Sommario: 1. Il diritto penale nell’era degli ‘invisibili’: Blockchain e cryptocurrencies. 2. Criptovalute e dogmatica delle categorie nel diritto penale del sospetto. – 3.  Utilizzo illecito delle criptovalute. – 4. Prevenzione e repressione del riciclaggio mediante criptovalute. – 4.1. Criptoattività e autoriciclaggio: il cyber self-laundering. – 5. ‘231’ e criptovalute: la responsabilità da reato dell’ente nel riciclaggio mediante monete virtuali.

1. Il diritto penale nell’era degli ‘invisibili’: Blockchain e cryptocurrencies.

La proporzione diretta tra sviluppo tecnologico e crimine economico riflette un’ulteriore, significativa relazione tra grandezze che assumono valori il cui rapporto è costante: «più complessa diventa la società nelle sue articolazioni, più complessa tende a diventare la criminalità che ne riproduce le patologie»^[1]. Si tratta di un legame in grado di spiegare la professionalizzazione e organizzazione della criminalità economica attuale, impegnata nella massimizzazione delle opportunità (profitto), minimizzando i rischi da law enforcement (identificazione, arresto, confisca) ^[2].

Dal punto di vista penalistico è quindi utile accennare a due fenomeni la cui interpolazione genera effetti di rilevanza significativa. Ci si riferisce alla tecnofinanza o Fintech – vale a dire al profondo connubio tra tecnologie e nuovi modelli di business, che caratterizza l’innovazione finanziaria a disposizione dei nuovi operatori del mercato – e alla finanziarizzazione della ricchezza, che ha profondamente segnato il mondo bancario e l’economia in genere, aprendo nuovi orizzonti anche all’investimento delle famiglie e dei risparmiatori non professionali. Un binomio in grado di generare la “ipertrofia delle opportunità”^[3] abilmente sfruttata da organizzazioni criminali proteiformi che orientano i loro comportamenti in base a scelte razionali, perseguendo con chiarezza e coerenza l’obiettivo del massimo profitto^[4].

In tale contesto «il mercato finanziario, altamente sensibile allo sviluppo tecnologico e all’informatizzazione, diviene il palcoscenico virtuale (dematerializzazione) calcato da nuovi attori-protagonisti (disintermediazione bancaria)»^[5], che possono contare sulla fluidità della globalizzazione e sulle infinite potenzialità dei sistemi informatici e telematici. È questo l’humus che favorisce lo sviluppo della Blockchain quale tecnologia alla base del funzionamento delle criptovalute (Bitcoin, Monero, Ethereum, Stellar, Ripple e altcoins in genere). Lo strumento crittografico della “catena di blocchi” garantisce l’autenticità e l’integrità della transazione, preservando l’identità del mittente che nella visione criminale può avvantaggiarsi di uno pseudo-anonimato^[6] in grado di condurre alla spersonalizzazione del binomio operazione finanziaria-soggetto economico. Piegata a fini illeciti, infatti, la crittografia asimmetrica attraverso la quale scorrono i flussi di criptovaluta porta alle estreme conseguenze la de-individualizzazione della criminalità economica, sfocando la linearità dell’iter criminis (informazione, ideazione, esecuzione e perfezionamento) già difficilmente decodificabile per la complessità delle moderne operazioni di ingegneria finanziaria. È la nota questione della scarsa percezione sociale dei white collar crimes che si oggettivizza.

I nodi della Blockchain compromettono la struttura classica dell’azione penalisticamente intesa, costringendo il diritto criminale a fare i conti con gli “invisibili”, perché a questo punto, «non solo gli oggetti del reato, ma anche i soggetti del reato sono divenuti invisibili», sicché «(…) neanche il reato, l’azione chiaramente criminale, è più visibile quale atto manifesto. Il diritto penale non tratta più dell’autore che entra in un conflitto personale con la vittima o con la società. Il diritto penale deve reagire a processi disfunzionali»^[7].

2. Criptovalute e dogmatica di categorie nel diritto penale del sospetto.

Non è revocabile in dubbio che l’intrinseca opacità che le caratterizza faccia delle criptovalute un potenziale strumento per chi abbia interesse a riciclare proventi di origine illecita riducendo i rischi di tracciabilità e conseguente identificazione del soggetto agente. D’altra parte, le cryptocurrencies sono il naturale sbocco del cybercrime e possono costituire lo strumento di elezione per gli acquisti nei mercati illegali del darkweb o per altri usi illeciti.

Procediamo per gradi.

Il proliferare delle criptovalute e la diffusione generalizzata di questo strumento tra i consociati le rende, al contempo: i) bersaglio di condotte predatorie, ii) ‘moneta’ di scambio, iii) strumento di realizzazione dell’illecito. Insomma, i crypto-assets possono essere variamente inquadrabili nella struttura prismatica del fatto tipizzato: da oggetto materiale della condotta illecita a prezzo, prodotto o profitto del reato, finanche a forma di manifestazione ovvero nota modale di perpetuazione dell’illecito penale. Da questo punto di vista, possono registrarsi due livelli di operatività delle criptovalute: il primo è quello in cui la criptovaluta assume le sembianze di mezzo alternativo alla moneta tradizionale; essa può manifestarsi come il valore trasferito in pagamento per l’acquisto di materiale illecito nel mercato reale o virtuale ovvero può costituire tanto il target delle condotte illecite (attacchi a piattaforme di Exchange o Wallet Provider) quanto il risultato da esse ottenuto sotto forma di prodotto di schemi estorsivi cyber (come nel caso di ransomware) o non-cyber (es. ricatti sessuali). Il secondo livello eleva la criptovaluta a tratto caratterizzante della fattispecie criminosa, richiamando alla mente il suo utilizzo in ambito malware (es. clipboard malware, mining botnet) e il cyberlaundering che, sfruttando l’anonimato delle transazioni e la natura ubiqua delle monete virtuali, rappresenta il rischio più elevato della peer to peer e-money (così S. Nakamoto ha definito il Bitcoin)^[8].

A confermarlo, il report dell’Internet Cybercrime Centre (EC3) di Europol^[9] che rivela il rapporto di proporzione diretta tra la capitalizzazione del mercato delle criptovalute e lo sviluppo del cybercrime, che si riflette di conseguenza sul riciclaggio digitale c.d. integrale. In tale contesto, il crimine può avvalersi dei servizi di mixing (noti anche come cryptocurrency tumbler) e sfruttare sofisticate tecniche di trasferimento della valuta virtuale che, utilizzando conti di rimbalzo (conti bounce) o collettori (conti pool o pot) in combinazione con la tecnologia Blockchain rendono quasi impossibile la ricostruzione dei passaggi intermedi [tra fase di ingresso (gateway) e uscita (withdrawing)], garantendone l’anonimato^[10]. In queste circostanze, la curvatura criminosa delle proprietà della criptovaluta le consentono di interpretare a pieno la nota decettiva della fattispecie a forma vincolata, esprimendo esattamente il nucleo di offensività proprio del «riciclaggio».

Sul piano tecnico, può ricavarsene un dato non trascurabile: le criptovalute rivelano la natura di attività «“a doppio uso”: vale a dire non di per sé illecite, ma che possono essere e sono per lo più utilizzate per scopi illeciti, sistematicamente ed efficacemente, non solo occasionalmente»^[11].

La bidimensionalità che consente di declinare lo strumento in questione secondo il paradigma lecito-illecito è la ragione che dovrebbe contenere il dilagare delle logiche del sospetto e l’affermarsi di un diritto penale rivolto al rischio, anziché al fatto^[12]. In tal senso, una funzione fondamentale è quella svolta dalle categorie del diritto penale classico (pericolo e causalità, in primis)^[13], in grado di ristabilire la proiezione della condotta (da cui la legge fa dipendere l’esistenza del delitto) in termini offensivi. Anziché cedere agli automatismi della presunzione, per dirsi penalmente rilevante l’impiego di criptovalute deve puntare a un risultato dannoso o pericoloso, impedendosi in questo modo lo slittamento epistemologico dalla prevenzione alla precauzione che può condurre a una dogmatica del rischio (nomologicamente) incerto.

Qualche dubbio è generato dall’indice di sospetto che il sistema sembra implicitamente attribuire all’utilizzo della criptovaluta. Depongono in tal senso gli schemi di comportamenti anomali e gli obblighi di comunicazione della propria operatività al Ministero dell’Economia e delle Finanze, gravanti sui prestatori di servizi relativi all’utilizzo di valuta virtuale ai fini dell’efficiente popolamento della sezione speciale di cui al comma 8-bis dell’art. 17-bis, D. Lgs. 141/2010. Insomma, la cryptocurrency sembra di per sé giustificativa dei “ragionevoli motivi per sospettare” e, dunque, il suo impiego potrebbe indurre gli obbligati a spiccare una s.o.s. (segnalazione di operazione sospetta) ogni qualvolta ne riscontrino l’utilizzo nelle operazioni oggetto di adeguata verifica (se non altro agendo in funzione ‘difensiva’ per sterilizzare i rischi sanzionatori derivanti dall’inosservanza delle relative disposizioni). A confermarlo è la stessa analisi qualitativa delle segnalazioni, come rappresentata dal Direttore della UIF nel corso della Presentazione del rapporto annuale dell’Unità di Informazione Finanziaria per l’Italia^[14].

Al contrario, il principio di offensività può segnare la misura oltre la quale non è possibile espandere il diritto penale del rischio^[15], espungendo da tale perimetro le opzioni normative fondate sulla precauzione, che «non sembrano comunque riconducibili alla consueta tecnica di normazione del pericolo astratto o presunto, la cui struttura teleologica rimanda pur sempre alla disponibilità di leggi scientifiche o regole di esperienza “corroborate”»^[16].

3. Utilizzo illecito delle criptovalute.

È innegabile che l’informatizzazione di gran parte dei rapporti economici (e sociali) abbia elevato il concetto di sicurezza informatica a interesse primario pretendendo un proporzionale irrobustimento del presidio penalistico, chiamato a garantirne l’affidabilità anche mediante l’introduzione di nuove modalità di lesione che contemplino le attività criminali aventi ad oggetto gli strumenti di pagamento elettronici e virtuali^[17]. Il livello di protezione è stato rafforzato e, grazie anche all’impulso del legislatore comunitario (da ultimo con la direttiva UE 2019/713)^[18], oggi prevede l’incriminazione di condotte che vanno dall’indebito utilizzo e falsificazione della criptovaluta, all’acquisizione illecita e all’impiego della stessa (anche per finalità di riciclaggio), fino al trasferimento fraudolento, arrivando a punire la detenzione e diffusione di apparecchiature, dispositivi o programmi informatici diretti a commettere reati riguardanti strumenti di pagamento diversi dai contanti^[19] ovvero l’abusivo esercizio dei “prestatori di servizi relativi all’utilizzo di valuta virtuale”, cui sono ascrivibili anche le violazioni dei cc.dd. obblighi antiriciclaggio.

Insomma, un complesso reticolo sanzionatorio caratterizzato da una tutela multistrato, i cui livelli superficiali – più distanti dal nucleo valoriale da preservare – rivelano un’ispirazione ‘preventiva’ da condizionare all’effettivo pregiudizio dell’interesse tutelato (anche in termini di semplice messa in pericolo) per evitare il progressivo svuotamento dei contenuti dell’offesa e la temibile regressione al funzionalismo penale^[20].

Agli illeciti immediatamente riconducibili alla criptovaluta deve poi aggiungersi la «possibile connessione con fenomeni criminali caratterizzati dall’utilizzo di tecnologie informatiche quali phishing o ransomware, con truffe realizzate attraverso siti Internet o clonazione di carte di credito, ovvero al sospetto di reimpiego di fondi derivanti da attività commerciali non dichiarate, spesso svolte online. Rilevano, altresì, gli acquisti di Virtual asset con fondi che potrebbero derivare da frodi, distrazioni di fondi o schemi piramidali»^[21].

Naturalmente, gran parte di tali condotte risultano sussumibili già nella modellistica sanzionatoria dei reati informatici previsti dagli artt. 615-ter (accesso abusivo ad un sistema informatico o telematico), 615-quater (detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici), 617-quinquies (installazione di apparecchiature atte ad intercettare, impedire o interrompere comunicazioni informatiche o telematiche) e 635-bis (danneggiamento di informazioni, dati e programmi informatici) del codice penale.

D’altra parte, le condotte dei cybercriminali spesso si risolvono in vicende di natura estorsiva (art. 629 c.p.), legate alla diffusione di malware, che consentono l’intrusione informatica e il sequestro di dati sbloccati a fronte di un riscatto in bitcoin^[22]. Insomma, fenomenologie che attingono all’ampio armamentario penalistico costituito da una pletora di reati nell’ambito dei quali la criptovaluta non sempre è il mezzo di pagamento o la modalità mediante la quale viene posta in essere la condotta, ma spesso soltanto il fine per il quale viene commesso il reato (si pensi alle truffe perpetrate mediante gli schemi Ponzi), magari attraverso quelle che appaiono come vere e proprie ipotesi di sostituzione di persona (art. 494 c.p.)^[23]. Molti di questi casi possono integrare la comune fattispecie di estorsione (art. 629 c.p.) in concorso con crimini informatici quali l’accesso abusivo a sistema informatico ex art. 615-ter c.p. (laddove l’Hacker abbia inoculato il ransomware nel computer della vittima) ovvero il danneggiamento di informazioni, dati e programmi informatici ex art. 635-bis c.p. (ove il virus inoculato sia per esempio un cryptolocker in grado di impedire il funzionamento del software attaccato). E, spesso, il coinvolgimento a titolo di concorso dell’Exchanger che ha venduto le criptovalute utilizzate per il pagamento del riscatto – cui l’Ufficio di Procura contesta la fattispecie realizzata dal cyber estorsore ai sensi dell’art. 110 c.p. – è erroneamente indotto dall’inserimento del sito dell’ignaro ‘cambiavalute’ nella schermata di ransomware alert che lo indica quale riferimento presso il quale è possibile acquistare le criptovalute^[24].

Diversamente, le novità introdotte con il Decreto legislativo 8 novembre 2021, n. 184 incidono direttamente sugli strumenti di pagamento diversi dai contanti, punendone l’indebito utilizzo e la falsificazione (art. 493-ter c.p.) ovvero il trasferimento mediante frode informatica (art. 640-ter c.p.). Frequentemente attivata per la repressione delle condotte di phishing,la frode informatica è focalizzata sul funzionamento del sistema informatico o telematico, cui oggi fa da pendant la nuova fattispecie di detenzione e diffusione di apparecchiature, dispositivi o programmi informatici diretti a commettere reati riguardanti strumenti di pagamento diversi dai contanti (art. 493-quater c.p.). Delitti che, se commessi nell’interesse o a vantaggio dell’ente, possono fondarne la responsabilità ex Decreto legislativo 8 giugno 2001, n. 231, in virtù del nuovo art. 25-octies.1 che ne ha ampliato il catalogo dei reati-matrice.

In ogni caso, l’utilizzo illecito delle criptovalute resta prevalentemente agganciato al riciclaggio. I flussi di segnalazione di operazioni sospette, infatti, evidenziano «un’operatività finanziaria apparentemente connessa all’acquisto di Bitcoin da parte di soggetti indagati per i reati di traffico di stupefacenti, riciclaggio e auto-riciclaggio. L’operatività sui conti loro intestati si caratterizza da un lato per i frequenti e rilevanti versamenti e prelevamenti di contante non giustificati dalle attività da loro svolte e, dall’altro, per i numerosi bonifici da e verso società estere specializzate nella compravendita di criptovalute e conti correnti di cui sono titolari persone residenti all’estero coinvolte negli stessi procedimenti penali»^[25].

4. Prevenzione e repressione del riciclaggio mediante criptovalute.

Si è già detto della genetica predisposizione delle criptovalute all’anonimato e non può trascurarsene l’enorme potenziale scaturente dalla combinazione con le caratteristiche che rendono la rete luogo ideale per il compimento di attività criminali di ogni genere: “«delocalizzazione» (il fatto illecito non è immediatamente individuato nell’ambito di un specifico locus commissi delicti); «dematerializzazione» (dovuta al contenuto digitale delle informazioni, dei servizi e del denaro che circola nella rete); «dispersione» (difficoltà di identificare l’autore dell’illecito ai fini dell’imputazione della relativa responsabilità penale)”^[26].

Per questa ragione, la incompleta panoramica delle forme di utilizzo illecito non può distrarre gli strumenti di law enforcement dalle nuove frontiere del riciclaggio mediante criptovalute. La estrema flessibilità della “valuta virtuale”, infatti, favorisce la rapidità delle operazioni di trasferimento illecito di capitali, allargando gli orizzonti operativi e contenendone i costi, proprio in quell’ottica di massimizzazione del profitto costantemente perseguita dalla criminalità economica. In altri termini, sia che si tratti di riciclaggio digitale strumentale (in cui la rete subentra in maniera consistente nelle fasi di layering e di integration, vale a dire dopo che con la fase di placement il denaro di provenienza illecita ha subito un processo di finanziarizzazione) sia che si tratti di riciclaggio digitale integrale (dove la ripulitura è integralmente online, stante l’origine digitale del provento che ne è oggetto), le cryptocurrencies possono giocare un ruolo fondamentale nell’ostacolare l’identificazione della provenienza illecita della ricchezza oggetto di trasferimento^[27].

Il paradosso per cui un registro distribuito e decentralizzato (Distributed Ledger Technlology o DLT), caratterizzato dalla trasparenza e dalla (tendenziale) immutabilità e irrepudiabilità, che sfrutta la crittografia asimmetrica per la protezione e l’autenticazione delle transazioni (attraverso chiavi pubbliche e private)^[28], venga convertito in ‘veicolo’ di Altcoins e, quindi, piegato all’offuscamento (se non alla totale cancellazione) del c.d. paper trail, disturbando la tracciabilità di denaro, beni o altre utilità di illecita provenienza, induce a individuare nelle fattispecie di riciclaggio e reimpiego il prevalente utilizzo illecito delle criptovalute.

Si tratta di una declinazione patologica ben nota al legislatore nazionale che, in attuazione degli input comunitari – da ultimo, la Direttiva (UE) 2018/843, cosiddetta V direttiva antiriciclaggio –, ha progressivamente implementato la disciplina concernente la prevenzione dell’utilizzo del sistema finanziario a scopo di riciclaggio dei proventi di attività criminose e di finanziamento al terrorismo (D.lgs. 21 novembre 2007, n. 231), inserendo nella categoria degli “altri operatori non finanziari” (art. 3, comma 5) anche “i prestatori di servizi relativi all’utilizzo di valuta virtuale” e “i prestatori di servizi di portafoglio digitale”. Si tratta, appunto, degli Exchanger e dei Wallet provider che oggi rinvengono una puntuale definizione all’art. 1, comma 2, lett. ff) e ff-bis) del D.lgs. 231/2007, che li identifica, rispettivamente, con le seguenti nozioni: ff. “ogni persona fisica o giuridica che fornisce a terzi, a titolo professionale, anche online, servizi funzionali all’utilizzo, allo scambio, alla conservazione  di  valuta  virtuale  e  alla  loro conversione da ovvero in valute aventi corso legale o in rappresentazioni digitali di valore, ivi comprese quelle convertibili in altre valute virtuali nonché i  servizi di emissione, offerta, trasferimento e compensazione e ogni altro servizio funzionale all’acquisizione, alla negoziazione o all’intermediazione nello scambio delle medesime valute”; ff-bis. “ogni persona fisica o giuridica che fornisce, a terzi, a titolo professionale, anche online, servizi di salvaguardia di chiavi crittografiche private per conto dei propri clienti, al fine di detenere, memorizzare e trasferire valute virtuali”.

In verità, l’espansione dei destinatari della disciplina antiriciclaggio è frutto della stratificazione normativa che, nel caso in esame, ha condotto alla graduale integrazione del novero degli obbligati con l’inserimento della figura dell’Exchanger, attraverso il D.lgs. 25 maggio 2017, n. 90, di recepimento della IV Direttiva UE n. 849/2015, e, solo successivamente, di quella del Wallet provider, mediante il D.lgs. 4 ottobre 2019, n. 125, di recepimento della già citata V Direttiva UE n. 843/2018^[29].

In tal modo, figure centrali nella gestione delle criptovalute vengono gravate dagli obblighi antiriciclaggio ex art. 3, comma 5, lettere i) e i-bis) del D.lgs. 231/07, che estende il perimetro della collaborazione attiva alle operazioni aventi ad oggetto la valuta virtuale, ossia “la rappresentazione digitale di valore, non emessa, né garantita da una banca centrale o da un’autorità pubblica, non necessariamente collegata a una valuta avente corso legale, utilizzata come mezzo di scambio per l’acquisto di beni e servizi o per finalità di investimento e trasferita, archiviata e negoziata elettronicamente” [art. 1, comma 2, lett. qq)]^[30].

Il coinvolgimento esteso al Wallet provider tiene conto del fatto che l’impiego (illecito) della criptovaluta può avvenire anche in assenza di processi di conversione, secondo analisi empiriche in base alle quali «given the limited scale of contained VC environments, money laundering involving VCs is likely to occur through two generic methods. First, criminals could place dirty fiat currency into a bank or other financial institutions, convert those funds to VCs using a VC exchange, and then engage in a variety of VC-based transfers or purchases to obscure the funds’ criminal origin. Second, criminals could sell illegal goods or services for VCs, eventually convert those to fiat currency, and subsequently fund transactions and purchases designed to conceal their illicit source»^[31]. D’altra parte, ogni qualvolta il cyberlaundering ha ad oggetto ricchezza derivante da reati-presupposto per così dire online integrated, la figura del Wallet provider diviene predominante per il monitoraggio delle operazioni, essendo questa la figura deputata a fornire agli users i virtual currency wallet (portafogli elettronici) che agevolano le condotte di immagazzinamento, detenzione e trasferimento di Bitcoin (o altre criptovalute), nonché i rapporti tra users e venditori.

La ratio replica quella immaginata dal legislatore comunitario che ne ha plasticamente tratteggiato i contorni nell’VIII Considerando della V Direttiva antiriciclaggio, affermando che «I prestatori di servizi la cui attività consiste nella fornitura di servizi di cambio tra valute virtuali e valute aventi corso legale (vale a dire le monete e le banconote considerate a corso legale e la moneta elettronica di un paese, accettate quale mezzo di scambio nel paese emittente) e i prestatori di servizi di portafoglio digitale non sono soggetti all’obbligo dell’Unione di individuare le attività sospette. Pertanto, i gruppi terroristici possono essere in grado di trasferire denaro verso il sistema finanziario dell’Unione o all’interno delle reti delle valute virtuali dissimulando i trasferimenti o beneficiando di un certo livello di anonimato su queste piattaforme. È, pertanto, di fondamentale importanza ampliare l’ambito di applicazione della direttiva (UE) 2015/849 in modo da includere i prestatori di servizi la cui attività consiste nella fornitura di servizi di cambio tra valute virtuali e valute legali e i prestatori di servizi di portafoglio digitale. Ai fini dell’antiriciclaggio e del contrasto del finanziamento del terrori­smo (AML/CFT), le autorità competenti dovrebbero essere in grado di monitorare, attraverso i soggetti obbligati, l’uso delle valute virtuali. Tale monitoraggio consentirebbe un approccio equilibrato e proporzionale, salvaguar­dando i progressi tecnici e l’elevato livello di trasparenza raggiunto in materia di finanziamenti alternativi e imprenditorialità sociale».

In estrema sintesi, per quanto concerne le criptovalute, lo schema preventivo opera su due livelli: da un lato, vengono arruolate figure professionali che occupano una posizione potenzialmente contigua alle operazioni in valuta virtuale^[32], sfruttando le informazioni privilegiate di Exchanger e Wallet provider (obbligati alla adeguata verifica della clientela e alla conservazione della relativa documentazione) anche grazie all’obbligo di segnalazione delle operazioni sospette, che scatta quando gli obbligati “sanno, sospettano o hanno motivi ragionevoli per sospettare che siano in corso o che siano state compiute o tentate operazioni di riciclaggio o di finanziamento del terrorismo o che comunque i fondi, indipendentemente  dalla loro entità, provengano da attività criminosa” (art. 35, comma 1); dall’altro, vengono previsti oneri di iscrizione in una speciale sezione del registro dei cambiavalute gestito dall’Organismo degli Agenti e dei Mediatori (art. 128-undecies T.U.B.) con espressa comunicazione al MEF dell’inizio dell’operatività mediante la quale gli operatori in criptovalute aderiscono al sistema pubblico antifrode (art. 17-bis, comma 8-bis, D.lgs. 141/10).

Gli obblighi traslati in capo ai prestatori di servizi relativi all’utilizzo di valuta virtuale e di servizi di portafoglio digitale espongono tali figure alla potenziale integrazione dell’illecito amministrativo di esercizio abusivo ex art. 17-bis, comma 5, D.lgs. 141/10 e, in caso di violazione degli obblighi antiriciclaggio, alla contestazione di una o più delle fattispecie penali positivizzate all’art. 55, D.lgs. 231/07 (oltre che al corredo degli illeciti amministrativi di cui agli artt. 56 ss., D.lgs. 231/07)^[33].

Il legislatore interviene con sistemi di monitoraggio prevalentemente incentrati sull’accesso, utilizzando il filtro dell’iscrizione all’albo quale condizione essenziale per esercitare le attività riguardanti la gestione delle valute e i servizi collegati al portafoglio digitale sul territorio nazionale. Un arretramento della focale sanzionatoria indotta dalla difficoltà di trovare strumenti in grado di attingere gli illeciti commessi nella gestione di quegli stessi servizi, cui viene fornita una tutela sbilanciata sul concetto di controllo, dove la sanzione presidia la generale “riserva di attività”, prevenendo pericoli che si presumono generati da un esercizio non autorizzato^[34].

In questo modo, la prevenzione assume la conformazione di tipo ‘precauzionale’ già indiziata dalla cultura del “sospetto” nella quale si innerva la disciplina antiriciclaggio e trovano linfa gli indicatori di anomalia del GAFI, che nel settembre 2020 ha pubblicato il Virtual Assets Red Flag Indicators of Money Laundering and Terrorist Financing in cui ribadisce che «Virtual assets (VA) and related services have the potential to spur financial innovation and efficiency, but their distinct features also create new opportunities for money launderers, terrorist financiers, and other criminals to launder their proceeds or finance their illicit activities. The ability to transact across borders rapidly not only allows criminals to acquire, move, and store assets digitally often outside the regulated financial system, but also to obfuscate the origin or destination of the funds and make it harder for reporting entities to identify suspicious activity in a timely manner. These factors add hurdles to the detection and investigation of criminal activity by national authorities»^[35].

Come noto, tali indicatori di anomalia possono favorire l’individuazione di casi di uso illecito di virtual assets, supportando le Autorità di controllo nell’analisi delle s.o.s. (e nelle attività di vigilanza antiriciclaggio in generale), nonché gli operatori (inclusi i Virtual Asset Service Providers), i professionisti (notai, commercialisti, avvocati, ecc.), le istituzioni finanziarie e gli altri soggetti obbligati a rilevare e segnalare operazioni sospette (previa corretta customer due diligence).

Tuttavia, tale profilo è frequentemente utilizzato come ‘scivolo’ penalistico che consente di convertire la violazione amministrativa in realizzazione del precetto penale sulla base del non condivisibile automatismo per cui alla violazione della norma antiriciclaggio (rectius, all’omessa segnalazione di operazione sospetta) corrisponde la integrazione del delitto di riciclaggio (art. 648-bis c.p.), non a caso considerato laboratorio di sperimentazione di crime control del mondo globalizzato.

Analogamente, nella rilettura giurisprudenziale il delitto di riciclaggio, pur essendo un reato di pericolo, assume i tratti del delitto commissivo mediante omissione (eventualmente realizzato con dolo eventuale), dirigendosi verso comportamenti di sospetto all’apparenza estranei al penalmente rilevante^[36].

Il rischio è che tale fattispecie smarrisca le nobili finalità che ne avevano giustificato l’inserimento nel Codice penale per fronteggiare una delle più gravi forme di criminalità economica, trasformandosi in una forma di controllo a largo spettro, in grado di agganciare la sanzione penale all’incertezza del sospetto. Un profilo meritevole di attenzione anche per gli effetti collaterali insiti nella potenziale creazione di categorie di “capri espiatori” dell’antiriciclaggio, figure – come quelle degli operatori in criptovalute – esposte al climax ascendente di un arsenale sanzionatorio che dalle sanzioni amministrative e penali del D.lgs. 231/2007 si espande agli strumenti repressivi, prevalentemente rappresentati dalle stigmatizzanti fattispecie di ricettazione (art. 648 c.p.), riciclaggio (art. 648-bis c.p.), autoriciclaggio (art. 648-ter.1 c.p.) e impiego di denaro, beni o utilità di provenienza illecita (art. 648-ter c.p.).

Le preoccupazioni appena espresse sono destinate ad accrescersi con il definitivo scollamento tra fattispecie e tipo generato dalla normativa di recepimento della direttiva UE 2018/1673 (c.d. VI Direttiva antiriciclaggio). Infatti, al fine di conformarsi all’ampia nozione di “attività criminosa” accolta dalla Direttiva^[37], il citato D.lgs. 8 novembre 2021, n. 195trasfigura il Tatbestand originariamente cristallizzato nella struttura precettiva delle fattispecie appena richiamate. Segnatamente, il decreto attuativo ha provveduto all’estensione del novero dei reati-presupposto, ricomprendendovi anche le contravvenzioni, da un lato, e i delitti colposi, dall’altro [art. 1, comma 1, lett. c), n. 3; art. 1, comma 1, lett. d), n. 1; art. 1, comma 1, lett. f), n. 1].

Tralasciando le imprecisioni del tessuto precettivo, che consegnano all’operatore una fattispecie di autoriciclaggio (art. 648-ter.1c.p.) da contravvenzione (comma 2)^[38], il risultato è che, oggi, le risorse illecite acquisite dal ricettatore (art. 648 c.p.) o dissimulate dal riciclatore (art. 648-bis c.p.) oppure ancora reimpiegate in circuiti economici leciti (artt. 648-ter e 648-ter.1 c.p.) potranno essere generate anche da un illecito penale di modesta consistenza offensiva o non sorretto dalla volontà criminosa^[39].

Il problema di superfetazione applicativa è reale e trova nell’attuale giurisprudenza di legittimità i precursori del rischio-penale gravante sugli stessi operatori in criptovaluta^[40]. D’altra parte, non è revocabile in dubbio che – a prescindere dalla sua controversa qualificazione giuridica – la valuta virtuale rientri nell’oggetto materiale delle condotte di riciclaggio e reimpiego, quantomeno sub specie di “altra utilità”^[41]. E, fermo restando che le attività di ostacolo punibili sono solo quelle che «in qualche modo incidano, materialmente o giuridicamente, sul bene stesso»^[42], non appare possibile affermare così nettamente che “nei Bitcoin, l’unica operazione dissimulatoria riguarda l’eventuale intestatario della moneta virtuale, il quale sarebbe coperto da uno pseudo anonimato. Da un punto di vista materiale il bene non subisce alcuna opera di camuffamento, risultando le transazioni in Bitcoin perfettamente tracciabili e visibili” ^[43].

Il monito è però utile a riaffermare con decisione la necessità di un controllo critico sull’incriminazione che utilizzi il paradigma dell’offesa dell’interesse tutelato come stella polare dell’interprete, evitando che ‘nemico’divenga lo strumento nato per contrastarlo^[44].

4.1. Criptoattività e autoriciclaggio: il cyber self-laundering.

Le criptovalute possono configurare lo strumento di operazioni di cyber self-laundering, astrattamente sussumibili nella fattispecie di cui all’art. 648-ter.1 c.p. (autoriciclaggio).

A tal riguardo, vale la pena ricordare che il delitto si perfeziona quando: i. la condotta è integrata dall’autore (o concorrente) del reato-presupposto; ii. l’impiego, la sostituzione o il trasferimento di denaro, beni o altre utilità è destinato ad attività economiche, finanziarie, imprenditoriali o speculative («in modo da ostacolare concretamente l’identificazione della loro provenienza delittuosa»)^[45]. Sotto il primo profilo, la configurazione di tale fattispecie sarà più probabile nelle ipotesi di riciclaggio digitale c.d. integrale, restando tuttavia plausibile un autoriciclaggio derivante da reato presupposto realizzato offline. Diversamente, la seconda condizione non sarà soddisfatta con il semplice acquisto di valuta virtuale, da solo insufficiente a realizzare il disvalore del tipo.

Tanto premesso, non può aprioristicamente escludersi il rischio penalistico da autoriciclaggio, realizzabile (ad esempio per l’Exchanger)anche a titolo di concorso^[46]. Significativa, in tal senso, una recente pronuncia della Cassazione (Cass. pen., Sez. II, 7 ottobre 2021-25 gennaio 2022, n. 2868) che ha riconosciuto la sussistenza del reato di autoriciclaggio in capo all’autore del reato-matrice laddove i profitti di un’attività illecita vengono convertiti in criptovaluta da una società terza (nel caso di specie, impegnata professionalmente al cambio da euro in Bitcoin). Richiamata la natura dell’art. 648-ter.1 c.p. come reato di pericolo, i Giudici ribadiscono che la fattispecie si perfeziona con condotte idonee ex ante a ostacolare concretamente l’identificazione della provenienza delittuosa delle utilità provenienti da reato, affermando che «le operazioni realizzate attraverso il trasferimento di valuta verso società estere che si interponevano nell’acquisto di criptovalute ed effettuate anche a mezzo di prestanome ponevano un serio ostacolo alla identificazione del ricorrente come beneficiario finale delle transazioni ed effettivo titolare di bitcoin acquistati non da lui ma dalle società estere che fungevano da exchanger di criptovalute». E addirittura ci si spinge oltre, affermando che «all’attività di cambio della valuta deve essere attribuito carattere finanziario, tanto che in Italia essa è regolamentata dalla legge ed il soggetto che la esercita deve essere iscritto in appositi registri (il D.lgs. 1 settembre 1993, n. 385, art. 155, comma 5, recante il Testo Unico delle Leggi in materia bancaria e creditizia, stabilisce che i soggetti che esercitano professionalmente l’attività di cambiavalute, sono iscritti in un’apposita sezione dell’Elenco previsto dall’art. 106, comma 1, del T.U.)».

Senza entrare nel merito di un approdo giurisprudenziale il cui carattere assolutistico ingenera più dubbi di quanti sia chiamato a fugarne^[47], è necessario prendere atto che la prassi ritiene l’autoriciclaggio integrato dalla preliminare operazione di cambio della valuta cui il disponente da corso servendosi di società di cambiavalute (rectius, di Exchanger di criptovalute). La Cassazione, infatti, afferma con nettezza che «la condotta del ricorrente rientra tra quelle punite dalla norma incriminatrice contestatagli, per avere dato corso al trasferimento del profitto dei reati presupposto in una attività finanziaria costituita dal cambio della valuta posto in essere su suo mandato da società estere. Ciò consente di ritenere del tutto irrilevante verificare quale fosse stato l’utilizzo ancora successivo dei bitcoin infine ottenuti dal ricorrente (…)».

A tale motivazione fa da eco un’ancor più recente pronuncia dei giudici di legittimità (Cass. pen., Sez. II, 7 luglio 2022 – 13 luglio 2022, n. 27023) che equipara l’acquisto di valuta virtuale all’investimento (di profitti illeciti) in operazioni di natura finanziaria (idonee a ostacolare la tracciabilità e la ricostruzione della origine delittuosa del denaro). Insomma, le cryptocurrencies vengono ritenute strumenti finanziari in quanto tali riconducibili all’ambito delle “attività speculative”, in quanto «le valute virtuali possono essere utilizzate per scopi diversi dal pagamento e comprendere prodotti di riserva di valore a fini di risparmio ed investimento (sul punto, il parere della BCE riportato a pag. 18 dell’ordinanza, recepito nella V direttiva UE antiriciclaggio 2018/843)». La stigmatizzazione dei crypto-assets sembra derivare dal fatto che con essi «è possibile garantire un alto grado di anonimato (sistema c.d. permissionless), senza previsione di alcun controllo sull’ingresso di nuovi “nodi” e sulla provenienza del denaro convertito (si è anche sottolineato come sia ormai noto il vasto numero di criptovalute utilizzate nel darkweb, proprio per le loro peculiari caratteristiche, e che alcune di esse, attraverso l’uso di tecniche crittografiche avanzate, garantiscono un elevato livello di privacy sia in relazione alla persona dell’utente sia in relazione all’oggetto delle compravendite)».

Ebbene, anche in questo caso il pericolo è quello di una espansione incontrollata della fattispecie di reato, che deve essere sottratta all’esuberanza propria del diritto penale del rischio e sottoposta a una ermeneutica normativamente orientata.

Il programma epistemologicamente verificabile del tipo astrattamente positivizzato consente, infatti, di operare una netta distinzione tra la mera conversione di valuta, difficilmente in grado di attivare la sanzione dell’art. 648-ter.1 c.p., e la ‘destinazione’ pretesa dalla fattispecie, in cui rientrerebbe la stessa attività di cambiavalute, intesa come attività lato sensu economica, nella quale l’operatore in criptovaluta potrebbe investire il provento di reato (eventualmente già ottenuto in Bitcoin o altra valuta virtuale) per finalità speculative. In altri termini, diversamente dai casi in cui si limitino ad effettuare il cambio di valuta su impulso del cliente, i prestatori di servizi relativi all’utilizzo di valuta virtuale (che svolgono tale attività anche in forma societaria) potranno essi stessi rispondere di «autoriciclaggio» (in assetto monosoggettivo o plurisoggettivo), laddove impieghino valuta virtuale o reale, generata da reati (online od offline) eventualmente realizzati in concorso con altri (ad es. hackers), nell’attività di cambiavalute svolta “a titolo professionale”. In questo caso, infatti, l’attività svolta dall’Exchanger rileverà come attività economica, finanziaria, imprenditoriale o speculativa cui le somme vengono destinate, incarnando la ratio – ancor prima che la lettera – dell’art. 648-ter.1 c.p., con conseguente responsabilità della persona fisica o dell’ente per autoriciclaggio integrato tramite impiego di criptovalute^[48].

5. ‘231’ e criptovalute: la responsabilità da reato dell’ente nel riciclaggio mediante monete virtuali.

Gran parte delle fattispecie passate in rassegna possono attivare il D.lgs. 8 giugno 2001, n. 231 recante la disciplina della responsabilità amministrativa dell’ente da reato. Sicuramente, tale responsabilità può sorgere nelle ipotesi di ricettazione (art. 648 c.p.), riciclaggio (art. 648-bis c.p.), autoriciclaggio (art. 648-ter.1 c.p.) e reimpiego (art. 648-ter c.p.), eventualmente afferenti ai crypto assets, integrate da soggetto apicale o subordinato nell’interesse o a vantaggio dell’ente di cui è dipendente. In simili circostanze, infatti, la contestazione può essere estesa alla società (eventualmente un Wallet provider o un Exchanger che eserciti tali servizi in forma organizzata) per il tramite dell’art. 25-octies, D.lgs. 231/2001, in forza del quale «in relazione ai reati di cui agli artt. 648, 648-bis, 648-ter e 648ter.1 del codice penale, si applica all’ente la sanzione pecuniaria da 200 a 800 quote. Nel caso in cui il denaro, i beni o le altre utilità provengono da delitto per il quale è stabilita la pena della reclusione superiore nel massimo a cinque anni si applica la sanzione pecuniaria da 400 a 1000 quote. Nei casi di condanna per uno dei delitti di cui al comma 1 si applicano all’ente le sanzioni interdittive previste dall’art. 9, comma 2, per una durata non superiore a due anni (…)»^[49].

L’analisi del diritto vivente induce a ritenere elevato – soprattutto alla luce dell’ampliamento delle fattispecie incluse nell’art. 25-octies – il rischio-reato anche per gli operatori di cryptocurrencies che si rendessero autori di dolose violazioni degli obblighi di segnalazione, integrando la suddetta omissione (non impeditiva) nella consapevolezza della illecita provenienza del denaro oggetto dell’operazione stessa.

In simili circostanze, la combinazione delle ‘231’ (d.lgs. 231/2001 e d.lgs. 231/2007) trova nelle fattispecie di (auto)riciclaggio e reimpiego la verticalizzazione della punibilità destinata a colpire la societas.

All’elevato grado di stigmatizzazione non corrisponde tuttavia un adeguato meccanismo di controllo del tipo, sottoposto alla costante erosione della giurisprudenza e definitivamente slabbrato dal recente intervento legislativo (D.lgs. 8 novembre 2021, n. 195). Sicché, le nobili aspirazioni che hanno condotto al superamento di una responsabilità ex delicto di natura esclusivamente antropomorfica e alla elaborazione di criteri di imputazione autonomi per l’ente rischiano di essere vanificate dalla scarsa capacità selettiva di meccanismi ascrittivi deformati o inattuati dalla prassi^[50].

In altri termini, le possibilità che un ente possa evitare una condanna per riciclaggio risultano veramente molto basse per la combinazione di due aspetti esiziali: da un lato, gli elevati standards pretesi in sede di valutazione della “idoneità” dei modelli organizzativi  e gestionali, che segna la scarsa efficacia ‘esimente’ ad essi riconosciuta nelle sentenze penali; dall’altro, il graduale abbassamento della base probatoria, che non pretende l’accertamento giudiziale del reato-presupposto (ritenendosi bastevole la prova logica) e si accontenta del dolo eventuale come supporto psicologico di condotte che possono arrestarsi all’ipotetico pregiudizio arrecato alla ricostruzione del paper trail. Valutazioni discrezionali che riferite alle “valute virtuali” rischiano di consegnare il processo ermeneutico al meccanismo della presunzione, dove l’equazione cripto-valuta = cripto-attività è in grado di conferire carattere automaticamente illecito alle operazioni che le riguardano.

La problematica si iperbolizza con riferimento all’autoriciclaggio (art. 648-ter.1c.p.) a causa della sostanziale elusione del numerus clausus posto alla base della responsabilità dell’ente e del principio di legalità rafforzata, che dovrebbero invece garantire l’ente impendendo che esso sia «ritenuto responsabile per un fatto costituente reato se la sua responsabilità amministrativa in relazione a quel reato e le relative sanzioni non sono espressamente previste da una legge entrata in vigore prima della commissione del fatto» (art. 2, D.lgs. 231/2001) ^[51].

In questo caso, il rischio è che la forza espansiva delle fattispecie di (auto)riciclaggio e reimpiego dilati il catalogo ‘formale’ dei reati-presupposto, mettendo in crisi i sistemi di compliance dell’ente, se non addirittura i criteri di imputazione previsti dagli artt. 6 e 7 del D.lgs. 231/2001 sui quali si regge il microsistema che consente al societas delinquere potest di convivere con i principi costituzionali di un diritto penale moderno.

---