Crypto ATM e riciclaggio: i rischi per gestori e clienti

Un crypto ATM scambia contanti con cripto-attività: è un servizio per le cripto-attività regolato dal Regolamento (UE) 2023/1114 (MiCAR). Dal 1° luglio 2026 può gestirlo in Italia solo un prestatore autorizzato; chi opera senza autorizzazione rischia la reclusione da 6 mesi a 4 anni (art. 30 D.Lgs. 129/2024) e, se movimenta proventi illeciti consapevolmente, il riciclaggio.

Cos'è un crypto ATM ed è legale installarlo in Italia?

Un crypto ATM, o bancomat bitcoin, è un terminale fisico che consente di acquistare cripto-attività inserendo contanti (e, in alcuni modelli, di venderle ricevendo contanti). Le cripto sono inviate a un indirizzo indicato dal cliente, di solito leggendo un codice QR dal suo wallet. Il terminale non è un bancomat bancario: non è collegato a un conto e il gestore non è una banca.

Installare e gestire un crypto ATM è lecito se il gestore dispone dell'autorizzazione richiesta. Il MiCAR elenca tra i servizi per le cripto-attività lo «scambio di cripto-attività con fondi o altre cripto-attività»: è esattamente l'attività del terminale. In Italia le autorità competenti sono la Consob e la Banca d'Italia (art. 3 D.Lgs. 129/2024); la Banca d'Italia cura l'autorizzazione e la vigilanza prudenziale dei CASP e i controlli antiriciclaggio. Un CASP autorizzato in un altro Stato dell'Unione può operare in Italia tramite notifica transfrontaliera. Per il quadro generale dei reati nel settore si rinvia alla sezione crypto, DeFi e reati informatici.

Serve l'iscrizione al registro OAM per gestire un bancomat di criptovalute?

Non basta più. Fino all'applicazione del MiCAR, gli operatori in valuta virtuale si iscrivevano nella sezione speciale del registro tenuto dall'OAM (art. 17-bis D.Lgs. 141/2010). Il D.Lgs. 129/2024, con le modifiche del D.L. 95/2025, ha previsto un regime transitorio che è ormai concluso.

Un terminale ancora attivo sulla sola base dell'iscrizione OAM, senza autorizzazione MiCAR, espone il gestore al reato di abusivismo. Le conseguenze sono illustrate nella pagina sui servizi cripto senza autorizzazione MiCAR.

Il gestore di un bancomat bitcoin rischia un'accusa di riciclaggio?

Il gestore autorizzato che rispetta gli obblighi antiriciclaggio non risponde del riciclaggio commesso dai clienti a sua insaputa. Il rischio penale nasce in tre situazioni:

• consapevolezza della provenienza: il gestore o i suoi addetti accettano contanti sapendo, o accettando il rischio concreto, che provengono da un delitto, e l'operazione ne ostacola la tracciabilità (art. 648-bis c.p., reclusione da 4 a 12 anni);
• falsificazione dei dati: chi, essendo tenuto all'adeguata verifica, falsifica i dati del cliente o del titolare effettivo risponde dell'art. 55, comma 1, D.Lgs. 231/2007 (reclusione da 6 mesi a 3 anni e multa da 10.000 a 30.000 euro);
• esercizio abusivo: il gestore privo di autorizzazione MiCAR risponde dell'art. 30 D.Lgs. 129/2024, e l'assenza di controlli sui clienti diventa un indizio usato anche per contestare il riciclaggio.

L'esercente che ospita il terminale nel proprio locale (bar, tabaccheria, negozio) non presta di norma il servizio, ma può essere coinvolto se partecipa all'operatività: incassa contanti per conto del gestore, aiuta i clienti a eludere le soglie, conosce l'uso abusivo del terminale.

Quali obblighi antiriciclaggio ha chi gestisce un crypto ATM?

I prestatori di servizi per le cripto-attività sono soggetti obbligati del D.Lgs. 231/2007, come modificato dal D.Lgs. 204/2024 in attuazione del Regolamento (UE) 2023/1113, che disciplina anche le informazioni che accompagnano i trasferimenti di cripto-attività. Per il gestore di un terminale gli obblighi si traducono in:

• adeguata verifica del cliente, con identificazione tramite documento e, nei casi previsti, verifica del titolare effettivo e dello scopo dell'operazione;
• conservazione dei dati e delle registrazioni delle operazioni;
• monitoraggio delle operazioni, con attenzione a frazionamenti, ricorrenza di contanti e indirizzi di destinazione collegati a frodi;
• segnalazione alla UIF delle operazioni sospette, da inviare «prima di compiere l'operazione» (art. 35 D.Lgs. 231/2007);
• presidi organizzativi e controlli interni proporzionati al rischio, che la Banca d'Italia richiede ai CASP.

Le sanzioni penali del settore sono raccolte nella pagina sui reati antiriciclaggio dell'art. 55; le violazioni non penali sono punite con sanzioni amministrative.

Comprare bitcoin in contanti a un bancomat crypto può far scattare una segnalazione di operazione sospetta?

Sì, e non richiede alcun illecito da parte del cliente. L'art. 35 D.Lgs. 231/2007 impone la segnalazione quando il soggetto obbligato sa, sospetta o ha motivi ragionevoli per sospettare un riciclaggio, e indica tra gli elementi di sospetto anche il ricorso frequente o ingiustificato al contante. La UIF, nella comunicazione dell'8 giugno 2026 su truffe e money muling, richiama tra le operatività anomale le somme «prelevate presso ATM (anche crypto-ATM)».

La segnalazione non è una denuncia e non è comunicata al cliente: la UIF la analizza e può trasmetterla agli organi investigativi. Per chi acquista con denaro proprio e documentabile, il consiglio pratico è conservare la prova della provenienza (prelievi bancari, buste paga, ricevute di vendita) e usare wallet intestati a sé.

Cosa rischia chi cambia contanti in bitcoin a un crypto ATM per conto di altri?

Rischia di essere il punto più esposto della catena. Chi riceve contanti da terzi, li converte al terminale e invia le cripto a un indirizzo indicato da altri compie proprio l'operazione che trasforma denaro tracciabile per luogo e persona in un valore trasferibile altrove. Se i contanti provengono da truffe, spaccio o estorsioni e l'operatore lo sa o se lo rappresenta, si configura il riciclaggio (art. 648-bis c.p.). Un compenso a percentuale, istruzioni ricevute via chat e operazioni frazionate su più terminali sono gli indizi che l'accusa valorizza.

Chi presta il proprio nome per operazioni a un crypto ATM rischia di essere considerato un money mule?

Sì. Il money mule è chi mette a disposizione la propria identità, il proprio conto o il proprio tempo per far transitare fondi altrui. La UIF descrive i profili tipici come rapporti «a recente attivazione, intestati a soggetti il cui profilo denota inesperienza» (giovani, disoccupati, pensionati). Al crypto ATM il prestanome si registra con i propri documenti e compie le operazioni per conto di un terzo: se dichiara di agire per sé fornisce dati non veritieri (art. 55, comma 3, D.Lgs. 231/2007) e, se è consapevole dell'origine illecita del denaro, risponde di riciclaggio. Il fenomeno è descritto anche nella pagina sulla truffa romantica online, dove i prestanome sono spesso reclutati.

Cosa fare se si è stati truffati e costretti a versare soldi in un crypto ATM?

Lo schema è frequente nelle truffe telefoniche con falsi operatori bancari o finti appartenenti alle forze dell'ordine: la vittima viene convinta a prelevare contanti e a versarli al terminale, inquadrando un codice QR che corrisponde al wallet del truffatore. Il fatto integra la truffa, aggravata se la vittima è indotta a credere di eseguire un ordine dell'Autorità (art. 640, comma 2, n. 2, c.p., reclusione da 1 a 5 anni); lo schema è simile a quello della truffa del finto carabiniere.