Custodia di crypto: wallet e responsabilità
Nel mondo crypto vale un principio brutale: chi controlla le chiavi private controlla i valori. Non conta chi appare come proprietario in un contratto: conta chi può firmare le transazioni. Per questo la custodia — cioè la gestione delle chiavi — è il tema tecnico e giuridico più delicato di tutto il settore. Chi custodisce crypto per conto di terzi assume responsabilità precise e, spesso, entra in un perimetro regolamentato. Ecco cosa distingue i modelli e dove si annidano le responsabilità.
Custodial e non-custodial: la distinzione che cambia tutto
La prima domanda è sempre la stessa: chi detiene le chiavi private?
- Wallet non-custodial: le chiavi sono nelle mani dell’utente. Il fornitore offre solo il software, non ha accesso ai valori e non può disporne. In linea di principio questo modello non costituisce custodia per conto di terzi: il fornitore non detiene nulla.
- Wallet custodial: le chiavi sono detenute dal fornitore, che di fatto controlla i valori dei clienti. È qui che nasce la vera custodia — e con essa le responsabilità e, spesso, l’assoggettamento regolamentare.
Molte soluzioni reali stanno nel mezzo (multi-firma, custodia condivisa, MPC): il criterio decisivo non è l’etichetta commerciale, ma chi può effettivamente disporre dei valori.
Perché la custodia entra nel perimetro regolamentato
Custodire crypto per conto di terzi tocca più aree.
Antiriciclaggio (LRD)
Detenere e trasferire valori per conto di clienti è tipicamente intermediazione finanziaria e fa scattare la LRD: identificazione della clientela, chiarimento dell’avente economicamente diritto, monitoraggio delle transazioni, obblighi di segnalazione. Ne consegue l’affiliazione a un organismo di autodisciplina (OAD) o l’inquadramento presso un soggetto già assoggettato.
Raccolta di depositi e licenze
Il modo in cui i valori sono custoditi conta. Se i crypto-asset sono tenuti a disposizione del cliente e individualmente attribuibili, la situazione è diversa rispetto al caso in cui il custode li mette in comune o li utilizza. La messa in comune di valori può avvicinare il modello alla raccolta di depositi, con implicazioni verso la licenza bancaria o la licenza fintech. La struttura di custodia va disegnata sapendo dove passa questa linea.
Protezione in caso di fallimento
La legge DLT ha chiarito che i crypto-asset custoditi per conto dei clienti possono essere separati dalla massa fallimentare del custode, purché tenuti a disposizione del cliente e attribuibili individualmente. È una tutela decisiva, ma condizionata: se la custodia non rispetta i requisiti, i valori dei clienti rischiano di finire nella massa. Impostare correttamente la segregazione è parte integrante della responsabilità del custode.
Le responsabilità operative
Oltre al perimetro regolamentare, la custodia comporta responsabilità concrete e permanenti:
- Sicurezza delle chiavi: generazione, conservazione, backup, procedure di firma. Una chiave persa è un valore perso; una chiave compromessa è un valore rubato.
- Continuità e governance: cosa succede se una persona chiave non è disponibile? Le procedure devono reggere senza dipendere da un singolo individuo.
- Tracciabilità: registrazione delle operazioni, riconciliazione, attribuzione dei valori ai singoli clienti.
- Gestione degli incidenti: piani di risposta a compromissioni, errori, contestazioni.
Queste responsabilità non si delegano con una clausola: vanno progettate nell’infrastruttura e nell’organizzazione.
L’approccio corretto
La sequenza è sempre la stessa: prima si definisce quale modello di custodia si vuole offrire (custodial, non-custodial, condiviso); poi si qualifica l’attività dal punto di vista regolamentare; quindi si costruisce l’infrastruttura tecnica e organizzativa — segregazione dei valori, sicurezza delle chiavi, presidi antiriciclaggio, governance — coerente con il perimetro. Partire dalla tecnologia senza aver qualificato l’attività è il modo più rapido per ritrovarsi a custodire valori altrui senza l’autorizzazione o l’affiliazione necessarie.
Come SIH ONE affronta il tema
SIH ONE si occupa di strutturazione e consulenza: qualificazione del modello di custodia, individuazione del perimetro autorizzativo, disegno della struttura di segregazione e dei presidi antiriciclaggio, impostazione della governance. Dove la custodia per conto di terzi richiede un’autorizzazione o un’affiliazione, le attività regolamentate passano da partner autorizzati che offrono la custodia vera e propria. L’obiettivo è che le responsabilità siano chiare e la struttura solida prima che un solo valore venga custodito.
Questo contenuto è informativo e non costituisce consulenza legale o regolamentare. Ogni modello va verificato nel caso specifico.
Vuoi custodire crypto in modo conforme e con responsabilità chiare? Parliamone: definiamo il modello e costruiamo la struttura, con i partner giusti dove serve l’autorizzazione.