a16z ripensa il KYC: le istituzioni abbracciano la blockchain, senza rimanere intrappolate nei tradizionali framework KYC

La verifica dell'identità tradizionale sta ostacolando l'ingresso delle istituzioni nella blockchain.

Autori: Maggie Hsu, Michele Korver, a16zcrypto

Compilato da: Chopper, Foresight News

La verifica «Know Your Customer» (KYC) è spesso vista come un ostacolo all'accesso delle istituzioni all'ecosistema blockchain e allo sviluppo complessivo della DeFi.

Per chi non è familiare con il termine, queste verifiche sono una parte necessaria per le istituzioni finanziarie per adempiere agli obblighi di lotta contro il riciclaggio di denaro e il finanziamento del terrorismo, come previsto dal Bank Secrecy Act (BSA). Questo processo richiede coordinamento tra emittenti, enti di verifica e autorità di regolamentazione, ognuno con meccanismi di incentivazione, tempistiche e requisiti legali diversi.

Per banche, broker e altre istituzioni soggette al BSA, portare i prodotti tokenizzati sulla blockchain presenta la sfida di soddisfare i requisiti normativi mentre si raggiungono più clienti e si ottiene liquidità, il che può aumentare tempo e complessità. Ad esempio, quando un nuovo cliente si registra, le istituzioni spesso devono ripetere la verifica dell'identità, anche se l'utente ha già completato una verifica simile altrove. Fortunatamente, nuovi strumenti KYC progettati specificamente per la blockchain potrebbero rendere i risultati della verifica dell'identità riutilizzabili, liberandosi dai modelli obsoleti del settore finanziario tradizionale.

Il punto di partenza della discussione è chiarire chi le istituzioni devono identificare. Nel sistema finanziario tradizionale, le istituzioni effettuano transazioni attraverso una rete di intermediari che hanno già completato la verifica dell'identità, e ogni istituzione adempie in modo indipendente ai propri obblighi KYC. Questa logica si applica anche agli scenari on-chain: l'obbligo di identificazione dei clienti per le banche si applica solo ai propri clienti, e non a ogni partecipante nell'infrastruttura di regolamento sottostante.

Il fulcro delle regole di identificazione dei clienti è chi apre un conto in quella banca. Secondo questa interpretazione, un utente non diventa cliente di una banca semplicemente perché scambia con un cliente della banca o scambia con un pool di liquidità fornito dalla banca. Finché la banca costruisce un sistema di conformità adeguato che copre i propri clienti e le transazioni correlate, può soddisfare gli obblighi di conformità previsti dal BSA.

Il Dipartimento del Tesoro degli Stati Uniti sta attualmente studiando come le istituzioni finanziarie possano utilizzare queste nuove tecnologie e metodi per soddisfare i requisiti di anti-riciclaggio e anti-terrorismo (AML/CFT), inclusi i programmi di identificazione dei clienti (CIP) e KYC. Con l'implementazione del GENIUS Act, le autorità di regolamentazione devono esaminare e implementare soluzioni e standard innovativi per raggiungere in modo più efficiente gli obiettivi moderni di anti-riciclaggio e anti-terrorismo.

Questo articolo analizzerà prima le condizioni legali e i presupposti pratici per l'implementazione di un KYC riutilizzabile, quindi esplorerà il ruolo di strumenti come le prove a zero conoscenza, i certificati verificabili, i token non trasferibili e l'analisi dei dati on-chain. Infine, daremo uno sguardo al «Know Your Agent»: identificare gli agenti AI, i soggetti che rappresentano e i permessi operativi concessi.

Applicare il KYC nel mondo on-chain

Il processo KYC tradizionale è completato in modo indipendente da ciascuna istituzione finanziaria. Ogni piattaforma verifica l'identità degli utenti al momento della registrazione attraverso un programma di identificazione dei clienti (CIP), conserva registri in modo indipendente e continua a condurre due diligence sui clienti. Le informazioni identificative sono custodite dall'istituzione, che diventa così un intermediario fidato. Quando un utente apre un nuovo conto su una piattaforma, deve ripetere il processo di verifica, anche se gli asset circolano già tra individui e aziende che hanno completato la verifica dell'identità.

Le transazioni blockchain aggiungono un ulteriore livello di complessità. Il trasferimento di asset tra catene, protocolli e portafogli spesso avviene senza intermediari che eseguano il KYC. Un indirizzo di portafoglio può provenire da un exchange soggetto al BSA, da un protocollo DeFi o da un'applicazione di consumo. Questi servizi hanno ciascuno i propri framework di rischio e responsabilità, e le regole variano tra le diverse giurisdizioni. Alcuni intermediari non hanno nemmeno l'obbligo di KYC; anche se il KYC è un requisito obbligatorio, attualmente non esiste un framework normativo unificato che consenta di trasferire direttamente i risultati di verifica da un'istituzione A a un'istituzione B. Le istituzioni devono ripetere la verifica dello stesso utente, aumentando i costi e i ritardi.

L'ex commissario della SEC degli Stati Uniti, Peirce, ha recentemente dichiarato: «Il modo in cui abbiamo combattuto le attività finanziarie illecite è rimasto invariato: raccogliere il maggior numero possibile di dati. Questo approccio non ha funzionato bene; lo sviluppo tecnologico ha superato di gran lunga questo vecchio sistema, ed è giunto il momento di un cambiamento».

Le istituzioni finanziarie, gli sviluppatori blockchain e le autorità di regolamentazione stanno creando nuove soluzioni per soddisfare gli obiettivi KYC e di anti-riciclaggio e anti-terrorismo. Una delle direzioni è consentire alle istituzioni di riutilizzare le verifiche dell'identità già completate da altri soggetti. Per implementare questo meccanismo, è necessario chiarire le regole, definire quali soggetti possono fornire risultati di verifica affidabili e chi si assume la responsabilità di conformità.

Riutilizzabilità e ecosistema di fiducia

Gli utenti desiderano effettuare una sola verifica KYC e poterla utilizzare ovunque; questo modello è noto anche come KYC riutilizzabile, KYC basato sulla fiducia o KYC custodito.

Negli scenari off-chain, gli utenti devono comunque ripetere la verifica. Una persona che apre conti in due banche deve completare il KYC in entrambe, anche se un utente normale non apre frequentemente nuovi conti bancari. Tuttavia, nel settore delle criptovalute, gli utenti continuano a connettersi a nuovi prodotti, ma non esiste un intermediario fidato che consenta ai risultati KYC di rimanere validi per l'intero ciclo di transazione.

Le istituzioni non vogliono eliminare il KYC, ma desiderano evitare il KYC ripetuto. Ogni volta che un utente si connette a un nuovo exchange o applicazione, il processo KYC deve ricominciare da capo. Questo comporta costi elevati per le piattaforme e ostacola l'esperienza degli utenti; con la diffusione degli strumenti di deepfake, l'affidabilità dei metodi di verifica tradizionali continua a diminuire. Le banche e altre istituzioni soggette al BSA sono ostacolate da questo meccanismo di verifica dell'identità costoso, invasivo della privacy e difficile da controllare per le attività finanziarie illecite.

La verifica ripetuta significa che gli utenti devono fornire informazioni personali sensibili a più istituzioni. Anche se si inviano documenti d'identità in forma digitale, gli utenti si espongono a rischi per la sicurezza personale e sono più vulnerabili a frodi mirate, stalking, furto d'identità e altri usi illeciti delle informazioni. I credenziali di identità mobili di solito rivelano una volta per tutte il nome completo dell'utente, l'indirizzo, la data di nascita e la foto.

Questi dati personali centralizzati rappresentano un «miele» molto attraente per i criminali finanziari. Se le informazioni vengono intercettate, mal gestite o se le istituzioni conservano i dati oltre il termine, le conseguenze possono essere gravi. Coin Center ha sottolineato che il sistema attuale costringe gli individui a «presentare ripetutamente informazioni personali sensibili a database centralizzati, assumendosi enormi rischi personali». Per evitare tali rischi di sicurezza non necessari, i sostenitori della privacy chiedono alle autorità di regolamentazione di considerare metodi alternativi di verifica dell'identità digitale, oltre ai registri di documenti d'identità governativi.

Un caso di riferimento nel mercato finanziario tradizionale è il registro KYC di SWIFT. Le banche di tutto il mondo utilizzano già la rete di comunicazione SWIFT per trasmettere istruzioni di pagamento transfrontaliere. Nel 2014, SWIFT ha lanciato il registro KYC, estendendo questa infrastruttura al campo della conformità: le banche devono caricare i dati una sola volta e possono condividerli con qualsiasi controparti che ne abbiano bisogno. Questo registro ora copre quasi 8000 istituzioni in oltre 200 paesi; il funzionamento di questo meccanismo è possibile grazie al fatto che le transazioni avvengono tra istituzioni, con l'identità delle controparti già nota.

Attualmente, nel settore delle criptovalute non esiste un registro centralizzato corrispondente. Se Coinbase ha già completato il KYC di un certo utente secondo standard bancari, altre piattaforme possono accettare direttamente questo risultato di verifica? Se un utente KYC completato da Robinhood desidera accedere a un protocollo di prestito on-chain, il lavoro di conformità completato da Robinhood può seguire l'utente?

Questo è ciò che si chiama «liquidità della whitelist». Accedere a un pool di fondi pre-verificati è essenzialmente una distribuzione della capacità di conformità, ma non è un requisito legale obbligatorio. Indipendentemente dal fatto che i clienti operino in un pool di fondi whitelist o in un pool di fondi non autorizzati, gli obblighi di conformità dell'istituzione rimangono invariati. Per quanto riguarda i titoli tokenizzati, la gestione dell'accesso al pool di fondi e la definizione degli standard di accesso alle transazioni possono attivare obblighi normativi ai sensi delle ultime esenzioni innovative della SEC degli Stati Uniti. Gli emittenti di asset stanno già attivamente collaborando con le principali borse globali, sperando di sfruttare i framework di conformità delle borse, ma la relativa architettura commerciale è ancora in fase di costruzione.

Esternalizzazione e fiducia nella conformità

Le nuove soluzioni progettate specificamente per il settore delle criptovalute possono ridurre la raccolta di dati non necessari, fornendo alternative verificabili e auditabili, liberandosi dal KYC «a processo». In effetti, nel settore delle criptovalute stanno emergendo sempre più casi di KYC basato sulla fiducia.

La fiducia nel KYC può essere vista anche come un «ecosistema di fiducia»: una rete di fiducia costruita da fornitori di KYC di grandi dimensioni (o alleanze di fornitori), simile al concetto di accesso single point. I casi di fornitori includono Sumsub ID, World ID, MoonPay e Stripe, che fornisce servizi tramite Privy. La verifica iniziale di solito costa tra 1 e 2 dollari per la piattaforma di avvio, mentre le piattaforme successive richiedono solo di completare alcune fasi del processo KYC (ad esempio, il riconoscimento facciale), riducendo il costo di verifica per ciascun utente.

Un caso recente è l'Open Trading Layer (OTL) di Fireblocks, un protocollo aperto che stabilisce standard unificati per identità, conformità e messaggistica per i partecipanti alla finanza on-chain. È importante notare che il KYC è completato da entità già regolamentate all'interno della rete, e non dall'OTL stesso. L'OTL stabilisce un protocollo condiviso; una volta che un'istituzione all'interno della rete completa la verifica dell'utente, gli altri partecipanti possono riconoscere quello stato di verifica, senza necessità di ripetere la verifica.

Un'altra soluzione simile è il Privado ID (precedentemente noto come Polygon ID, scorporato da Polygon Labs nel 2024 e recentemente fuso con Disco.xyz), che realizza un KYC elettronico riutilizzabile. I certificati verificabili sono generati da enti governativi, banche e fornitori di servizi KYC; gli utenti richiedono, raccolgono e memorizzano i certificati nel proprio portafoglio di identità. Gli enti di verifica possono interrogare il portafoglio dell'utente per i certificati corrispondenti, sia in scenari on-chain che off-chain.

SpruceID è un'altra soluzione basata su standard di identità. Entità fidate come i dipartimenti dei veicoli a motore e le agenzie di licenze statali rilasciano certificati digitali verificabili, che gli utenti memorizzano sui propri telefoni. Questi strumenti semplificano il riutilizzo dei risultati di verifica, ma le istituzioni devono essere chiare sulla propria responsabilità legale quando accettano i risultati di verifica di terzi.

Le istituzioni possono esternalizzare le operazioni KYC, ma la qualificazione legale dipende dal fornitore e dal modello di collaborazione. Secondo il manuale BSA/AML del FFIEC, l'accettazione è una clausola legale specifica che si applica solo all'accettazione dei risultati di verifica di un'altra istituzione finanziaria regolamentata. Se il partner è un fornitore di verifica dell'identità o un'agenzia di credito che non soddisfa i requisiti, si tratta solo di esternalizzazione. In questo caso, l'istituzione deve comunque assumersi la piena responsabilità del progetto di identificazione dei clienti.

Allo stesso modo, il Gruppo di Azione Finanziaria (FATF), che stabilisce standard globali per l'anti-riciclaggio e l'anti-terrorismo, stabilisce che i paesi possono consentire alle istituzioni finanziarie di delegare a terzi parte del lavoro di due diligence sui clienti, ma devono soddisfare tre condizioni:

1. Il terzo deve essere soggetto a regolamentazione e supervisione relative all'anti-riciclaggio e al KYC, e deve avere misure di conformità adeguate;
2. L'ente di accettazione deve poter richiedere, su richiesta, i dati originali KYC sottostanti;
3. L'ente di accettazione si assume la piena responsabilità legale per il risultato finale di conformità.

Queste regole non possono essere applicate direttamente al settore delle criptovalute. Primo, il requisito di «richiesta immediata dei dati originali» implica che le autorità di regolamentazione o di enforcement debbano poter richiedere in qualsiasi momento le informazioni personali degli utenti. Questo è in conflitto diretto con il design della protezione della privacy della maggior parte delle soluzioni KYC on-chain.

Inoltre, molte piattaforme di criptovalute non soddisfano la definizione di «entità regolamentata» stabilita dalle regole di accettazione KYC e anti-riciclaggio degli Stati Uniti, anche se sono registrate come aziende di servizi monetari o società fiduciarie autorizzate a livello statale e si assumono i propri obblighi di anti-riciclaggio. Pertanto, non possono fungere da controparti formali per le relazioni di accettazione.

Questo è un ostacolo che deve essere affrontato mentre il Dipartimento del Tesoro degli Stati Uniti promuove un approccio più flessibile e nativo per l'identificazione dei clienti nel settore delle criptovalute. Le soluzioni decentralizzate sono più economiche, più efficienti e possono proteggere meglio la privacy degli utenti, riducendo il rischio di violazioni dei dati; tuttavia, le forze dell'ordine hanno ancora bisogno di una fonte affidabile in grado di confermare l'identità reale degli utenti e fornire prove scritte per indagini o procedimenti legali.

Oltre ai requisiti dei programmi anti-riciclaggio, le istituzioni finanziarie devono anche rispettare le regole sul trasferimento di fondi, comunemente note come "regole di viaggio". Qualsiasi istituzione finanziaria o fornitore di servizi di attività virtuali (VASP, che negli Stati Uniti include le istituzioni soggette alla legge sul segreto bancario e che effettuano trasferimenti superiori a una soglia, di solito 3000 dollari; altre giurisdizioni hanno soglie più basse) deve raccogliere e trasmettere le informazioni identificative del mittente e del destinatario alla prossima istituzione nella catena. In un contesto finanziario tradizionale, questo processo è fluido, poiché le banche già possiedono dati KYC e hanno canali di messaggistica consolidati come SWIFT per trasmettere informazioni. Tuttavia, nel settore delle criptovalute, le transazioni on-chain e le informazioni KYC sono separate.

Diverse aziende consolidate offrono soluzioni di conformità alle regole di viaggio specifiche per il settore delle criptovalute. Queste includono il TRUST (soluzione tecnica universale per le regole di viaggio) lanciato dall'alleanza di settore Coinbase, così come prodotti simili di Notabene e Sumsub.

Negli Stati Uniti, la trasmissione dei messaggi delle regole di viaggio è richiesta solo tra istituzioni finanziarie. Le istituzioni finanziarie e i fornitori di servizi di attività virtuali non sono tenuti a inviare tali dati a soggetti non finanziari o non VASP (ad esempio, portafogli auto-gestiti).

Le istituzioni finanziarie non devono preoccuparsi eccessivamente della conformità alle regole di viaggio quando interagiscono con tecnologie blockchain non intermediarie come DeFi e portafogli auto-gestiti. Le banche o gli scambi possono comunque richiedere agli utenti di fornire informazioni per le transazioni di deposito e prelievo dai portafogli auto-gestiti, il che rientra nei requisiti anti-riciclaggio / anti-finanziamento del terrorismo basati sul rischio dell'istituzione, ma le regole di viaggio non impongono tale obbligo.

Tuttavia, ci sono differenze di posizione nelle giurisdizioni al di fuori degli Stati Uniti riguardo alla soglia di importo che attiva le regole e se i VASP devono raccogliere dati da individui / soggetti non VASP. Le politiche di vari paesi sono ancora in fase di definizione. Le autorità di regolamentazione in tutto il mondo stanno ancora esplorando come applicare KYC, anti-riciclaggio e le regole di viaggio agli scenari on-chain.

La buona notizia è che gli Stati Uniti non hanno bisogno di una nuova legislazione speciale. Le leggi e i quadri normativi esistenti possono essere adattati attraverso linee guida normative, revisioni delle regole o esenzioni innovative. Il Congresso ha già riconosciuto la logica di ripartizione delle responsabilità sopra menzionata. Il "GENIUS Act" attribuisce gli obblighi anti-riciclaggio e di sanzione agli emittenti di stablecoin autorizzati, cioè a soggetti identificabili a livello di applicazione, piuttosto che alla rete sottostante non autorizzata attraverso la quale circolano le stablecoin. Le autorità di regolamentazione riconoscono anche il valore delle nuove tecnologie nel campo della conformità. Nel suo documento di proposta di aprile 2026, il FinCEN ha elencato l'apprendimento automatico, l'IA generativa, l'identità digitale, l'analisi di monitoraggio blockchain e le interfacce API come soluzioni innovative per soddisfare gli obblighi normativi.

Il FinCEN, nella proposta, sostiene che le istituzioni finanziarie adottino tecnologie emergenti, affermando che le istituzioni "sperimentano responsabilmente tecnologie innovative nei programmi anti-riciclaggio / anti-finanziamento del terrorismo e non affrontano un significativo controllo normativo o azioni di enforcement solo per aver utilizzato tecnologie innovative." Per facilitare l'implementazione pratica da parte delle istituzioni, il settore delle criptovalute chiede al FinCEN e alle autorità di regolamentazione bancaria di chiarire formalmente, attraverso regole ufficiali o linee guida scritte, quando l'identità digitale può essere utilizzata per soddisfare i requisiti dei programmi anti-riciclaggio, inclusa l'identificazione dei clienti CIP/KYC.

Anche se le linee guida normative diventano più chiare, non tutte le valutazioni KYC possono essere semplificate in prove crittografiche binarie. Le prove a conoscenza zero possono dimostrare la data di nascita, la nazionalità, i risultati dei controlli di sanzione e la detenzione di documenti; ma le indagini anti-riciclaggio più complesse, che richiedono un giudizio umano, non possono fare a meno della due diligence tradizionale.

I certificati verificabili possono assistere o addirittura sostituire alcune fasi dell'identificazione dei clienti CIP/KYC, ma non sostituiranno completamente la due diligence basata sul rischio. Le regole attuali del Dipartimento del Tesoro consentono già metodi di verifica non documentali, e le istituzioni possono combinare diversi metodi di verifica in base alla propria valutazione del rischio. Le FAQ del FinCEN di settembre 2026 riconoscono esplicitamente che i certificati digitali verificabili idonei possono essere utilizzati nei programmi di identificazione dei clienti delle banche, ma non hanno riconosciuto completamente tutti i design delle identità decentralizzate o dei certificati.

Il FinCEN e le autorità di regolamentazione bancaria pertinenti possono perfezionare le linee guida sulla base delle attuali competenze. Le opzioni includono: pubblicazione di linee guida esplicative, aggiunta di FAQ, esenzioni mirate, progetti pilota (approvazione e attuazione dopo il completamento del pilota), standard per gli emittenti di certificati o revisione della normativa. Questo schema consente alle istituzioni finanziarie tradizionali e agli enti pubblici o privati qualificati di emettere certificati verificabili secondo standard uniformi, riducendo la necessità per ogni banca di costruire ripetutamente lo stesso profilo di identità.

Prima di ciò, le istituzioni finanziarie possono già utilizzare strumenti conformi alle regole attuali. Di seguito vengono presentate idee praticabili per l'implementazione.

Soluzioni praticabili

Le istituzioni possono fare affidamento su un sistema backend affidabile e conforme, consentendo la riutilizzazione dei certificati di identità tra diverse applicazioni on-chain. Un fornitore di servizi fidato verifica l'identità dell'utente e genera un certificato di firma digitale che registra il risultato della verifica. L'utente presenta questo certificato ad altre applicazioni, che devono solo verificare la qualifica dell'emittente del certificato per confermare se soddisfa i propri standard di verifica.

Questa idea non è nuova e può essere fatta risalire almeno al concetto di token legati all'anima proposto da Vitalik Buterin nel 2022. Le soluzioni correlate includono l'identità decentralizzata (DID) e i certificati verificabili standard W3C, che non sono esclusivi del settore delle criptovalute.

Nella pratica, un fornitore di servizi KYC conforme "certificato", banche o persino governi fungono da emittenti fidati, verificando l'identità degli utenti e rilasciando certificati. I certificati vengono memorizzati nel portafoglio dell'utente, che può scegliere di divulgare le informazioni necessarie alle applicazioni.

Allo stesso modo, i sistemi di prova a conoscenza zero consentono agli utenti di dimostrare di aver completato il KYC senza rivelare informazioni personali, proteggendo la privacy. Gli utenti possono riutilizzare questo certificato, a condizione che soddisfi i requisiti di identificazione dei clienti CIP dell'ente ricevente, riducendo la necessità di verifiche ripetute.

Il meccanismo di verifica deve anche essere composito, consentendo alle applicazioni di incorporare la logica di verifica nelle proprie verifiche di conformità. Più specificamente, per ottenere il massimo effetto, l'emittente e la piattaforma possono incorporare tale logica nei contratti dei token e nei contratti intelligenti a livello applicativo. Le istituzioni possono eseguire i propri requisiti di conformità senza componenti esterni e senza dover trasferire la logica di conformità alla rete blockchain sottostante.

Metodi di attuazione

Ci sono anche altri strumenti praticabili che aiutano le istituzioni finanziarie a soddisfare i requisiti dei programmi anti-riciclaggio basati sul rischio: conosci il tuo portafoglio (KYW), conosci i tuoi beni (KYA), conosci le tue transazioni (KYT). Gli scambi e i fornitori di servizi di trasferimento di denaro hanno già integrato tali metodi nelle loro soluzioni anti-riciclaggio complessive.

Conosci il tuo portafoglio (KYW)

KYW collega la verifica dell'identità all'indirizzo blockchain utilizzato dal cliente, aiutando le istituzioni a confermare chi controlla effettivamente il portafoglio e quali beni e servizi il cliente è autorizzato ad accedere. KYW include:

• Collegamento dell'identità: di solito avviene durante la fase KYC di apertura del conto, collegando l'identità reale all'indirizzo del portafoglio;
• Verifica della vita e dell'unicità: conferma che l'identità appartiene a un essere umano reale, senza identità duplicate tra portafogli; e aggiorna regolarmente il legame per garantire che la stessa identità reale continui a controllare quel portafoglio;
• Controllo degli accessi / gestione dei permessi: una volta completata la verifica del portafoglio, si ottiene un accesso specifico (se è un investitore qualificato, se la propria area è conforme, se è possibile detenere un certo tipo di bene), cioè il livello di accesso conforme.

La maggior parte delle KYC nel settore delle criptovalute segue ancora modelli tradizionali. Fornitori di servizi come Onfido, Veriff, Trulioo, Socure, Incode, ID.me, Persona, Sumsub e Sardine offrono collegamento dell'identità, verifica dei documenti, verifica della vita e screening anti-riciclaggio. Questa verifica dell'identità avviene principalmente off-chain e, basandosi solo sulla verifica stessa, non è possibile confermare quale utente controlli quale indirizzo del portafoglio; collegare l'identità verificata all'indirizzo del portafoglio è un passaggio aggiuntivo.

Le applicazioni on-chain possono utilizzare token non trasferibili per registrare i risultati della verifica, utilizzare prove a conoscenza zero per limitare la divulgazione delle informazioni personali e utilizzare soluzioni di verifica dell'identità per confermare che l'utente sia un essere umano indipendente. Diverse soluzioni possono essere utilizzate in combinazione.

Questa idea utilizza token non trasferibili e non vendibili, comunemente noti come token legati all'anima, legati permanentemente a un indirizzo del portafoglio specifico. All'interno del sistema KYW, i fornitori di servizi conformi completano la verifica dell'identità dell'utente off-chain, coniando un token nel portafoglio dell'utente come registrazione della verifica. Quadrata è un esempio di questa soluzione, generando token legati all'anima per verificare attributi come nazionalità e età degli utenti.

Questi token facilitano la registrazione della verifica, ma il fatto che non siano trasferibili non impedisce ad altri di prendere il controllo del portafoglio. Ad esempio: se la chiave privata del portafoglio viene rubata e il controllo viene trasferito, l'identità corrispondente al token non corrisponderà più all'attuale controllore del portafoglio. Il sistema deve anche avere meccanismi di scadenza e revoca dei certificati, a seconda dell'implementazione del prodotto; Quadrata supporta la revoca dei certificati da parte dell'emittente.

Una soluzione correlata è incorporare la logica di conformità nei token di attivo. Il ComposerX di DTCC, una piattaforma di tokenizzazione per istituzioni, utilizza un framework di token a consapevolezza della conformità (CATF), imponendo la conformità alle normative e alle regole di transazione durante l'esecuzione delle transazioni. Il successo del trasferimento di attivi dipende dal soddisfacimento delle condizioni di conformità.

Ci sono anche progetti startup che pianificano di emettere token di identità, come Burrata, la cui soluzione tecnologica è praticabile, ma la corrispondenza del prodotto con il mercato è insufficiente, portando alla chiusura.

Le prove a conoscenza zero risolvono un altro aspetto critico: gli utenti possono dimostrare dichiarazioni relative all'identità senza rivelare i dati originali sottostanti. Ci sono già molte soluzioni che possono generare prove a conoscenza zero tramite la scansione di documenti.

• Self.xyz offre una soluzione "pre-KYC" che protegge la privacy: gli utenti scansionano un passaporto fisico, generando una prova a conoscenza zero delle informazioni del passaporto, dimostrando di avere più di 18 anni e di non essere nella lista delle sanzioni. Può fungere da filtro preliminare prima del KYC formale, escludendo bot e portafogli sanzionati, risparmiando tempo.
• Aztec, un L2 di Ethereum per la privacy, ha acquisito zkPassport, adottando un approccio simile per generare prove a conoscenza zero tramite la scansione del passaporto.
• Opacity Labs utilizza un protocollo di sicurezza di trasmissione a conoscenza zero (zkTLS); la sua rete di dati fidati VDN può generare prove verificabili su qualsiasi fatto Web2 (come la proprietà dell'account, la cronologia delle transazioni) e trasmetterle on-chain senza rivelare i dati originali sottostanti.

Infine, ci sono soluzioni di verifica dell'identità. Queste soluzioni non verificano chi è l'utente, ma solo che il portafoglio è controllato da un'unica e reale persona umana.

L'ID mondiale di Worldcoin raccoglie informazioni biometriche dell'iride tramite hardware dedicato chiamato Orb, dimostrando l'unicità umana. Dopo aver acquisito l'immagine dell'iride, viene trasmessa in modo crittografato al telefono dell'utente e l'immagine originale viene eliminata dal dispositivo; viene generato un valore hash che viene confrontato con altri hash per completare la verifica dell'unicità. Gli utenti generano una coppia di chiavi nell'app World, e quando devono dimostrare la loro identità umana unica, generano una prova a conoscenza zero.

La verifica dell'identità umana, combinata con il collegamento dell'identità (dimostrando chi è questa persona reale), può resistere a falsificazioni profonde e ridurre l'uso improprio dell'identità in alcune situazioni, come l'apertura di conti bancari. World ha collaborato con Zoom per confrontare le immagini video degli utenti con l'ID mondiale, contrassegnando gli account Zoom come "verificati come umani". Un'altra soluzione, Human Passport, è stata originariamente utilizzata per proteggere i progetti finanziati da Gitcoin, fornendo strumenti modulari per la verifica dell'identità e la difesa contro attacchi di stregoneria.

Si prega di notare: la verifica dell'identità umana può solo risolvere problemi di attacchi di stregoneria e falsificazioni profonde, ma non soddisfa i requisiti di identificazione dell'identità a livello normativo; per formare una soluzione completa, è ancora necessario combinarla con altri metodi KYC.

Le soluzioni sopra menzionate si concentrano sulle persone dietro i portafogli. Gli attivi stessi portano a un'altra serie di problemi di conformità, inclusi la provenienza degli attivi, la detenzione e le restrizioni sui diritti di trasferimento.

Conosci i tuoi beni (KYA)

KYW si concentra su chi possiede gli attivi, KYA si concentra su cosa può fare questo attivo e con chi può scambiare.

Nel complesso, le disposizioni delle leggi anti-riciclaggio sono ampie. La Legge sulla Riservatezza Bancaria non si preoccupa del tipo di asset; le categorie di asset sono più valutate qualitativamente dagli enti di regolamentazione del mercato: se si tratta di titoli o di merci. Tuttavia, il KYA è uno strumento importante per le istituzioni finanziarie per valutare vari rischi di conformità. Il KYA si concentra sulla provenienza degli asset: come vengono emessi, da chi vengono emessi, includendo la verifica delle proprietà di conformità nella fase di emissione e nell'intero ciclo di vita.

Il modo più diretto per implementarlo è scrivere le restrizioni di trasferimento nel contratto del token al momento dell'emissione. La piattaforma di tokenizzazione RWA Securitize ha incorporato la logica di conformità a livello di token. Quando emette i token BUIDL di BlackRock e ACRED di Apollo, il contratto del token richiede che i trasferimenti possano avvenire solo tra portafogli sulla whitelist. Gli asset non dipendono da un livello di accesso esterno; il contratto del token esegue direttamente le restrizioni di trasferimento. L'ONS di Ondo e l'USTB di Superstate adottano un modello simile: ad ogni transazione, il gancio di trasferimento verifica la whitelist on-chain, e sia il mittente che il destinatario completano la verifica prima che il pagamento possa essere eseguito.

Una delle sfide irrisolte nel campo del KYA è la tracciabilità degli asset: non solo è necessario confermare le proprietà del token, ma anche risalire alla provenienza degli asset. I token emessi da piattaforme regolamentate, con registrazioni KYA pulite, hanno una chiara registrazione di origine. Tuttavia, quando i token vengono trasferiti attraverso ponti, impacchettati o utilizzati come garanzia in protocolli DeFi, la catena di tracciamento può essere compromessa. La fase di emissione può generare registrazioni iniziali chiare; tuttavia, il mantenimento e l'interpretazione di questa registrazione durante il successivo flusso degli asset rimangono una sfida da risolvere, e questo problema è anche correlato alla due diligence delle transazioni KYT di cui si parlerà più avanti.

Tuttavia, questo appartiene più a una questione operativa piuttosto che a una trappola di responsabilità. L'Office of Foreign Assets Control (OFAC) degli Stati Uniti non considera che un'istituzione debba assumere il rischio di sanzioni per ogni indirizzo attraversato dagli asset. Gli strumenti di analisi blockchain possono distinguere tra esposizione al rischio diretto (quando gli asset vengono trasferiti direttamente da un indirizzo sanzionato) e esposizione indiretta a più salti. Le istituzioni gestiscono quest'ultima attraverso soglie di rischio, isolamento degli asset e segnalazione di transazioni sospette, piuttosto che rifiutare tutti gli asset che circolano attraverso infrastrutture non autorizzate.

Conosci la tua transazione (KYT)

Il KYT aiuta le istituzioni a valutare i rischi sopra menzionati, tracciando le relazioni tra diversi portafogli e mappando il percorso di flusso degli asset tra i portafogli.

Il monitoraggio delle transazioni è uno strumento fondamentale per le istituzioni finanziarie, utilizzato per osservare il comportamento dei clienti e identificare attività sospette da segnalare. Per un determinato asset, il KYT può mappare la storia delle transazioni dell'asset durante il suo intero ciclo di vita, mostrando quali portafogli e protocolli sono stati toccati dall'asset. In parole semplici, il KYT esamina principalmente la transazione stessa, indipendentemente dall'identità del soggetto della transazione, o in combinazione con essa. Questo strumento soddisfa i requisiti di due diligence continua (CDD) e di due diligence rafforzata (EDD).

Servizi di analisi on-chain come Chainalysis, Elliptic e TRM possono tracciare le relazioni tra portafogli, risalire ai flussi di fondi attraverso catene e protocolli. Combinando dati on-chain e off-chain con nuovi strumenti AI emergenti, questi prodotti aiutano le istituzioni finanziarie a soddisfare gli obblighi di conformità relativi alla Legge sulla Riservatezza Bancaria e alle sanzioni.

Esempi di strumenti AI correlati includono Eunice.ai, che utilizza un framework di classificazione degli asset per gestire il monitoraggio dei rischi e la divulgazione delle informazioni; Didit, che fornisce screening e monitoraggio delle transazioni, realizzando un'analisi del rischio in tempo reale per portafoglio; Sardine.ai, che completa lo screening iniziale e fornisce monitoraggio continuo delle transazioni quotidiane.

Oltre a KYW, KYA e KYT, alcune blockchain e protocolli incorporano funzionalità di controllo della conformità.

Soluzioni a livello di blockchain

Le blockchain autorizzate e le blockchain pubbliche senza autorizzazione stanno fornendo sempre più strumenti per implementare il controllo degli accessi e proteggere la privacy. Questi strumenti possono intercettare le transazioni prima che vengano completate, a condizione che vengano soddisfatte determinate condizioni, proteggendo al contempo le informazioni sensibili dalla divulgazione e mantenendo un canale di verifica per la regolamentazione.

La Legge sulla Riservatezza Bancaria e le normative sulle sanzioni non richiedono che i nodi di verifica debbano essere autorizzati, identificare tutti i partecipanti alla rete o imporre controlli di accesso su tutta la rete. Indipendentemente dalla rete utilizzata, le istituzioni devono solo assumersi la responsabilità per i propri clienti e le proprie transazioni. Le istituzioni possono scegliere tra le soluzioni sottostanti in base alle esigenze aziendali e di prodotto, a condizione che soddisfino gli obblighi di conformità.

Ad esempio, Canton è una rete pubblica autorizzata; nel modello di privacy delle transazioni, i dettagli delle transazioni sono aperti solo alle parti pertinenti che devono conoscerli, con logica di conformità profondamente integrata nei contratti intelligenti. Un altro esempio è Arc di Circle, dove i nodi di verifica utilizzano un modello autorizzato, ma la blockchain stessa è pubblica; i nodi di verifica sono tutti partecipanti identificabili che hanno completato la verifica KYC/KYB. In confronto, i protocolli senza autorizzazione scelgono i nodi di verifica per ogni transazione. Gestire questa transazione non rende i nodi di verifica controparti delle transazioni delle istituzioni o dei clienti.

Alcuni protocolli senza autorizzazione supportano anche pool di fondi di accesso, gateway o regole, facilitando il controllo degli accessi per gli utenti istituzionali. Solana utilizza funzionalità di estensione dei token per implementare la conformità; attraverso ganci di trasferimento, ogni trasferimento verifica la whitelist on-chain, e solo se sia il mittente che il destinatario sono nella whitelist la transazione può essere eseguita. La verifica forzata a livello di asset viene eseguita, mentre la rete sottostante rimane senza autorizzazione, e la whitelist è generalmente generata off-chain.

Uniswap v4, come protocollo senza autorizzazione, ha una funzione di gancio integrata che può montare logiche personalizzate nei punti chiave del ciclo di vita dello scambio, consentendo di costruire pool di fondi autorizzati. I token stessi rimangono senza autorizzazione, ma solo i pool di fondi impostano soglie di accesso. I terzi che implementano pool di fondi con restrizioni di accesso non trasformano il protocollo stesso in una blockchain autorizzata; l'entità che implementa il pool di fondi e stabilisce le regole di accesso assume le relative responsabilità. Hyperliquid supporta anche la proposta HIP-3, consentendo agli implementatori di limitare le transazioni a indirizzi approvati.

Il protocollo di prestito decentralizzato Morpho consente agli utenti di costruire controlli di conformità con i partecipanti al mercato. Il protocollo stesso non esegue KYC o verifiche di identità. Nel protocollo di prestito a tasso variabile Morpho Blue, se il mercato utilizza token whitelist come USDC versione KYC come garanzia, è possibile implementare controlli di conformità a livello di asset, consentendo solo agli utenti verificati di interagire con quel mercato specifico.

Morpho Midnight, un protocollo di prestito a tasso fisso basato sull'intento, e Morpho Vaults V2, consentono di impostare le autorizzazioni di accesso in modo più flessibile. Morpho Vaults V2 consente ai gestori indipendenti di impostare soglie di accesso personalizzate, limitando le qualifiche dei prestatori, in modo che il capitale possa essere distribuito attraverso le reti a mutuatari con specifiche qualifiche di conformità. Questo design modulare, per le istituzioni che desiderano effettuare transazioni solo con controparti verificate, può utilizzare mercati e vault autorizzati senza compromettere l'efficienza della liquidità dell'intero ecosistema del protocollo. Questa è una scelta di prodotto e di propensione al rischio; gli obblighi di conformità delle istituzioni non dipendono dal fatto che altri partecipanti nel mercato condiviso abbiano completato la verifica.

Trasmissione delle informazioni di conformità cross-chain

Il controllo degli accessi determina chi può partecipare a mercati o vault specifici. Quando gli asset vengono trasferiti tra catene, l'emittente e l'applicazione affrontano un'altra sfida: trasmettere le informazioni di conformità pertinenti, eseguendo regole uniformi su più reti.

LayerZero supporta la trasmissione cross-chain dello "stato di conformità", senza dover ricostruire e mantenere la logica di conformità su ogni catena. Il suo standard di token omogenei su tutta la catena (OFT) supporta ganci logici personalizzati; prima della liquidazione del trasferimento degli asset, sia la catena sorgente che quella di destinazione devono completare la verifica di conformità.

LayerZero V2 introduce una rete di verifica decentralizzata configurabile (DVN) per verificare i messaggi cross-chain. La DVN può essere configurata per eseguire forzatamente la verifica di conformità: controllare se l'utente / portafoglio ha completato il KYC, verificare se l'indirizzo è presente nell'elenco delle sanzioni e confermare che il messaggio contenga metadati delle regole di viaggio, affinché il messaggio venga considerato valido.

Chainlink collega anche la verifica off-chain con i requisiti di conformità on-chain, attraverso il motore di conformità automatizzato Chainlink ACE, portando i dati dei fornitori di servizi KYC sulla blockchain. L'ACE consente il riutilizzo del KYC, supportando l'associazione cross-chain dei portafogli degli utenti: la verifica del certificato e la registrazione una volta possono essere richiamate più volte.

Prospettiva macro

Questi strumenti affrontano diversi aspetti della conformità on-chain. Nella pratica, è necessario integrarli con i sistemi di conformità esistenti per raggiungere i clienti con prodotti tokenizzati.

Il modo più semplice a breve termine è collaborare con scambi già dotati di sistemi di conformità maturi per raggiungere più clienti, ma ciò non è un requisito di conformità obbligatorio. Gli emittenti possono anche scrivere direttamente la logica di controllo nel token stesso; BUIDL, OUSG e USDC sono esempi di questo tipo, consentendo agli asset di circolare su blockchain pubbliche, pur essendo vincolati dalle regole interne del contratto.

La prossima opportunità è rendere riutilizzabili i risultati della verifica di conformità all'interno dell'ecosistema DeFi. In altre parole, le applicazioni e le istituzioni possono fare affidamento sulle informazioni di verifica fornite da altri fornitori di servizi, valutandole rispetto ai propri standard. L'implementazione di questo sistema dipenderà probabilmente da standard di protocollo unificati, da fornitori di servizi software focalizzati sulla conformità e da piattaforme tradizionali con una base di utenti KYC esistente per la distribuzione.

Direzione futura: Conosci il tuo agente (Know Your Agent)

I certificati riutilizzabili possono confermare l'identità dei clienti umani. Ma quando gli agenti AI effettuano transazioni sulla blockchain, gestiscono vault e avviano pagamenti per conto degli utenti, le istituzioni devono anche confermare: chi ha autorizzato questo agente e quali diritti operativi ha. Conoscere il tuo agente (Know Your Agent) estende questa discussione ai software che eseguono operazioni per conto dei clienti, definendo i confini delle loro autorizzazioni.

Proprio come gli esseri umani devono avere un punteggio di credito per richiedere un prestito, anche le transazioni degli agenti AI necessitano di certificati di firma crittografica. Questo è il nuovo framework emergente Know Your Agent: una versione KYC per agenti AI. Senza un framework Know Your Agent ben sviluppato, in caso di problemi di responsabilità, ci si troverà in una situazione imbarazzante in cui nessuno è responsabile e tutti potrebbero essere ritenuti responsabili.

Il framework Know Your Agent richiede nuovi tipi di certificati per dimostrare chi ha autorizzato l'agente, per chi opera e quali vincoli operativi ha. Ogni agente deve essere identificabile, registrabile (legato a un individuo o a un'entità aziendale) e avere una storia di reputazione, con verifiche delle restrizioni di autorizzazione prima delle interazioni. Alcuni schemi operano on-chain, altri off-chain, ma sempre più schemi condividono la stessa base di primitive crittografiche, inclusi i certificati di firma RFC 9421 e i certificati verificabili W3C.

Soluzioni on-chain

Lo standard ERC-8004 sarà implementato sulla mainnet di Ethereum nel gennaio 2026 ed è il primo importante standard di identità per agenti AI sulla blockchain, con oltre 30.000 registrazioni nella prima settimana di lancio. Fornisce un sistema on-chain per registrare agenti AI, tracciare la reputazione e registrare risultati di verifica indipendenti. Per ogni agente, viene coniato un token ERC-721 che punta al file di registrazione dell'agente. Le registrazioni on-chain sono immutabili, hanno una neutralità affidabile e sono combinabili, riducendo la dipendenza da una singola piattaforma.

Self.xyz ha lanciato il Self Agent ID basato su questo standard, che è un sistema di registrazione dell'identità on-chain, legando l'identità degli agenti AI alla prova di identità umana di Self. Ogni agente ha un NFT non trasferibile con una verifica di passaporto, e le applicazioni possono riutilizzare questo certificato per verificare che dietro l'agente ci sia un essere umano reale.

I vantaggi delle soluzioni Know Your Agent on-chain: immutabilità, neutralità affidabile, combinabilità.

Soluzioni off-chain

Molti schemi utilizzano certificati off-chain e messaggi firmati per identificare agenti e definire autorizzazioni, anche se le transazioni avvengono on-chain.

• Google ha introdotto il protocollo di pagamento per agenti AP2, che utilizza messaggi firmati per registrare le istruzioni degli utenti, includendo limiti di spesa e condizioni di acquisto, mantenendo prove verificabili dell'autorizzazione ricevuta dagli agenti.
• Catena Labs ha presentato un toolkit commerciale per agenti, proponendo la soluzione ACK v2, che utilizza lettere di autorizzazione firmate per specificare chi autorizza l'agente e l'ambito dell'autorizzazione. Ogni richiesta è accompagnata da una lettera di autorizzazione e da una firma del messaggio HTTP (RFC 9421).
• Skyfire KYAPay consente agli agenti di auto-certificare la propria identità e di mostrare il soggetto rappresentato; utilizza un certificato digitale firmato chiamato JSON Web Token (JWT). Skyfire collabora con il framework Agent Trust di Yibolai, legando agenti e consumatori e dispositivi verificati.
• Circle si concentra su portafogli per agenti con gestione e controllo delle autorizzazioni. Le chiavi di firma sono frammentate e invisibili per gli agenti, mentre gli utenti mantengono il diritto di custodia degli asset. Gli agenti possono effettuare transazioni autonomamente solo entro i limiti di spesa e le restrizioni sui destinatari impostati dagli utenti.
• Anchorage offre servizi bancari per agenti, legando i certificati agli utenti o alle istituzioni e concedendo agli agenti l'autorizzazione a spendere all'interno di un budget specificato. Le transazioni sono registrate a nome dell'agente e le autorizzazioni possono essere revocate in qualsiasi momento.
• MasterCard Agent Pay registra gli agenti, legando i pagamenti degli agenti e le autorizzazioni dei consumatori ai certificati di pagamento tokenizzati. Collabora con Cloudflare per utilizzare richieste di rete firmate, aiutando i commercianti a verificare gli agenti AI che accedono ai loro siti web.
• Visa Smart Commerce sostituisce le informazioni della carta di credito con token di pagamento digitali, confermando che l'agente ha l'autorizzazione all'operazione da parte del consumatore e impostando limiti di spesa.
• Zero Hash offre un pacchetto finanziario per agenti, filtrando gli agenti AI e i soggetti sottostanti prima delle transazioni. Supporta l'autorizzazione delegata dagli utenti e il controllo delle transazioni.
• Ledger sta costruendo una soluzione per collegare hardware sicuro e autorizzazioni umane. La sua roadmap include l'applicazione forzata delle regole di spesa tramite hardware, con approvazione manuale richiesta per transazioni sensibili.

Delegare operazioni finanziarie a agenti AI solleva questioni relative all'autorizzazione e al controllo, riportando alla questione fondamentale di come le istituzioni possano applicare verifiche di conformità sui prodotti e servizi.

Portare il sistema finanziario sulla blockchain rappresenta anche un'opportunità per ottimizzare il sistema di conformità. La maggior parte delle soluzioni sopra menzionate non richiede nuova legislazione. Le attuali normative del Ministero delle Finanze già riconoscono metodi di verifica non documentali, e le FAQ di settembre 2026 riconoscono i certificati digitali verificabili per l'identificazione dei clienti (CIP). FinCEN ha dichiarato che le istituzioni che sperimentano responsabilmente nuove tecnologie non subiranno sanzioni legali. Le istituzioni che desiderano evitare di ripetere i processi KYC possono iniziare a utilizzare gli strumenti esistenti.