La compliance è diventata il tallone d'Achille

Il regime di compliance è diventato la superficie di attacco

Nel 2026, il percorso regolamentato, auditato e pienamente autorizzato attraverso cui un utente di criptovalute attesta la propria identità genera ormai, di routine, dataset che il mercato criminale non sarebbe in grado di assemblare autonomamente, a nessun prezzo e con qualsiasi quantità di phishing o reclutamento di insider. Questo è il dato strutturale attorno al quale si costruisce il presente saggio. L'apparato Know Your Customer, venduto a legislatori e opinione pubblica come regime di prevenzione delle frodi, è nella sua architettura attuale divenuto il più grande singolo fattore di crescita dell'inventario del furto d'identità nella storia del consumer internet. Il motivo non risiede nella malizia di alcun vendor in particolare, bensì nella semplice geometria della concentrazione: un ristretto numero di provider specializzati detiene oggi i record d'identità verificata di una frazione enorme degli utenti crypto a livello globale, e quando anche un solo operatore tra questi viene violato, la perdita si conta in centinaia di milioni di record alla volta. L'argomento qui non è che le regole anti-riciclaggio siano sbagliate in principio. L'argomento è che la specifica forma istituzionale assunta da tali regole, quella che convoglia ogni flusso di onboarding attraverso una manciata di vendor, ha prodotto un single point of failure prevedibile, predetto e oggi realizzato; e che il 2026 è l'anno in cui è arrivato il conto.

Cinque incidenti, in ordine

• Cryptomus, 16 ottobre 2025. FINTRAC, il regolatore canadese dell'intelligence finanziaria, ha inflitto una sanzione di 176 milioni di dollari a Xeltox Enterprises, operatore del processore di pagamenti Cryptomus, per quello che Krebs on Security ha riportato come un fallimento sistematico nel presentare segnalazioni di attività sospette su transazioni che i ricercatori avevano ripetutamente collegato a affiliati di ransomware e mercati di credenziali rubate. Il vettore qui non è una data breach in senso strettamente tecnico, bensì il suo inverso: un chokepoint regolamentato che non ha chokepointato nulla. Stesso problema strutturale, sintomo opposto. Abbiamo trattato la sanzione in dettaglio nel [nostro pezzo su Cryptomus](/articles/cryptomus-vancouver-shell).

• Sumsub, inizio 2026. Il vendor di compliance la cui lista di clienti include presumibilmente Bitget, Bitpanda, Bybit, Huobi e Wirex è stato oggetto di una disclosure di breach che, a seconda di quale stima della base utenti di ciascun exchange si consideri affidabile, ha toccato i record d'identità verificata di un numero di trader compreso tra quindici e quaranta milioni. Il danno è difficile da quantificare con precisione perché ogni exchange a valle ha incentivo a minimizzare, e Sumsub stesso ha incentivo a restringere la portata; ma il dato centrale è che un singolo compromesso di vendor si è propagato a cascata su cinque venue principali contemporaneamente.

• IDMerit, divulgato il 18 febbraio 2026. Un miliardo di record, ventisei paesi, nomi legali completi incrociati con numeri d'identità nazionali, metadati di telecomunicazioni e i log delle decisioni AML che registrano perché ogni cliente è stato approvato o segnalato. L'incident report di Bright Defense e il follow-up di Cybernews hanno stabilito che il corpus esposto includeva non solo gli input d'identificazione personale, ma anche i punteggi AML strutturati su cui le istituzioni a valle avevano fatto affidamento; il che significa che la fuga è doppiamente armabile: i criminali ottengono l'identità, e ottengono anche la risposta di compliance che quell'identità produrrà. La nostra [analisi approfondita su IDMerit](/articles/idmerit-billion-kyc-sim-swap) illustra lo schema dei record.

• Presunta fuga di accesso amministrativo di Kraken, marzo 2026. TorNews ha riportato che un venditore sul dark web offriva accesso amministrativo in sola lettura a profili utente, cronologia completa delle transazioni, archivi dei ticket di supporto e documenti KYC caricati presso un exchange di primo piano identificato nell'annuncio come Kraken. L'exchange non ha confermato la notizia e noi la trattiamo come presunta. La includiamo qui perché, confermata o meno, l'annuncio è coerente con il pattern: il prodotto di mercato criminale dal valore più alto nel 2026 non è più rappresentato dai dump di carte di credito, bensì dai bundle d'identità verificata di grado exchange.

• Bug di consenso di Zcash Orchard, 29 maggio 2026. Un dominio diverso, una modalità di fallimento diversa, e probabilmente un saggio diverso, ma la lezione fa rima. Il pool Orchard, un primitivo di privacy su cui dipende una frazione non banale dell'economia delle privacy coin, è stato rilasciato con un bug sopravvissuto a multipli audit, perché la popolazione di crittografi qualificati a revisionare codice di circuiti zk-SNARK è ristretta e il mercato dell'audit per quella popolazione è esile. I primitivi critici che dipendono da un piccolo numero di occhi qualificati falliscono nello stesso modo strutturale in cui fallisce l'infrastruttura di compliance critica che dipende da un piccolo numero di vendor qualificati. Abbiamo discusso l'incidente Orchard nel nostro [pezzo sull'audit dei primitivi](/articles/zcash-orchard-4-years-undetected).

Perché la specializzazione compone il rischio

La difesa standard dell'architettura attuale procede come segue: i vendor specializzati svolgono la compliance meglio di quanto ogni exchange potrebbe farla internamente, per cui consolidare l'onboarding attraverso specialisti migliora la qualità media dei risultati. Questo è, nel senso tecnico stretto dei tassi di falsi positivi e della latenza decisionale, probabilmente vero. È anche irrilevante rispetto alla domanda che conta davvero, cioè il rischio di coda di un singolo compromesso di vendor. La specializzazione migliora la media e peggiora la coda simultaneamente, e un regolatore che guardi solo alla qualità media della compliance premierà esattamente la consolidazione che produce i peggiori esiti di coda. L'aggiornamento 2025 del FATF sui virtual asset service providers, nel suo linguaggio guida sull'"applicazione coerente" della due diligence cliente, raccomanda attivamente il tipo di standardizzazione vendor-led che produce questa concentrazione. MiCA nell'Unione Europea, il Transfer of Funds Regulation e il GENIUS Act degli Stati Uniti spingono, per design e per struttura delle esenzioni, verso un piccolo numero di controparti di compliance approvate. Il regime non è centralizzato accidentalmente. È centralizzato perché il percorso più economico per una compliance regolamentare dimostrabile consiste nell'esternalizzare a un vendor che il regolatore ha già implicitamente benedetto.

Il record storico era già scritto sul muro

Il repository etheralpha/kycisbad mantiene, dal 2019, un registro pubblico di fughe e breach legati a KYC. Le sole voci pre-2025 documentano più di una dozzina di incidenti presso exchange, custodi e vendor d'identità dedicati, dal leak di email di BitMEX nel 2019 passando per la lista dei creditori di Celsius nel 2022 e l'incidente del vendor di supporto di Gemini nel 2024. Il pattern visibile attraverso quegli anni non è che qualche provider fosse unicamente negligente. È che la superficie definita dai "luoghi in cui un record d'identità verificata è a riposo" cresce monotonicamente ogni trimestre, e la probabilità che nessuno di quei luoghi sia compromesso in una qualsiasi finestra di dodici mesi è ormai effettivamente zero. Gli incidenti del 2026 non sono una categoria nuova di fallimento. Sono la continuazione prevista di un trend pluriennale che l'architettura regolamentare ha costantemente peggiorato.

Quanto costa davvero il teatro della compliance

Fate i conti onestamente. Il solo corpus IDMerit, stimato al tasso di mercato dark web per record d'identità verificata con metadati AML associati, vale sul mercato criminale più di qualsiasi singola operazione ransomware abbia incassato in tutto il 2025. Questo è un solo breach. Messo in contrapposizione a quella perdita, il beneficio AML marginale, misurato come il volume incrementale di fondi illeciti rilevato al livello vendor KYC piuttosto che al livello di monitoraggio delle transazioni dell'exchange, rende il trade, in numeri chiari, catastrofico. La formulazione onesta è che il regime impone un incremento di furto d'identità su scala industriale, pressoché certo, sulla base utenti, in cambio di un miglioramento marginale del segnale AML che gli stessi exchange avrebbero potuto produrre dalle analisi on-chain senza mai assemblare il corpus d'identità off-chain.

Cosa cambia per la Directory

Stiamo adottando tre passi editoriali in risposta. Primo, pubblichiamo, come progetto in corso, la mappa delle relazioni vendor KYC per exchange, in modo che un utente che valuti un exchange possa vedere quale vendor di compliance finirà per detenere i suoi documenti e possa prendere la ovvia decisione di rischio per sé. Secondo, eleviamo nel nostro sistema di ranking quelle venue che instradano l'identità attraverso chiavi detenute dall'utente, schemi proof-of-personhood o attestazioni a conoscenza zero, sulla base esplicita che decentralizzare lo strato di storage dell'identità è ormai una proprietà di sicurezza di primo ordine, e non una preferenza crittografica di nicchia. Terzo, e questa è la posizione editoriale che la Directory manterrà per iscritto finché le evidenze non cambiano, sosteniamo che la risposta di policy non è l'abbandono degli obblighi AML, bensì lo smantellamento dell'architettura vendor centralizzata che quegli obblighi hanno prodotto. La domanda del regolatore dovrebbe smettere di essere "l'exchange ha verificato l'utente" e diventare "l'exchange ha verificato l'utente senza produrre una copia dell'identità dell'utente che un attaccante possa rubare". Queste sono domande diverse, e solo una di esse ha una risposta difendibile nel 2026.

Fonti

• Krebs on Security, Canada Fines Cybercrime-Friendly Cryptomus $176M (ottobre 2025)
• Cybernews, Global data leak exposes billion records (febbraio 2026)
• Bright Defense, IDMerit data breach analysis
• TorNews, Kraken admin internal access leaked on dark web
• etheralpha/kycisbad, historical record of KYC leaks
• FATF, Updated Guidance for a Risk-Based Approach to Virtual Assets and VASPs, revisione 2025.
• NoKYC Directory, [Sanzioni FINTRAC a Cryptomus](/articles/cryptomus-vancouver-shell)
• NoKYC Directory, [IDMerit: un miliardo di record e cosa contenevano davvero](/articles/idmerit-billion-kyc-sim-swap)

Registro delle modifiche

• 2026-04-22 : Estratto il repository etheralpha/kycisbad, presi appunti sugli incidenti pre-2025 per stabilire il pattern lungo.
• 2026-05-04 : Incrociata la lista clienti Sumsub con le stime del numero di utenti di Bitget, Bybit e Huobi da CoinGecko per quantificare la portata della cascata.
• 2026-05-17 : Letto l'aggiornamento FATF 2025 sui virtual asset service providers, presi appunti sul linguaggio di raccomandazione della centralizzazione per la sezione del meccanismo strutturale.
• 2026-05-28 : Bozzata la sezione "teatro della compliance", tagliati tre paragrafi che scivolavano nel polemico e riscritta con sourcing rigoroso sui filing IDMerit e Cryptomus.
• 2026-06-04 : Passaggio finale, rimossi i trattini emme in tutto il testo, aggiunti cross-link interni agli articoli #2 e #3, serrato il paragrafo verdetto in un impegno editoriale a tre passi.