Criptovalute e riciclaggio: le sfide delle autorità contro il crimine digitale

L'articolo analizza il ruolo delle criptovalute nel riciclaggio e nell'autoriciclaggio, evidenziando come la loro natura decentralizzata ostacoli le indagini. Vengono illustrate le strategie delle organizzazioni criminali, le segnalazioni dell'Unità di Informazione Finanziaria e le nuove normative europee (NIS2, DORA, MiCAR) che impongono alle imprese misure di cyber governance e responsabilità amministrativa. Si sottolinea l'importanza di modelli di controllo, monitoraggio delle transazioni e formazione continua per prevenire rischi aziendali.

Le cripto valute, come noto, rappresentano lo strumento più usato per nascondere l’origine dei guadagni ottenuti mediante la vendita di informazioni riservate o frutto di attività illegali.

Se da un lato la giurisprudenza ha confermato a più riprese che le monete virtuali, pur non avendo corso legale come le valute tradizionali, rientrano a pieno titolo nella nozione di utilità aventi valore economico e patrimoniale, dall’altro si è affermato che l’acquisto di valute virtuali effettuato impiegando i proventi di un reato integra in modo autonomo il delitto di autoriciclaggio. Si tratta di interpretazioni che trovano fondamento nel fatto che le criptovalute sono beni autonomi e la loro conversione altera la natura della somma originaria spezzando la tracciabilità documentale. Si aggiunga che la struttura crittografica e decentralizzata dei registri distribuiti, unita all’uso di portafogli digitali privati, conferisce la capacità intrinseca di ostacolare l’identificazione dell’origine illecita del denaro.

Perché vi sia il reato la norma richiede che il riutilizzo dei beni avvenga in modo da ostacolare concretamente l’identificazione della loro provenienza delittuosa. In altre parole non è necessario un impedimento assoluto alle indagini, ma la creazione di un ostacolo effettivo al lavoro delle autorità. Su questo punto i giudici hanno chiarito che l’acquisto di criptovalute rappresenta un’operazione finanziaria che reinserisce il guadagno illecito nel circuito economico. Tale principio viene applicato anche quando i versamenti o i bonifici su conti propri si mescolano,,rendendo indistinguibile il denaro sporco dal resto.

Nel Diritto penale vi è una netta distinzione di responsabilità in base al ruolo rivestito. Se prendiamo l’autore del reato presupposto, che provvede direttamente a convertire il denaro in cripto valute, questi risponde di autoriciclaggio. Chi non ha partecipato al delitto iniziale ma riceve le somme e le converte in monete virtuali subisce la contestazione per riciclaggio.

La rete della criminalità organizzata tra analisi investigative e indicatori finanziari

Da quanto emerge dalle inchieste svolte negli ultimi anni dalla Direzione Investigativa Antimafia le organizzazioni criminali si sono adeguate tempestivamente alle risorse messe a disposizione dal progresso tecnologico, modificando sensibilmente i propri metodi di azione. Tra le varie novità si registra anche, accanto alla liquidità derivante dai traffici illeciti classici, l’acquisizione di informazioni riservate ottenute mediante la penetrazione in database pubblici. Gli accessi abusivi in taluni casi vengono sfruttati dalle organizzazioni criminali per scoprire in anticipo l’esistenza di indagini a carico dei propri affiliati, controllare lo stato di sequestri e confische, oppure mappare i beni di soggetti da sottoporre ad estorsione.

Le piattaforme coperte, la messaggistica cifrata e le reti decentralizzate sono, quindi, sovente utilizzate sia per il pagamento di queste informazioni riservate, sia per il lavaggio del denaro di provenienza illegale. Per rendere difficile la ricostruzione dei flussi da parte degli investigatori, le somme vengono frazionate in numerose micro-operazioni inviate verso portafogli digitali privati o processate mediante servizi di miscelazione dei dati contabili.

L’’Unità di Informazione Finanziaria per l’Italia ha avvertito le banche e gli operatori finanziari che devono prestare particolare attenzione ad alcuni comportamenti sospetti legati alle cripto valute. Innanzitutto quando il cliente chiede di effettuare transazioni in valuta virtuale a fronte di patrimoni o redditi del tutto incoerenti con l’attività svolta oppure se si riscontra reticenza nel fornire dettagli sull’origine dei fondi. Indizio di attività illecita è rappresentato anche da frequenti conversioni da moneta legale a moneta virtuale, da passaggi finanziari che coinvolgono paesi che non collaborano sulle normative antiriciclaggio, da un impiego sistematico di strumenti per mascherare l’indirizzo informatico di provenienza.

Cyber governance e rischi aziendali

Come già evidenziato in precedenti contribuiti, ma è sempre il caso di ribadirlo,l’infiltrazione e l’accesso abusivo ai sistemi informatici interessano anche direttamente l’azienda attraverso la responsabilità amministrativa disciplinata dal decreto legislativo 231 del 2001. Abbiamo ormai assimilato la regolamentazione secondo cui se un dipendente o un vertice forza le difese informatiche o ruba dati aziendali e informazioni sui concorrenti nell’interesse o a vantaggio della società, l’impresa rischia sanzioni pecuniarie e misure interdittive severe, come il blocco delle attività o il divieto di stipulare contratti con la Pubblica Amministrazione.

Benché non obbligatoria l’adozione e l’efficace attuazione di un Modello di Organizzazione, Gestione e Controllo può contribuire in modo determinante ad esonerare l’azienda da tale responsabilità. Esiste poi l’obbligo generale previsto dal Codice Civile, che impone agli amministratori di predisporre assetti organizzativi adeguati alla dimensione aziendale. Principio che trova adesso rafforzamento attraverso fondamentali normative europee.

Se la direttiva NIS2 qualifica la sicurezza informatica come un preciso dovere legale per le aziende strategiche; il regolamento DORA serve a garantire la tenuta digitale del settore bancario e finanziario, così come il regolamento MiCAR ha introdotto una serie di regole stringenti di trasparenza e tracciabilità per chi offre servizi legati alle criptovalute.

L’aspetto fondamentale di tali disposizioni è rappresentato dalla prevista responsabilità diretta dell’organo di gestione. In questo ottica, infatti, i componenti del Consiglio di Amministrazione sono tenuti a seguire una formazione continua, devono approvare personalmente le misure di sicurezza e rispondono con il proprio patrimonio personale dei danni causati a società e terzi in caso di attacchi informatici dovuti a carenze organizzative. Se si va sul pratico è agevole osservare come tanto le minacce interne, che l’uso illecito delle monete virtuali, impongono la predisposizione di regole organizzative e soluzioni tecnologiche. Non si può più immaginare una rete che sia sicura a prescindere da determinati accorgimenti.

Occorre un controllo continuo, e la concessione al singolo lavoratore esclusivamente delle credenziali che servono per svolgere la propria attività. Allo stesso tempo i registri degli accessi ai database devono essere resi inalterabili con strumenti automatici che consentano di accorgersi di eventuali ricerche anomale, scarichi massivi di file o accessi in orari insoliti. In questi casi il sistema deve essere concepito in modo tale da bloccare subito la sessione, registrare l’evento e avvisare sia i responsabili della sicurezza che l’Organismo di Vigilanza. Spostandoci sul fronte finanziario, tutti gli operatori del settore delle criptovalute è il caso che utilizzino software idonei ad analizzare i registri distribuiti così da poter da un lato tracciare le transazioni, dall’altro verificare che i portafogli digitali non siano legati ad attività illecite.

Paolo Galdieri

Avvocato penalista e cassazionista, noto anche come docente di Diritto Penale dell'Informatica, ha rivestito ruoli chiave nell'ambito accademico, tra cui il coordinamento didattico di un Master di II Livello presso La Sapienza di Roma e incarichi di insegnamento in varie università italiane. E' autore di oltre cento pubblicazioni sul diritto penale informatico e ha partecipato a importanti conferenze internazionali come rappresentante sul tema della cyber-criminalità. Inoltre, collabora con enti e trasmissioni televisive, apportando il suo esperto contributo sulla criminalità informatica.

Aree di competenza: Diritto Penale Informatico, Cybercrime Law, Digital Forensics Law, Cybercrime Analysis, Legal Teaching, Scientific Publishing

Visita il sito web dell'autore