Il Financial Action Task Force (FATF) — l’organismo intergovernativo con sede a Parigi che definisce gli standard globali contro il riciclaggio di denaro e il finanziamento del terrorismo — ha pubblicato il suo settimo aggiornamento mirato sugli asset virtuali, rivelando che le organizzazioni criminali continuano a muovere enormi somme tramite criptovalute usando tecniche di instradamento sempre più sofisticate. Sebbene i quadri regolamentari si siano ampliati, permangono significative lacune nell’applicazione, abbastanza ampie da consentire il passaggio inosservato di miliardi di dollari.

Il 16 luglio 2026, il FATF ha pubblicato l’aggiornamento che valuta in che modo Paesi e Virtual Asset Service Providers (VASPs) stiano implementando gli standard internazionali per gli asset virtuali. Il rapporto esamina l’adozione della Travel Rule e mette in evidenza casi concreti di abuso finanziario, da operazioni di riciclaggio multimiliardarie a interventi coordinati contro frodi che hanno coinvolto quasi cento Paesi.

Risultati principali in sintesi

Il problema centrale: i criminali sfruttano lacune nell’applicazione, strumenti cross-chain e un’implementazione incoerente della Travel Rule. Le piattaforme che non si adeguano rischiano potenziali violazioni delle sanzioni, sequestri di asset o la perdita di rapporti bancari e partnership. Per i Paesi, l’inazione cronica comporta conseguenze proprie: i meccanismi di greylist e blacklist del FATF identificano pubblicamente le giurisdizioni con carenze strategiche in materia di antiriciclaggio, il che può limitarne l’accesso al sistema finanziario globale e aumentare il costo delle transazioni transfrontaliere per l’intera economia.

Come operano i flussi crypto illeciti

I flussi illeciti in criptovalute seguono una sequenza in tre fasi, invece di basarsi su una singola tecnica. La prima fase, “placement”, comporta l’arrivo on-chain di fondi rubati o illeciti. La seconda, “layering”, vede i fondi muoversi tra wallet, blockchain e servizi per interrompere associazioni tracciabili e guadagnare tempo. La fase finale, “integration”, si verifica quando i fondi raggiungono qualcosa di spendibile nell’economia reale — momento in cui i criminali hanno bisogno di infrastrutture umane come exchange, broker over-the-counter (OTC), carte prepagate o reti commerciali.

Il layering è la fase più critica per gli investigatori. I metodi vanno dalle semplici peel chain — numerosi piccoli trasferimenti in avanti — al chain hopping tramite bridge ed exchange decentralizzati (DEX). Mixer e strumenti per la privacy oscillano in popolarità a seconda della pressione esercitata dalle autorità. Le stablecoin compaiono spesso in questi flussi perché riducono al minimo la volatilità dei prezzi mentre una rete di riciclaggio opera. Le rotte cambiano dinamicamente quando la sorveglianza si intensifica; quando un percorso viene bloccato, il traffico migra verso alternative con commissioni più basse e controlli di compliance più deboli.

I VASPs fungono da punti di strozzatura naturali in questo ecosistema. Qualsiasi servizio che detenga fondi dei clienti o intermedii trasferimenti dovrebbe raccogliere e trasmettere i dati dell’ordinante e del beneficiario — il nucleo della Travel Rule. La Travel Rule stessa è stata adattata dai requisiti di lunga data sui bonifici bancari previsti dalla Raccomandazione 16 del FATF, estesa nel 2019 ai trasferimenti di asset virtuali e ora al settimo anno di implementazione globale graduale. L’aggiornamento 2026 del FATF rileva che, sebbene molti Paesi abbiano ormai una normativa sulla carta, solo una minoranza sta testando e applicando attivamente la compliance transfrontaliera (Comsure, che riporta FATF).

Il coordinamento tra le forze dell’ordine è migliorato nettamente. Operazioni globali come Operation First Light dimostrano che, quando dati, analisi e cooperazione tra giurisdizioni sono allineati, arresti e sequestri di asset possono crescere rapidamente su larga scala (INTERPOL).

Glossario dei termini chiave

• Travel Rule: L’obbligo per i VASPs di trasmettere informazioni verificate su ordinante e beneficiario insieme ai trasferimenti qualificanti, in modo analogo agli standard sui dati dei bonifici bancari.
• VASP (Virtual Asset Service Provider): Qualsiasi impresa che scambi, trasferisca o custodisca asset digitali per conto dei clienti.
• Layering: La fase del riciclaggio focalizzata sull’interruzione della tracciabilità tramite passaggi di transazioni, swap di token o servizi intermediari.
• Peel chain: Una tecnica che prevede molti piccoli output inoltrati da un pool più grande per offuscare la traccia e rallentare le indagini.
• Cross-chain bridge: Software o servizi che trasferiscono valore tra blockchain, spesso utilizzati per uscire da una rete monitorata.
• Broker OTC: Un intermediario che abbina acquirenti e venditori fuori dagli exchange, comunemente usato nei cash-out quando contano privacy o dimensione della transazione.

Playbook di compliance per le piattaforme

1. Mappare la postura Travel Rule per corridoio. Identificare le principali giurisdizioni e i principali VASPs controparti. Documentare quali mantengono messaggistica Travel Rule funzionante, quali no, e dove i dati si perdono abitualmente durante il trasferimento.

2. Colmare le lacune dell’ultimo miglio nei dati. Implementare procedure di fallback per controparti che non sono in grado di accettare payload Travel Rule. Utilizzare portali sicuri o attestazioni provvisorie mentre si introducono gradualmente sistemi di messaggistica interoperabili.

3. Abilitare visibilità cross-chain. Implementare analisi che colleghino i depositi ai passaggi precedenti attraverso le chain. Un singolo indirizzo in entrata raramente rivela il quadro completo senza tracce di bridge e DEX.

4. Classificare controparti e reti per livello di rischio. Valutare exchange, desk OTC e blockchain in base alla maturità dell’applicazione, all’esposizione a sanzioni e ai tassi storici di incidenti. Aumentare gli attriti sui corridoi a rischio più elevato.

5. Rafforzare i controlli sui prelievi. Eseguire screening degli indirizzi beneficiari per prossimità a mixer, cluster di frodi e servizi sanzionati. Ritardare o riesaminare i deflussi sospetti per interrompere i cash-out.

6. Chiudere il ciclo di feedback delle SAR. Assicurarsi che le segnalazioni di attività sospette alimentino nuovamente regole di rilevamento e modelli di rischio. Gli alert che non modificano i comportamenti non hanno utilità operativa.

7. Formare sui pattern di truffa attuali. Alternare casi studio che riflettano minacce attive: truffe sentimentali, reti di mule per lavori da casa, gruppi di frode sugli investimenti su applicazioni di messaggistica. Aggiornare i playbook trimestralmente.

8. Coordinarsi oltre il settore crypto. Costruire relazioni con banche, processori di pagamento e unità cyber nazionali. Il monitoraggio allineato degli off-ramp e i congelamenti dei wallet migliorano sia i tassi di recupero sia la deterrenza, come dimostrato da recenti azioni globali (INTERPOL).

Pattern di instradamento criminale nel 2026

Uno scenario rappresentativo del 2026: un gruppo di phishing prosciuga le vittime in una sera feriale, quando i team di supporto sono sotto organico. I fondi arrivano in un wallet nuovo, passano attraverso uno swap DEX in una stablecoin, attraversano un bridge verso una blockchain più veloce ed economica, e poi vengono trasferiti in un wallet custodial presso un exchange più piccolo con applicazione incoerente della Travel Rule. Se la verifica dell’identità è debole, i fondi escono nello stesso giorno verso canali simili al contante.

Su scala industriale, questo diventa il modello richiamato nell’aggiornamento di luglio del FATF: un conglomerato con sede in Cambogia che ha riciclato almeno USD 4 miliardi nell’arco di diversi anni. Questa scala implica non solo movimenti on-chain sofisticati, ma anche un’ampia rete umana di intermediari disponibili e controlli deboli in molteplici punti di contatto (LexisNexis, che riporta FATF).

I difensori sono nella posizione migliore per interrompere questa sequenza in anticipo — rilevando le uscite dai bridge prima che i fondi arrivino sulla piattaforma, validando i dati Travel Rule prima di accreditare i depositi, profilando i clienti alla prima operazione con storie cross-chain ad alta velocità e aggiungendo ritardi di revisione quando i percorsi in entrata appaiono costruiti ad hoc.

Implementazione della Travel Rule: opzioni e compromessi

Sulla carta, l’adozione globale è avanzata: il FATF riferisce che l’83% delle giurisdizioni esaminate dispone ora di una normativa sulla Travel Rule. Nella pratica, solo circa il 40% di queste la supervisiona o la applica, il che spiega perché i depositi continuano ad arrivare senza dati della controparte (Comsure, che riporta FATF).

L’approccio raccomandato è costruire più corsie: connettori interoperabili per un’ampia portata, collegamenti diretti con partner ad alto volume e un fallback manuale ben documentato — quindi accorciare progressivamente il percorso manuale man mano che le controparti adottano soluzioni interoperabili e i regolatori iniziano a richiedere prove di compliance.

Strategie di rilevamento per le rotte di offuscamento

Un principio operativo critico: il tempo è leva. Il primo passaggio pulito dopo una fonte contaminata rappresenta il miglior punto di intercettazione. Aggiungere da minuti a ore di ritardo quando un modello di rischio si attiva è molto più efficace che indagare giorni dopo che i fondi si sono dispersi.

Piattaforme centralizzate contro protocolli aperti

Nell’ecosistema persiste una tensione strutturale. Le piattaforme centralizzate possono applicare requisiti KYC, trasmissione dei dati Travel Rule e screening delle sanzioni, rendendole punti di strozzatura naturali. Tuttavia, la liquidità attraversa sia la finanza centralizzata (CeFi) sia la finanza decentralizzata (DeFi), e i criminali sfruttano binari aperti privi di un operatore a cui notificare un mandato.

Una mitigazione efficace richiede pressione stratificata su tutti i punti: gli exchange chiudono le porte ai flussi ad alto rischio, processori di pagamento e banche esaminano i confini fiat e le autorità nazionali si coordinano più rapidamente. Quando queste misure sono allineate, producono risultati come i 5.811 arresti e i USD 293 milioni intercettati segnalati nell’operazione globale antifrode di luglio (INTERPOL).

Sul fronte delle politiche, l’aggiornamento del FATF è diretto: l’adozione legale ha raggiunto l’83% delle giurisdizioni esaminate, ma senza vigilanza attiva e azioni concrete di enforcement, i criminali continueranno a sfruttare i corridoi dove il controllo è più silenzioso (Comsure, che riporta FATF). Il divario crescente tra legge sulla carta e supervisione attiva attirerà probabilmente attenzione nel prossimo ciclo di valutazioni reciproche del FATF, in cui i Paesi membri vengono valutati non solo sulla presenza di leggi approvate, ma anche sul fatto che i regolatori stiano testando attivamente la compliance dei VASP e adottando misure di enforcement.

Errori comuni e segnali d’allarme

• Presumere che la Travel Rule sia risolta. Se le controparti non possono ricevere payload o una giurisdizione non applica i requisiti, permangono zone cieche.
• Eccessiva dipendenza dalle blacklist di indirizzi. I criminali ruotano le infrastrutture. Analisi di prossimità e comportamento sono più efficaci delle liste statiche.
• Trattare le stablecoin come a basso rischio per impostazione predefinita. La loro stabilità di prezzo le rende attraenti per i riciclatori che reindirizzano fondi.
• Ignorare le tracce cross-chain. I fondi illeciti raramente arrivano tramite percorsi diretti. Perdere i passaggi sui bridge compromette il contesto investigativo.
• Fallback manuali senza guardrail. Il copia-incolla di attestazioni di titolarità da parte del personale crea responsabilità di audit che gli aggressori possono sfruttare.
• Cicli di feedback SAR insufficienti. Presentare segnalazioni senza incorporare gli insegnamenti significa lasciare che gli stessi pattern continuino a passare inosservati.

Domande frequenti

Che cosa ha pubblicato esattamente il FATF nel luglio 2026?
Il settimo aggiornamento mirato su come Paesi e VASPs stanno implementando gli standard FATF per gli asset virtuali. Esamina l’adozione della Travel Rule e presenta casi di abuso reali e pattern di enforcement (Comsure, che riporta FATF).

La Travel Rule è ora universale nelle crypto?
No. Sebbene l’83% delle giurisdizioni esaminate riferisca di aver adottato leggi sulla Travel Rule, il problema più ampio riguarda enforcement e interoperabilità funzionale. Solo circa il 40% delle giurisdizioni con leggi in vigore ha segnalato attività di vigilanza o applicazione nell’ultimo aggiornamento (Comsure, che riporta FATF).

Come fanno i criminali a muovere miliardi nella pratica?
Mettono in sequenza diversi metodi: acquisizioni di account o truffe alimentano fondi in wallet nuovi, seguite da passaggi cross-chain, swap DEX, peel chain e talvolta mixer. I cash-out si basano spesso su broker OTC o exchange con compliance debole. L’aggiornamento del FATF cita un gruppo finanziario con sede in Cambogia che ha riciclato almeno USD 4 miliardi in diversi anni per illustrare la scala del fenomeno (LexisNexis, che riporta FATF).

I mixer sono illegali ovunque?
No. La legalità varia a seconda della giurisdizione. Alcuni mixer o strumenti per la privacy sono stati sanzionati o perseguiti quando collegati ad attività criminali, mentre altri restano legali. Dal punto di vista della compliance, i depositi con esposizione ravvicinata a mixer richiedono blocchi e revisione rafforzata.

Quale ruolo svolgono operazioni globali come quelle di INTERPOL?
Collegano fili investigativi oltre confine, congelando fondi e arrestando persone che gestiscono reti di mule, call center truffaldini o hub di riciclaggio. Operation First Light nel luglio 2026 ha riportato 5.811 arresti e USD 293 milioni intercettati, incluse azioni mirate a wallet virtuali (INTERPOL).

Che cosa dovrebbe fare un exchange se le controparti non supportano la messaggistica Travel Rule?
Implementare un fallback documentato: portali sicuri o attestazioni con controlli KYC aggiuntivi, finestre di regolamento più lunghe e soglie definite. Classificare la controparte per rischio e accorciare il processo manuale man mano che adotta soluzioni interoperabili o quando i regolatori iniziano a testare la compliance.

Le crypto stanno diventando inutilizzabili per utenti attenti alla privacy ma rispettosi della legge?
Non necessariamente. La direzione regolamentare prevede una maggiore condivisione di dati tra VASPs e controlli più forti sugli off-ramp. Gli utenti leciti mantengono opzioni, ma dovrebbero aspettarsi maggiore attrito nei trasferimenti transfrontalieri e un controllo più attento quando i pattern delle transazioni somigliano a rotte di riciclaggio note.

Disclaimer: Questo articolo è fornito esclusivamente a scopo informativo e non è inteso come consulenza legale, fiscale, di investimento, finanziaria o di altro tipo.