Travel Rule UE: perché il tuo exchange ti chiede del wallet, e cosa fare quando un prelievo è bloccato

Se provi a spostare crypto da un exchange europeo a un wallet che controlli tu e l'exchange ti chiede di chi è l'indirizzo, o ti chiede di dimostrarlo, hai incontrato la «Travel Rule». Dal 30 dicembre 2024 è scritta nel diritto UE come Regolamento (UE) 2023/1113, e l'Autorità bancaria europea ha pubblicato linee guida dettagliate su come gli exchange devono applicarla. Questa guida espone, dal testo del regolamento e delle linee guida, cosa è richiesto, cosa no, come funzionano in pratica le verifiche di proprietà e come evitare un trasferimento trattenuto o respinto.

La risposta breve

• La regola: il Regolamento (UE) 2023/1113 impone ai prestatori di servizi per le crypto-attività (CASP) di inviare informazioni su mittente e destinatario con ogni trasferimento di crypto, e di raccoglierle quando il trasferimento riguarda un wallet non detenuto presso un CASP. Si applica dal 30 dicembre 2024.
• Il tuo wallet si chiama «indirizzo self-hosted»: un indirizzo del registro distribuito non collegato a un CASP né a un soggetto analogo stabilito fuori dall'UE (articolo 3, punto 20).
• A qualsiasi importo, il tuo exchange deve ottenere e conservare le informazioni su mittente e destinatario per un trasferimento da o verso il tuo wallet, e poter identificare quel trasferimento singolarmente (articoli 14, paragrafo 5, e 16, paragrafo 2).
• Sopra 1.000 euro, l'exchange deve inoltre adottare misure adeguate per valutare se l'indirizzo è di tua proprietà o sotto il tuo controllo (stessi articoli). Da qui nascono le richieste di firmare un messaggio e i piccoli trasferimenti di prova.
• Cosa non è coperto: un trasferimento tra persone effettuato senza alcun CASP (articolo 2, paragrafo 4).
• Cosa può andare storto: un exchange non può eseguire un trasferimento prima di essere in regola (articolo 14, paragrafo 8), e un exchange che riceve un trasferimento con informazioni mancanti deve decidere, in base al rischio, se eseguirlo, respingerlo, restituirlo o sospenderlo (articolo 17).

Da dove viene la regola

La «Travel Rule» è il nome di uno standard, applicato per la prima volta ai bonifici bancari, secondo cui le informazioni su mittente e destinatario devono «viaggiare» insieme al denaro. Il Regolamento (UE) 2023/1113, adottato il 31 maggio 2023, lo estende alle crypto-attività e riformula le vecchie norme sui trasferimenti di fondi. L'articolo 40 stabilisce che «si applica a decorrere dal 30 dicembre 2024».

L'articolo 2, paragrafo 1, definisce l'ambito geografico: il regolamento si applica ai trasferimenti di crypto-attività, compresi quelli eseguiti tramite ATM crypto, quando il CASP, o il CASP intermediario, del mittente («ordinante») o del destinatario («beneficiario») ha la sede legale nell'Unione. Ne deriva una conseguenza pratica anche per i lettori fuori dall'UE: se usi un exchange non UE per inviare o ricevere da un exchange UE, quello UE è coperto.

L'Autorità bancaria europea (EBA) ha poi emanato le Linee guida EBA/GL/2024/11, le «Travel Rule Guidelines», che si applicano anch'esse dal 30 dicembre 2024. Secondo l'autorità di vigilanza finlandese che le ha pubblicate, specificano quali informazioni devono accompagnare un trasferimento, fissano le politiche che gli exchange devono avere per gestire le informazioni mancanti e «forniscono indicazioni sulle misure per identificare e valutare i rischi di riciclaggio e finanziamento del terrorismo relativi ai trasferimenti di crypto-attività da o verso un indirizzo self-hosted». Sostituiscono le precedenti linee guida congiunte delle autorità di vigilanza del 2017. In base al regolamento istitutivo dell'EBA, gli istituti finanziari «compiono ogni sforzo per conformarsi» a tali linee guida. In pratica, le linee guida spiegano gran parte di ciò che vedi nella schermata di prelievo.

Quali informazioni viaggiano con un trasferimento

L'articolo 14 elenca i dati che l'exchange del mittente deve allegare, oppure inviare separatamente in modo sicuro, prima o contemporaneamente al trasferimento. Non è necessario scriverli nella transazione sulla blockchain.

Prima dell'invio, l'exchange del mittente deve verificare l'esattezza delle informazioni sul mittente da una fonte affidabile e indipendente (articolo 14, paragrafo 6). Il requisito si considera soddisfatto se sei già stato identificato all'apertura del conto ai sensi della direttiva antiriciclaggio dell'UE (articolo 14, paragrafo 7). L'exchange «non consente l'avvio né esegue alcun trasferimento» prima di essere pienamente conforme (articolo 14, paragrafo 8). I dati devono essere trasmessi «in modo sicuro e conformemente al regolamento (UE) 2016/679», il GDPR (articolo 14, paragrafo 4).

Il tuo wallet: cosa dice il regolamento

L'articolo 3, punto 20, definisce l'indirizzo self-hosted come «un indirizzo di registro distribuito non collegato a nessuno dei seguenti: a) un prestatore di servizi per le crypto-attività; b) un'entità non stabilita nell'Unione che fornisce servizi analoghi a quelli di un prestatore di servizi per le crypto-attività». Rientrano un hardware wallet, un wallet software che controlli tu e un paper wallet. Un indirizzo presso un altro exchange no.

Per i trasferimenti dal tuo exchange al tuo wallet, l'articolo 14, paragrafo 5, dice che l'exchange «ottiene e conserva» le informazioni su mittente e destinatario «e garantisce che il trasferimento possa essere identificato singolarmente». Aggiunge poi: «nel caso di un trasferimento di importo superiore a 1.000 EUR verso un indirizzo self-hosted, il prestatore di servizi per le crypto-attività dell'ordinante adotta misure adeguate per valutare se tale indirizzo è di proprietà o sotto il controllo dell'ordinante».

Per i trasferimenti in senso inverso, l'articolo 16, paragrafo 2, è speculare: l'exchange ricevente deve ottenere e conservare le informazioni e, per un importo superiore a 1.000 EUR «da un indirizzo self-hosted», deve adottare misure adeguate per valutare se tu possiedi o controlli l'indirizzo. Entrambi gli articoli valgono «fatte salve» le misure specifiche di mitigazione del rischio adottate ai sensi della direttiva antiriciclaggio.

Come si misura la soglia dei 1.000 euro

Le linee guida EBA (paragrafi 81 e 82) dicono che l'exchange deve verificare se il trasferimento raggiunge o supera i 1.000 euro al momento in cui il trasferimento è stato ordinato, per l'exchange mittente, o al momento della ricezione, per quello ricevente. Il valore è il controvalore in euro della crypto-attività al momento del trasferimento, «indipendentemente da eventuali commissioni di transazione». Quindi la soglia riguarda il valore di ciò che si muove, convertito in quel momento, e la stessa quantità di monete può stare sotto la soglia un giorno e sopra un altro.

Vale la pena tenere separate due letture. Sotto la soglia, l'exchange raccoglie comunque le informazioni e mantiene il trasferimento identificabile singolarmente. Sopra la soglia si aggiunge la valutazione della proprietà. Una differenza di formulazione da notare: il regolamento dice «superiore a 1.000 EUR», mentre la linea guida EBA parla di trasferimenti che raggiungono o superano tale importo, quindi un exchange può applicare i controlli già a partire da esattamente 1.000 euro.

Come gli exchange verificano che l'indirizzo è tuo

Il regolamento parla di «misure adeguate» senza definirle. Le linee guida EBA (paragrafo 83) colmano il vuoto. Un exchange «dovrebbe usare almeno uno» dei seguenti metodi:

1. Verifica non assistita del tipo descritto nelle linee guida EBA sull'onboarding a distanza, con visualizzazione dell'indirizzo.
2. Verifica assistita secondo le stesse linee guida.
3. L'invio di un importo predefinito dall'indirizzo self-hosted e verso di esso sul conto dell'exchange, «preferibilmente la più piccola denominazione» dell'asset, stabilito dall'exchange.
4. Un messaggio firmato digitalmente: «chiedere al cliente di firmare digitalmente un messaggio specifico nel conto e nel software del wallet con la chiave corrispondente a quell'indirizzo».
5. Altri mezzi tecnici idonei che consentano una valutazione affidabile e sicura e lascino l'exchange «pienamente convinto di sapere chi possiede o controlla l'indirizzo».

Le linee guida dicono che la scelta dovrebbe dipendere dalle capacità tecniche dell'indirizzo, dalla solidità di ciascun metodo e dal rischio di riciclaggio (paragrafo 84). Se un metodo da solo non è abbastanza affidabile, l'exchange dovrebbe combinarne più d'uno (paragrafo 85). Per questo un exchange può chiedere più di una cosa, per esempio sia un messaggio firmato sia un breve controllo video.

La whitelist

Il paragrafo 86 spiega l'idea dietro il passaggio «aggiungi questo indirizzo alla whitelist dei prelievi». Una volta che l'exchange è pienamente convinto che l'indirizzo è tuo, dovrebbe documentarlo e «può non dover riapplicare le misure di cui sopra alle operazioni successive» che riguardano lo stesso indirizzo. L'exchange dovrebbe però mantenere controlli per accorgersi se il rischio dell'indirizzo o la sua proprietà cambiano, e dovrebbe togliere l'indirizzo dalla whitelist se ci sono indizi che tu non lo controlli più. Fare la verifica una volta, con calma, è di solito meglio che farla per ogni grosso prelievo.

Se il wallet è di un'altra persona

A volte l'indirizzo è controllato da un terzo, per esempio il wallet di un familiare o di una società. Il paragrafo 89 dice che l'exchange può comunque considerare la verifica effettuata se raccoglie dati aggiuntivi da fonti affidabili e indipendenti, come analisi blockchain, dati di terzi e informazioni pubbliche, o usa altri mezzi idonei in modo da conoscere l'identità del mittente o del destinatario e da poterlo dimostrare alla propria autorità di vigilanza. Aspettati più domande, e aspettati che alcuni exchange possano rifiutare questi trasferimenti per politica interna. Nulla di quanto abbiamo letto obbliga un exchange ad accettarli.

Cosa non è coperto

L'articolo 2, paragrafo 4, elenca due esclusioni per i trasferimenti di crypto-attività: quando «l'ordinante e il beneficiario sono entrambi prestatori di servizi per le crypto-attività che agiscono per proprio conto», e quando il trasferimento «costituisce un trasferimento di crypto-attività tra persone effettuato senza il coinvolgimento di un prestatore di servizi per le crypto-attività». Il secondo è il caso in cui invii monete da un wallet self-hosted a un altro senza alcun exchange a nessuna delle due estremità. La Travel Rule, così com'è scritta, non lo raggiunge.

Vogliamo essere cauti su ciò che ne deriva. Non significa che i trasferimenti tra wallet in autocustodia siano liberi da altre norme, né che gli exchange non possano chiedere informazioni sulla storia dei tuoi fondi in base ai propri obblighi antiriciclaggio. Significa solo che gli obblighi di dati di questo specifico regolamento non si applicano a un trasferimento puro da wallet a wallet.

Perché un prelievo o un deposito viene trattenuto, restituito o respinto

Quattro disposizioni spiegano la maggior parte di ciò che i lettori descrivono come «il mio trasferimento è bloccato».

1. L'exchange mittente non può ancora inviare. Articolo 14, paragrafo 8: «non consente l'avvio né esegue alcun trasferimento» prima di essere pienamente conforme. Se la tua dichiarazione è incompleta o il controllo di proprietà è in corso, il prelievo attende.

2. L'exchange ricevente trova informazioni mancanti. L'articolo 17, paragrafo 1, impone «procedure efficaci basate sul rischio» per stabilire se eseguire, respingere, restituire o sospendere un trasferimento privo delle informazioni richieste e, se le informazioni mancano o sono incomplete, per agire «in base al rischio e senza indebito ritardo». Un deposito da un indirizzo che non hai dichiarato può quindi essere restituito o trattenuto.

3. Le informazioni mancanti alzano il sospetto. L'articolo 18 dice all'exchange ricevente di considerare le informazioni mancanti o incomplete come un fattore nel valutare se un trasferimento o un'operazione collegata sia sospetta e vada segnalata all'unità di informazione finanziaria nazionale. Le inadempienze ripetute di un altro exchange nel fornire le informazioni possono portare l'exchange ricevente a limitare o interrompere il rapporto con quell'exchange e a segnalare l'inadempienza alla propria autorità di vigilanza (articolo 17, paragrafo 2).

4. La valutazione del rischio segnala l'indirizzo. Le linee guida EBA (paragrafo 88) dicono che gli exchange dovrebbero applicare almeno una misura di mitigazione del rischio quando, per esempio, vengono a sapere che le informazioni sulla persona dietro un indirizzo self-hosted sono inesatte, o rilevano schemi di transazione insoliti o sospetti. Le linee guida dicono che gli exchange si affidano a «mezzi tecnici tra cui, ma non solo, l'analisi blockchain» per identificare cosa c'è all'altra estremità di un trasferimento (paragrafo 77). Secondo la nostra lettura, un indirizzo che gli strumenti di analisi segnalano come rischioso può quindi attirare domande in più.

Nessuna di queste disposizioni dice che un trasferimento debba essere rifiutato ogni volta che il wallet è self-hosted. Dicono che l'exchange deve poter identificare il trasferimento, conservare le informazioni e, sopra la soglia, accertarsi della proprietà.

Una sequenza pratica

1. Leggi prima la pagina dell'exchange su prelievi e verifica del wallet. Dirà quale dei metodi EBA usa. Dal regolamento non possiamo dirtelo.
2. Verifica e inserisci in whitelist prima di dover spostare un importo grande. Una prima verifica durante un movimento di mercato è il momento peggiore per scoprire che il tuo wallet non supporta il metodo voluto dall'exchange.
3. Usa un indirizzo che controlli e con cui puoi firmare. Molte app wallet e hardware wallet possono firmare un messaggio arbitrario con la chiave di un singolo indirizzo. Se il tuo non può, chiedi all'exchange quale altro metodo accetta. Le linee guida ne elencano diversi.
4. Firma solo ciò che ti presenta l'interfaccia dell'exchange. La firma di un «messaggio» dimostra che controlli la chiave e non la rivela. Firmare una transazione è un atto diverso, che sposta fondi. Controlla cosa mostra il wallet prima di approvare qualsiasi cosa. Se una pagina o una persona fuori dall'app ufficiale ti chiede di «verificare il wallet» inserendo la seed phrase, è una truffa: nessun metodo di verifica delle linee guida lo richiede.
5. Per il metodo del trasferimento di prova, invia esattamente quanto chiede l'exchange, dall'indirizzo che dichiari, e conserva l'ID della transazione. Il senso del metodo è che il trasferimento parta dall'indirizzo in questione.
6. Dichiara il titolare in modo onesto. Se l'indirizzo è di un'altra persona, dillo. Una dichiarazione falsa può costarti il conto, e le linee guida si aspettano che l'exchange faccia verifiche incrociate dove può.
7. Per i depositi dal tuo wallet all'exchange, dichiara in anticipo l'indirizzo di origine se l'exchange lo permette, e aspettati le stesse domande sopra i 1.000 euro.
8. Conserva i documenti. Se un trasferimento viene restituito o sospeso, l'assistenza ti chiederà la dichiarazione, la verifica e l'hash della transazione. Le nostre guide agli hardware wallet e alle configurazioni multisig spiegano come tenere wallet di cui puoi dimostrare il controllo.

Una nota pratica, che è una nostra osservazione e non qualcosa che dice il regolamento: i wallet con più chiavi, come i multisig, potrebbero non adattarsi a ogni procedura di firma del messaggio degli exchange. In quel caso la strada è il metodo del trasferimento di prova o un altro metodo accettato dall'exchange, ed è meglio chiedere prima di configurare un nuovo wallet per i prelievi dall'exchange.

Privacy: cosa saprà l'exchange e cosa puoi fare

La Travel Rule cambia ciò che l'exchange detiene su di te e sui tuoi wallet. Raccoglie i tuoi dati identificativi, il tuo indirizzo e quello della controparte, e li conserva, collegando la tua identità a quegli indirizzi. L'articolo 14, paragrafo 4, impone di trattare i dati nel rispetto del GDPR, che ti dà diritti di accesso e di informazione sul trattamento. L'informativa privacy del tuo exchange dovrebbe dire per quanto tempo i dati sono conservati. Il quadro antiriciclaggio, separatamente, fissa periodi di conservazione che l'exchange deve rispettare.

Dove vadano i dati è il limite di ciò che possiamo affermare dalle fonti. Il regolamento impone la trasmissione tra exchange in modo sicuro. Non descrive un database centrale. Come gli exchange si scambino tecnicamente questi dati, tramite protocolli di messaggistica e fornitori, riguarda i loro sistemi e non il regolamento. Se vuoi capire dove vanno le tue informazioni, gli strumenti giusti sono l'informativa privacy e una richiesta di accesso ai dati ai sensi del GDPR.

Come si confronta l'UE con Regno Unito e Stati Uniti

La Travel Rule è uno standard globale, ma le regole differiscono. La nostra verifica si è limitata alle fonti primarie che abbiamo potuto leggere, quindi questa sezione è volutamente breve.

Se vivi nel Regno Unito o negli Stati Uniti, considera la tabella un'indicazione di dove leggere, non una risposta completa. Per il quadro regolatorio UE più ampio, incluso chi può offrire servizi crypto, vedi la nostra guida alla conformità MiCA. Gli stessi dati che gli exchange raccolgono ora con la Travel Rule sono rilevanti anche per la comunicazione fiscale, che trattiamo nella nostra guida alla DAC8.

Cosa non abbiamo potuto verificare

• Come i singoli exchange implementano i controlli. Il regolamento e le linee guida fissano il minimo e lasciano margini di scelta.
• Il testo di eventuali ulteriori indicazioni delle autorità nazionali.
• L'attuale trattamento esatto nel Regno Unito dei trasferimenti verso unhosted wallet e lo stato attuale delle proposte USA sugli unhosted wallet.
• Se i trasferimenti sotto 1.000 euro collegati o ripetuti siano trattati come un unico trasferimento da un dato exchange. Il testo del regolamento per i fondi cita le operazioni collegate, e gli exchange hanno controlli propri contro il frazionamento, ma non abbiamo trovato negli articoli sulle crypto una norma che lo chiarisca.
• La pagina EUR-Lex del regolamento non era caricabile dai nostri strumenti. Abbiamo letto il testo ufficiale come pubblicato dall'Ufficio delle pubblicazioni dell'UE e le linee guida EBA come pubblicate dall'autorità di vigilanza finlandese.

Domande frequenti