KYC per pagamenti crypto: cosa devono verificare sviluppatori e aziende

KYC per i pagamenti in criptovaluta significa identificare e verificare il Suo cliente prima, o mentre, sposta valore per suo conto. Se debba farlo dipende meno dalla tecnologia che da ciò che fa la Sua attività: detenere fondi dei clienti, scambiare criptovaluta con valuta fiat o solo fornire software. Questa guida spiega dove nasce l’obbligo, quali controlli sono standard, come le regole differiscono per giurisdizione e cosa decidere prima di collegare un flusso di pagamento alla Sua app.

TL;DR

• KYC è un livello della compliance per i pagamenti in criptovaluta, accanto a valutazione del rischio, screening sanzioni, monitoraggio delle transazioni, conservazione dei registri e, dove si applica, dati della Travel Rule.
• Servizi custodial, exchange e on-ramp fiat sono i punti abituali in cui avvengono i controlli di identità. I fornitori di software neutri possono rimanere fuori dal perimetro, a seconda delle loro attività e giurisdizione.
• I controlli standard coprono nome, data di nascita, indirizzo e un documento d’identità governativo, con selfie e informazioni extra per i clienti ad alto rischio.
• La giusta intensità dei controlli è basata sul rischio, non un controllo identico per ogni pagamento.
• Definisca prima il Suo status normativo con un legale, poi integri verifica e monitoraggio nel flusso di pagamento stesso.

Indice

• Cosa significa KYC in un flusso di pagamento crypto
• Chi deve effettivamente verificare i clienti
• I controlli comunemente richiesti
• Basato sul rischio, non taglia unica
• La Travel Rule e i wallet self-hosted
• Le regole cambiano per giurisdizione
• Cosa controllare prima di integrare un flusso di pagamento
• La nostra prospettiva
• Costruisca il lato tecnico con Chaingateway
• FAQ
• Fonti

Cosa significa KYC in un flusso di pagamento crypto

KYC sta per “know your customer” (conosci il tuo cliente). Nella pratica copre l’identificazione e la verifica del cliente, la comprensione dello scopo e della natura prevista della relazione o transazione, e l’adozione di misure ragionevoli per verificare i titolari effettivi. È così che le linee guida JMLSG del Regno Unito per fornitori di exchange di cryptoasset e wallet custodian lo inquadrano.

KYC non è l’intera compliance. Intorno ad essa ruotano valutazione del rischio AML e antiterrorismo, screening sanzioni e altro, monitoraggio delle transazioni, segnalazione di operazioni sospette, conservazione dei registri e, dove applicabile, informazioni per la travel rule. Quando si cerca “crypto payments compliance”, di solito si intende questo stack completo, e KYC è la porta d’ingresso.

La baseline globale arriva dal Financial Action Task Force. La sua guida aggiornata su asset virtuali e fornitori di servizi di asset virtuali dice che i VASP devono applicare misure preventive AML/CFT, inclusa la due diligence sul cliente, conservazione dei registri, segnalazione di transazioni sospette e travel rule. Le leggi nazionali implementano poi quella baseline, ciascuna a modo suo.

Chi deve effettivamente verificare i clienti

La prima domanda non è “quale fornitore KYC dovremmo scegliere?” È “siamo il tipo di attività che deve verificare qualcuno?”

Servizi di custodia ed exchange

Se detiene fondi dei clienti, scambia criptovalute con altri asset o valuta fiat, o custodisce e amministra criptoasset, è probabile che rientri nell’ambito di applicazione. La guida JMLSG afferma che i fornitori di servizi di scambio e i fornitori di wallet di custodia generalmente rientrano nei requisiti di due diligence sul cliente. La custodia e il trasferimento delle chiavi dei clienti possono anche far rientrare un’attività nell’ambito di applicazione.

Fornitori di software neutrali

La stessa guida osserva che gli sviluppatori di software e altri fornitori connessi a sistemi decentralizzati possono rientrare fuori dal perimetro. Dipende dalle loro attività e dal fatto che traggano beneficio dalle transazioni. “Possono” è la parola chiave. Le proprie scelte progettuali, come se si controllano mai le chiavi o si prende una percentuale sui flussi, possono far spostare l’attività oltre la linea.

On-ramp e off-ramp fiat

Le blockchain permissionless non hanno un unico intermediario responsabile. La Banca dei Regolamenti Internazionali spiega nel suo bollettino sulla conformità antiriciclaggio per i criptoasset che la verifica del cliente viene tipicamente eseguita dove le criptovalute incontrano il sistema finanziario convenzionale, come exchange e off-ramp. Aggiunge che la cronologia delle transazioni blockchain può integrare i controlli KYC e AML.

È per questo che un commerciante che riceve solo criptovalute spesso non esegue direttamente controlli d’identità, mentre l’exchange dove il pagatore ha acquistato le monete lo ha fatto. È anche per questo che la risposta cambia nel momento in cui si aggiunge una conversione in fiat o un saldo di custodia.

Flusso	Chi verifica tipicamente il cliente	Cosa confermare
Wallet di custodia o saldo detenuto per gli utenti	Lei, in qualità di fornitore del servizio	Licenza o registrazione, CDD completa, monitoraggio
On-ramp o off-ramp fiat	L’exchange o il processore regolamentato	Chi è la parte regolamentata e quali dati richiede a Lei
Pagamenti in self-custody, solo software	Spesso nessuno al suo livello	Se le sue attività e il beneficio dalle transazioni la mettono nell’ambito di applicazione
Trasferimenti da o verso wallet self-hosted	Il fornitore regolamentato dall’altra parte	Regole locali su proprietà del wallet e travel rule

I controlli comunemente richiesti

Per un individuo, l’insieme standard è semplice. I fornitori raccolgono e verificano nome completo, data di nascita e indirizzo di residenza, e controllano un documento d’identità valido rilasciato dal governo, come un passaporto o una patente di guida. La guida di Veriff al KYC per le criptovalute aggiunge che controlli avanzati possono richiedere un selfie e informazioni aggiuntive, e che i requisiti variano in base all’exchange. La panoramica di Plaid sul KYC per le criptovalute descrive lo stesso set di dati e afferma che i clienti sospetti possono essere invitati a fornire ulteriori informazioni.

La stessa guida di Veriff osserva che gli exchange limitano comunemente acquisti, prelievi o depositi fino al completamento della verifica, e che il KYC basato sul rischio può includere screening su sanzioni, persone politicamente esposte e media avversi, oltre al monitoraggio continuo.

Alcuni mercati verificano in modo diverso. Il centro assistenza di un provider descrive come, in Indonesia, Sudafrica e Nigeria, la verifica non documentale controlli solitamente un numero ufficiale in modo automatico: il NIK, il numero della carta d’identità nazionale o il NIN. Se serve utenti in diversi paesi, si aspetti che il metodo di verifica cambi in base alla regione, non solo le regole.

Cosa rallenta la verifica

Le fonti esaminate non forniscono dati temporali affidabili, quindi non ne inventeremo. Le cause pratiche sono prevedibili dai controlli stessi: un documento che non corrisponde al nome o all’indirizzo digitato, un’immagine che il sistema non riesce a leggere, un cliente che attiva un riscontro di screening, o una richiesta di informazioni aggiuntive su un profilo ad alto rischio. Progetti il suo onboarding in modo che un cliente possa reinviare la documentazione senza ricominciare da capo, e che il suo team di supporto possa vedere perché un caso è in sospeso.

Basato sul rischio, non taglia unica

L’approccio del GAFI è basato sul rischio. L’intensità della due diligence sul cliente e del monitoraggio dovrebbe riflettere il cliente, il prodotto, la transazione e la geografia. Un piccolo pagamento ricorrente da un cliente verificato non comporta lo stesso rischio di un grande trasferimento per la prima volta da una fonte poco chiara.

La due diligence rafforzata è dove questo emerge. L’unità di informazione finanziaria di Malta, nelle sue procedure di attuazione per il settore dei crypto-asset, indica scenari ad alto rischio che la richiedono, come transazioni che coinvolgono giurisdizioni ad alto rischio, modelli insoliti, o una provenienza del patrimonio o dei fondi che non può essere conciliata con i volumi di transazione noti.

Tipici trigger EDD che può codificare come regole:

1. Un cliente o controparte collegato a una giurisdizione ad alto rischio.
2. Importi o frequenza dei pagamenti che si discostano dal modello consolidato del cliente.
3. Fondi che non corrispondono alla provenienza del patrimonio dichiarata.
4. Informazioni sull’ordinante o sul beneficiario mancanti o incomplete su un trasferimento in entrata.

I team in altre categorie di pagamenti ad alto rischio eseguono già questo tipo di monitoraggio del cliente basato sul rischio, con sottoscrizione, screening antifrode e revisione continua. I team crypto possono adottare la stessa disciplina: definire il trigger, instradare il caso, registrare la decisione.

La Travel Rule e i wallet self-hosted

La Travel Rule richiede che le informazioni identificative su mittente e destinatario accompagnino il trasferimento. Le regole dell’Unione Europea sui trasferimenti di crypto-asset, in vigore dal 30 dicembre 2024, richiedono ai provider di includere i dettagli dell’ordinante e del beneficiario. Per i trasferimenti superiori a 1.000 € che coinvolgono un indirizzo self-hosted, il provider deve verificare se la persona interessata possiede o controlla quell’indirizzo.

Le linee guida finali dell’Autorità Bancaria Europea richiedono un metodo di verifica per i wallet self-hosted per impostazione predefinita, secondo l’analisi delle linee guida di Notabene. La stessa analisi afferma che i provider con limitazioni tecniche potrebbero utilizzare passaggi tecnici aggiuntivi fino al 31 luglio 2025, sebbene la piena conformità rimanga obbligatoria.

La Travel Rule non viene applicata in modo uniforme in tutto il mondo. Secondo i dati FATF 2024 citati nella guida sulla Travel Rule della Bermuda Monetary Authority, circa il 30% delle giurisdizioni non aveva implementato la legislazione sulla Travel Rule. La stessa guida afferma che i fornitori di servizi di pagamento dovrebbero conservare i messaggi della Travel Rule e ottenere, verificare, trasmettere o registrare le informazioni del pagatore e del beneficiario, ove applicabile. Informazioni mancanti o incomplete possono comportare misure rafforzate e valutazioni di sospetto.

Le regole cambiano in base alla giurisdizione

La regola che si applica a Lei è quella dei luoghi in cui opera e in cui risiedono i Suoi utenti. Alcuni esempi tratti da pagine ufficiali e di regolatori mostrano quanto i dettagli possano differire:

• Unione Europea: le regole di trasferimento sopra indicate, con una soglia di 1.000 € per la verifica dei wallet self-hosted.
• Bermuda: Il Regolamento 22(1) copre tutti i trasferimenti di fondi, in qualsiasi valuta, inviati o ricevuti da un fornitore di servizi di pagamento, inclusi i trasferimenti di asset digitali. Il regolatore si aspetta un registro delle controparti aggiornato e la conservazione dei messaggi della Travel Rule, secondo la guida BMA sopra citata.
• Svizzera e Liechtenstein: per i wallet self-hosted, la Svizzera richiede la verifica dell’identità e la prova di proprietà, mentre il Liechtenstein richiede una due diligence rafforzata, come riportato nella panoramica di Notabene sulle regole per wallet non ospitati.
• Regno Unito: la guida JMLSG su chi rientra nel perimetro, discussa sopra.

Se serve clienti statunitensi, il quadro normativo USA è una questione a sé. Il punto generale emerso dalla ricerca rimane: la KYC è un requisito legale applicato dalle autorità di vigilanza finanziaria, e quale si applica a Lei dipende dalla Sua attività e ubicazione. Ottenga un parere scritto da un avvocato esperto in trasmissione di denaro e AML nei Suoi mercati target prima di lanciare il servizio.

Cosa verificare prima di integrare un flusso di pagamento

Utilizzi questo elenco nella fase di pianificazione, non dopo il lancio.

1. Mappi la Sua attività. Detiene mai chiavi o saldi per gli utenti? Converte in valuta fiat? Trattiene una quota delle transazioni? Ogni “sì” La spinge verso uno status regolamentato.
2. Identifichi il soggetto regolamentato. In ogni flusso, scriva chi esegue la due diligence sul cliente. Se è un partner, ottenga per iscritto i suoi requisiti sui dati.
3. Elenchi le Sue giurisdizioni. Dove è costituita la Sua società e dove si trovano i Suoi utenti e controparti? Verifichi lo stato della Travel Rule in ciascuna.
4. Definisca le Sue soglie. Imposti importi e trigger di rischio che facciano scattare controlli rafforzati per un pagamento.
5. Pianifichi la protezione dei dati. I documenti d’identità sono sensibili. Limiti chi può leggerli, definisca i periodi di conservazione con il Suo legale e, dove possibile, mantenga i dati di verifica separati da quelli di pagamento.
6. Assegni la responsabilità. Qualcuno deve essere titolare del programma di conformità, degli alert sulle sanzioni e delle decisioni sulle attività sospette. “Il team di ingegneria” non è un titolare.
7. Conservi i registri. Memorizzi la decisione, i dati utilizzati e il timestamp per ogni controllo, in modo da poter dimostrare il proprio operato.

Inserisca le regole nel codice

Una visione dei professionisti emersa dalla ricerca è che la compliance funzioni meglio se integrata nei flussi di fondi come regole deterministiche, piuttosto che come un processo manuale separato. Condividiamo l’idea ingegneristica che sta dietro a questo approccio. Un pagamento che non può raggiungere lo stato “released” finché i controlli richiesti non vengono superati è più facile da auditare rispetto a un foglio di calcolo delle eccezioni.

La nostra prospettiva

Noi costruiamo l’infrastruttura tecnica, non l’opinione legale. Chaingateway è un’API unificata per la creazione di wallet, l’invio di trasferimenti di token, la ricezione di notifiche webhook e la lettura di dati di transazione decodificati su catene come Ethereum, Bitcoin, Tron, Solana, Polyggon, BNB Chain e Arbitrum. La compliance è un livello che si aggiunge sopra a tutto ciò, e il posto migliore per aggiungerlo è dove i pagamenti cambiano stato.

È per questo che consideriamo i webhook uno strumento di compliance tanto quanto una comodità. Quando arriva un evento di pagamento in entrata già decodificato, con mittente, destinatario, token e importo in un unico payload, è possibile sottoporlo a screening rispetto alle proprie regole prima di accreditarlo. Il proprio motore di regole decide se rilasciare, trattenere o escalare. Il proprio fornitore KYC decide chi è il cliente. L’API blockchain dice cosa è successo effettivamente on-chain.

Vorremmo anche mettere in guardia contro due abitudini. Una è trattare la KYC come un modulo da compilare una sola volta all’iscrizione, quando il monitoraggio basato sul rischio è continuo. L’altra è presumere che “siamo solo software” definisca il proprio status. Il regolatore guarda a ciò che si fa, non a come ci si definisce.

— Bitblade

Costruire il lato tecnico con Chaingateway

Una volta che il modello di compliance è chiaro, il lavoro ingegneristico consiste nella creazione di wallet, trasferimenti e gestione degli eventi. La nostra Blockchain API offre un’unica interfaccia REST su sette catene, con stima automatica del gas e richieste firmate HMAC, e nessun nodo da gestire. Webhook e notifiche di eventi inviano eventi di pagamento in tempo reale al proprio backend, che è l’aggancio naturale per la logica di screening e monitoraggio. Se si parte da zero, la nostra guida sulla creazione di un wallet crypto con un’API illustra i primi passi.

I piani partono da 49 € al mese per Plus, 99 € per Pro, 249 € per Premium e 499 € per Enterprise, oppure 490 €, 990 €, 2.490 € e 4.990 € all’anno. Dettagli e limiti dei piani sono nella pagina dei prezzi, ed è possibile provare l’API prima di abbonarsi.

Fonti

• JMLSG Guidance Part II, Sector 22: cryptoasset exchange providers and custodian wallet providers
• FATF: Updated Guidance for a Risk-Based Approach for Virtual Assets and VASPs
• BIS Bulletin: An approach to anti-money laundering compliance for cryptoassets
• Veriff: What is KYC in crypto?
• Plaid: KYC for crypto
• Doto Help Center: KYC compliance
• FIAU Malta: Implementing Procedures Part II, Crypto-Assets Sector
• EUR-Lex: Information accompanying transfers of funds and certain crypto-assets
• Notabene: The EBA’s final Travel Rule guidelines
• Bermuda Monetary Authority: Travel Rule compliance and implications
• Notabene: Travel Rule compliance with unhosted wallets
• DavinciPay: payment processing for high-risk businesses

Consigliati

• RPC API Beta Release — Level Up Your Crypto Journey
• Blockchain APIs for E-Commerce: A Revolution
• Developer: Ship Recurring Crypto Payments in 90 Days, EIP & 2026
• How to Create a Crypto Wallet with an API: 2026 Guide