Servizi cripto senza autorizzazione MiCAR: il nuovo reato

Chi presta servizi per le cripto-attività senza l'autorizzazione CASP prevista dall'art. 59 del Regolamento (UE) 2023/1114 (MiCAR) commette il delitto dell'art. 30 del D.Lgs. 129/2024: reclusione da 6 mesi a 4 anni e multa da 2.066 a 10.329 euro. Dal 1° luglio 2026, chiuso il regime transitorio, la vecchia iscrizione all'OAM non basta più.

Che cosa punisce l'art. 30 del D.Lgs. 129/2024?

Il D.Lgs. 5 settembre 2024, n. 129, pubblicato nella Gazzetta Ufficiale n. 215 del 13 settembre 2024, adegua l'ordinamento italiano al Regolamento (UE) 2023/1114 sui mercati delle cripto-attività (MiCAR). L'art. 30, intitolato «Abusivismo», è l'unica norma penale del decreto: tutte le altre violazioni sono affidate a sanzioni amministrative di Consob e Banca d'Italia.

La norma costruisce un delitto di pericolo: non serve che un cliente perda denaro. Basta svolgere, senza il titolo richiesto, un'attività che il regolamento europeo riserva a soggetti autorizzati. La struttura ricalca quella dell'abusivismo finanziario dell'art. 166 TUF, ma con pene più basse: il reato «gemello» del TUF prevede la reclusione da 1 a 8 anni (si veda la pagina sull'abusivismo finanziario art. 166 TUF, che resta applicabile quando il token è in realtà uno strumento finanziario).

Quali attività richiedono l'autorizzazione CASP?

Il MiCAR riserva ai prestatori di servizi per le cripto-attività (CASP) una serie di servizi resi ai clienti su base professionale: tra i principali, la custodia e amministrazione di cripto-attività per conto di clienti, la gestione di una piattaforma di negoziazione, lo scambio di cripto-attività con fondi o con altre cripto-attività, l'esecuzione e la ricezione e trasmissione di ordini, il collocamento, la consulenza e la gestione di portafoglio, i servizi di trasferimento.

In concreto, sono esposti all'art. 30 l'exchange che cambia euro in bitcoin, il servizio che custodisce le chiavi dei clienti, la piattaforma che abbina ordini di acquisto e vendita, chi gestisce portafogli di token per conto terzi. Restano fuori, di regola, chi compra e vende cripto-attività per sé, chi usa un wallet non custodial, lo sviluppatore di software che non presta servizi ai clienti. Casi di confine come le piattaforme decentralizzate o le DAO e la responsabilità penale dei loro partecipanti richiedono un'analisi del ruolo effettivo.

Anche i servizi di segnali e copy trading possono rientrare nella consulenza o nella gestione di portafoglio: il tema è trattato nella pagina su segnali, copy trading e abusivismo finanziario.

Che differenza c'è tra iscrizione VASP all'OAM e autorizzazione CASP?

Fino al 2024 in Italia gli operatori in valute virtuali (VASP) dovevano solo iscriversi in una sezione speciale del registro tenuto dall'Organismo Agenti e Mediatori (OAM), sulla base del D.Lgs. 141/2010. Era un'iscrizione a fini antiriciclaggio: nessun controllo sul capitale, sull'organizzazione o sulla tutela dei clienti. L'autorizzazione MiCAR è un'altra cosa: è rilasciata dall'autorità competente dopo un'istruttoria su governo societario, requisiti prudenziali, custodia separata delle attività dei clienti, e vale in tutta l'Unione.

Il regime transitorio mette al riparo i vecchi operatori?

Solo per il periodo in cui è rimasto in vigore, e solo alle sue condizioni. Secondo la comunicazione Consob n. 16/25 del 4 dicembre 2025, i VASP iscritti all'OAM alla data del 27 dicembre 2024 potevano continuare a operare fino al 30 dicembre 2025. Per proseguire oltre dovevano presentare istanza di autorizzazione, in Italia o in un altro Stato membro, entro il 30 dicembre 2025 (o appartenere a un gruppo in cui una società l'avesse presentata): in quel caso potevano restare attivi fino alla decisione e comunque non oltre il 30 giugno 2026. La proroga di sei mesi è stata introdotta dal D.L. 95/2025.

Chi non ha presentato istanza doveva cessare l'attività e restituire ai clienti cripto-attività e fondi secondo le loro istruzioni. Dal 1° luglio 2026 il periodo transitorio è terminato: il comunicato congiunto Consob-Banca d'Italia del 30 giugno 2026 ricorda che chi non ha l'autorizzazione MiCAR in almeno uno Stato UE deve cessare l'attività, salvo le operazioni necessarie alla chiusura dei rapporti. Un operatore che dopo quella data continua ad aprire posizioni o a eseguire scambi per clienti italiani è esposto all'art. 30.

Un exchange estero che serve clienti italiani commette reato in Italia?

Dipende da dove è autorizzato. Un CASP autorizzato in un altro Stato UE può offrire i propri servizi in Italia grazie al passaporto europeo: il comunicato del 30 giugno 2026 invita però a controllare nel registro ESMA l'entità giuridica effettivamente autorizzata, perché spesso i gruppi operano anche con società extra-UE non abilitate.

Un operatore extra-UE senza autorizzazione può servire clienti residenti nell'Unione solo quando il rapporto nasce su iniziativa esclusiva del cliente (art. 61 MiCAR). Gli orientamenti ESMA del 26 febbraio 2025 chiedono di leggere questa eccezione in modo restrittivo: la sollecitazione comprende banner, e-mail, app, social media e campagne di affiliazione, e un influencer remunerato che promuove la piattaforma agisce per conto di questa. Una clausola contrattuale in cui il cliente «dichiara» di essersi attivato da solo non prevale sui fatti.

Sul piano penale, per l'art. 6 c.p. il reato si considera commesso in Italia se l'azione o l'evento vi si sono verificati anche solo in parte: la promozione rivolta al pubblico italiano e la raccolta di clienti in Italia sono elementi che la procura valuta per radicare la giurisdizione. Sulle regole generali si veda la pagina sul reato commesso all'estero e processo in Italia.

Chi compra e rivende cripto a terzi su Telegram ha bisogno dell'autorizzazione?

Se l'attività è abituale e rivolta a clienti, sì: scambiare cripto-attività contro euro o contro altre cripto-attività per conto di terzi, o custodirle in attesa della consegna, sono servizi riservati ai CASP. Il canale usato (chat Telegram, gruppi WhatsApp, incontri di persona) non cambia la qualificazione. Il singolo privato che vende una volta i propri bitcoin a un conoscente non presta invece un servizio professionale.

Gli indici che le indagini valorizzano sono la continuità delle operazioni, la pubblicità in canali aperti, il ricarico applicato sul prezzo, la gestione di fondi altrui. Il cambio «OTC» di contanti in cripto-attività espone anche a contestazioni antiriciclaggio: si veda la pagina sui crypto ATM e il riciclaggio, che affronta lo stesso rischio per chi gestisce sportelli automatici.

Cosa fare se la Consob contesta servizi cripto senza autorizzazione?

La Consob dispone dei poteri dell'art. 94 MiCAR. L'art. 4, comma 11, del D.Lgs. 129/2024 precisa che le misure possono essere richieste anche a gestori di registri di dominio, fornitori di connettività, servizi cloud, motori di ricerca, social network e negozi di applicazioni: in pratica l'oscuramento del sito e la rimozione dell'app. Se emergono elementi di reato, gli atti vengono trasmessi alla procura.

La difesa parte da una ricostruzione tecnica di cosa faceva davvero la piattaforma: quali servizi, per quali clienti, da quando, con quale titolo in quale Stato. Contano le date del regime transitorio, l'eventuale istanza pendente, la localizzazione dei clienti, la natura dei token (se sono strumenti finanziari si applica il TUF, non il MiCAR). Parallelamente va pianificata la chiusura ordinata dei rapporti con restituzione dei fondi: proseguire l'operatività dopo la contestazione aggrava la posizione. Per il quadro dei reati collegati si rinvia all'hub crypto, DeFi e reati informatici.