Chi investe in crypto o gestisce piccoli flussi per conto terzi si muove tra due obiettivi: rispettare KYC/AML e difendere una privacy lecita. Un equilibrio possibile esiste, se si impostano procedure essenziali, strumenti giusti e un processo documentato. Non serve diventare analisti forensi: bastano check ripetibili, tracciabilità minimale e buon senso operativo.
Questo tutorial offre un percorso pratico: come organizzare un framework leggero, quali tool usare per l’analisi on-chain come leggere le tipiche red flag e quali abitudini di custodia adottare. L’obiettivo è ridurre il rischio di compliance e le frizioni con exchange, banche e fornitori, evitando esposizioni a fondi contaminati o flussi opachi.
Impostare un framework KYC/AML leggero
Per il retail e i piccoli operatori, la parola chiave è proporzionalità. Serve un set di controlli essenziali, ripetibili e documentabili. Definire: (1) identificazione del cliente/controparte con verifica basica (documento, selfie/liveness ove richiesto); (2) scopo e natura della relazione (acquisto, pagamento, custodia); (3) profilo di rischio semplificato (paese, crypto usate, volumi attesi, presenza di PEP/sanzioni); (4) monitoraggio eventi anomali (importi fuori soglia, indirizzi nuovi ricorrenti, uso di mixer). Fissare soglie operative: sotto importi modesti si applicano controlli ridotti, sopra soglia si chiedono proof of funds e spiegazione della source of funds.
Strumenti di analisi on-chain e address screening
Lo screening degli indirizzi è il fulcro per evitare fondi contaminati. Soluzioni professionali come ChainalysisTRM LabsElliptic offrono punteggi di rischio, tag su mixerscam mercati illeciti, bridge ad alto rischio. In ambito open o accessibile: BreadcrumbsGraphSenseoxt.meBlockchairEtherscan (etichette), OKLinkArkham per analisi mirate. Best practice: (1) controllare l’indirizzo prima di ricevere; (2) valutare il proximity risk rispetto a entità sanzionate; (3) salvare screenshot/URL del check; (4) ripetere su catene/asset diversi in caso di cross-chain. Integrare, dove possibile, liste sanzioni/PEP e alert automatici.
Red flag ricorrenti da riconoscere subito
Alcuni pattern aumentano il rischio AML: (1) fondi che arrivano da mixertumblers o servizi di privacy non custodial usati in prossimità del pagamento; (2) flussi con peel chain a molteplici hop rapidi e importi frazionati; (3) transiti attraverso bridge noti per incidenti o riciclaggio; (4) pressione per completare in urgenza con cambi di indirizzo; (5) asset freshly minted o token illiquidi senza mercato; (6) dusting su indirizzi prima dell’operazione; (7) mismatch tra source of funds dichiarata e cronologia on-chain; (8) rifiuto di fornire dati minimi identificativi su importi rilevanti. Una singola red flag non basta: conta il quadro complessivo e la capacità di documentare la valutazione.
Buone pratiche di custodia e tracciabilità lecita
La custodia è parte integrante del KYC/AML. Usare hardware wallet attivare multisig per importi importanti e mantenere accounting separato per fondi personali e fondi di terzi. Etichettare nel wallet gli indirizzi di deposito/provenienza, evitare il riciclo casuale di UTXO e preferire consolidate periodiche per ridurre co-spending ambiguo. Per ETH e EVM, separare EOA dedicati a incassi, operatività DeFi e cold storage. Annotare txid rilevanti, motivazione e controparte. Se si usano servizi custodial, abilitare whitelist di indirizzi e 2FA. L’obiettivo è rendere ricostruibile la storia dei fondi senza esporre più dati del necessario.
Flussi operativi per retail e per piccoli operatori
Per il retail: (1) scegliere un exchange KYC affidabile; (2) inviare fondi a un proprio wallet pulito; (3) mantenere un indirizzo di ricezione dedicato per controparti; (4) fare screening dell’indirizzo controparte prima di ogni pagamento; (5) archiviare prova d’acquisto, txid e screenshot del controllo; (6) per importi elevati, predisporre breve source of funds. Per piccoli operatori: workflow con intake form leggero, check sanzioni/PEP, address screening, soglie per enhanced due diligence registri delle operazioni e policy di record-keeping. Prevedere una procedura di sospensione se emergono segnali critici.
Privacy non è opacità. Cosa fare: usare account separation indirizzi distinti per clienti, VPN affidabile, metadati minimizzati su memo/tag pubblici, labeling interno accurato, rotazione ragionata degli indirizzi. Cosa evitare: mescolare fondi di molte controparti nello stesso UTXO usare mixer poco prima di un pagamento verso istituzioni, attraversare bridge con storie problematiche, accettare asset illiquidi. Se si impiegano strumenti di coin control o tecniche di privacy, farlo lontano temporalmente dalle operazioni verso soggetti regolati e mantenere una documentazione chiara che giustifichi le scelte tecniche.
Checklist rapida di conformità e manutenzione
Una lista breve aiuta la disciplina: (1) policy scritta con soglie e responsabilità; (2) toolkit definito per address screening; (3) registro operazioni con txid e allegati; (4) revisione trimestrale degli indirizzi interni e sanificazione dei flussi; (5) aggiornamento delle liste sanzioni/PEP(6) test periodico di recupero wallet e backup sicuri; (7) formazione minima su nuovi pattern di rischio (bridge, L2, mixer, privacy pools). Un processo semplice ma costante riduce blocchi, chiusure di conto e contestazioni con provider.
