Nel novembre 2024 una corte d’appello americana ha stabilito che l’OFAC non poteva sanzionare gli blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract immutabili di Tornado Cash. Nell’agosto 2025 una giuria di New York ha comunque condannato uno degli sviluppatori del progetto. La regolamentazione DeFi, al 1° novembre 2026, corre lungo questa linea: pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il codice può restare fuori da ogni norma, mentre le persone che gli stanno intorno restano alla portata di procure, autorità di vigilanza e fisco.
La stessa divisione attraversa ogni scambio. Lo smart contract su Ethereum può non appartenere a nessuno. Il sito che usi per raggiungerlo appartiene a una società con un nome, un indirizzo e un conto in banca. La lezione precedente, su come controllare un protocollo prima di depositare, chiudeva la griglia con l’esposizione legale e quella del front end. Questa lezione riparte da quell’ultima riga.
La guida descrive la normativa a scopo informativo. Non è una consulenza legale e non dice nulla su ciò che tu personalmente puoi fare nel tuo Paese. La lezione viene rivista ogni sei mesi, perché diverse questioni trattate sotto sono ancora in movimento.
La DeFi è legale? Che cosa colpisce davvero la regolamentazione DeFi
Nell’Unione europea, negli Stati Uniti e nel Regno Unito nessuna legge vieta a una persona di usare un protocollo decentralizzato in quanto tale. È la risposta breve, ed è incompleta. Nessuna norma regola la «DeFi» come categoria. Il diritto si aggancia a persone e attività, quindi la domanda utile è chi, in un dato schema, svolge un’attività regolata. Se la differenza tra protocollo e intermediario ti è nuova, il nostro confronto tra DeFi, CeFi e finanza tradizionale la spiega.
Tre livelli ricevono un trattamento diverso, e la lezione ci torna di continuo:
- Il contratto: codice su una blockchain, che può essere immutabile e può non avere un proprietario.
- Il punto di accesso: un sito, un wallet, un aggregatore o un exchange che permette di raggiungere il contratto.
- Le persone: fondatori, sviluppatori, titolari di token con un controllo reale e utenti che riciclano denaro o aggirano sanzioni attraverso il protocollo.
Le autorità guardano sempre più oltre l’etichetta. In un rapporto pubblicato il 21 luglio 2026 (in inglese), il Gruppo di azione finanziaria internazionale (GAFI, in inglese FATF) ha affermato che la sua Raccomandazione 15 raggiunge una struttura DeFi quando una persona ne esercita il controllo o un’influenza sufficiente. Tra i segnali d’allarme figurano token di governance concentrati, privilegi amministrativi e controllo sugli aggiornamenti: per questo chi detiene davvero il potere di governance è una questione giuridica oltre che di progettazione. Il GAFI divide le strutture in tre gruppi: quelle con controllori identificabili, quelle accentrate nei fatti i cui controllori non si individuano facilmente e quelle davvero decentralizzate, che restano fuori dai suoi standard.
La pratica è molto indietro. Dei 142 Paesi dell’indagine 2026 del GAFI, 132 «non hanno individuato alcuna struttura idonea che operi nel loro territorio» (traduzione). Solo quattro hanno requisiti di licenza o registrazione per la DeFi e due hanno effettivamente autorizzato o registrato una struttura di questo tipo.
DeFi e MiCA: il regolamento esclude i servizi «completamente decentralizzati» senza definirli
La nostra guida a MiCA spiega il regolamento nel suo insieme: categorie di token, emittenti di stablecoin, autorizzazioni per i prestatori di servizi per le cripto-attività (CASP). Qui si tratta solo della questione DeFi.
Il considerando 22 è una frase, e non è un articolo
Il considerando 22 (in inglese) dice che MiCA dovrebbe applicarsi alle persone fisiche e giuridiche e ai servizi che esse svolgono, prestano o controllano, direttamente o indirettamente, anche quando una parte dell’attività è decentralizzata. La frase successiva aggiunge che i servizi prestati «in modo completamente decentralizzato e senza alcun intermediario» (traduzione) non dovrebbero rientrare nell’ambito del regolamento. L’Autorità bancaria europea (EBA) e l’ESMA indicano il vuoto nella loro relazione congiunta del 16 gennaio 2025 (in inglese): «MiCAR, tuttavia, non specifica come interpretare i riferimenti al completamente decentralizzato» (traduzione).
Un considerando spiega una legge ma sta fuori dagli articoli operativi, quindi l’esclusione poggia su un terreno più sottile di un’esenzione numerata. Anche «completamente» è una parola esigente: il testo mantiene espressamente nell’ambito di applicazione i servizi decentralizzati solo in parte. Un gruppo con una chiave admin, un interruttore delle commissioni e una società che gestisce il sito stenta a dirsi completamente decentralizzato, anche se nessun giudice ha ancora tracciato questa linea sotto MiCA.
MiCA non vieta la DeFi
Nulla in MiCA proibisce i protocolli decentralizzati o il loro uso. Il regolamento o si applica a un prestatore identificabile o non si applica. Un progetto che rientra nell’ambito deve rispettare le regole come qualsiasi CASP, il che dopo la fine dei periodi transitori significa autorizzazione: l’autorità francese AMF, nel comunicato del 6 luglio 2026, ha contato 283 prestatori autorizzati (in francese) nell’Unione.
Il prestito occupa una lacuna a parte. Il considerando 94, come lo riassume la relazione congiunta, lascia al diritto nazionale il prestito e l’assunzione in prestito di cripto-attività. Chi prende a prestito su un mercato di lending è quindi fuori da MiCA per un motivo che non c’entra con la decentralizzazione.
Il punto di accesso è dove guardano i vigilanti
La relazione congiunta tratta le attività di accesso come possibili porte d’ingresso della regolamentazione e ne indica tre tipi: interfacce DeFi autonome, wallet self-custodial e piattaforme di scambio centralizzate. I suoi dati spiegano perché. Gli utenti degli exchange decentralizzati li raggiungono soprattutto attraverso il front end dell’exchange stesso (41%), poi i bot di Telegram (17%), i fornitori di wallet self-custodial (16%) e gli aggregatori (14%), mentre gli aggregatori hanno veicolato il 45% dei volumi DEX. I passaggi pratici per usare queste schermate sono nella nostra guida a usare un DEX in sicurezza.
Il rapporto della Commissione sulla DeFi e la revisione di MiCA
L’articolo 142 di MiCA (in inglese) incaricava la Commissione di riferire a Parlamento e Consiglio entro il 30 dicembre 2024 sugli sviluppi recenti, comprese una valutazione della DeFi e della necessità e fattibilità di regolarla, con una proposta legislativa se opportuno. La relazione congiunta scriveva che il testo della Commissione non andava atteso «prima di inizio/metà 2025» (traduzione). La pagina della consultazione della Commissione, per un processo aperto nel maggio 2026, tratta il rapporto previsto dagli articoli 140 e 142 come lavoro ancora da preparare.
Che cosa dice la relazione congiunta del gennaio 2025, e che cosa no
Non è un invito a regolare: per sua stessa ammissione la relazione «non contiene specifiche raccomandazioni di policy né proposte legislative» (traduzione). È un’analisi. Definisce la DeFi un fenomeno di nicchia, con un valore bloccato rettificato di circa 78 miliardi di euro a settembre 2024, circa il 4% del valore totale del mercato delle cripto-attività. Dice che l’esenzione delle piattaforme completamente decentralizzate dall’adeguata verifica della clientela aumenta il rischio di riciclaggio. Elenca idee senza avallarle, come la certificazione dei protocolli, e ammette che non è del tutto chiaro chi ne sarebbe responsabile se nessuno gestisce il protocollo.
La consultazione 2026: EBA ed ESMA prendono posizione
La Commissione ha aperto la sua consultazione mirata sulla revisione di MiCA (in inglese) il 20 maggio 2026 e l’ha chiusa il 30 settembre 2026. Le risposte alimentano il rapporto, che potrebbe accompagnarsi a una proposta di modifica del regolamento. Secondo una sintesi di Notabene (in inglese), la parte sulla DeFi chiede quali indicatori mostrino una reale decentralizzazione (controllo, diritti di governance, chiavi admin, controllo del front end, cattura dei ricavi, aggiornabilità) e quale ruolo debbano avere i CASP, dagli avvisi alla responsabilità, fino alle whitelist e alle restrizioni all’accesso.
Le autorità hanno risposto. L’EBA, il 24 settembre 2026 (in inglese), ha invitato la Commissione a valutare una regolamentazione del prestito di cripto-attività, anche quando i CASP facilitano l’accesso a protocolli di lending decentralizzati. L’ESMA, il 30 settembre 2026 (in inglese), ha chiesto «criteri più chiari per stabilire quali attività possano considerarsi realmente decentralizzate» (traduzione) e ha raccomandato un nuovo servizio regolamentato per le cripto-attività destinato alle imprese che danno agli utenti accesso ai protocolli DeFi. Sono pareri rivolti alla Commissione, non legge. Se verranno accolti, a diventare il soggetto regolato potrebbe essere la società del front end, mentre il contratto resterebbe intatto.
Per chi usa la DeFi dall’Italia: Consob, Banca d’Italia e fisco
In Italia l’autorizzazione dei CASP spetta alla Consob, con il parere della Banca d’Italia, mentre le banche notificano l’avvio dei servizi alla Banca d’Italia ai sensi dell’articolo 60 di MiCAR. In un comunicato congiunto del 30 giugno 2026, le due autorità hanno ricordato che il regime transitorio finisce il 1° luglio 2026. Le società autorizzate dalla Consob erano otto: CheckSig, Conio, CryptoSmart, Hercle, Hodlie, Olliv Italia, Riv Digital e Young Platform. A queste si aggiunge Banca Sella, che ha usato la via della notifica riservata alle banche.
I prestatori privi di autorizzazione devono interrompere l’attività e avviare l’uscita ordinata dal mercato, e il comunicato rinvia al registro dei CASP dell’ESMA per verificare chi opera in regola. Il comunicato non parla di DeFi, e questo conta: non cita alcun protocollo né alcun front end. Serve però a una cosa concreta. Se una società italiana o europea ti dà accesso a un servizio di scambio, custodia o trasferimento, vale la pena controllare se compare nel registro, prima di fidarti del nome o dell’interfaccia.
Sul fronte fiscale, le plusvalenze da cripto-attività realizzate dal 1° gennaio 2026 sono tassate al 33%, senza soglia di esenzione, secondo la brochure dell’Agenzia delle Entrate sulla legge di bilancio 2025. Il trattamento delle singole operazioni DeFi, come fornire liquidità, prestare o ricevere ricompense, resta invece non chiarito. La nostra guida alle tasse sulle cripto in Italia tratta il tema a parte: il fisco non dipende da nessuno dei dibattiti qui descritti, quindi conviene tenere un registro delle operazioni.
KYC e travel rule: come l’antiriciclaggio raggiunge la DeFi
Il diritto antiriciclaggio raggiunge la DeFi di lato, attraverso le imprese regolate ai suoi margini. Il Regolamento sui trasferimenti di fondi, (UE) 2023/1113, si applica dal 30 dicembre 2024. Obbliga i CASP a trasmettere i dati su ordinante e beneficiario insieme ai trasferimenti di cripto-attività. Quando un cliente invia fondi a un indirizzo self-hosted, il CASP deve acquisire e conservare le informazioni sul trasferimento e, sopra i 1.000 euro, deve adottare «misure adeguate» (traduzione) per valutare se l’indirizzo sia posseduto o controllato da quel cliente, secondo l’articolo 14, paragrafo 5 (in inglese). L’articolo 16 replica il controllo per i trasferimenti in entrata. Un protocollo non ha questo obbligo se nessuno lo gestisce, ma l’exchange da cui prelevi sì.
I front end stanno più vicini alle regole dei contratti. Il GAFI afferma che un’applicazione DeFi, cioè il software in sé, non è un fornitore di servizi per le attività virtuali, perché i suoi standard non si applicano alla tecnologia sottostante. Un’altra cosa è la persona che facilita l’accesso tramite un front end e favorisce attivamente la prestazione di servizi finanziari: quella persona rientra nella definizione. Il GAFI considera inoltre il controllo dei front end web pubblici un possibile indizio di influenza accentrata, mentre le interfacce che si limitano a mostrare o confrontare dati potrebbero non rientrarvi.
La stessa domanda è aperta altrove. Il servizio di accesso proposto dall’ESMA, descritto sopra, risponderebbe nell’UE con una licenza. La relazione congiunta rileva che le piattaforme completamente decentralizzate restano fuori dall’adeguata verifica e dagli obblighi di informazione sui trasferimenti, quindi un punto di accesso autorizzato darebbe a quegli obblighi un luogo a cui agganciarsi. Stati Uniti e Regno Unito sono partiti dall’altro lato, indicando quali interfacce non richiedono registrazione.
La prossima data è il 10 luglio 2027, quando inizierà ad applicarsi il Regolamento antiriciclaggio, (UE) 2024/1624. L’articolo 79 (in inglese) vieterà a enti creditizi, istituti finanziari e CASP di tenere conti anonimi di cripto-attività o conti che consentono l’anonimizzazione o una maggiore opacità delle operazioni, «comprese le monete che rafforzano l’anonimato» (traduzione). L’obbligo ricade su quei prestatori. Il testo non rende un reato detenere una moneta del genere nel proprio wallet.
Chi si chiede se serva il KYC per usare la DeFi trova la risposta nei tre livelli di sopra: lo smart contract non chiede l’identità, ma gli exchange, i CASP e i servizi regolati che stanno intorno sì.
Stati Uniti: una legge, un disegno di legge bloccato e agenzie che vanno da sole
Il GENIUS Act riguarda gli emittenti di stablecoin, non la DeFi
Il presidente Trump ha firmato il GENIUS Act il 18 luglio 2025. Secondo la scheda informativa della Casa Bianca (in inglese), gli emittenti di stablecoin di pagamento devono detenere riserve integrali in attività liquide come dollari o titoli del Tesoro a breve termine, pubblicare ogni mese la composizione delle riserve, rispettare il Bank Secrecy Act ed essere tecnicamente in grado di sequestrare, congelare o bruciare i token quando lo ordina l’autorità. La regola definitiva dell’OCC del 21 ottobre 2026 (in inglese) entra in vigore il 18 gennaio 2027 e lascia le norme antiriciclaggio e sulle sanzioni a un’altra regolamentazione, da definire con il Tesoro.
Il legame con la DeFi è una nostra deduzione: la legge non scrive regole per i protocolli, ma pool e mercati di prestito detengono stablecoin regolamentate che un emittente deve poter congelare. È una dipendenza giuridica da conoscere anche in un contratto che nessuno può modificare.
La SEC: dall’azione repressiva alle dichiarazioni dello staff
Uniswap Labs ha dichiarato il 25 febbraio 2025 (in inglese) che la SEC aveva chiuso l’indagine senza azioni di enforcement: è la versione della società. Il testo più specifico per gli utenti DeFi è arrivato il 13 aprile 2026, in una dichiarazione della Divisione Trading and Markets della SEC (in inglese). Lo staff non si opporrà a che un fornitore di una «Covered User Interface» operi senza registrazione come broker-dealer per le cripto-attività che sono titoli, se rispetta un elenco di condizioni. I mercati predefiniti devono essere scelti con criteri oggettivi e le affiliazioni dichiarate. L’interfaccia non può commentare un percorso con espressioni come «miglior prezzo». Il compenso si limita a un costo fisso a carico dell’utente, a importo forfettario o in percentuale dell’operazione, quindi il pagamento per l’order flow è escluso. Custodia, negoziazione dei termini, raccomandazioni di investimento, esecuzione e instradamento degli ordini restano fuori dalla dichiarazione.
La dichiarazione precisa di «non avere forza o effetto giuridico» (traduzione) e, senza un’azione della Commissione, «sarà considerata ritirata dopo cinque anni dal 13 aprile 2026» (traduzione). Il 18 agosto 2026 la Commissione stessa ha proposto la Regulation Crypto Assets (in inglese): un’esenzione fino a 5 milioni di dollari in quattro anni, un’altra fino a 75 milioni di dollari ogni 12 mesi con bilanci e informativa periodica, e un safe harbor condizionato per i token. Il comunicato non cita la DeFi, e lo studio legale Troutman Pepper Locke indica il 20 ottobre 2026 come fine del periodo di consultazione. Resta una proposta.
La CFTC: una DAO ritenuta responsabile, poi un sollievo per il software passivo
La CFTC ha creato il precedente duro. L’8 giugno 2023 un giudice federale della California ha emesso una sentenza contumaciale contro Ooki DAO, stabilendo che una DAO è una «persona» ai sensi del Commodity Exchange Act (in inglese), e ha imposto una sanzione di 643.542 dollari, divieti di trading e registrazione e la chiusura del sito. Fu una sentenza contumaciale: nessun convenuto si presentò a contestare il caso.
Nel 2026 lo staff si è mosso nell’altra direzione. La lettera dello staff CFTC 26-25 (in inglese), del 17 settembre 2026, estende ai fornitori di software passivo una posizione data per la prima volta a Phantom in marzo. A determinate condizioni, la Market Participants Division non raccomanderà azioni di enforcement per la mancata registrazione come introducing broker quando il software permette agli utenti di operare con intermediari e mercati registrati. È un sollievo dello staff per quel caso ristretto: la lettera esprime solo il parere della divisione e non vincola la Commissione. Troutman Pepper Locke riferisce anche di una bozza di regola inviata alla Casa Bianca per revisione lo stesso giorno e non si aspetta una regola vincolante prima della fine del 2027.
CLARITY: a che punto è il disegno di legge sulla struttura del mercato al 1° novembre 2026
Il disegno di legge è spesso descritto in modo approssimativo, quindi ecco la fase esatta. La Camera ha approvato il CLARITY Act, H.R. 3633, con 294 voti contro 134 il 17 luglio 2025. La Commissione Banche del Senato ha fatto avanzare la sua versione con 15 voti contro 9 il 14 maggio 2026, con tutti i 13 repubblicani e due democratici a favore. Il 15 settembre 2026 il Senato ha respinto la chiusura del dibattito sulla mozione di procedere, 49 contro 50, a 11 voti dai 60 richiesti. Era un voto sull’apertura della discussione, non sul testo.
Il senatore repubblicano Thom Tillis è passato all’ultimo momento da sì a no per poter chiedere il riesame, cosa che ha fatto un minuto dopo il risultato, e ha definito il suo voto «strettamente procedurale» (traduzione). H.R. 3633 resta nel calendario del Senato, e un tracker di Bit.com dell’ottobre 2026 indicava la mozione di riesame come ultimo atto, senza nuove mozioni di chiusura del dibattito. Troutman Pepper Locke definisce il testo di fatto morto per il resto di questo Congresso. Le due letture possono convivere: può essere richiamato, forse nella sessione di fine legislatura dopo le elezioni di metà mandato del 3 novembre, ma decade se nulla passa prima del nuovo Congresso di gennaio 2027.
Sulla DeFi, una bozza di settembre avrebbe imposto alla «DeFi non decentralizzata» di registrarsi presso la CFTC e avrebbe ristretto le esenzioni per la DeFi alle operazioni su materie prime a pronti, secondo Bankless (in inglese). La sezione 109 del testo della Camera, tratta dal Blockchain Regulatory Certainty Act, proteggerebbe gli sviluppatori privi del diritto o della capacità unilaterale di controllare gli asset degli utenti. Come spiega Coin Center (in inglese), è un test funzionale che non protegge né la frode, né l’elusione delle sanzioni, né il riciclaggio. Nulla di tutto questo è legge oggi.
La regola dell’IRS che il Congresso ha cancellato
Una regola sulla DeFi è caduta. Nel dicembre 2024 l’IRS aveva esteso gli obblighi di comunicazione dei broker ai partecipanti alla DeFi. Il Congresso ha annullato quella parte con il Congressional Review Act e il presidente Trump ha firmato la H.J.Res. 25 il 10 aprile 2025 (in inglese). L’IRS afferma ora (in inglese) che i suoi regolamenti non richiedono comunicazioni ai broker decentralizzati o non custodial che non prendono mai possesso degli asset. Le piattaforme custodial presentano ancora il modulo 1099-DA, e la fine di quell’obbligo per la DeFi non cancella il dovere di dichiarare le tue plusvalenze. Questo vale per i contribuenti americani; per l’Italia, vedi la sezione sul fisco più sopra.
Regno Unito: un soggetto controllante identificabile e una bozza di linee guida sulla decentralizzazione
La FCA ha pubblicato le regole definitive il 30 giugno 2026 per un regime che, secondo la sua pagina (in inglese), dovrebbe entrare in vigore il 25 ottobre 2027, e le imprese possono ora presentare domanda di autorizzazione. Lo studio legale Browne Jacobson riferisce che le regole si applicano alla DeFi quando esiste un soggetto controllante identificabile. Due consultazioni dell’ottobre 2026 vanno oltre. CP26/36 (in inglese) afferma che l’etichetta non decide nulla: descrivere un assetto come decentralizzato «non significa, di per sé, che non esista una persona rilevante» (traduzione). Spiega anche una nuova esclusione per i fornitori di servizi tecnici che si limitano a dare accesso a un protocollo decentralizzato. GC26/7 (in inglese) propone linee guida su resilienza e criminalità finanziaria per le imprese regolate che usano la DeFi. Si chiude il 18 novembre 2026 e il testo finale è previsto per gennaio 2027.
| Giurisdizione | Chi è coinvolto | Che cosa resta fuori | Situazione al 1° novembre 2026 |
|---|---|---|---|
| UE | Chi presta o controlla servizi per le cripto-attività, anche se decentralizzati in parte | Servizi «completamente decentralizzati» senza intermediario (considerando 22, non definito); prestito e assunzione in prestito (considerando 94) | Revisione in corso; risposte di ESMA ed EBA presentate; l’AMLR si applica dal 10 luglio 2027 |
| USA | Dipende dall’agenzia: emittenti di stablecoin (GENIUS), intermediari di titoli e derivati, money transmitter | Nessuna legge definisce la DeFi; le posizioni dello staff di SEC e CFTC coprono casi ristretti di software | CLARITY respinto in chiusura del dibattito 49-50 il 15 settembre 2026, mozione di riesame presentata; regola OCC in vigore dal 18 gennaio 2027 |
| Regno Unito | DeFi con un soggetto controllante identificabile | Protocolli privi di tale soggetto, in larga parte e per ora | Regime atteso il 25 ottobre 2027; linee guida sulla DeFi in consultazione fino al 18 novembre 2026 |
Tornado Cash: cos’è, perché fu sanzionato e perché non lo è più
L’8 agosto 2022 l’OFAC ha inserito Tornado Cash nell’elenco delle sanzioni (in inglese), sostenendo che il mixer era stato usato per riciclare più di 7 miliardi di dollari in valuta virtuale dal 2019. Il provvedimento riguardava indirizzi di smart contract, e tre mesi dopo l’OFAC lo ha sostituito con una nuova designazione che indicava 53 indirizzi Ethereum. Si apriva così una nuova domanda: si può sanzionare un software che nessuno controlla?
La Corte d’appello del Quinto Circuito ha risposto il 26 novembre 2024 con la sentenza Van Loon contro Dipartimento del Tesoro (in inglese). Nell’opinione del giudice Willett ha stabilito che gli smart contract immutabili «non sono “proprietà” di un cittadino o di un’entità straniera» (traduzione), quindi non potevano essere bloccati ai sensi dell’International Emergency Economic Powers Act, e che l’OFAC aveva ecceduto i propri poteri. Il ragionamento poggia sul fatto che nessuno può possedere o controllare un contratto immutabile. La corte ha precisato di non dover decidere se Tornado Cash sia un’entità e ha aggiunto che forse il Congresso aggiornerà la legge.
Il 21 marzo 2025 il Tesoro ha dichiarato di aver «esercitato la nostra discrezionalità per revocare le sanzioni economiche contro Tornado Cash» (traduzione), come si legge nel comunicato (in inglese). Fu una revoca discrezionale, non l’ammissione che tutte le designazioni simili siano illegittime, e la sentenza vincola i tribunali solo all’interno del Quinto Circuito. Roman Semenov, cofondatore, è rimasto nell’elenco (in inglese) nell’ambito del programma sulla Corea del Nord. Il precedente protegge il codice immutabile; dice meno sui contratti aggiornabili che hanno un proprietario, e nulla sui rapporti con una persona sanzionata.
| Data | Evento | Effetto |
|---|---|---|
| 8 agosto 2022 | L’OFAC inserisce Tornado Cash nell’elenco | Ai cittadini e alle società americane è vietato operare con gli indirizzi indicati |
| 14 maggio 2024 | Un tribunale olandese condanna Alexey Pertsev | 64 mesi in primo grado; presentato appello |
| 26 novembre 2024 | Quinto Circuito, Van Loon | Gli smart contract immutabili non sono «proprietà» ai sensi dell’IEEPA |
| 21 marzo 2025 | Il Tesoro revoca le sanzioni a Tornado Cash | Revoca discrezionale; Semenov resta nell’elenco |
| 6 agosto 2025 | Verdetto su Roman Storm, New York | Colpevole su un capo; giuria in stallo su due |
| 26 aprile 2027 | Nuovo processo a Storm in calendario | Due capi in stallo; richiesta di assoluzione non decisa al 26 agosto 2026 |
Responsabilità degli sviluppatori: tre processi penali e due cause civili
Le sanzioni sono cadute; l’esposizione penale no. Il motivo è nel memorandum del Dipartimento di Giustizia del 7 aprile 2025 (in inglese), intitolato «Ending Regulation By Prosecution». Si apre dicendo che il dipartimento «non è un regolatore degli asset digitali» (traduzione) e che «non prenderà più di mira» (traduzione) exchange, servizi di mixing e wallet offline per gli atti dei loro utenti o per violazioni inconsapevoli. Ai procuratori viene detto di non contestare certi reati di licenza se l’imputato non conosceva l’obbligo e non lo ha violato volontariamente.
Una nota a piè di pagina limita tutto questo. Il ramo del 18 U.S.C. 1960 (in inglese) che riguarda fondi noti come provenienti da reato, o destinati a sostenere attività illecite, è «al di fuori dell’ambito di questa politica» (traduzione). Il memorandum è inoltre una dichiarazione di priorità che non crea diritti per un imputato e può essere cambiata. Il 21 agosto 2025 Matthew Galeotti, allora capo ad interim della Divisione penale, ha detto (in inglese) che «il semplice fatto di scrivere codice senza intento illecito non è un reato» (traduzione). Per il software davvero decentralizzato e non custodial ha aggiunto che «nuove imputazioni ai sensi del 1960(b)(1)(C) contro un terzo non saranno approvate» (traduzione). Decrypt riferisce che intendeva applicarlo per il futuro. Sull’intento si giocano i casi rimasti.
Roman Storm: una condanna, due capi irrisolti
Il 6 agosto 2025 una giuria di Manhattan (in inglese) ha dichiarato Roman Storm, cofondatore di Tornado Cash, colpevole di concorso in gestione di un’attività di trasferimento di denaro senza licenza, reato punito con la reclusione fino a cinque anni. Si è bloccata sul concorso in riciclaggio e sul concorso in violazione delle sanzioni, quindi questi due restano accuse non provate, che lui contesta. Con un’ordinanza del 25 agosto 2026 la giudice Katherine Polk Failla ha fissato il nuovo processo al 26 aprile 2027 (in inglese), su richiesta della difesa, con una conferenza finale il 20 aprile. I due capi prevedono insieme un massimo di 40 anni. La sua richiesta di assoluzione, discussa il 9 aprile 2026, non era ancora decisa quando Decrypt ha riferito dell’ordinanza, il 26 agosto. Decrypt ha scritto anche che non era stato condannato a una pena per il primo capo.
Samourai Wallet: patteggiamenti e pene detentive
Keonne Rodriguez e William Lonergan Hill hanno scelto un’altra strada e si sono dichiarati colpevoli di concorso in gestione di un’attività di trasferimento di denaro senza licenza, con un accordo che ha fatto cadere l’accusa più ampia di riciclaggio (in inglese). La giudice Denise Cote ha condannato Rodriguez a cinque anni il 6 novembre 2025 e Hill a quattro anni il 19 novembre 2025. Ciascuno deve anche pagare una multa di 250.000 dollari (in inglese); hanno consegnato più di 6,36 milioni di dollari, le commissioni incassate da Samourai, e restano debitori del saldo di un ordine di confisca superiore a 237 milioni di dollari. L’accusa sosteneva che i due avessero posizionato il servizio per utenti criminali, quindi il caso è una guida debole per uno sviluppatore che si limita a pubblicare codice neutrale. Il 15 dicembre 2025 il presidente Trump, parlando di una grazia per Rodriguez (in inglese), ha detto «Ne ho sentito parlare, ci darò un’occhiata» (traduzione). Rodriguez ha iniziato a scontare la pena pochi giorni dopo, e il riepilogo di Decrypt del 26 agosto 2026 riporta quella frase e nessuna grazia.
Alexey Pertsev: la tesi olandese del riciclaggio
Un tribunale olandese ha condannato Alexey Pertsev a 64 mesi (in inglese) il 14 maggio 2024 per riciclaggio, un’accusa diversa dal reato di licenza americano. Ha fatto appello nel giro di pochi giorni. Ha annunciato nel febbraio 2025 (in inglese) che la custodia cautelare era stata sospesa con sorveglianza elettronica per preparare l’appello, e Coin Center ha pubblicato un parere di esperti (in inglese) per la Corte d’appello nel giugno 2025. La sentenza del maggio 2024 è una decisione di primo grado ed è, per ora, il riferimento europeo: uno sviluppatore dell’UE può affrontare accuse penali senza alcun elenco OFAC di mezzo.
Casi civili e di vigilanza: Uniswap e Ooki DAO
Sul versante civile i costruttori se la sono cavata meglio. In Risley contro Universal Navigation, la causa contro Uniswap Labs per i token truffa scambiati tramite il suo protocollo, la Corte d’appello del Secondo Circuito (in inglese) ha confermato il 26 febbraio 2025 il rigetto delle domande federali in materia di titoli, con un’ordinanza sommaria priva di effetto di precedente. I convenuti non erano venditori ai sensi del Securities Act. Il collegio ha condiviso anche l’opinione del tribunale di primo grado secondo cui va «contro ogni logica» (traduzione) che «l’autore di uno smart contract, un codice informatico, possa essere ritenuto responsabile ai sensi dell’Exchange Act» (traduzione) dell’uso improprio della piattaforma da parte di terzi. Ha annullato il rigetto delle domande di diritto statale rinviandole al giudice, e la giudice Failla le ha respinte in via definitiva il 2 marzo 2026 (in inglese). Ooki DAO mostra l’esito opposto quando un progetto è rimasto contumace.
| Persona o ente | Paese | Accusa o imputazione | Esito | Situazione al 1° novembre 2026 |
|---|---|---|---|---|
| Roman Storm (Tornado Cash) | USA | Trasferimento di denaro senza licenza, riciclaggio, concorso in violazione delle sanzioni | Colpevole su un capo, 6 agosto 2025; giuria in stallo su due | Nuovo processo fissato al 26 aprile 2027; nessuna pena riportata |
| Rodriguez e Hill (Samourai) | USA | Concorso in gestione di un’attività di trasferimento di denaro senza licenza | Patteggiamenti; cinque e quattro anni, novembre 2025 | Pene inflitte |
| Alexey Pertsev (Tornado Cash) | Paesi Bassi | Riciclaggio | 64 mesi, 14 maggio 2024 | Decisione di primo grado, appello presentato |
| Uniswap Labs | USA | Domande civili in materia di titoli e di diritto statale | Rigetto federale confermato, 26 febbraio 2025; domande statali respinte in via definitiva, 2 marzo 2026 | Civile, non penale |
| Ooki DAO | USA | CFTC: trading non registrato, violazioni FCM e BSA | Sentenza contumaciale, 8 giugno 2023; 643.542 dollari | Civile, contumacia |
Che cosa cambia se usi soltanto la DeFi
Nessuno dei processi sopra ha preso di mira chi si è limitato a scambiare o prestare attraverso un protocollo. Sanzioni e antiriciclaggio sono un’altra cosa: vincolano direttamente te, e uno strumento non custodial non è una difesa. La regolamentazione DeFi ti raggiunge anche in modo indiretto. Il rischio normativo, nella nostra mappa dei rischi DeFi, significa che un front end su cui fai affidamento può cambiare, il tuo exchange può chiederti conto di un indirizzo self-hosted e una stablecoin in un pool può essere congelata. Conserva i registri delle operazioni, perché il trattamento fiscale non dipende da questi dibattiti.
Date da seguire: il 3 novembre 2026 per le elezioni americane di metà mandato, il 18 novembre 2026 per la consultazione della FCA sulla DeFi, il 18 gennaio 2027 per la regola dell’OCC, il 26 aprile 2027 per il nuovo processo a Storm, il 10 luglio 2027 per l’AMLR, il 25 ottobre 2027 per il regime britannico. Nell’UE il rapporto della Commissione viene dopo la consultazione chiusa il 30 settembre. CLARITY ha bisogno di un altro voto del Senato prima che il nuovo Congresso si insedi a gennaio 2027.
