Indagini su exchange esteri: come la procura ottiene i dati

La procura italiana ottiene i dati di un exchange estero con un ordine europeo di indagine se la società ha sede in un altro Stato UE (Direttiva 2014/41/UE, D.Lgs. 108/2017), con una rogatoria ex art. 727 c.p.p. se la sede è fuori dall'UE, o con la collaborazione volontaria della piattaforma. Nell'UE lo Stato che riceve l'ordine decide in 30 giorni e lo esegue nei 90 successivi.

Come fa la procura italiana a ottenere i dati di un exchange estero?

Il canale dipende da dove ha sede la società che gestisce la piattaforma e da quali dati servono: dati identificativi e di verifica dell'identità (KYC), indirizzi IP di accesso, storico dei depositi e dei prelievi, indirizzi dei portafogli collegati, saldi. La tabella riassume le strade possibili.

Se l'exchange ha una società autorizzata in Italia, i dati detenuti nel territorio possono essere acquisiti con gli strumenti interni (ordine di esibizione, sequestro). Spesso però la società che gestisce i conti dei clienti europei ha sede in un altro Stato membro, e l'autorizzazione rilasciata lì consente di operare in tutta l'Unione. Per il reato di chi presta servizi senza autorizzazione si rinvia alla pagina sui servizi cripto senza autorizzazione MiCAR.

Un exchange con sede all'estero è obbligato a rispondere alla polizia italiana?

No, non in forza di una semplice richiesta della polizia italiana. L'obbligo nasce quando l'autorità dello Stato in cui la società ha sede riconosce l'ordine europeo di indagine o esegue la rogatoria. Fino ad allora la risposta è volontaria e dipende dalle regole interne della piattaforma e dalla legge del Paese di stabilimento, anche in materia di protezione dei dati.

Il nuovo pacchetto sulle prove elettroniche non cambia questo quadro per gli exchange. Il Regolamento (UE) 2023/1543 consente ordini di produzione rivolti direttamente ai prestatori di servizi, ma l'ambito esclude i prestatori di servizi finanziari. L'Italia ha individuato le autorità competenti con il D.Lgs. 215/2025, in vigore dal 30 gennaio 2026. Il funzionamento generale è descritto nella pagina sulle prove elettroniche e i dati cloud dall'estero.

Diverso è il circuito antiriciclaggio: i prestatori di servizi per le cripto-attività sono sottoposti alla vigilanza antiriciclaggio della Banca d'Italia e, dal 30 dicembre 2024, alle regole del Regolamento (UE) 2023/1113 sui dati che accompagnano i trasferimenti di cripto-attività. Le informazioni raccolte in quel circuito possono arrivare agli inquirenti attraverso le segnalazioni e la cooperazione fra unità di informazione finanziaria.

Che differenza c'è tra rogatoria internazionale e ordine europeo di indagine?

La circolare del Ministero della giustizia del 26 ottobre 2017 definisce l'ordine europeo di indagine come l'equivalente, nella raccolta delle prove, di ciò che il mandato di arresto europeo è stato per le consegne: il superamento del sistema rogatoriale fra Stati membri.

Si può congelare un conto su un exchange straniero su richiesta di un giudice italiano?

Sì. In Italia il giudice dispone il sequestro preventivo delle cose pertinenti al reato o confiscabili (art. 321 c.p.p.); in caso di urgenza può provvedere il pubblico ministero, con convalida del giudice. Per eseguirlo su criptovalute custodite da un exchange in un altro Stato UE si applica il Regolamento (UE) 2018/1805 sul riconoscimento reciproco dei provvedimenti di congelamento e di confisca. Secondo la circolare ministeriale del 18 febbraio 2021, in Italia emettono il provvedimento il pubblico ministero o il giudice che lo ha disposto, e il Ministero della giustizia è l'autorità centrale.

Fuori dall'Unione il congelamento passa per la rogatoria o per i trattati bilaterali, con tempi che dipendono dallo Stato richiesto. Nel frattempo i fondi possono essere spostati: per questo le procure chiedono spesso alla piattaforma un blocco cautelativo volontario, in attesa del provvedimento formale. Le tecniche di sequestro dei portafogli sono trattate nella pagina su sequestro e confisca di criptovalute; il riconoscimento della confisca nell'UE in quella sui beni sequestrati all'estero.

Quanto tempo serve per ricevere i dati di un exchange estero?

Nessuna norma fissa la durata complessiva. I termini certi sono quelli interni alle procedure.

Gli exchange avvisano l'utente quando le autorità chiedono i suoi dati?

Non esiste una regola generale. L'avviso dipende dalla policy della piattaforma, dalla legge del Paese in cui ha sede e soprattutto dall'eventuale richiesta di riservatezza dell'autorità procedente: in Italia gli atti di indagine sono coperti dal segreto fino a quando l'indagato non ne può avere conoscenza (art. 329 c.p.p.). Nei procedimenti antiriciclaggio la comunicazione al cliente di una segnalazione è vietata. Il primo segnale per l'utente è spesso il blocco del conto o la notifica di un atto, non una comunicazione della piattaforma.

Cosa fare se il proprio account su un exchange viene bloccato per un'indagine penale?

Il primo passo è capire chi ha disposto il blocco. Un blocco interno per verifiche di conformità si gestisce con la piattaforma, fornendo documentazione sulla provenienza dei fondi. Un blocco disposto da un'autorità richiede di individuare lo Stato, l'ufficio e il numero del procedimento: la piattaforma di solito indica almeno l'autorità di riferimento.

Se il sequestro è italiano, il termine di 10 giorni decorre anche dalla conoscenza effettiva: conviene documentare la data in cui la piattaforma ha comunicato il blocco. Se il provvedimento è straniero, i rimedi si propongono nello Stato che lo ha emesso, con un difensore locale. Il quadro dei reati informatici e cripto è nella sezione crypto e reati informatici.

Si possono contestare nel processo i dati ottenuti da un exchange estero?

Sì, su tre piani. Utilizzabilità: se lo Stato estero ha posto condizioni all'uso degli atti, l'autorità giudiziaria italiana è vincolata a rispettarle (art. 729 c.p.p.), e non possono essere utilizzate le dichiarazioni sul contenuto di atti inutilizzabili. Attendibilità tecnica: formato di esportazione, fusi orari, completezza dello storico, corrispondenza fra hash delle transazioni e registro pubblico della blockchain. Attribuzione: un conto verificato con documenti altrui, un accesso da IP condivisi o un portafoglio collegato ad altri utenti indeboliscono il collegamento con l'indagato.

Quando l'indagine coinvolge più giurisdizioni, la difesa va coordinata fra i Paesi interessati: il quadro è descritto nella pagina sulla difesa penale internazionale.