Exchange autorizzati MiCA: come verificare in 5 minuti se il tuo lo è davvero

Da luglio il periodo transitorio di MiCA è finito: chi offre servizi crypto ai clienti europei senza autorizzazione è fuori legge, deve smettere e chiudere i rapporti in modo ordinato. Bello, chiaro, scritto nero su bianco.

Peccato che nessuno ti abbia spiegato come verificare se il tuo operatore è tra quelli autorizzati. Ti dico come si fa, con i file ufficiali alla mano: li ho scaricati dal sito dell'ESMA e aperti riga per riga.

Cosa c'è dentro: 342 entità autorizzate in 26 Paesi, e 167 segnalazioni di operatori non conformi, di cui 165 arrivano dalla Consob italiana. Sono numeri che puoi verificare da solo in cinque minuti — ed è esattamente questo il punto.

Il registro ESMA: due file, non una pagina da navigare

Il registro europeo nasce dagli articoli 109 e 110 di MiCA e l'ESMA lo pubblica come file CSV aggiornati a scadenze settimanali, non come una comoda ricerca online. Cinque file in tutto:

• CASPS.csv — i prestatori autorizzati (CASP), con Paese, autorità, data e servizi;
• NCASP.csv — il registro delle entità non conformi (art. 110): chi l'autorità ha accertato operare in violazione delle regole;
• ARTZZ.csv — emittenti di token collegati ad attività: alla data del mio download il file conteneva zero record;
• EMTWP.csv — emittenti di token di moneta elettronica e relativi white paper: 47 record;
• OTHER.csv — white paper di altri crypto-asset notificati: 988 record.

Nel file dei CASP autorizzati, alla data in cui l'ho scaricato, ci sono 342 entità distribuite in 26 Paesi. La geografia racconta già molto: Germania 89, Francia 35, Paesi Bassi 29, Cipro 25, Malta 22, Spagna 15, Lussemburgo 13, Italia 9.

Un dettaglio che quasi nessuno legge: nel file ci sono anche due autorizzazioni cessate (Stratos Europe Ltd, Cipro, revocata ad aprile; Decubate B.V., Paesi Bassi, revoca volontaria a marzo). Tradotto: comparire nel registro non basta, va letto il campo della data di revoca.

La trappola numero uno: il marchio non è l'entità giuridica

Questo è il punto su cui si gioca tutto, e lo ripetono sia l'ESMA sia la Consob: le tutele di MiCA valgono solo per l'entità autorizzata nell'Unione, non per le altre società del gruppo e nemmeno per entità extra-UE che usano lo stesso marchio.

Il registro è la prova. Guarda quanti nomi diversi si nascondono dietro un solo logo:

• Bitpanda compare tre volte: Bitpanda GmbH in Austria (7 servizi, autorizzata dalla FMA), Bitpanda Asset Management GmbH in Germania (4 servizi) e BP23 CA Limited a Malta (6 servizi);
• Bybit è Bybit EU GmbH, in Austria;
• Kraken sono due entità irlandesi: Payward Europe Solutions Limited per custodia, scambi ed esecuzione ordini, e Payward Global Solutions Limited per la piattaforma di negoziazione;
• Coinbase è Coinbase Luxembourg S.A., Crypto.com è Foris DAX MT Limited, Gate è Gate Technology Limited, Trade Republic è Trade Republic Bank GmbH.

Se hai un conto su una di queste piattaforme, la domanda non è "è autorizzata?". La domanda è: quale delle entità del gruppo ha firmato il mio contratto?

La procedura: 6 passi, 5 minuti

1. Trova il nome legale. Non il marchio: la ragione sociale che compare nei termini di servizio, nel contratto di apertura, nel LEI. Nel 90% dei casi è scritta in fondo al contratto, quella che nessuno legge.
2. Scarica CASPS.csv dalla pagina MiCA del sito ESMA. Apri il file con Excel, Numbers o Google Sheets: contiene campi di testo molto lunghi.
3. Cerca nella colonna del nome (ae_lei_name). Se il nome esatto non dà risultati, prova con la prima parola seguita da *: le entità sono scritte in formati diversi, a volte tutto maiuscolo.
4. Leggi il campo della data di revoca (ac_authorisationEndDate). Se è vuoto, l'autorizzazione è attiva. Se c'è una data, l'autorizzazione è stata revocata da quel giorno.
5. Leggi i codici servizio (ac_serviceCode): dice quali servizi può svolgere davvero quel soggetto. È la parte che salta tutti, ed è la più importante — te la spiego sotto.
6. Cerca la stessa entità anche in NCASP.csv. Se la trovi, non stiamo parlando di autorizzazione mancante: è una decisione dell'autorità per violazione delle regole.

I 10 codici servizio: cosa è autorizzato a fare davvero

Ogni CASP è autorizzato per servizi specifici, indicati con lettere da (a) a (j):

Il codice che conta più di tutti è la (b): è quello che autorizza a gestire un vero mercato, con un book ordini dove si incrociano gli ordini di più clienti. Nel registro le entità con il codice (b) sono una ventina su oltre 340. Alcune: Bitstamp Europe S.A. (Lussemburgo), OKX Europe Limited (Malta), Bitvavo B.V. e One Trading Exchange B.V. (Paesi Bassi), Gate Technology Limited (Malta), Payward Global Solutions (Kraken, Irlanda), PM MTF Ltd (Cipro), RULEMATCH Europe AG e SMART VALOR AG (Liechtenstein), Paymium (Francia).

Perché ti interessa? Perché un soggetto autorizzato solo per custodia e scambio con fondi può tenerti le cripto e convertirle, ma non è autorizzato a gestire una piattaforma di negoziazione. Se la funzione che usi tu — il book, gli ordini limite, il trading tra utenti — non è coperta da nessun codice, quella funzione non è autorizzata, punto.

Il caso italiano: 9 soggetti, controllati uno per uno

A fine giugno Consob e Banca d'Italia hanno comunicato con un comunicato congiunto 8 CASP autorizzati più la notifica di un intermediario bancario. Nel registro, oggi, le entità italiane sono 9. Ecco cosa può fare ciascuna, secondo il file ufficiale:

Due cose da notare, e non sono dettagli.

Primo: Young Platform è l'unica con 8 servizi su 10 — il perimetro più ampio concesso in Italia, come hanno scritto anche i giornali economici.

Secondo: nessuna di queste entità ha il codice (b). Nessuna, alla data del file che ho scaricato, gestisce una piattaforma di negoziazione autorizzata in Italia. Chi vuole fare trading su un book regolamentato oggi guarda fuori: Lussemburgo, Malta, Paesi Bassi.

E poi c'è il dato che mi ha fatto alzare il sopracciglio: delle 167 segnalazioni di entità non conformi nel registro europeo, 165 sono state trasmesse dalla Consob. Il resto si divide tra l'autorità olandese e quella slovacca. Non vuol dire che gli illeciti siano tutti italiani: vuol dire che l'Italia è l'autorità che segnala di più, e che nella lista ci sono decine di cloni con nomi assurdi e domini che scadono in un anno. Il registro è anche uno strumento anti-truffa, e questa è la parte che vale la pena usare.

Se il tuo operatore non è nel registro, in quest'ordine

1. Non versare altro. Nessun bonifico nuovo, nessuna ricarica, fino a quando non hai verificato l'entità che ha il tuo contratto.
2. Cerca il piano di dismissione. L'ESMA ha chiesto esplicitamente agli operatori non autorizzati di chiudere in modo ordinato, informare i clienti e indicare una scadenza entro cui le posizioni residue vengono chiuse. Un operatore serio lo comunica; uno che non comunica nulla ti sta dicendo qualcosa.
3. Sposta, ma con criterio. La meta è un CASP autorizzato (cambi piattaforma) oppure un wallet di cui possiedi le chiavi. Verifica sempre rete e indirizzo con un test da importo ridicolo prima di muovere il resto: un errore di rete è irreversibile.
4. Non aspettare l'ultimo giorno. Quando un operatore chiude, i prelievi si congestionano, i tempi si allungano e le fee salgono. Chi si muove quando arrivano le prime avvisaglie sposta tutto con calma; chi aspetta il giorno della scadenza spesso paga.
5. Tieni traccia fiscale di quello che fai. Il passaggio di crypto tra wallet di cui sei titolare è un trasferimento, non una cessione: non genera plusvalenza. La conversione in euro, invece, è una cessione e va registrata con data, quantità e controvalore. Se decidi di liquidare per uscire da una piattaforma, quella operazione entra nella tua contabilità. Io ti dico cosa guardare, il tuo commercialista ti dice come dichiararlo.

Il punto che non vogliono farti notare

Una licenza non è un'assicurazione. Un CASP autorizzato può fallire, può subire un attacco, può vedersi revocare l'autorizzazione — e il registro, come hai visto, le revoche le pubblica. La differenza tra un operatore autorizzato e uno che non lo è riguarda gli obblighi che deve rispettare: fondi dei clienti separati dal patrimonio della società, requisiti prudenziali, regole di condotta, controlli antiriciclaggio. Roba seria, ma non è una garanzia sul tuo capitale.

Ecco perché la verifica sul registro è il primo passo, non l'ultimo. Il secondo è decidere quanto lasciare sulla piattaforma e quanto tenere in autocustodia. Se tieni cifre che ti farebbero male, su qualunque exchange, la domanda vera non è "è autorizzato?", ma "perché è ancora tutto lì?".

Il mio consiglio onesto

Cinque minuti. È il tempo che serve per scaricare un file, cercare un nome legale e leggere due colonne. In cambio sai con certezza se il posto dove hai i tuoi soldi ha un'autorizzazione valida in Europa, se copre il servizio che usi e se il nome che leggi nell'app è lo stesso che ha firmato il contratto.

Quello che non farei: fidarmi delle liste "migliori exchange" che non citano mai il registro, o della pagina "sicurezza" scritta dall'exchange stesso. Il registro ESMA è l'unica fonte, cambia ogni settimana, e costa zero consultarla. Se il tuo operatore non c'è, meglio saperlo adesso che il giorno in cui compare l'avviso di chiusura.

Questo articolo non è consulenza finanziaria né fiscale. Verifica sempre i dati sui documenti ufficiali (registro ESMA, comunicati Consob e Banca d'Italia) e, per la parte fiscale, senti un professionista: i numeri del registro cambiano ogni settimana.

Continua a leggere:

• MiCA: la checklist pratica per mettere in sicurezza le tue crypto
• Bitpanda multata €70.000 dalla FMA austriaca: la prima sanzione MiCA
• DAC8: cosa comunicano gli exchange al Fisco italiano (e cosa devi fare tu)