Il periodo di transizione valido in tutta l'UE per il regolamento Markets in Crypto-Assets (MiCA) è समाप्तო il 1° luglio 2026. Da quella data, sia l'European Securities and Markets Authority (ESMA) sia l'Autorité des marchés financiers (AMF) francese hanno segnalato un forte aumento delle truffe di phishing che utilizzano identità falsificate di autorità di vigilanza per ingannare gli investitori.

MiCA istituisce il quadro di licenze valido in tutta l'UE per i fornitori di servizi su cripto-attività ed è il primo regime cripto completo e armonizzato adottato da una grande economia globale. Gli exchange, i broker e i custodi che operano nel blocco devono ottenere un'autorizzazione Crypto-Asset Service Provider (CASP), che impone requisiti relativi a capitale, conformità e tutela degli investitori. I fornitori privi di tale licenza non possono più servire i clienti dell'UE. Il periodo di transizione originario concedeva agli operatori esistenti fino a 18 mesi di attività continuata, con scadenze scaglionate tra gli Stati membri. Entro la fine di luglio 2026, il registro ESMA riportava 323 CASP autorizzati. Sebbene la transizione fosse stata concepita per offrire certezza giuridica agli investitori, i tempi compressi hanno anche creato una nuova e rilevante superficie d'attacco per i truffatori.

Solo 16 dei 100 maggiori exchange detengono una licenza MiCA

La scadenza ha ridotto in modo significativo il numero di fornitori legalmente accessibili nell'UE. Il registro pubblico ESMA indica ogni autorizzazione CASP concessa insieme al supervisore nazionale responsabile. Una volta rilasciata da un'autorità nazionale, la licenza vale in tutto il mercato unico attraverso il meccanismo del passaporto UE. Il numero di voci cambia su base settimanale perché continuano ad arrivare nuove autorizzazioni.

Le uscite, tuttavia, superano di gran lunga le nuove entrate. Il fornitore di dati VASPnet stima che oltre 1.700 fornitori di servizi cripto privi di licenza abbiano dovuto cessare il servizio ai clienti UE, anche se non esiste una conferma ufficiale di tale cifra.

Tra le maggiori piattaforme di negoziazione, la densità di licenze resta bassa. Dei 100 exchange cripto con il volume più elevato a livello globale, solo 16 detengono un'autorizzazione MiCA, tra cui Coinbase, Kraken, Bybit, OKX, Crypto.com e KuCoin. Nella fascia più alta, il rapporto è relativamente migliore: sei dei dieci exchange con il volume più elevato sono autorizzati. Binance, il più grande exchange al mondo per volume di scambi, non ha ancora ricevuto una licenza MiCA valida in tutta l'UE. Di conseguenza, da luglio i fornitori non autorizzati non possono più servire attivamente i clienti dell'UE, costringendo gli utenti europei a riorganizzarsi nel giro di poche settimane.

Le scadenze nazionali scaglionate hanno aggravato l'incertezza. La Germania ha fissato la propria scadenza nazionale al 31 dicembre 2025, sei mesi prima del massimo consentito dall'UE. La Francia, al contrario, ha concesso ai propri fornitori l'intero periodo di 18 mesi. Chi aveva conti in entrambe le giurisdizioni ha quindi visto le proprie piattaforme ritirarsi in momenti diversi. I clienti esistenti hanno dovuto prelevare i propri saldi, trasferirli a un fornitore autorizzato o portarli in self-custody — una situazione che i truffatori hanno sfruttato attivamente.

Le truffe di phishing MiCA impersonano ESMA e AMF

L'AMF ha documentato casi in cui gli autori si sono finti membri del personale dell'autorità, invitando gli investitori a trasferire i propri saldi su siti web falsi con il pretesto della custodia sicura. L'inganno è particolarmente efficace perché molti clienti erano già obbligati a cambiare fornitore. Una volta trasferiti, i saldi in criptovalute sono quasi mai recuperabili.

Per questo motivo, l'autorità francese ha evitato di imporre una scadenza rigida di chiusura per gli exchange non autorizzati, ritenendo che un'esclusione improvvisa dal mercato avrebbe fornito ai truffatori ulteriori pretesti. Anche il nome di ESMA è stato usato in modo analogo. In dichiarazioni al Financial Times, l'autorità ha confermato l'uso non autorizzato del proprio logo e di documenti falsificati. Le comunicazioni ufficiali provengono esclusivamente da indirizzi che terminano in @esma.europa.eu. Anche la AFM olandese segnala attacchi mirati ai consumatori alla ricerca di alternative autorizzate.

Le autorità di vigilanza indicano alcuni elementi tipici delle comunicazioni autentiche. Gli organismi di supervisione non chiedono mai il trasferimento di asset. Inoltre, non applicano commissioni per il recupero di fondi persi. Anche le scadenze artificiali sono assenti dal repertorio ufficiale. Gli investitori possono verificare direttamente lo stato della licenza di un fornitore nel registro ESMA o sul sito web dell'AMF. Chiunque riceva un messaggio che crea pressione temporale dovrebbe quindi diffidare.

Le frodi d'identità sono cresciute di oltre 1.400 percento

L'aumento di questi casi, tuttavia, è iniziato ben prima della scadenza MiCA. Il Crypto Crime Report 2026 di Chainalysis stima le perdite confermate da frodi on-chain nel 2025 a circa USD 14 miliardi. Per il rapporto, la società di analisi valuta i flussi di pagamento sulle blockchain pubbliche. Considerando la copertura completa, la proiezione arriva fino a USD 17 miliardi. Inizialmente Chainalysis aveva indicato USD 9,9 miliardi per il 2024; in seguito ha rivisto il dato a USD 12 miliardi. Nel complesso, il danno totale è aumentato di circa il 17 percento rispetto al 2024.

La frode tramite identità altrui è stata la categoria in più rapida crescita. Chainalysis stima l'aumento in oltre 1.400 percento su base annua. Nello stesso periodo, il pagamento medio per singolo caso di questo schema è cresciuto di oltre il 600 percento. Considerando tutte le forme di frode, la media è aumentata anch'essa, da USD 782 a USD 2.764. Questi dati si riferiscono al panorama cripto globale del 2025 e non specificamente alla transizione MiCA, ma mostrano quanto sia diventato redditizio impersonare un'istituzione.

Anche le tecniche d'attacco stanno cambiando. Scam Sniffer ha registrato perdite pari a USD 6,27 milioni dovute alla cosiddetta signature phishing nel solo gennaio 2026. Rispetto a dicembre 2025, si tratta di un aumento del 207 percento. Nello stesso periodo, il numero delle vittime è diminuito dell'11 percento, scendendo a 4.741. Due grandi investitori hanno da soli rappresentato il 65 percento delle perdite complessive. Le campagne di massa stanno quindi perdendo importanza. Il settore definisce questa concentrazione su pochi bersagli facoltosi whale hunting .

Gli investitori svizzeri restano senza protezione MiCA

MiCA non si applica in Svizzera. Poiché il Paese non appartiene né all'UE né allo SEE, FINMA non può concedere una licenza MiCA. Chi opera tramite una piattaforma autorizzata nell'UE beneficia comunque delle regole di tutela degli investitori previste dal regolamento. Tuttavia, se quella piattaforma UE non è più autorizzata, la protezione viene meno del tutto. Lo stesso vale per le società collegate e per i fornitori con sede al di fuori dell'Unione. L'AMF lo sottolinea nella sua nota di giugno. In questi casi, i clienti svizzeri si assumono quindi interamente il rischio.

Diversi operatori crypto svizzeri hanno ottenuto l'accesso attraverso controllate nell'UE e nello SEE . Crypto Finance ha ricevuto una licenza CASP dalla BaFin tedesca nel gennaio 2025, prima società a riuscirci. In seguito, AMINA Bank ha fatto lo stesso tramite la FMA austriaca, così come Relai e SwissBorg tramite l'AMF francese. Swissquote ha ottenuto la propria autorizzazione nell'aprile 2026 dalla CSSF del Lussemburgo. RuleMatch, Bitcoin Suisse e Sygnum Bank hanno infine ricevuto le loro approvazioni nel giugno 2026 in Liechtenstein. Nel complesso, le otto licenze sono distribuite tra cinque autorità di vigilanza.

Non esiste un equivalente svizzero diretto del periodo di transizione MiCA. FINMA mantiene comunque una lista di avvertimento di fornitori che danno l'impressione di possedere una licenza. La lista si basa sulle segnalazioni e sulle indagini svolte dalla stessa FINMA, quindi non è esaustiva. Come strumento di verifica, integra il registro delle autorizzazioni ma non lo sostituisce. L'Ufficio federale della cibersicurezza ha registrato nel 2025 poco meno di 65.000 segnalazioni, circa il 19 percento delle quali riguardava il phishing. Nella seconda metà del 2025 sono arrivate 6.299 segnalazioni di phishing, il 17 percento in più rispetto all'anno precedente. L'ufficio non distingue quante di queste abbiano coinvolto investitori in criptovalute.