Wash trading cripto e smart contract: il market abuse 2025
Il pump&dump su token può integrare la manipolazione del mercato ex art. 185 TUF se il token è strumento finanziario, con aggravante AI dal 2025. Il wash trading su DEX e l'exploit di smart contract hanno qualificazioni distinte. I paradisi fiscali digitali rilevano come esterovestizione.
L’angolo: il tipo di token decide la norma
La prima domanda in ogni procedimento per market abuse cripto è: il token è uno strumento finanziario?
Se sì, si applica il TUF: art. 185 per la manipolazione, art. 184 per l’insider trading, art. 166 per l’abusivismo. Se no, si applicano le norme del codice penale ordinario: art. 640 (truffa), art. 501 (aggiotaggio), art. 648-bis (riciclaggio).
Il quadro normativo del market abuse cripto
| Condotta | Token finanziario | Token non finanziario |
|---|---|---|
| Pump&dump | Art. 185 TUF (1-6 anni) | Art. 640 c.p. + aggiotaggio |
| Wash trading | Art. 185 TUF | Art. 640-ter (frode informatica) |
| Insider trading | Art. 184 TUF | Art. 640 c.p. |
| Operatore non autorizzato | Art. 166 TUF | — |
| Aggravante AI (dal 2025) | 2-7 anni | N/A |
Pump&dump: la struttura del reato
Il pump&dump funziona in tre fasi:
- Acquisto silenzioso di una grande quantità di token a prezzo basso;
- Campagna di promozione ingannevole sui social, Telegram, forum (la notizia falsa o il claim fuorviante);
- Vendita massiva (dump) una volta che il prezzo è salito, lasciando gli altri investitori con perdite.
Il pump&dump è vietato dalla normativa europea (Regolamento MAR – Market Abuse Regulation) e si riscontra sia nei mercati azionari che nel trading di criptovalute. Le autorità di vigilanza, come CONSOB, ESMA e FCA, hanno più volte segnalato l’aumento di schemi fraudolenti di questo tipo.
La prova della manipolazione richiede:
- la dimostrazione che chi ha promosso aveva già le posizioni;
- la correlazione tra la campagna e i movimenti di prezzo;
- l’identificazione dei wallet controllati dall’operatore.
Wash trading su DEX: la difficoltà probatoria
Il wash trading su exchange decentralizzati (DEX) pone problemi probatori specifici: le transazioni sono pseudonime, e dimostrare che i due lati di una transazione erano controllati dallo stesso soggetto richiede un’analisi dei cluster di indirizzi e dei pattern comportamentali.
Il wash trading consiste nell’eseguire acquisti e vendite simulate tra account controllati dallo stesso operatore per creare un’apparenza di volume elevato che attrae altri investitori.
La difesa può contestare:
- l’analisi dei cluster (due indirizzi non sono necessariamente dello stesso proprietario);
- la metodologia della blockchain analytics (Chainalysis non è infallibile);
- l’elemento soggettivo (il trading ad alta frequenza non è wash trading).
Smart contract exploit: responsabilità penale
La manipolazione di smart contract o l’hacking di wallet integra la frode informatica ex art. 640-ter c.p., che si applica quando l’inganno è realizzato direttamente su un sistema informatico o su piattaforme digitali.
Chi esegue un exploit su uno smart contract risponde:
- di accesso abusivo (615-ter) se il codice era protetto;
- di frode informatica (640-ter) se ha alterato il funzionamento del sistema;
- di riciclaggio (648-bis) se ha poi movimentato i fondi per nasconderne la provenienza.
Il programmatore il cui codice viene sfruttato non risponde, salvo dolo o colpa grave qualificata — la distinzione tra un bug inevitabile e una trappola intenzionale è il terreno della perizia tecnica.
I paradisi fiscali digitali
L’uso di neobank offshore o wallet pseudonimi per ricevere proventi e non dichiararli in Italia integra tipicamente:
- Esterovestizione (art. 12 d.l. 78/2009): si presume la residenza fiscale in Italia quando la società o il conto è controllato da un residente italiano, anche formalmente localizzato altrove;
- Reati tributari se i proventi non vengono dichiarati: dichiarazione infedele (art. 4 d.lgs. 74/2000) o omessa dichiarazione (art. 5);
- Riciclaggio se i fondi provengono da reati.
La difesa sull’esterovestizione richiede la prova della sostanza economica all’estero: una struttura che esiste solo sulla carta non basta.
MiCA e il quadro europeo dal 2024
Il Regolamento UE sui mercati in cripto-attività (MiCA, Reg. 2023/1114) è applicabile dall’ottobre 2024. Introduce norme specifiche sul market abuse per le cripto-attività non considerate strumenti finanziari, colmando il vuoto che il solo TUF non copriva.
MiCA proibisce esplicitamente insider trading, manipolazione del mercato e diffusione di informazioni false per le cripto-attività. Prevede sanzioni amministrative pesanti e, per i casi più gravi, si coordina con il diritto penale nazionale.
Per i procedimenti aperti prima del 2024 su condotte avvenute in quel periodo, la questione intertemporale è delicata: se il token non era strumento finanziario prima di MiCA, la manipolazione poteva non integrare il 185 TUF. La difesa per quei procedimenti deve ricostruire il quadro normativo applicabile al momento del fatto.
La blockchain analytics nella difesa
Gli strumenti di blockchain analytics (Chainalysis, Crystal, Elliptic) sono usati dalle forze dell’ordine per tracciare i flussi cripto. Producono rapporti che vengono depositati come prove nei procedimenti.
La difesa deve verificare:
- La metodologia di clustering: come sono stati associati gli indirizzi? Il clustering euristico può sbagliare;
- La catena di custodia dei dati: i dati blockchain sono pubblici ma l’estrazione va documentata;
- L’attribuzione: un indirizzo blockchain non è una persona fisica — l’identificazione del titolare richiede ulteriori atti di indagine;
- La qualificazione degli asset: non tutti i flussi attraverso un mixer sono riciclaggio.
Il consulente informatico forense specializzato in blockchain è indispensabile per contestare queste perizie.
Casi pratici
Caso 1 — pump&dump su token
Situazione. Contestazione per manipolazione del mercato su token lanciato con campagna sui social media.
Attività svolta. Verifica della natura finanziaria del token (security token o utility token?), analisi del nesso temporale tra la campagna e i movimenti di prezzo, contestazione della perizia di blockchain analytics.
Esito. Norma applicabile individuata sulla natura del token e sulla condotta specifica.
Caso 2 — exploit DeFi
Situazione. Contestazione per frode informatica e riciclaggio per exploit di protocollo DeFi.
Attività svolta. Analisi della catena di custodia della prova digitale, contestazione della blockchain analytics, verifica del dolo specifico della condotta.
Esito. Elemento soggettivo esaminato sulla distinzione tra sfruttamento intenzionale di vulnerabilità e comportamento imprevisto del protocollo.
Caso 3 — neobank offshore
Situazione. Procedimento per omessa dichiarazione di proventi su conto Revolut/Wise estero.
Attività svolta. Verifica della residenza fiscale effettiva, analisi degli obblighi dichiarativi RW per i conti esteri, distinzione tra evasione e condotta penalmente rilevante.
Esito. Soglia penale esaminata sull’importo e sulla condotta specifica.
Dove si costruisce la difesa
- Tipo di token: strumento finanziario o meno — decide la norma applicabile.
- Condotta: notizie false o operazioni simulate? Cambia l’elemento oggettivo del 185 TUF.
- Mercato: regolamentato o DEX — incide sulla competenza e sulle prove.
- Aggravante AI 2025: il trading algoritmico porta la pena a 2-7 anni.
- Blockchain analytics: metodologia sempre contestabile, non infallibile.
- Smart contract: il programmatore non risponde dell’exploit altrui salvo dolo.
- Paradisi cripto: la sostanza economica all’estero deve essere reale.
Il lavoro difensivo in questi procedimenti ha una componente tecnico-informatica che non può essere delegata al solo avvocato: la comprensione del funzionamento degli smart contract, dei meccanismi di consenso blockchain, e degli strumenti di analisi on-chain richiede un consulente specializzato. Lo stesso discorso vale per la natura giuridica del token: la classificazione tra security token, utility token e payment token non è sempre evidente e può richiedere un parere di diritto finanziario prima di costruire la strategia penale. Il 185 TUF e il 640 c.p. hanno strutture del dolo molto diverse — e la scelta della tesi difensiva dipende da quale norma è contestata.
Un profilo processuale specifico: nei procedimenti per market abuse su cripto la competenza territoriale spesso è contestata, perché le piattaforme sono estere, i server sono in giurisdizioni diverse e gli utenti sono distribuiti globalmente. In Italia la competenza si radica dove l’evento si è verificato o dove l’ultimo atto dell’attività criminosa si è consumato. Nei casi cross-border la rogatoria internazionale e gli strumenti di cooperazione con Europol e con la SEC americana sono parte integrante delle indagini. La difesa deve seguire anche questo fronte, verificando la legittimità degli atti acquisiti all’estero e la correttezza delle procedure di acquisizione della prova in giurisdizioni diverse dalla italiana. Infine, la questione del sequestro dei crypto asset: i wallet possono essere sequestrati con decreto del PM, e il sequestro preventivo finalizzato alla confisca per equivalente è uno degli strumenti più impattanti di questi procedimenti. La difesa sul sequestro va avviata immediatamente, davanti al Tribunale del Riesame, con una memoria tecnica che dimostri la proporzionalità e l’errore di attribuzione. La tempestività è essenziale. La procedura di riesame del sequestro va avviata entro dieci giorni dal deposito dell’ordinanza. Una settimana in meno può precludere il rimedio.
VASP, OAM e obblighi AML
Dal 2022 tutti i prestatori di servizi relativi a valute virtuali (VASP — Virtual Asset Service Provider) devono registrarsi nel registro OAM (Organismo Agenti e Mediatori). Chi offre servizi di exchange, wallet custody o trasferimento di criptovalute senza questa registrazione risponde di abusivismo finanziario ex art. 166 TUF — confermato da Cass. 29649/2024.
I VASP registrati sono soggetti agli obblighi antiriciclaggio (d.lgs. 231/2007): adeguata verifica della clientela, registrazione delle transazioni, segnalazione di operazioni sospette all’UIF. La violazione degli obblighi AML comporta sanzioni amministrative e, nei casi più gravi, responsabilità penale.
Il rischio per l’exchanger: l’exchanger che esegue scambi sapendo che i fondi provengono da attività illecite risponde di riciclaggio (art. 648-bis). La difesa sull’elemento soggettivo è che l’exchanger non sapeva dell’origine illecita, pur avendo adottato le procedure AML — la prova è la documentazione del processo KYC.
VASP, OAM e registrazione obbligatoria: aggiornamento
Dal 2024 il registro OAM ha ricevuto centinaia di iscrizioni. Chi opera come exchange, custodial wallet provider o broker di criptovalute senza registrazione risponde di abusivismo finanziario (art. 166 TUF) — Cass. 29649/2024 — e, se raccoglie fondi di terzi, di abuso di raccolta del risparmio.
Gli obblighi AML per i VASP prevedono: adeguata verifica della clientela (KYC), registrazione delle transazioni sopra 1.000 euro, segnalazione delle operazioni sospette all’UIF. La violazione degli obblighi AML comporta sanzioni fino a 5 milioni di euro e, nei casi dolosi che facilitano il riciclaggio, responsabilità penale ex art. 648-bis c.p.
Domande frequenti
Il pump&dump su criptovalute è reato in Italia?
Dipende dalla natura del token. Se il token è uno strumento finanziario ai sensi del TUF (come la maggior parte dei security token), il pump&dump integra la manipolazione del mercato ex art. 185 TUF: reclusione da uno a sei anni e multa. Se il token non ha natura finanziaria, prevalgono le norme sulla truffa (art. 640 c.p.) o sull'aggiotaggio comune (art. 501 c.p.).
Che differenza c'è tra pump&dump e wash trading?
Nel pump&dump si diffondono notizie false o ingannevoli per gonfiare il prezzo e poi si vendono. Nel wash trading si eseguono acquisti e vendite simulate tra account controllati dallo stesso soggetto per creare l'apparenza di un volume di scambi elevato. Entrambi possono integrare l'art. 185 TUF; il wash trading è più difficile da provare perché richiede la dimostrazione che i due lati della transazione erano controllati dallo stesso operatore.
La Cassazione 19699/2025 cosa ha stabilito sul 185 TUF?
Il delitto di manipolazione del mercato previsto dall'art. 185 TUF è reato di pericolo concreto e di mera condotta, per la cui integrazione è sufficiente che siano posti in essere comportamenti diretti a cagionare una sensibile alterazione del prezzo degli strumenti finanziari, senza che sia necessario il verificarsi di tale evento. Basta la condotta idonea; non serve il risultato.
C'è un'aggravante per il trading algoritmico e AI?
Sì, dal 2025. La legge sull'intelligenza artificiale (L. 132/2025) ha introdotto un'aggravante per il fatto di manipolazione del mercato commesso mediante sistemi di IA, che porta la pena da due a sette anni. Il trading algoritmico e gli strumenti automatici sono oggi il contesto naturale delle contestazioni per market abuse.
Un programmatore che subisce l'exploit del suo smart contract risponde penalmente?
Di norma no: l'exploit è commesso da chi lo esegue. Il programmatore risponde solo se il codice era deliberatamente vulnerabile (dolo) o se la vulnerabilità era così grossolana da configurare una colpa grave con dolo eventuale. La responsabilità penale del programmatore è limitata; quella civile è più esposta. La difesa lavora sull'esclusione del dolo e sulla distinzione tra bug inevitabile e negligenza grave.
Chi esegue un exploit su smart contract risponde penalmente?
Sì. L'exploit su smart contract integra l'accesso abusivo ex art. 615-ter se il codice è protetto, e la frode informatica ex art. 640-ter se altera il funzionamento del sistema per procurarsi un profitto ingiusto. Il fatto che il codice fosse pubblico non esclude il reato: rilevante è che l'azione sia diretta a interferire con un sistema informatico altrui.
Che cosa sono i paradisi fiscali digitali e i neobank offshore?
Sono piattaforme finanziarie che operano fuori dalla giurisdizione UE — spesso registrate in giurisdizioni come le Isole Cayman, il Belize, o le Bahamas — e che offrono conti o wallet pseudonimi. L'uso sistematico per ricevere proventi e sottrarli al fisco italiano integra l'esterovestizione fiscale (art. 12 d.l. 78/2009) e, se i proventi derivano da illeciti, il riciclaggio (art. 648-bis c.p.).
Acquistare Bitcoin con proventi di truffa è autoriciclaggio?
Sì, secondo la Cassazione. La sentenza n. 27023/2022 ha stabilito che acquistare Bitcoin con proventi di truffa integra il reato di autoriciclaggio ex art. 648-ter.1, poiché l'anonimato delle transazioni in criptovaluta ostacola l'identificazione della provenienza dei fondi.
Come si tracciano i fondi cripto nelle indagini?
Tramite strumenti di blockchain analytics come Chainalysis, Crystal Blockchain o Elliptic. Le forze dell'ordine tracciano i flussi on-chain anche attraverso mixer e bridge, con una percentuale di successo crescente. La difesa contesta la perizia di crypto forensics sulla metodologia, sull'attribuzione degli indirizzi e sulla catena di custodia dei dati estratti.
Il VASP non registrato che gestisce scambi cripto risponde penalmente?
Sì. Chi esercita attività di cambio in criptovalute senza iscrizione al registro OAM integra l'abusivismo finanziario ex art. 166 TUF se l'attività ha natura di servizio di investimento, e le sanzioni antiriciclaggio se non adempie agli obblighi AML.
Su che cosa si imposta la difesa?
Sul tipo di token (strumento finanziario sì/no?), sulla condotta (diffusione di notizie false vs. operazioni simulate), sul mercato rilevante (regolamentato vs. DEX decentralizzato), e sul dolo. Per i paradisi fiscali: sulla residenza effettiva e sull'assenza di strutture estere fittizie.
Domande di approfondimento
Guide correlate
- Reati societari e di mercato: la difesa Reati societari e di mercato: conta l'idoneita' concreta della condotta, non l'intenzione. Dove si costruisce davvero la difesa.
- Corruzione e induzione indebita: difesa Corruzione e induzione indebita: per chi ha pagato la differenza e' fra correo, punibile con pena minore o vittima non punibile.
- Sequestro preventivo: riesame e dissequestro Sequestro preventivo: dieci giorni per il riesame, ma il dissequestro parziale e' un binario distinto e si chiede subito.
- L'azienda risponde per un fatto proprio L'ente non risponde per il fatto della persona fisica ma per una carenza organizzativa propria. E l'onere della prova cambia.