Il settore delle criptovalute sta entrando in quella che Sumsub definisce la sua era della maturità regolamentata, plasmata da nuovi quadri normativi statunitensi come il CLARITY Act e il GENIUS Act. Questo cambiamento estende una tendenza globale: il regolamento dell'Unione Europea sui mercati delle crito-attività (MiCA) è pienamente applicabile in tutto il blocco da dicembre 2024, offrendo alle società di asset digitali in Europa un quadro normativo regionale completo. In parallelo, la frode si sta evolvendo in attacchi basati sull'IA e sul ciclo di vita del cliente che richiedono difese più intelligenti.

Nell'intervista che segue, Danielle Labarbera, Vice President North America di Sumsub, illustra i risultati chiave del report State of the Crypto Industry 2026 della società, che tratta regolamentazione, resilienza alle frodi, stablecoin e futuro della verifica dell'identità.

Che cos'è Sumsub?

D: Per iniziare, può raccontarci qualcosa in più su Sumsub e sul ruolo che svolge oggi nell'ecosistema crypto?

R: Sumsub aiuta le imprese crypto a stabilire e mantenere la fiducia lungo tutto il ciclo di vita del cliente. L'attività inizia con la verifica dei clienti individuali e aziendali, ma comprende anche la prevenzione delle frodi, lo screening AML, il monitoraggio delle transazioni e la conformità alla Travel Rule.

Collaboriamo con più di 1.000 aziende crypto, tra cui otto dei dieci maggiori exchange crypto globali, quindi vediamo in prima persona quanto rapidamente stiano cambiando sia le frodi sia le aspettative dei regolatori.

Il cambiamento importante è che la verifica non può più essere trattata come un cancello che il cliente attraversa una sola volta. Con il 55% delle aziende crypto che ha subito frodi lo scorso anno, le imprese devono capire se l'identità, il comportamento e le transazioni di un utente continuano ad avere senso nel tempo. Il nostro ruolo è aiutarle a farlo mantenendo l'esperienza il più fluida possibile per i clienti legittimi.

Il 2026 come «era della maturità regolamentata»

D: Il report definisce il 2026 l'«era della maturità regolamentata». Il settore ha chiesto per anni chiarezza normativa e gli Stati Uniti dispongono ora di sviluppi come il CLARITY Act e il GENIUS Act. Cosa significano questi quadri normativi per le imprese che operano nel settore?

R: Questi quadri normativi offrono alle imprese un'indicazione più chiara degli standard che plasmeranno il mercato statunitense degli asset digitali. Il CLARITY Act affronta la struttura di mercato e la ripartizione della vigilanza regolamentare, mentre il GENIUS Act stabilisce requisiti per le stablecoin di pagamento, tra cui l'idoneità degli emittenti, le riserve, il rimborso, le informative, la conformità AML e la tutela dei consumatori. Il GENIUS Act è stato promulgato nel luglio 2025 come primo quadro federale statunitense per le stablecoin di pagamento, mentre il CLARITY Act è stato approvato dalla Camera dei Rappresentanti degli Stati Uniti in quello stesso mese.

Una maggiore chiarezza può aiutare le imprese a pianificare gli investimenti, sviluppare prodotti ed entrare nel mercato con maggiore fiducia — ma innalza anche lo standard operativo loro richiesto. La conformità non può più esistere soltanto in politiche scritte; le piattaforme devono dimostrare che i loro sistemi di identità, monitoraggio delle transazioni e reporting funzionino in modo accurato, coerente e su larga scala.

È questo che il report intende per maturità regolamentata. Il fattore differenziante sta passando dal semplice comprendere le regole all'essere in grado di applicarle senza creare attriti inutili per gli utenti legittimi. Le imprese meglio posizionate per trarne beneficio saranno quelle che integreranno conformità, resilienza alle frodi ed esperienza utente in un unico modello operativo coerente.

D: Secondo il report, solo il 23% delle imprese crypto è pienamente conforme alla Travel Rule, mentre il 43% non sa se rispetti il requisito. Ciò è dovuto a una scarsa consapevolezza, a costi elevati o a un altro fattore che le frena?

R: Il problema è meno il fatto che le imprese non conoscano l'esistenza della Travel Rule e più quanto sia difficile renderla operativa in modo coerente.

A livello di base, la Travel Rule richiede alle imprese crypto di raccogliere, verificare e trasmettere in modo sicuro le informazioni sull'ordinante e sul beneficiario di un trasferimento di asset virtuali. In pratica, ciò significa determinare quando la regola si applica, identificare la controparte, sottoporre entrambe le parti a screening, scambiare in modo sicuro le informazioni richieste e mantenere una registrazione verificabile del trasferimento.

La difficoltà sta nel fatto che le imprese non operano secondo un unico regolamento universale. La Travel Rule deriva dagli standard del Financial Action Task Force (FATF), che l'organismo globale di vigilanza AML ha esteso ai fornitori di servizi di asset virtuali nelle sue linee guida del 2019, lasciando alle singole giurisdizioni il compito di recepire il requisito nelle legislazioni nazionali. Di conseguenza, soglie, campi dati richiesti, leggi sulla privacy e approcci ai portafogli self-hosted differiscono tra le giurisdizioni. Le piattaforme possono inoltre utilizzare protocolli Travel Rule diversi che non sempre interoperano senza problemi.

Il costo è certamente parte del problema: nella nostra ricerca, il 52% delle imprese ha indicato l'implementazione costosa come sfida principale. La sicurezza dei dati si è posizionata ancora più in alto al 62%, mentre il 50% ha citato la frammentazione normativa e il 38% ha indicato l'interoperabilità.

Questo aiuta a spiegare perché il 43% non sia certo del proprio stato. Un'azienda può aver implementato alcune delle capacità richieste ma continuare a non avere la certezza che il processo funzioni in ogni giurisdizione, con ogni controparte e per ogni tipo di transazione. La conformità alla Travel Rule oggi va oltre il semplice attivare un protocollo; richiede una gestione del rischio continua.

Frodi crypto e IA

D: Come stanno evolvendo le strategie fraudolente nel 2026?

R: Uno dei cambiamenti più significativi che osserviamo è che le frodi stanno diventando sempre più sofisticate. La frode si è evoluta da attacchi isolati a operazioni coordinate e basate sull'IA. Invece di affidarsi a documenti falsi o identità rubate, i fraudster combinano deepfake, identità sintetiche, social engineering, takeover di account e reti di money mule lungo più fasi del percorso del cliente. Gli attacchi stanno diventando più automatizzati, più convincenti e molto più difficili da rilevare perché sono progettati per imitare il comportamento di utenti legittimi.

Questo sta cambiando l'approccio delle imprese alla prevenzione delle frodi. I controlli puntuali in fase di onboarding non bastano più. La nostra ricerca mostra che le organizzazioni stanno investendo sempre di più nel rilevamento delle frodi basato sull'IA, nel monitoraggio continuo e nell'analisi comportamentale per capire come evolve il rischio lungo tutto il ciclo di vita del cliente. Le strategie più solide oggi collegano identità, comportamento, dispositivi e intelligence sulle transazioni in un'unica visione del rischio, consentendo alle imprese di rilevare le minacce prima e di mantenere un'esperienza fluida per gli utenti legittimi.

D: L'IA sta trasformando quasi ogni settore. Come sta cambiando le frodi?

R: L'IA ha cambiato entrambi i lati dell'equazione della frode. Rende le frodi più rapide, più economiche e più facili da scalare, permettendo ai criminali di generare identità false convincenti, deepfake e documenti sintetici in minuti anziché in ore o giorni. Ma sta cambiando anche il modo in cui le imprese si difendono. L'IA offre ai team di conformità e antifrode la capacità di analizzare molti più segnali di quanto potrebbe mai fare un essere umano — dai dati di identità e dispositivo ai pattern comportamentali e all'attività transazionale — per individuare comportamenti sospetti molto prima.

La sfida è che questa è diventata una corsa agli armamenti. Man mano che i fraudster adottano strumenti di IA più sofisticati, le imprese hanno bisogno di sistemi in grado di apprendere e adattarsi continuamente. Le organizzazioni che resteranno avanti dovranno superare l'idea che l'IA sia solo una funzionalità, usandola invece per collegare identità, comportamento e transazioni in un'unica visione del rischio in tempo reale.

D: La frode ha smesso di riguardare solo l'onboarding dei clienti per passare a un approccio «basato sul ciclo di vita». Può fare un esempio?

R: Immagini un cliente che supera il KYC, usa una piattaforma in modo normale per diversi mesi e costruisce una cronologia di account attendibile. Tradizionalmente, quell'account sarebbe considerato a basso rischio. Ma oggi quell'account potrebbe in seguito essere oggetto di takeover, venduto o usato come parte di una rete di money mule.

Un approccio basato sul ciclo di vita riconosce che il rischio non si ferma all'onboarding. Le imprese devono monitorare ciò che accade dopo, sia che un utente si connetta improvvisamente da un nuovo dispositivo o da una nuova località, inizi a effettuare transazioni insolite o cominci a interagire con portafogli o controparti ad alto rischio. Nessun segnale isolato indica necessariamente una frode, ma quando si collegano i dati di identità, comportamento e transazioni, si ottiene un quadro molto più chiaro del rischio in evoluzione. È per questo che il settore si sta allontanando dalla verifica una tantum verso una valutazione continua della fiducia lungo tutto il rapporto con il cliente.

D: Le stablecoin hanno continuato ad acquisire rilevanza transazionale nell'ultimo anno. Cosa può dirci del loro crescente ruolo?

R: Stiamo vedendo le stablecoin evolversi da strumento di trading a componente dell'infrastruttura finanziaria. Questo processo di mainstreaming ha raggiunto un traguardo visibile nel giugno 2025, quando Circle, la società dietro la stablecoin USDC, si è quotata alla Borsa di New York. Nella nostra ricerca, le stablecoin hanno rappresentato il 36% di tutte le transazioni crypto nel 2025, in aumento rispetto al 31% dell'anno precedente. Questa crescita è trainata da casi d'uso reali come i pagamenti transfrontalieri, i regolamenti e le operazioni di tesoreria, dove le aziende vogliono la velocità della blockchain senza la volatilità di prezzo di altri asset digitali.

Man mano che l'adozione cresce, crescono anche le aspettative di conformità. Le transazioni in stablecoin sono spesso transfrontaliere e di alto valore, il che rende sempre più importanti un KYC, un KYB, un monitoraggio delle transazioni e una conformità alla Travel Rule solidi. Regolamenti come il GENIUS Act stanno inoltre contribuendo a fornire un quadro più chiaro per le imprese che operano in questo spazio. In definitiva, le stablecoin non sono più viste come puramente speculative; riguardano sempre più l'abilitazione di movimenti di denaro più rapidi ed efficienti. La sfida per le imprese è garantire che l'infrastruttura di conformità evolva di pari passo con quella crescita.

La soluzione basata sul rischio per la verifica degli utenti

D: Il report menziona i «tre cavalieri» dell'incubo della verifica: falsi positivi, pressione sulla velocità e aspettative di UX — tutti che tirano in direzioni diverse. Qual è la via d'uscita più pratica da questo trilemma?

R: L'errore più grande che le imprese possono commettere è trattare tutti i clienti allo stesso modo. La via d'uscita da questo trilemma è un approccio basato sul rischio, in cui il livello di verifica si adatta al livello di rischio. Un cliente a basso rischio non dovrebbe affrontare lo stesso livello di attrito di chi genera segnali di rischio più elevati. Combinando dati di identità, comportamentali, di dispositivo e transazionali, le imprese possono prendere decisioni più intelligenti su quando introdurre controlli aggiuntivi e quando mantenere l'esperienza rapida e fluida.

L'altro cambiamento importante è l'allontanamento dall'ottimizzazione una tantum. I pattern di frode e il comportamento dei clienti cambiano costantemente, quindi i modelli di verifica devono essere monitorati e perfezionati continuamente. Invece di scegliere tra sicurezza ed esperienza utente, l'obiettivo è ottenere entrambe applicando il giusto livello di verifica al momento giusto.

D: Come stanno adottando le aziende crypto la verifica non documentale e il KYC riutilizzabile nel 2026? Come cambia l'esperienza utente sul fronte front-end?

R: Stiamo osservando un chiaro allontanamento dalla richiesta agli utenti di caricare ripetutamente gli stessi documenti ogni volta che si iscrivono a una nuova piattaforma. Sempre più imprese stanno invece adottando la verifica non documentale, utilizzando fonti dati affidabili insieme a segnali di dispositivo, comportamentali e di rischio per verificare l'identità. Il KYC riutilizzabile si basa su questo, consentendo il riuso delle credenziali di identità verificate tra i servizi aderenti e riducendo la necessità per i clienti di ricominciare da zero il processo di verifica ogni volta.

Per gli utenti, questo significa un onboarding più rapido, meno caricamenti di documenti e un'esperienza molto più fluida. Per le imprese, può ridurre i tassi di abbandono mantenendo standard di conformità elevati. Questa svolta rende le identità attendibili più portabili e consente controlli di identità più intelligenti.

D: Se un responsabile della conformità legge questo report e vuole fare una cosa in questo trimestre per colmare il proprio divario di conformità più grande, quale dovrebbe essere?

R: Inizi facendo un passo indietro ed esaminando il programma di conformità nel suo complesso, invece di trattare KYC, prevenzione delle frodi, AML e monitoraggio delle transazioni come funzioni separate. I divari più grandi spesso emergono tra quei sistemi. Un cliente può superare l'onboarding, ma se i cambiamenti nel suo comportamento, dispositivo o attività transazionale non sono collegati, segnali d'allarme importanti possono sfuggire.

In questo trimestre, si concentri sull'identificare dove esistono questi punti ciechi e su come collegare i dati di identità, comportamentali e transazionali in un'unica visione del rischio. Questo non significa necessariamente aggiungere più controlli; significa far sì che i controlli già in dotazione lavorino insieme in modo più efficace.

Man mano che la regolamentazione matura e le frodi diventano più sofisticate, le imprese che adotteranno un approccio alla conformità basato sul ciclo di vita saranno molto meglio posizionate per crescere con fiducia.