Controllo AML crypto: come funziona lo screening degli indirizzi wallet e perché le piattaforme lo fanno

Un controllo AML crypto è una valutazione del rischio di un indirizzo wallet o di una transazione blockchain. Esamina dove sono passati i fondi e segnala legami con soggetti sanzionati, frodi, mercati del darknet o servizi di mixing. Le piattaforme crypto regolamentate eseguono abitualmente questi controlli su depositi e prelievi, e chiunque può capirne le basi prima di inviare o accettare crypto.

Questa guida spiega che cos'è lo screening dei wallet, le regole che lo determinano nell'UE, cosa può e non può dirti un punteggio di rischio e perché un trasferimento che ritenevi di routine può finire sotto verifica.

In sintesi

• «Controllo AML», «screening del wallet» e «KYT» (know your transaction, conosci la tua transazione) sono termini del settore per la stessa idea: valutare il rischio legato a un indirizzo o a una transazione.
• Nell'UE i prestatori di servizi per le cripto-attività devono monitorare le transazioni, e gli orientamenti dell'ABE dicono che dovrebbero usare strumenti di analisi avanzata in base al rischio, in particolare per gli indirizzi self-hosted.
• La travel rule dell'UE (regolamento (UE) 2023/1113) si applica dal 30 dicembre 2024 e impone che le informazioni su mittente e destinatario accompagnino i trasferimenti di crypto, qualunque sia l'importo.
• Un risultato pulito non rende sicuro un indirizzo né affidabile una controparte. Un risultato segnalato non prova un illecito.
• Gli emittenti di stablecoin possono bloccare indirizzi, quindi per USDT e USDC la storia di un indirizzo può contare quanto l'attività stessa.

Che cos'è un controllo AML crypto?

Le blockchain pubbliche registrano ogni trasferimento tra indirizzi. Ciò permette di risalire alla storia di una moneta e vedere se è passata per indirizzi già collegati ad attività illecite. Un controllo AML crypto prende un indirizzo o l'hash di una transazione, segue questi collegamenti e restituisce una qualche forma di valutazione del rischio, di solito con le categorie che la motivano.

Tra i segnali di rischio tipici:

• esposizione diretta o indiretta a indirizzi presenti in una lista di sanzioni;
• fondi passati per un mixer, un tumbler o un altro servizio pensato per oscurare le tracce;
• legami con mercati del darknet, truffe, ransomware o fondi rubati;
• trasferimenti tramite exchange non regolamentati o piattaforme con controlli deboli;
• schemi che non corrispondono all'attività attesa del cliente.

Poiché gli indirizzi sono pseudonimi, lo screening non dice nulla su chi possiede un indirizzo. Riporta a cosa l'indirizzo è stato collegato.

Screening del wallet e KYT

I termini si sovrappongono, ma vengono usati per due compiti.

Lo screening del wallet controlla un indirizzo prima di un rapporto o di un trasferimento: questa destinazione, o questa origine, è collegata a un rischio noto?

Il KYT (know your transaction) è il monitoraggio continuo delle transazioni. Ogni trasferimento in entrata e in uscita riceve un punteggio nel momento in cui avviene, e gli avvisi vanno a un ufficio conformità per la verifica.

Nessuno dei due termini è definito dal diritto dell'UE. Gli obblighi di legge sono espressi come adeguata verifica della clientela, monitoraggio delle transazioni e travel rule. Gli strumenti sono il modo in cui le piattaforme li rispettano.

Perché le piattaforme controllano gli indirizzi wallet

Il monitoraggio delle transazioni secondo gli orientamenti dell'UE

L'Autorità bancaria europea ha esteso ai prestatori di servizi per le cripto-attività i propri orientamenti sui fattori di rischio di riciclaggio e finanziamento del terrorismo. Si applicano dal 30 dicembre 2024. Tra i fattori di rischio elencati figurano i trasferimenti da o verso piattaforme di mixing e tumbling, le cripto-attività associate al darknet o ad attività illegali e i risultati di strumenti di analisi avanzata che indicano un livello di rischio più elevato.

Gli orientamenti dicono che i prestatori dovrebbero applicare strumenti di analisi avanzata alle transazioni in base al rischio, a integrazione del monitoraggio standard, e in particolare per le transazioni che coinvolgono indirizzi self-hosted, perché questi strumenti permettono al prestatore di ricostruire la storia delle transazioni e individuare possibili legami con attività criminali. È questa la base normativa dello screening dei wallet che incontri nella pratica.

La travel rule

Il regolamento (UE) 2023/1113, la rifusione del regolamento sui trasferimenti di fondi, si applica dal 30 dicembre 2024. Impone al prestatore di chi invia crypto di assicurarsi che il trasferimento riporti nome, indirizzo wallet e numero di conto del mittente, l'indirizzo postale con un documento ufficiale o un numero cliente (oppure data e luogo di nascita), più il nome e l'indirizzo wallet del destinatario. I suoi considerando affermano che i trasferimenti di crypto dovrebbero essere soggetti agli stessi requisiti indipendentemente dall'importo, perché le crypto possono essere facilmente suddivise tra molti indirizzi.

Se le informazioni mancano, il prestatore ricevente deve, in base al rischio e senza indebito ritardo, rifiutare o restituire il trasferimento, oppure chiedere le informazioni prima di rendere disponibili le crypto. I prestatori che non inviano ripetutamente i dati richiesti possono ricevere avvertimenti, scadenze e, in ultima istanza, la limitazione o la cessazione del rapporto.

Per i wallet self-hosted le regole aggiungono una soglia. Quando più di 1.000 euro vengono inviati a o ricevuti da un indirizzo self-hosted per conto di un cliente, il prestatore dovrebbe verificare che l'indirizzo sia effettivamente di proprietà o sotto il controllo di quel cliente. La nostra guida alla travel rule approfondisce l'argomento.

Le sanzioni

Le sanzioni si applicano alle crypto come al denaro. Negli Stati Uniti l'Office of Foreign Assets Control (OFAC) del Tesoro può aggiungere indirizzi di valute digitali alla propria lista di sanzioni per avvisare il pubblico, pur precisando che tali iscrizioni probabilmente non sono esaustive. Gli strumenti di screening attingono a queste liste e poi estendono il quadro agli indirizzi collegati.

Come controllare da solo un indirizzo wallet crypto

Un rapido controllo del rischio di un indirizzo wallet prima di inviare o accettare crypto non richiede uno strumento commerciale. Alcune abitudini intercettano la maggior parte dei problemi.

1. Cercalo su un block explorer. Controlla se l'indirizzo ha una storia, quanto è vecchio e se il trasferimento di cui ti hanno parlato esiste davvero.
2. Chiedi da dove provengono i fondi. Se qualcuno vuole pagarti in crypto, un exchange regolamentato o un wallet con una storia lineare è un segnale migliore di un indirizzo alimentato da una catena di passaggi nuovi.
3. Fai attenzione a mixer e bridge. I fondi passati di recente per servizi di offuscamento sono il classico motivo di una verifica.
4. Usa un servizio di screening dove disponibile e leggi le categorie, non solo il punteggio.
5. Non inoltrare depositi inattesi. Crypto in entrata sconosciute possono essere la preparazione di una truffa o un trasferimento errato; chiedi all'assistenza del prestatore prima di spostarle.

Un controllo del rischio è un'istantanea. Gli indirizzi possono essere collegati a nuovi incidenti dopo il tuo controllo, e strumenti di fornitori diversi possono non essere d'accordo.

Controlli AML per Bitcoin e USDT

Un controllo AML su Bitcoin funziona secondo lo stesso principio di qualsiasi altro: ricostruire input e output e valutare l'esposizione. Il modello di transazione di Bitcoin, in cui una transazione può combinare molti input, fa sì che un pagamento possa portare con sé una piccola quota di storia rischiosa da un passaggio precedente.

Le stablecoin aggiungono un secondo livello. I termini di Tether le consentono di inserire in blacklist gli indirizzi che detengono i suoi token quando sospetta un uso vietato o su indicazione di un governo, e i termini di USDC di Circle si riservano il diritto di bloccare determinati indirizzi USDC. Quindi un controllo AML su USDT non riguarda solo la conformità: i token presenti su un indirizzo bloccato dall'emittente possono diventare inutilizzabili. Nota anche che lo stesso token può esistere su più reti; esegui lo screening dell'indirizzo sulla rete che il pagamento userà effettivamente.

Cosa non può dirti un controllo AML crypto

• Che un indirizzo è sicuro. La formulazione di Quppy stessa è un buon riassunto: un controllo AML è una valutazione del rischio e non garantisce che un indirizzo, una transazione o un'attività siano sicuri, leciti o privi di rischi.
• Chi possiede l'indirizzo. Lo screening descrive collegamenti, non identità.
• Che un trasferimento verrà accettato. Il prestatore ricevente applica la propria policy, e anche i dati della travel rule devono essere completi.
• Che un punteggio alto significhi un illecito. Utenti innocenti ricevono fondi «contaminati». Una verifica è una domanda, non un'accusa.

Controlli dei wallet e verifiche in Quppy

Quppy offre AML Quppy Bot, un servizio separato di valutazione del rischio per indirizzi wallet e transazioni blockchain supportati, che puoi usare prima di inviare o accettare crypto. Come ogni strumento di questo tipo, il suo risultato è una valutazione del rischio, non una garanzia.

Sui trasferimenti stessi, Quppy o il prestatore di servizi crypto applicabile possono chiederti informazioni su un wallet esterno: se è tuo o di qualcun altro, il nome legale del mittente o del destinatario, la piattaforma esterna, lo scopo del trasferimento e, in alcuni casi, la prova della proprietà o del controllo. I motivi indicati nelle pagine di conformità di Quppy sono la travel rule, le sanzioni e il rischio AML/CFT, oltre alla verifica che l'attività e la rete siano supportate.

Un deposito in entrata può essere sottoposto a verifica quando, per esempio, mancano le informazioni della travel rule, l'indirizzo presenta indicatori di rischio o il trasferimento proviene da un mixer, da un servizio che aumenta la privacy, da una fonte sanzionata o da una piattaforma ad alto rischio. Una conferma sulla blockchain non elimina questi controlli, e di conseguenza una transazione può essere ritardata, restituita o rifiutata. Quppy non pubblica un tempo di verifica garantito e potrebbe non poter rivelare ogni indicatore di rischio. Leggi perché una transazione può essere ritardata o rifiutata e perché potrebbero chiederti informazioni su un wallet esterno per il quadro completo.

Nessun controllo legittimo ha bisogno della tua chiave privata o della tua seed phrase. Non condividerle mai.