DAO: chi risponde penalmente dei reati dell'organizzazione

Una DAO non ha una disciplina penale propria in Italia: la responsabilità penale resta personale e si accerta caso per caso, con le regole ordinarie del concorso di persone (art. 110 c.p.). Rispondono i membri, gli sviluppatori o i promotori che hanno dato un contributo consapevole al reato; il solo possesso di governance token non basta. Se la DAO serve a commettere più delitti, l'art. 416 c.p. prevede da 1 a 7 anni secondo il ruolo.

Cos'è una DAO e chi ne è responsabile per la legge italiana?

Una DAO (decentralized autonomous organization) è un'organizzazione le cui regole sono scritte in smart contract su una blockchain: i titolari di governance token votano proposte che, se approvate, vengono eseguite dal codice, per esempio lo spostamento di fondi dalla tesoreria comune o la modifica di un parametro del protocollo. Il diritto italiano non conosce la DAO come tipo giuridico e non le attribuisce personalità.

Sul piano civile, un gruppo di persone che mette in comune risorse per uno scopo condiviso può essere qualificato come associazione non riconosciuta. L'art. 38 c.c. prevede che delle obbligazioni assunte rispondano, oltre al fondo comune, anche «personalmente e solidalmente le persone che hanno agito in nome e per conto dell'associazione». È una regola civile, non penale, ma indica la logica che anche le procure seguono: cercare le persone che hanno agito.

Sul piano penale la responsabilità è personale (art. 27 Cost.). Non esiste una responsabilità penale «della DAO»: esistono le condotte di chi ha scritto il codice, di chi ha proposto e votato una delibera, di chi ha gestito le chiavi di un multisig, di chi ha promosso il token presso il pubblico.

Chi vota in una DAO risponde dei reati decisi dall'organizzazione?

Il voto può essere un contributo al reato, ma non lo è in modo automatico. L'art. 110 c.p. stabilisce che quando più persone concorrono nel medesimo reato ciascuna soggiace alla pena prevista; il concorso richiede però un contributo causale (anche solo agevolatore) e la consapevolezza di partecipare a un fatto illecito. Un voto su una proposta formulata in termini tecnici, senza elementi che ne rivelino lo scopo, difficilmente sostiene un'accusa di concorso.

Il quadro cambia quando la proposta è esplicita: trasferire la tesoreria verso indirizzi collegati a un attacco, remunerare chi ha sottratto fondi, approvare l'accesso di utenti sanzionati. In questi casi il voto di chi conosceva lo scopo è un contributo alla deliberazione che rende possibile l'esecuzione. Pesa anche il numero di token: un voto determinante per il quorum ha un rilievo causale diverso da un voto marginale.

La difesa del votante ricostruisce che cosa era scritto nella proposta, quali informazioni circolavano nel forum di governance, se il voto era delegato ad altri e se il votante aveva la possibilità concreta di comprendere le conseguenze dell'esecuzione.

Gli sviluppatori rispondono se il protocollo viene usato per riciclare?

Scrivere codice lecito che altri usano per scopi illeciti non è, di per sé, reato. Il riciclaggio dell'art. 648-bis c.p. punisce chi sostituisce o trasferisce denaro o beni di provenienza delittuosa o compie operazioni che ne ostacolano l'identificazione, con la reclusione da 4 a 12 anni e la multa da 5.000 a 25.000 euro. Serve la consapevolezza della provenienza delittuosa dei singoli beni.

Lo sviluppatore può essere chiamato in causa quando il suo ruolo va oltre la pubblicazione del codice: gestisce un front-end, incassa commissioni, riceve segnalazioni su flussi illeciti specifici e non interviene pur potendo, oppure modifica il protocollo per facilitare l'occultamento dei fondi. Il confine tra neutralità tecnica e concorso è oggi tra i temi più discussi del diritto penale delle cripto-attività; i profili dei mixer sono trattati nella pagina su mixer, privacy coin e riciclaggio.

Diverso è il caso di chi sfrutta un difetto del codice per sottrarre fondi dalla tesoreria della DAO: la questione riguarda l'autore dell'attacco, non gli sviluppatori, e se ne occupa la pagina sull'exploit di uno smart contract.

Una DAO può essere considerata un'associazione a delinquere?

Una DAO può essere il contenitore di un'associazione a delinquere, ma la struttura decentrata non basta a qualificarla così. L'art. 416 c.p. richiede almeno 3 persone, un vincolo associativo stabile, un programma diretto a commettere più delitti indeterminati e una struttura, anche minima, adeguata a realizzarlo. Una comunità di migliaia di titolari di token che finanzia uno scambio decentrato lecito non ha un programma criminoso, anche se singoli utenti commettono reati usando il protocollo.

L'ipotesi diventa concreta quando un nucleo ristretto usa la forma della DAO per un progetto illecito continuativo: token lanciati in serie e poi abbandonati, tesoreria usata per remunerare chi recluta investitori, votazioni di facciata con quorum controllato da pochi indirizzi. In questi casi l'accusa si concentra sul nucleo organizzativo, e il ruolo dei semplici partecipanti va provato uno per uno. Le condotte tipiche di questi schemi sono descritte nella pagina su rug pull ed exit scam.

Chi detiene governance token rischia conseguenze penali?

Il possesso di governance token, anche in quantità rilevanti, non è reato. Il rischio nasce da ciò che il titolare fa: votare consapevolmente proposte illecite, delegare il voto a soggetti di cui conosce lo scopo, ricevere distribuzioni che sa provenire da reati. In quest'ultimo caso vengono in rilievo la ricettazione o il riciclaggio, che richiedono la conoscenza della provenienza.

Un rischio indiretto riguarda il patrimonio: in un procedimento penale i token possono essere sottoposti a sequestro se considerati profitto del reato o beni pertinenti, secondo le regole descritte nella pagina su sequestro e confisca di criptovalute.

Si applica la responsabilità degli enti alle DAO?

Il D.Lgs. 231/2001 si applica agli enti forniti di personalità giuridica e «alle società e associazioni anche prive di personalità giuridica» (art. 1, comma 2). In astratto una DAO strutturata come associazione di fatto può rientrare nella definizione. In concreto l'applicazione incontra ostacoli: l'art. 5 richiede un reato commesso nell'interesse o a vantaggio dell'ente da persone con funzioni di rappresentanza, amministrazione o direzione, o da persone sottoposte alla loro vigilanza. In una DAO senza organi identificabili individuare apicali e sottoposti è difficile, così come notificare gli atti e applicare sanzioni.

Il problema si pone in modo diverso quando la DAO è affiancata da una società o una fondazione (spesso estera) che sviluppa il protocollo, gestisce il marchio o custodisce fondi: quell'ente è un destinatario classico del D.Lgs. 231/2001 e delle misure interdittive cautelari contro la società.

Cosa fare se si riceve un'informazione di garanzia come membro di una DAO?

L'informazione di garanzia indica le norme che si assumono violate e la data e il luogo del fatto. La prima attività difensiva è ricostruire, sulla blockchain e nei canali della DAO, il proprio ruolo reale: indirizzi riconducibili alla persona, voti espressi e loro data, deleghe, messaggi nel forum, eventuali compensi ricevuti dalla tesoreria. I dati on-chain sono pubblici e permanenti: gli inquirenti li hanno già o possono averli; conviene conoscerli prima dell'interrogatorio.

• Non spostare token o fondi dagli indirizzi coinvolti: le operazioni successive alla notifica sono visibili e possono essere lette come dispersione del profitto.
• Conservare copia dei documenti di governance, delle proposte e dei risultati delle votazioni, che possono essere modificati o rimossi dai front-end.
• Valutare con il difensore se rendere interrogatorio o avvalersi della facoltà di non rispondere, dopo aver letto gli atti disponibili.
• Se è in corso un sequestro, verificare il termine di 10 giorni per il riesame (art. 324 c.p.p.).

Il quadro degli altri reati del settore è raccolto nell'hub crypto, DeFi e reati informatici.