Scegliere un exchange di criptovalute non è un esercizio di branding, ma una valutazione di rischio e di governance. Le differenze tra operatori sono profonde: perimetro regolamentare, qualità delle riserve, processi AML/KYC segregazione degli asset e resilienza operativa incidono sul destino dei fondi quanto e più delle commissioni. Per evitare sorprese, serve un metodo: una sequenza di controlli verificabili e una matrice comparativa che renda trasparenti compromessi e priorità.
Questa guida fornisce un percorso pratico in sei passaggi: dalle licenze alla proof of reserves (PoR), dai controlli antiriciclaggio alla gestione del rischio controparte fino alle best practice di onboarding e alla custodia ibrida. L’obiettivo è ridurre l’incertezza, standardizzare la selezione e mettere i capitali dove la struttura di controllo è misurabile.
1) Licenze e perimetro normativo: verifiche essenziali
La prima verifica riguarda la licenza e la giurisdizione. Identificare l’entità legale con cui si contratta (nome, numero di registrazione, sede) e controllare il registro dell’autorità competente. Valutare se l’operatore è un VASP o equivalente, se dispone di permessi per custodiatrading e servizi fiat e se mantiene libri contabili auditati. Analizzare il perimetro della licenza (cliente retail vs. professionale), le capital requirements e gli obblighi di segregation of client assets. Attenzione alle strutture multi-entità: capire dove risiedono conti e wallet, quale legge si applica e quali tutele esistono in caso di insolvenza o dispute transfrontaliere.
2) Proof of reserves: cosa deve dimostrare davvero
Una proof of reserves credibile deve collegare asset on-chain e passività verso clienti. Verificare: a) copertura per asset principali (BTC, ETH, stablecoin), b) uso di Merkle tree con possibilità di self-check c) attestazioni periodiche da terze parti qualificate, d) esclusione di fondi presi a prestito per mostrare saldi. La PoR ha valore solo se accompagnata da disclosure delle passività e dei controlli di accesso alle chiavi (policy di multi-sigHSM rotazioni). Richiedere evidenza di segregazione tra hot, warm e cold wallet, limiti di prelievo giornalieri e procedure di incident response in caso di compromissione.
3) Controlli AML/KYC e monitoraggio delle transazioni
Un exchange affidabile espone politiche AML chiare, con KYC proporzionale al rischio, screening sanzionatorio aggiornato e transaction monitoring continuo. Verificare la presenza di Travel Rule compliance, liste PEP e controlli su giurisdizioni ad alto rischio. Valutare strumenti di blockchain analytics per il tracciamento dei flussi, processi di case management e tempi di risposta alle segnalazioni. La governance include ruoli e responsabilità: un MLRO identificato, formazione periodica del personale, audit interni e canali di whistleblowing. La qualità del framework AML è un proxy della disciplina operativa complessiva e riduce rischi di blocchi o chiusure improvvise di conti.
4) Rischio controparte: esposizione, limiti e segregazione
Il rischio controparte si gestisce prima del deposito. Definire una risk appetite e calcolare l’esposizione massima per singolo exchange, coperta da limiti quantitativi (percentuale del portafoglio) e temporali (giorni di permanenza media). Richiedere conferme su segregazione degli asset dei clienti, politiche di prestito e riutilizzo della liquidità, oltre a coperture assicurative rilevanti. Valutare la resilienza: uptime storico, post-mortem pubblici, test di stress su prelievi, procedure di disaster recovery e business continuity. Integrare controlli di counterparty score che uniscano indicatori On-chain, finanziari e di governance in un’unica metrica operativa.
5) Matrice comparativa: fee, liquidità e governance
Confrontare gli exchange con una matrice standardizzata riduce i bias. Di seguito una struttura base da adattare:
| Criterio | Indicatore | Valutazione | Peso |
|---|---|---|---|
| Fee | Maker/Taker effettive, costi prelievo | Basso/Medio/Alto | 15% |
| Liquidità | Spreads, profondità book, slippage | Buona/Media/Bassa | 20% |
| Governance | Board, audit, policy rischio | Solida/Discreta/Debole | 20% |
| Licenze | Perimetro, enforcement, sanzioni | Ampio/Limitato/Nullo | 15% |
| PoR | Copertura, frequenza, terze parti | Alta/Media/Bassa | 15% |
| AML/KYC | Travel Rule, screening, analytics | Robusto/Adeguato/Carente | 10% |
| Operatività | Uptime, incidenti, assistenza | Affidabile/Variabile/Critica | 5% |
Attribuire un punteggio numerico a ciascun indicatore e moltiplicarlo per il peso consente di ottenere un ranking oggettivo. Aggiornare la matrice trimestralmente, includendo note su modifiche regolamentari, variazioni delle commissioni e cambiamenti del management.
6) Onboarding operativo e custodia ibrida: best practice
Una volta selezionato l’exchange, l’onboarding deve seguire procedure ripetibili. Passi chiave: 1) predisporre account segregati per team e funzioni, 2) abilitare 2FA hardware e liste di allowlist per i prelievi, 3) definire ruoli con principio del least privilege 4) testare micro-depositi e tempi di settlement 5) impostare alert su variazioni di indirizzi e limiti. Per la custodia ibrida mantenere la maggioranza degli asset in cold storage proprietario e il minimo necessario in hot wallet dell’exchange; usare policy di ribilanciamento automatico, registro delle approvazioni e backup delle chiavi in HSM o soluzioni MPC. Documentare tutto in un runbook con contatti d’emergenza e scenari di failover, inclusi processi per migrazione rapida verso un provider alternativo.
