4.8. Trasferimenti di cripto-attività effettuati da o verso indirizzi auto-ospitati ai sensi dell’articolo 14, paragrafo 5, e dell’articolo 16, paragrafo 2, del regolamento (UE) 2023/1113

I CASP e gli ICASP dovrebbero considerare che il trasferimento di una cripto-attività sia identificato individualmente quando:

• a) per ciascun trasferimento è utilizzato un codice unico di identificazione, quale un hash di trasferimento o un numero di riferimento; o,
• b) nel trasferimento sono incluse informazioni supplementari che facilitano la sua identificazione.

4.8.2. Identificazione di un trasferimento da o verso un indirizzo auto-ospitato

Per stabilire se un indirizzo auto-ospitato venga utilizzato o meno dalla controparte di un trasferimento, il CASP del cedente e il CASP del cessionario dovrebbero avvalersi dei mezzi tecnici disponibili, tra cui, a titolo esemplificativo ma non esaustivo, l’analisi blockchain , fornitori terzi di dati e identificativi utilizzati dai sistemi di messaggistica.

Se tali informazioni non si possono recuperare con i mezzi tecnici, il CASP del cedente e il CASP del cessionario dovrebbero ottenerle direttamente dal loro cliente. Qualora, in tal caso, il CASP del cedente e il CASP del cessionario stabiliscano che il trasferimento viene effettuato verso o da un altro CASP, essi dovrebbero adottare i provvedimenti necessari per identificare accuratamente il CASP della controparte.

Il CASP del cedente dovrebbe effettuare questa valutazione prima che il trasferimento sia avviato e che le informazioni siano trasmesse ai sensi dell’articolo 14, paragrafo 5, del regolamento (UE) 2023/1113; il CASP del cessionario dovrebbe effettuare questa valutazione prima che le cripto-attività siano messe a disposizione del cessionario in conformità dell’articolo 16, paragrafo 2, di detto regolamento.

4.8.3. Identificazione del cedente e del cessionario in un trasferimento da o verso un indirizzo auto-ospitato

Se la controparte del trasferimento utilizza un indirizzo auto-ospitato, i CASP dovrebbero acquisire dal loro cliente i dati informativi sul cedente o sul cessionario. 4.8.4. Trasferimenti superiori a 1 000 EUR e prova del titolo di proprietà o del controllo di un indirizzo auto-ospitato

I CASP dovrebbero stabilire se un trasferimento che coinvolge un indirizzo auto-ospitato sia pari o superiore a 1 000 EUR:

• a) nel momento in cui il trasferimento è stato ordinato o avviato, nel caso del CASP del cedente; oppure
• b) nel momento della ricezione, nel caso del CASP del cessionario.

Per determinare se il valore dei trasferimenti da o verso indirizzi auto-ospitati superi 1 000 EUR, i CASP dovrebbero utilizzare il tasso di cambio della cripto-attività trasferita per determinarne il valore in euro al momento del trasferimento e indipendentemente dalle commissioni di transazione.

Al fine di valutare se l’indirizzo auto-ospitato sia di proprietà del cedente o del cessionario o controllato dal cedente o dal cessionario, rispettivamente, i CASP dovrebbero utilizzare almeno uno dei seguenti metodi di verifica:

• a) verifiche non presenziate, come specificato negli Orientamenti sull’utilizzo di soluzioni di onboarding a distanza del cliente per le finalità di cui all’articolo 13, paragrafo 1, della direttiva (UE) 2015/849 (⁹ ), che mostrano l’indirizzo;
• b) verifiche assistite, come specificato negli Orientamenti sull’utilizzo di soluzioni di onboarding a distanza del cliente per le finalità di cui all’articolo 13, paragrafo 1, della direttiva (UE) 2015/849;
• c) invio di un importo predefinito (preferibilmente la denominazione più piccola di una determinata cripto-attività), stabilito dal CASP, da e verso l’indirizzo auto-ospitato al conto del CASP;
• d) richiesta al cliente di firmare digitalmente un messaggio specifico nel software del conto e del portafoglio con la chiave corrispondente a tale indirizzo;
• e) altri mezzi tecnici adeguati, a condizione che consentano una valutazione affidabile e sicura e che il CASP sia totalmente certo di sapere chi sia il proprietario dell’indirizzo o chi ne abbia il controllo.

La decisione su quale o quali metodi scegliere dovrebbe dipendere:

• a) dalle capacità tecniche dell’indirizzo auto-ospitato;
• b) dalla solidità della valutazione che ciascun metodo può offrire;
• c) dal rischio di riciclaggio e finanziamento del terrorismo.

(⁹ ) EBA/GL/2022/15.

Qualora un unico metodo non sia sufficientemente affidabile da solo per accertare in modo ragionevole chi detenga la proprietà o il controllo di un indirizzo auto-ospitato, il CASP dovrebbe avvalersi di una combinazione di metodi.

Nel caso in cui il CASP si sia pienamente assicurato che l’indirizzo auto-ospitato sia di proprietà del cliente o da questi controllato, il CASP dovrebbe documentarlo nei propri sistemi e potrebbe non rendersi necessario che riapplichi le misure di cui sopra alle operazioni successive da o verso lo stesso indirizzo (« whitelisting » o iscrizione in una lista bianca). Un CASP che si avvalga di tale iscrizione deve disporre di controlli per individuare modifiche del rischio di riciclaggio e di finanziamento del terrorismo dell’indirizzo auto-ospitato e del relativo titolo di proprietà o controllo. Qualora il CASP stabilisca che sia cambiato il rischio di riciclaggio e di finanziamento del terrorismo associato all’indirizzo auto-ospitato o che vi siano indizi del fatto che il suo cliente non possieda o non controlli più l’indirizzo auto-ospitato, dovrebbe rimuovere questo indirizzo dalla sua lista bianca.

4.8.5. Misure di mitigazione da attuare in merito ai trasferimenti da o verso un indirizzo auto-ospitato

I CASP dovrebbero valutare il rischio associato ai trasferimenti da o verso un indirizzo auto-ospitato, come indicato alla sezione 4.5.3 e conformemente agli Orientamenti dell’ABE relativi ai fattori di rischio di ML/TF, utilizzando tutti i dati informativi relativi ai cedenti e ai cessionari, agli schemi e alle aree geografiche, nonché le informazioni provenienti dalle autorità di regolamentazione, dalle autorità di contrasto e da terzi.

I CASP dovrebbero applicare almeno una delle misure di mitigazione del rischio di cui all’articolo 19 bis, paragrafo 1, della direttiva (UE) 2015/849 che sono commisurate ai rischi individuati, anche nei casi in cui il CASP:

• a) è o viene a conoscenza del fatto che le informazioni sul cedente o sul cessionario che utilizzano l’indirizzo auto-ospitato sono imprecise; o
• b) riscontra schemi anomali o sospetti di operazioni o situazioni a più alto rischio di riciclaggio e finanziamento del terrorismo associate a trasferimenti che coinvolgono indirizzi auto-ospitati, conformemente agli Orientamenti dell’ABE relativi ai fattori di rischio di ML/TF.

Se, a seguito della valutazione di cui alla sezione 4.8.4., si stabilisce che l’indirizzo auto-ospitato è di proprietà di un terzo o è da questi controllato anziché dal cliente del CASP, si può ritenere che la verifica di cui all’articolo 19 bis, paragrafo 1, lettera a), della direttiva (UE) 2015/849 sia stata effettuata se:

• a) il CASP acquisisce dati supplementari da altre fonti per verificare le informazioni trasmesse, compresi, a titolo non esaustivo, i dati analitici della blockchain , i dati di terzi, i dati di autorità riconosciute e le informazioni pubblicamente disponibili, purché siano attendibili e indipendenti;
• b) il CASP utilizza altri mezzi adeguati, a condizione di essere totalmente certo di conoscere l’identità del cedente o del cessionario e di poterlo dimostrare alla propria autorità competente.

Qualora tali trasferimenti destino sospetti di riciclaggio e finanziamento del terrorismo, i CASP dovrebbero effettuare una segnalazione alla FIU ai sensi della direttiva (UE) 2015/849.