Bitcoin e criptovalute

Criptovalute dopo MiCA: come verificare un exchange autorizzato e riconoscere le truffe

Dal 1° luglio 2026 i servizi sulle cripto-attività in Europa sono riservati ai soggetti autorizzati MiCA. Come controllare una piattaforma, cosa cambia per imprese e privati, quali truffe circolano.

Luca Bartolini 6 agosto 2026 8 min di lettura

Criptovalute dopo MiCA: come verificare un exchange autorizzato e riconoscere le truffe

Dal 1° luglio 2026 il periodo transitorio del regolamento MiCA è chiuso in tutta l’Unione: offrire servizi sulle cripto-attività a clienti europei senza autorizzazione è una violazione del diritto europeo. Per privati e imprese la scelta di una piattaforma diventa una verifica documentale, mentre le truffe si adattano al nuovo scenario.

Che cosa è cambiato il 1° luglio

Il regolamento (UE) 2023/1114, noto come MiCA, disciplina in modo uniforme l’emissione di cripto-attività e i servizi che le riguardano: custodia, scambio contro euro o contro altre cripto-attività, esecuzione e trasmissione di ordini, trasferimenti per conto dei clienti. Le regole sui prestatori di questi servizi, i CASP (crypto-asset service providers), si applicano dal 30 dicembre 2024. Chi operava in base alle normative nazionali ha però potuto proseguire per un periodo transitorio, di durata diversa da Stato a Stato.

In Italia i VASP iscritti nel registro dell’OAM hanno potuto continuare l’attività fino al 30 giugno 2026, a condizione di aver presentato domanda di autorizzazione MiCA entro il 30 dicembre 2025: la proroga è stata introdotta dal decreto-legge 95/2025. Sul piano europeo, con una dichiarazione del 17 aprile 2026 l’ESMA ha ribadito che il periodo transitorio sarebbe scaduto ovunque il 1° luglio 2026 e che, da quel giorno, chi presta servizi a clienti dell’Unione senza autorizzazione viola il diritto europeo e deve cessare.

Il 30 giugno 2026 Consob e Banca d’Italia hanno comunicato che in Italia i soggetti abilitati erano nove. Otto sono CASP autorizzati dalla Consob in coordinamento con la Banca d’Italia: CheckSig, Conio, CryptoSmart, Hercle, Hodlie, Olliv Italia, Riv Digital e Young Platform. Il nono è Banca Sella, intermediario già vigilato che ha comunicato l’intenzione di prestare servizi sulle cripto-attività.

L’elenco fotografa quella data e non esaurisce l’offerta: un CASP autorizzato in un altro Stato membro può operare anche in Italia in regime transfrontaliero. Né va letto come una graduatoria. L’autorizzazione attesta il rispetto di requisiti regolamentari, non la convenienza di un servizio.

Che fine fanno le piattaforme non autorizzate

Chi non ha ottenuto l’autorizzazione non può proseguire come prima. Nella dichiarazione pubblica del 23 giugno 2026 l’ESMA chiede a questi operatori di smettere subito di acquisire nuovi clienti europei e di fare promozione, di limitare i servizi alle operazioni necessarie per vendere o trasferire le cripto-attività e chiudere le posizioni, e di mantenerne la custodia solo per il tempo strettamente necessario a un’uscita ordinata. Devono inoltre informare i clienti in modo chiaro e ripetuto, indicando la data oltre la quale le posizioni residue saranno chiuse automaticamente.

La conseguenza pratica è netta. I clienti di un operatore non autorizzato, europeo o extraeuropeo, non beneficiano delle tutele MiCA, comprese quelle sugli asset dei clienti. L’ESMA li invita ad agire con tempestività, trasferendo le cripto-attività verso un prestatore autorizzato oppure verso un portafoglio in autocustodia.

Come verificare una piattaforma in cinque passaggi

Il riferimento è il registro MiCA pubblicato dall’ESMA nella sezione del proprio sito dedicata al regolamento. Per ogni prestatore autorizzato riporta l’autorità competente, lo Stato membro d’origine, la denominazione legale con il codice LEI, il nome commerciale, il sito web, la data di autorizzazione, l’eventuale data di cessazione, i servizi autorizzati e i Paesi in cui vengono offerti. Un metodo di controllo ordinato è questo.

Individuare la società che firma il contratto. L’ESMA avverte che le tutele MiCA valgono solo per la specifica entità legale autorizzata nell’Unione, non per altre società dello stesso gruppo né per soggetti extraeuropei, anche quando operano con lo stesso marchio. Il nome giusto si trova nei termini di servizio, non nella pubblicità.
Cercare quella società nel registro dei CASP, usando la denominazione legale o il LEI invece del nome commerciale.
Controllare che l’autorizzazione sia in essere, cioè priva di data di cessazione, e che l’Italia compaia tra i Paesi in cui i servizi sono offerti.
Confrontare i servizi autorizzati con quelli che si intendono usare: custodia, scambio contro euro, scambio tra cripto-attività, trasferimenti. L’autorizzazione per un servizio non copre gli altri.
Consultare l’elenco dei soggetti non conformi, che l’ESMA pubblica nello stesso registro, e gli avvisi della Consob sui siti oscurati.

Un esempio aiuta a capire dove si nasconde il problema. Un’azienda usa da tempo una piattaforma internazionale con un marchio molto conosciuto. Il contratto, riletto oggi, risulta intestato a una società con sede fuori dall’Unione. Anche se il gruppo controlla una società autorizzata in un altro Stato membro, finché il rapporto non viene trasferito a quella società l’azienda resta cliente di un soggetto che non può prestarle servizi MiCA. Il controllo va ripetuto ogni volta che la piattaforma comunica un cambio di condizioni o di controparte.

Cosa cambia per le imprese

Per un’impresa la scelta del fornitore diventa una questione di governo interno, non di preferenza dell’amministratore o del responsabile finanziario. L’ESMA ricorda che i soggetti extraeuropei non possono offrire servizi MiCA a clienti dell’Unione nemmeno nei rapporti tra imprese, salvo l’eccezione ristretta dei servizi prestati su iniziativa esclusiva del cliente (reverse solicitation). Ricorda anche che un CASP non può delegare la custodia a soggetti che non siano a loro volta autorizzati.

Sul piano operativo, alcune pratiche rendono la verifica stabile nel tempo:

conservare nel fascicolo del fornitore una stampa datata della voce del registro ESMA e il contratto con l’entità firmataria;
chiarire dove e come sono custodite le cripto-attività e chi, in azienda, può disporre prelievi e trasferimenti, con autorizzazioni a doppia firma;
mettere in conto un’identificazione approfondita: l’ESMA chiede ai CASP autorizzati procedure antiriciclaggio complete, anche per i clienti che arrivano da altri operatori;
esportare con regolarità lo storico delle operazioni, che serve al commercialista e a ogni controllo successivo.

Il quadro fiscale, a grandi linee

Due novità riguardano direttamente chi detiene cripto-attività. Dal 1° gennaio 2026 l’imposta sostitutiva sulle plusvalenze da cripto-attività è al 33 per cento; la legge di bilancio 2026 (legge 199/2025) ha mantenuto il 26 per cento per i soli token di moneta elettronica denominati in euro previsti da MiCA. Con il decreto legislativo 194/2025, che recepisce la direttiva europea DAC8, i prestatori di servizi comunicano all’Agenzia delle Entrate i dati sugli scambi e sui trasferimenti dei clienti entro il 30 giugno dell’anno successivo. La prima trasmissione avverrà nel 2027.

Calcolo delle plusvalenze, dichiarazione, monitoraggio fiscale e trattamento contabile nelle imprese dipendono dalla posizione del singolo contribuente. Vanno definiti con il commercialista, verificando l’aliquota in vigore al momento dell’operazione.

Le truffe da riconoscere quest’anno

La stretta normativa non ha fermato i truffatori. Nel primo semestre 2026 la Consob ha oscurato 235 siti abusivi, 93 dei quali legati alle cripto-attività; tra le tecniche segnalate figurano video manipolati, false interviste e immagini generate con l’intelligenza artificiale. Gli schemi ricorrenti sono quattro.

Il falso trading con testimonial. Secondo la Polizia Postale l’aggancio parte da inserzioni sui social con loghi di aziende note o video deepfake di personaggi pubblici. Seguono la telefonata di un sedicente broker, l’iscrizione a una piattaforma dall’aspetto professionale e l’apertura di un portafoglio su un exchange, attraverso il quale il denaro viene convertito e trasferito ai truffatori. I guadagni mostrati a schermo sono finti.

Il controllo remoto del computer. Con il pretesto di gestire gli investimenti per conto della vittima, i truffatori chiedono di installare programmi di accesso remoto come AnyDesk. Lasciare a terzi il comando del proprio computer significa consegnare loro l’accesso ai conti.

Le commissioni per sbloccare i fondi. Quando la vittima prova a prelevare, compaiono «costi di sblocco» o imposte da versare a presunti enti europei. La richiesta di pagare per rientrare in possesso del proprio denaro è uno dei segnali di frode più affidabili.

Il falso recupero, anche a nome della Consob. Dopo la prima perdita arrivano sedicenti società di recupero, avvocati o funzionari pubblici. Con l’avvertenza del 15 dicembre 2025 la Consob ha segnalato email inviate da indirizzi che imitano il suo nome, con richieste di denaro per recuperare investimenti perduti o sbloccare somme e cripto-attività, e ha ricordato che non contatta i risparmiatori per chiedere pagamenti o dati personali e bancari.

A questi schemi si aggiunge un rischio legato al momento. La fine del periodo transitorio ha prodotto comunicazioni autentiche su migrazioni di conti e scadenze, e ciò che è autentico è anche facile da imitare. Un messaggio che invita ad «adeguare il conto a MiCA» tramite un link va verificato accedendo alla piattaforma dall’indirizzo digitato a mano o dall’app ufficiale, mai dal collegamento ricevuto.

In sintesi

Dal 1° luglio 2026, in tutta l’Unione, solo i soggetti autorizzati MiCA possono prestare servizi sulle cripto-attività a clienti europei.
Al 30 giugno 2026 in Italia i soggetti abilitati erano nove; possono operare anche CASP autorizzati in altri Stati membri.
La verifica si fa sul registro ESMA, partendo dalla società che firma il contratto e controllando servizi autorizzati e Paesi.
I clienti di operatori non autorizzati non beneficiano delle tutele MiCA sui propri asset.
Aliquota generale al 33 per cento dal 2026 e comunicazioni DAC8 all’Agenzia delle Entrate: i dettagli vanno definiti con il commercialista.
Deepfake, controllo remoto, costi di sblocco e falsi recuperi ricorrono negli avvisi di Consob e Polizia Postale.

Per imprese e privati che devono rivedere fornitori, custodia e procedure interne alla luce di MiCA, la pagina dedicata alla consulenza su Bitcoin e criptovalute descrive il nostro approccio: un lavoro sul piano operativo e dei controlli, che non entra nelle scelte di investimento.