Se il furto di oltre 153 milioni di patenti americane e canadesi avvenuto questo mese dimostra qualcosa, è che il posto più sicuro dove conservare una copia della propria patente è nessuno affatto.

I documenti di identità trapelati, che sembrano provenire da un fornitore di verifica dell'identità, sono emersi su Nexus, un servizio di identità del dark web, insieme a milioni di altri documenti di identità e di viaggio rubati. L'FBI ha dichiarato di stare indagando sull'esposizione, secondo un rapporto di Reuters.

Il pericolo è emerso in modo evidente questa settimana, quando la fintech Revolut ha rivelato che un hacker l'aveva ingannata facendole consegnare grandi quantità di dati sensibili dei clienti, incluse copie di passaporti e selfie di verifica. L'attaccante sta ora pubblicando a piccoli dosi i documenti di identità di 680 clienti sul web nel tentativo di ottenere un riscatto di 3 milioni di dollari in Monero, come riferito da Cointelegraph.

L'ironia è difficile da non notare. I processi di Know Your Customer (KYC) esistono per rendere i sistemi finanziari più sicuri, stabilendo chi sono i clienti e garantendo che non siano coinvolti in attività illecite. Eppure il modo in cui il KYC viene solitamente implementato richiede alle aziende di archiviare enormi quantità di informazioni sensibili, creando preziosi bersagli per i criminali.

Il problema sta diventando sempre più difficile da ignorare. Solo nella prima metà del 2026, le violazioni di dati negli Stati Uniti hanno interessato almeno 343 milioni di persone, secondo il Privacy Rights Clearinghouse. Ancora più frustrante è il fatto che sia già possibile verificare l'identità di una persona senza archiviare i suoi documenti utilizzando prove a conoscenza zero.

Efrat Fenigson, conduttrice del podcast You're The Voice, che scrive e parla ampiamente di privacy e KYC, ha dichiarato a Cointelegraph Magazine:

"Quando i regolatori continuano a imporre un modello che garantisce questo esito — mentre la tecnologia per verificare senza archiviare esiste già — è un campanello d'allarme. Implica una mancanza di ragionamento razionale e di vera volontà di risolvere i problemi."

La domanda è quante altre violazioni serviranno prima che questa volontà inizi a cedere.

Il KYC è stato creato per raccogliere l'identità, non solo per verificarla

I sistemi KYC di oggi si sono in gran parte evoluti attorno all'assunzione che le istituzioni debbano vedere il passaporto o la patente del cliente, registrare le informazioni rilevanti e poi archiviare la prova della verifica.

Questo approccio ha un difetto evidente: ha prodotto un vasto ecosistema di fornitori di identità, database, fornitori di servizi e sistemi di conformità, ognuno dei quali custodisce un tesoro separato di dati KYC individuali. Ogni copia aggiuntiva dei dati di una persona è un altro potenziale punto di vulnerabilità — e gli hacker diventano sempre più creativi nel trovare modi per accedervi.

La violazione di Revolut ne è un esempio. L'hacker ha inviato email richiedendo i dati KYC da un indirizzo legittimo di una fornitura italiana. Lyudmyla Kozlovska, presidente di Open Dialogue, ha dichiarato su X che la legge UE ha lasciato a Revolut nessun'altra opzione che conformarsi:

"La legge UE sull'AML non impone alcun obbligo di verifica alla banca e non fornisce alcun meccanismo significativo per controllare chi si nasconde davvero dietro una richiesta statale autenticata. Il rifiuto di rispondere comporta multe di milioni. In pratica, la verifica è impossibile."

Susie Violet Ward, direttrice e co-fondatrice di Bitcoin Policy UK, avverte che il vero problema è l'archiviazione non necessaria dei dati di identità: "Dobbiamo smettere di trattare la verifica dell'identità e la cessione della propria identità come se fossero la stessa cosa."

Se un'azienda ha solo bisogno di sapere che qualcuno ha più di 18 anni, sostiene, non dovrebbe richiedere automaticamente dettagli aggiuntivi come nome completo, indirizzo, data di nascita esatta e una copia permanente del documento rilevante. "L'ironia è che il KYC è progettato per rendere i sistemi più sicuri, ma il modo in cui lo implementiamo attualmente può creare un problema di sicurezza completamente diverso. Puoi reimpostare una password dopo una violazione, ma non puoi reimpostare la tua identità allo stesso modo," ha detto.

La tecnologia per smetter di accumulare documenti esiste già

Per i sostenitori delle criptovalute, la soluzione evidente sono le prove a conoscenza zero — dimostrazioni matematiche che qualcosa è vero senza rivelare i dettagli sottostanti. Un'app per smartphone, per esempio, potrebbe generare una prova che conferma che una patente dichiara che il titolare ha più di 18 anni, senza trasmettere la data di nascita o un'immagine della patente stessa.

Il fondatore di Zcash, Zooko Wilcox, offre una spiegazione utile della tecnologia in un'intervista video con Crypto Fireside.

Evin McMullen, amministratrice delegata e co-fondatrice di Billions Network, che sviluppa soluzioni di identità digitale a tutela della privacy e a conoscenza zero, ha dichiarato a Cointelegraph Magazine: "La tecnologia funziona ed è già in produzione, in migliaia di applicazioni e istituzioni regolamentate. Ciò che la frena è che l'intero stack di conformità è stato costruito attorno alla raccolta e all'archiviazione di copie di documenti."

L'ostacolo, ha detto McMullen, non è mai stato "la tecnologia", ma le regole, gli incentivi e l'infrastruttura costruita attorno ad essa: "Questo è un problema di governance e standard travestito da tecnologia."

Se la tecnologia funziona, cosa la frena?

L'Unione Europea sta già incorporando la tecnologia a conoscenza zero nella progettazione dei suoi sistemi di identità digitale e verifica dell'età, sviluppando una verifica dell'età a tutela della privacy che consente agli utenti di dimostrare la propria età senza rivelare la propria identità completa o la data di nascita esatta. Il suo Digital Identity Wallet supporta anche la "divulgazione selettiva", il che significa che gli utenti rivelano solo le informazioni necessarie per una particolare transazione.

Allora perché non viene distribuita più ampiamente per il KYC finanziario? McMullen cita "regolamentazione e comprensione" come i maggiori ostacoli all'adozione: "L'ostacolo più comune è che i team di conformità confondono 'abbiamo visto il documento' con 'dobbiamo conservare il documento', quindi raccolgono più dati del necessario per sicurezza."

L'interoperabilità è un altro ostacolo. Le prove crittografiche sono utili solo, ha osservato, "se la parte che vi fa affidamento può verificarle senza dover ricontattare chi le ha emesse." Ciò richiede standard condivisi — più facile a dirsi che a farsi.

Lo ZK non risolve magicamente il KYC

C'è un'importante avvertenza: sostituire un documento di identità con una prova a conoscenza zero non elimina automaticamente ogni problema di privacy o sicurezza.

Fenigson sottolinea che a cui una credenziale ZK è legata conta quanto il resto: "Gli incentivi puntano verso il controllo, non la privacy. Le prove a conoscenza zero consentono a qualcuno di dimostrare un fatto, come avere più di 18 anni o non figurare su una lista di sanzioni [...] Ciò che manca è a cosa viene legata quella prova. Al momento è solitamente legata a un account dentro il database di qualcun altro."

Tutto si riduce a chi controlla in ultima analisi la credenziale. Se una persona genera una prova a tutela della privacy, ma quella prova è legata a un account nel database di qualcun altro, rimane comunque dipendente da un intermediario centralizzato.

Le regole non sono così chiare come potresti pensare

In molti casi, le regole non richiedono in realtà l'archiviazione dei dati di identità — è più una convenzione, perché è sempre stato fatto così.

Le linee guida della Financial Action Task Force considerano esplicitamente come i sistemi di identità digitale possano essere utilizzati per condurre la due diligence sui clienti, piuttosto che richiedere alle istituzioni di affidarsi a documenti di identità fisici. Le raccomandazioni della FATF operano inoltre come un quadro basato sul rischio, lasciando ai singoli paesi l'implementazione degli standard attraverso i propri sistemi legali e regolamentari.

"In molti regimi, la regola è che devi verificare l'identità e conservare i registri di quella verifica, non che devi conservare per sempre l'immagine grezza del documento," ha detto McMullen. Ciò significa che un'attestazione verificabile crittograficamente, insieme a un registro che dimostri l'esecuzione della verifica pertinente, potrebbe essere sufficiente per la conformità — senza creare un'altra copia permanente del documento.

Ma poiché le linee guida sono "ambigue", le istituzioni per default conservano tutto, poiché i loro team di conformità sanno che revisori e ispettori lo accetteranno. Anche dove le regole consentono tecnicamente un approccio diverso, nessuno vuole essere il primo a correre il rischio. Come ha spiegato Ward: "C'è un istinto nella regolamentazione secondo cui più informazioni significano più controllo e quindi più sicurezza."

Per le istituzioni che considerano un approccio diverso, le domande pratiche sono quindi se una prova possa essere accettata ai sensi delle regole applicabili, se possa essere verificata in modo indipendente attraverso i sistemi e se la credenziale rimanga sotto il controllo dell'utente anziché essere legata a un altro database centralizzato. Sono questioni di governance e implementazione, non semplicemente questioni su se la crittografia sottostante funzioni.

È difficile vedere questo cambiare, a meno che le regole non vengano modificate per consentire esplicitamente le prove a conoscenza zero. E sebbene nessun sistema sia perfetto, la tecnologia ZK almeno elimina la necessità di raccogliere e conservare così tante informazioni sensibili. Come ha detto McMullen: "Non puoi perdere ciò che non hai mai tenuto."