della Camera. Cade così un obbligo di comunicazione a carico delle piattaforme DeFi, ma non l’obbligo del singolo di dichiarare i propri guadagni.
Uno scambio, tre porte: 500 dollari di USDC in ether
Veniamo alla parte pratica del confronto tra DeFi e CeFi. Hai 500 dollari, o 500 USDC, e vuoi esposizione a ether. Alle 09:45 UTC circa del 28 ottobre 2026 ether valeva intorno a 2.369 dollari secondo il feed prezzi di DefiLlama, quindi 500 dollari comprano circa 0,211 ETH prima dei costi. Ecco lo stesso acquisto attraverso ciascuna porta.
Porta 1: Uniswap su Base, dal tuo wallet
Serve un wallet in custodia autonoma con USDC su Base e un po’ di ETH su Base per pagare il gas. Quest’ultimo punto fa inciampare molti principianti: senza un po’ di ETH sulla rete giusta non si muove niente. Portare i fondi su Base, con un prelievo diretto da un exchange verso Base o con un bridge, è il tema della lezione precedente sui bridge e gli intent tra blockchain.
Sull’app di Uniswap scegli USDC ed ETH, controlli gli indirizzi dei contratti dei token e leggi il preventivo: la quantità di ETH, l’impatto sul prezzo e la commissione di rete in dollari. La prima volta il wallet ti chiede di approvare il contratto Permit2 a spendere i tuoi USDC. Quell’approvazione è un permesso permanente; conviene revocarlo in seguito con uno strumento come Revoke.cash quando non serve più. Poi firmi lo scambio.
Chi detiene il denaro a ogni passaggio: tu, fino all’esecuzione della transazione, e poi di nuovo tu, con ETH al posto di USDC. In questa porta usi un exchange decentralizzato, un insieme di contratti senza alcuna società in mezzo allo scambio. L’altra parte dell’operazione la tiene il contratto del pool. Nessuno di Uniswap Labs tocca i tuoi fondi.
I costi, misurati il 28 ottobre 2026. La commissione di rete: dodici recenti transazioni del router di Uniswap su Base verso le 09:50 UTC hanno usato tra 186.000 e 204.000 unità di gas, con un prezzo del gas intorno a 0,006 gwei, e sono costate tra 0,002 e 0,003 dollari ciascuna, compresa la tariffa dati verso il layer 1, secondo le nostre interrogazioni di un nodo Base pubblico. La rete principale di Ethereum costa di più, e si muove di più. Con il prezzo del gas di 0,224 gwei letto lì verso le 09:50 UTC, e ipotizzando le stesse 180.000 unità di gas circa, il nostro calcolo dà circa 0,10 dollari per lo scambio; alle 10:06 UTC il prezzo era sceso a 0,13 gwei, e lo stesso scambio costa circa 0,05 dollari. Nei periodi di traffico può costare molte volte tanto. La commissione del pool: i pool di Uniswap v3 applicano 0,01%, 0,05%, 0,3% o 1% a seconda del pool, quindi tra 0,25 e 1,50 dollari su 500 nelle usuali fasce ETH/USDC. La commissione di interfaccia: Uniswap Labs ha detto nella proposta «UNIfication» del novembre 2025 che avrebbe azzerato le commissioni di interfaccia, wallet e API, e la governance di Uniswap ha approvato la proposta a dicembre; controlla la schermata del preventivo, che elenca ogni commissione.
Il regolamento: lo scambio è definitivo su Base nel blocco successivo, circa due secondi dopo. Non va confuso con un prelievo da Base verso Ethereum, che L2BEAT indica con un periodo di contestazione di cinque giorni.
Che cosa può andare storto: un token falso con lo stesso nome di USDC o ETH, una copia phishing del sito di Uniswap, un’approvazione firmata su un sito malevolo, lo slippage su un pool poco profondo, un indirizzo USDC congelato o una seed phrase persa. Una transazione fallita costa comunque gas, anche se su Base è una frazione di centesimo.
Porta 2: un exchange centralizzato, dal tuo account
Apri un account e superi la verifica d’identità. Depositi 500 USDC, da un wallet (un trasferimento sulla blockchain che richiede conferme) oppure comprandoli in euro o dollari con un bonifico dalla tua banca. Dai un ordine a mercato per ETH. L’ordine viene eseguito in millisecondi nell’order book interno dell’exchange. Niente tocca la blockchain: lo scambio è una scrittura nel database dell’exchange, e i tuoi nuovi ETH compaiono come saldo.
Chi detiene il denaro: l’exchange, dal momento in cui il deposito viene accreditato fino al prelievo. Se vuoi tenere tu gli ETH, li prelevi verso il tuo wallet e paghi la commissione di prelievo fissata dall’exchange.
La commissione di trading, dai tariffari pubblici del 28 ottobre 2026: su Binance gli utenti standard pagano lo 0,1% maker e taker sullo spot, meno se si pagano le commissioni in BNB, quindi circa 0,50 dollari su 500. Su Kraken la fascia iniziale di Kraken Pro applica lo 0,40% maker e lo 0,80% taker, tra 2 e 4 dollari su 500, mentre gli acquisti istantanei nell’app semplice costano l’1% più lo spread. Coinbase pubblica un proprio tariffario; controllalo nell’app prima di operare, perché le commissioni dipendono dal prodotto e dal metodo di pagamento.
Per chi risiede in Italia c’è una condizione in più: dal 1° luglio 2026 un exchange deve avere l’autorizzazione MiCA per servire clienti in un paese dell’Unione. Nel comunicato congiunto del 30 giugno 2026 Consob e Banca d’Italia hanno ricordato che la fase transitoria finiva il giorno dopo e che gli operatori non autorizzati dovevano smettere di operare, limitandosi alle operazioni di chiusura. Il comunicato conta otto CASP autorizzati in Italia, più Banca Sella, che ha notificato l’attività alla Banca d’Italia. Prima di depositare, verifica sul registro europeo dell’ESMA e sui siti delle autorità che il tuo exchange sia davvero autorizzato.
Che cosa può andare storto: prelievi sospesi in una crisi, un account bloccato per una verifica di conformità, un attacco all’exchange, un’insolvenza o un paese in cui l’exchange smette di servire i clienti. In compenso, una password dimenticata è una richiesta all’assistenza, non un patrimonio perso.
Porta 3: una banca e un broker, con un ETF spot su ether
Qui conta un dettaglio. Una banca normale non può convertire USDC: gestisce dollari ed euro. La strada banca più broker parte quindi da 500 dollari su un conto e arriva a una quota di un fondo quotato (ETF) spot su ether, non a ether. Negli Stati Uniti gli ETF spot su ether hanno cominciato a negoziare nel 2024. L’iShares Ethereum Trust, ticker ETHA su Nasdaq, applica una commissione di gestione dello 0,25% annuo secondo la sua scheda prodotto, cioè 1,25 dollari l’anno su 500. Lo usiamo come esempio perché è il dato che abbiamo verificato; per un risparmiatore italiano l’equivalente è un ETP o ETN su ether quotato su una piazza europea, con costi e condizioni propri che si leggono nel documento informativo (KID) e nell’elenco prodotti del proprio broker.
I passaggi: sposti denaro dal conto bancario a un conto titoli con un bonifico, dai un ordine per le quote nell’orario di mercato e le quote arrivano sul conto dopo il ciclo di regolamento del mercato. Il broker può addebitare una commissione o nessuna; controlla il suo tariffario. Il fondo detiene ether presso un depositario. Il broker custodisce le tue quote per tuo conto. Hai un diritto sulle quote, non un conto cripto.
Quello che ottieni è esposizione, non proprietà. Non puoi inviare l’ether del fondo a un wallet, prestarlo, metterlo in staking da solo o usarlo in un’app DeFi. In cambio non hai chiavi da perdere, né gas, hai un quadro fiscale noto e un quadro legale collaudato da decenni. Che cosa può andare storto: il prezzo della quota può scostarsi dal valore dell’ether detenuto, le negoziazioni possono essere sospese, e gli ordini dati fuori orario aspettano l’apertura.
Le tre porte a confronto
| Il 28 ottobre 2026 | Uniswap su Base | Exchange centralizzato | Banca + broker (ETF) | |
|---|---|---|---|
| Che cosa ottieni | Circa 0,21 ETH nel tuo wallet | Circa 0,21 ETH come saldo del conto | Quote di ETF per circa 500 dollari di ether | |
| Chi lo detiene | Tu | L’exchange | Un depositario per il fondo; il broker per le quote | |
| Commissione di rete | Da 0,002 a 0,003 dollari | Nessuna sullo scambio in sé | Nessuna | |
| Commissione di trading su 500 dollari | Da 0,25 a 1,50 dollari (commissione del pool) | Circa 0,50 dollari (Binance), da 2 a 4 dollari (Kraken Pro) | Eventuale commissione del broker, più 0,25% annuo | |
| Velocità | Circa 2 secondi | Millisecondi a conto finanziato | Orario di mercato, regolamento successivo | |
| Verifica d’identità | Nessuna a livello di protocollo | Obbligatoria | Obbligatoria | |
| Rischi principali | I tuoi errori, truffe, blocco dell’emittente | Blocco, attacco, insolvenza | Perdita di mercato, scostamento dal sottostante, sospensioni | |
DeFi, CeFi o broker: la porta giusta per il lavoro giusto
La porta più economica in un dato giorno non è il punto, perché le commissioni cambiano con il prezzo del gas, la profondità dei pool e i tuoi volumi. Meglio abbinare la porta al lavoro da fare.
Se vuoi tenere l’asset sotto il tuo controllo e usarlo in altri protocolli, la DeFi è l’unica porta che lo permette. Il prezzo è che ogni errore è a tuo carico.
Se cerchi un’app sul telefono, assistenza clienti, depositi e prelievi in euro e accetti che una società custodisca le tue monete, un exchange centralizzato fa il suo lavoro, purché sia autorizzato dove vivi e non lasci su di esso più di quanto serva per operare.
Per la sola esposizione al prezzo dentro un conto titoli o un piano di accumulo già esistente, con una documentazione fiscale familiare, un ETF o un ETP spot la dà, al costo di non toccare mai l’asset.
Nella pratica DeFi o CeFi raramente è una scelta secca, e la maggior parte delle persone finisce per usare due porte: un exchange o una banca per passare tra euro e cripto, e un wallet per ciò che vuole tenere o usare sulla blockchain. Nulla di tutto questo è un consiglio di acquistare ether o altri asset.
Le regole che cambiano il quadro per chi vive in Italia
Cominciamo dalla vigilanza. In Italia i prestatori di servizi cripto sono sotto MiCA, con la Banca d’Italia e la Consob come autorità competenti, come mostra il comunicato congiunto citato sopra. Quel comunicato non dice nulla sulla DeFi. L’OAM, l’Organismo degli agenti e dei mediatori, tiene il registro dei prestatori di servizi in valuta virtuale previsto dal regime nazionale precedente a MiCA; che cosa faccia oggi lo stesso registro dopo la fine della transizione conviene verificarlo sul sito dell’OAM prima di fare affidamento su un nome che vi compare. Un protocollo DeFi in sé non ha licenza, mentre la società che gestisce un front end può rientrare nell’ambito delle regole. Qui entra il considerando 22 visto sopra: una deroga stretta, non un via libera.
Sulla tutela del risparmio, i confini sono quelli già descritti. La garanzia del FITD copre i depositi bancari fino a 100.000 euro per depositante e per banca. Non copre i cripto su un exchange, e non copre ciò che sta in un wallet o in un protocollo DeFi: per la DeFi non esiste alcuna garanzia pubblica.
Sul fisco, per il 2026 l’aliquota sulle plusvalenze da cripto-attività realizzate dal 1° gennaio è del 33%, secondo la legge di bilancio 2026 (legge 199/2025), come riportato dalla stampa fiscale specializzata; la soglia di esenzione dei 2.000 euro è stata abolita. Per le operazioni tipiche della DeFi, come scambi tra token, liquidità fornita a un pool o ricompense di staking, non abbiamo trovato una regola specifica: la circolare 30/E del 2023 dell’Agenzia delle Entrate è il riferimento che le fonti secondarie citano, ma il trattamento di molte operazioni resta poco chiaro, e conviene parlarne con un commercialista prima di dichiarare. Le regole di base sono nella nostra guida alle tasse sulle cripto in Italia. Il contenuto di questo paragrafo non sostituisce una consulenza fiscale.
Gli errori di chi passa dalla CeFi alla DeFi
La maggior parte delle perdite in questa fase nasce da abitudini portate da app in cui un servizio clienti poteva annullare gli errori. Poche regole ne coprono la gran parte.
- Prova lo scambio prima su una testnet come Sepolia, dove i token sono gratuiti, così le schermate di approvazione e firma ti risultano familiari prima di usare denaro vero.
- Parti con una cifra piccola sulla rete principale e tieni un po’ di ETH per il gas sulla rete che usi.
- Apri l’app da un segnalibro o dal sito ufficiale del progetto, mai da una pubblicità o da un link ricevuto in un messaggio privato.
- Copia gli indirizzi dei contratti dei token dalla documentazione dell’emittente o del progetto e confrontali nella schermata di conferma.
- Leggi ciò che firmi: un’approvazione illimitata per un contratto sconosciuto è il modo più frequente in cui i wallet vengono svuotati.
- Revoca regolarmente le vecchie approvazioni e tieni la seed phrase offline, fuori da foto e note nel cloud.
- Prima di depositare in un protocollo, cerca chi può aggiornarlo o metterlo in pausa e se esiste un timelock; per le reti layer 2 lo fa L2BEAT, per il resto la documentazione del protocollo.
Da leggere dopo
Per la definizione e i mattoni di base, torna a cos’è la DeFi. Se la parte che usi di più è l’exchange, come funzionano gli exchange centralizzati approfondisce custodia e order book. La prossima lezione del percorso guarda alla composabilità: che cosa succede quando i protocolli DeFi vengono impilati uno sull’altro, e perché questo crea insieme rendimento e catene di rischio.
