La Cyprus Securities and Exchange Commission (CySEC, l’autorita’ di vigilanza finanziaria cipriota) avvia ispezioni in loco sui custodi Bitcoin autorizzati a Cipro, i fornitori di servizi di asset crypto (CASP, Crypto Asset Service Provider) che detengono le chiavi private dei clienti. I controlli, annunciati il 6 agosto 2026, si estenderanno dalla seconda meta’ del 2026 fino alla prima meta’ del 2027. L’iniziativa rientra nella Common Supervisory Action 2026, coordinata dall’ESMA (European Securities and Markets Authority, l’autorita’ europea degli strumenti finanziari e dei mercati), e punta a verificare la solidita’ operativa delle societa’ che custodiscono Bitcoin e altri asset digitali per conto dei clienti.
Cipro e’ tra le giurisdizioni dell’Unione Europea con il maggior numero di CASP autorizzati sotto il regolamento MiCA (Markets in Crypto-Assets), il che rende l’esito della revisione rilevante per l’intero mercato europeo della custodia Bitcoin, non solo per l’isola. La notizia, riportata per prima da Bitcoin.com News, arriva mentre in tutta Europa cresce l’attenzione sulla resilienza operativa dei custodi di asset digitali.
Le Sei Aree Sotto la Lente di CySEC per i Custodi Bitcoin
Il comunicato ufficiale di CySEC elenca sei aree operative che gli ispettori esamineranno nelle visite in loco e nelle revisioni documentali:
| Area verificata | Cosa controlla CySEC |
|---|---|
| Governance e controllo | Struttura decisionale e responsabilita’ interne del CASP |
| Gestione delle chiavi e storage | Come vengono generate, conservate e replicate le chiavi private dei clienti |
| Sicurezza di wallet e accessi | Protocolli per l’accesso ai portafogli e ai sistemi di firma |
| Controlli transazionali | Monitoraggio dei movimenti e risposta agli incidenti |
| Sicurezza degli smart contract | Verifica del codice usato per automatizzare operazioni custodial |
| Rischio di terze parti | Dipendenza da fornitori esterni (cloud, sub-custodi, oracoli) |
CySEC ha precisato che gli standard indicati nel comunicato sono vincolanti e che il livello di conformita’ rappresentera’ il criterio di base con cui i CASP verranno selezionati per le ispezioni in loco.
Le prime due voci della tabella — gestione delle chiavi e sicurezza di wallet e accessi — pesano piu’ delle altre quando l’asset custodito e’ Bitcoin. A differenza di un conto corrente, una transazione Bitcoin confermata sulla blockchain non e’ reversibile: se un CASP perde il controllo di una chiave privata, o la genera con un procedimento difettoso, i fondi dei clienti non possono essere recuperati da nessuna banca centrale o camera di compensazione.
E’ la stessa dinamica che ha reso cosi’ costoso, in termini reputazionali, il recente bug nei portafogli hardware Coldcard, dove un generatore di numeri casuali difettoso ha reso prevedibili le chiavi di migliaia di utenti.
Il Ruolo dell’ESMA: la Common Supervisory Action 2026
L’ESMA ha lanciato la Common Supervisory Action 2026 in cooperazione con le autorita’ nazionali competenti di tutta l’Unione Europea, per allineare il livello di vigilanza sulla custodia crypto tra i diversi Stati membri. Secondo quanto riportato da Cyprus Mail, l’iniziativa “riflette le priorita’ di supervisione basate sul rischio dell’ESMA, che identificano sia la resilienza operativa digitale sia i fornitori di servizi di criptovalute come aree chiave” da sottoporre a maggiore controllo.
Per un CASP con sede a Cipro, questo significa un doppio livello di verifica: quella nazionale di CySEC e quella di coordinamento europeo dell’ESMA, con standard tecnici pensati per essere applicati in modo omogeneo in tutti i 27 Stati membri.
Cosa Significa per gli Investitori Bitcoin
Le ispezioni riguardano esclusivamente i CASP autorizzati, cioe’ gli exchange e i custodi regolamentati: chi detiene Bitcoin in self-custody, con un proprio hardware wallet o un multisig personale, resta fuori dal perimetro della verifica. Per chi invece tiene Bitcoin su un exchange o un servizio di custodia con licenza a Cipro, la revisione CySEC-ESMA introduce uno standard minimo verificabile su come vengono gestite le chiavi private che proteggono quei fondi.
La distinzione tra custodia regolamentata e self-custody e’ lo stesso tema al centro del dibattito acceso in Brasile, dove la banca centrale ha introdotto un ritardo di 24 ore sui trasferimenti Bitcoin verso wallet personali sopra i 10.000 dollari. In entrambi i casi i regolatori intervengono non sulla tecnologia, ma sul punto di passaggio tra un servizio regolamentato e il controllo diretto dei fondi da parte dell’utente.
Perche’ la Custodia Bitcoin e’ Sotto Esame Ovunque
Il tema della sicurezza operativa nella custodia di Bitcoin resta di attualita’ anche per chi sceglie l’autocustodia: pochi giorni fa BitcoinLive24 ha raccontato la confessione di uno sviluppatore del Lightning Network, che ha ammesso di aver accumulato poco Bitcoin proprio per il timore di gestire male le proprie chiavi private. Che si tratti di un CASP regolamentato o di un singolo utente, il nodo resta lo stesso: la gestione delle chiavi e’ il punto piu’ delicato dell’intera catena di custodia.
Prospettive
Il calendario di CySEC copre circa un anno, dalla seconda meta’ del 2026 alla prima meta’ del 2027, ma l’autorita’ non ha indicato una data di pubblicazione per i risultati aggregati della revisione. Se il modello ciprioto verra’ replicato da altre autorita’ nazionali nell’ambito della Common Supervisory Action 2026, i CASP che operano in piu’ Stati membri UE potrebbero trovarsi a rispondere a controlli paralleli con gli stessi sei criteri, un possibile passo verso uno standard europeo unico per la custodia di Bitcoin su piattaforme regolamentate.
Cos’e’ la CySEC e che potere ha su Bitcoin?
La CySEC e’ l’autorita’ di vigilanza finanziaria di Cipro. Non regola Bitcoin come protocollo, ma supervisiona i CASP autorizzati sull’isola che offrono servizi di custodia, exchange o gestione di Bitcoin e altri asset digitali per conto dei clienti.
Le ispezioni riguardano anche chi tiene Bitcoin in un wallet personale?
No. Il perimetro della revisione copre solo i CASP autorizzati sotto MiCA, cioe’ i servizi regolamentati. Chi detiene Bitcoin in self-custody, tramite hardware wallet o multisig personale, non rientra nell’ambito di queste ispezioni.
Cosa sono le sei aree verificate da CySEC?
Governance e controllo, gestione delle chiavi e storage, sicurezza di wallet e accessi, controlli transazionali, sicurezza degli smart contract e rischio di terze parti: sono le sei aree operative che gli ispettori CySEC esamineranno nei CASP ciprioti tra il 2026 e il 2027.
Cosa succede se un CASP non rispetta gli standard richiesti?
CySEC ha dichiarato che gli standard indicati nel comunicato sono vincolanti e che la conformita’ sara’ il criterio di base con cui i fornitori verranno selezionati per le ispezioni in loco; l’autorita’ non ha pero’ pubblicato una tabella di sanzioni specifiche legate a questa Common Supervisory Action.
Quando si sapranno i risultati delle ispezioni?
Le verifiche si concluderanno entro la prima meta’ del 2027, ma CySEC non ha ancora comunicato una data per la pubblicazione di un report aggregato sui risultati della Common Supervisory Action 2026.
Per restare aggiornato in tempo reale su regolamentazione e custodia Bitcoin, scarica l’app di BitcoinLive24.
Questo articolo non costituisce consulenza finanziaria.
