Criptovalute e MiCA: la responsabilità degli exchange nella giurisprudenza italiana

Da BitGrail all’art. 75 MiCAR: come cambia la tutela dell’investitore dopo la fine del regime transitorio dei fornitori di servizi cripto. Fintech e CryptoTutela dell’investitore

📌 Nota di aggiornamento. Alla data odierna risultano tre sviluppi rilevanti rispetto al quadro descritto negli articoli precedenti del piano: (i) il 30 giugno 2026 si è concluso il regime transitorio previsto dal Regolamento (UE) 2023/1114 (MiCAR), con la conseguenza che in Italia operano oggi soltanto otto CASP specializzati autorizzati da Consob e Banca d’Italia, oltre a un intermediario bancario che ha effettuato la notifica prevista; (ii) risulta tuttora non attuato — pur essendo stato programmato da Consob per il secondo trimestre 2026 — l’adeguamento del Regolamento sull’Arbitro per le Controversie Finanziarie che dovrebbe estendere la competenza dell’ACF alle controversie con i prestatori di servizi per le cripto-attività, sicché l’investitore resta oggi privo di un rimedio stragiudiziale dedicato; (iii) la giurisprudenza di legittimità ha ulteriormente consolidato, da ultimo con la sentenza n. 20138/2025 della Cassazione penale e con la recente pronuncia del Tribunale di Roma n. 8006/2026, la qualificazione delle cripto-attività come beni mobili fungibili, confermando l’impostazione inaugurata nel 2019 dal Tribunale di Firenze nel caso BitGrail.

§1 — SOMMARIO

Il presente contributo esamina il regime di responsabilità dei prestatori di servizi per le cripto-attività (CASP) alla luce del Regolamento (UE) 2023/1114 (MiCAR) e del decreto legislativo di recepimento, dopo il completamento — il 30 giugno 2026 — del periodo transitorio che ha condotto all’autorizzazione dei primi operatori italiani. Dopo aver ricostruito la tassonomia delle cripto-attività e l’architettura di vigilanza condivisa tra Consob e Banca d’Italia, l’articolo analizza l’obbligo di custodia previsto dall’art. 75 MiCAR e la sua incidenza sulla responsabilità contrattuale dell’exchange verso il cliente. La parte centrale è dedicata al diritto vivente italiano, che ha maturato un proprio corpo di principi ancor prima dell’entrata in vigore del MiCAR, a partire dal leading case BitGrail, e li ha via via raffinati fino ai più recenti arresti sulla natura giuridica delle cripto-attività. Segue un esame dei rimedi effettivamente disponibili per l’investitore danneggiato, con particolare attenzione alla persistente assenza di una competenza dedicata dell’Arbitro per le Controversie Finanziarie. Chiudono il contributo alcune fattispecie concrete ricorrenti nella prassi e un elenco di indicazioni operative.

§2 — PRINCIPIO DI DIRITTO

La cripto-attività detenuta per conto del cliente presso un exchange costituisce un bene mobile suscettibile di formare oggetto di un rapporto di custodia, dal cui inadempimento discende una responsabilità dell’intermediario di natura contrattuale, autonoma rispetto alla disciplina pubblicistica di vigilanza.

Il perimetro applicativo della massima

Il principio, elaborato dalla giurisprudenza di merito ancor prima che il legislatore europeo intervenisse organicamente sulla materia, trova oggi un preciso ancoraggio positivo nell’art. 75 Reg. UE 2023/1114 (MiCAR), che pone in capo al prestatore di servizi di custodia e amministrazione di cripto-attività un obbligo di restituzione e una responsabilità per la perdita delle cripto-attività riconducibile a un incidente, salva la prova che l’evento non sia a esso imputabile. La regola pubblicistica non sostituisce, ma si affianca e rafforza, il preesistente inquadramento privatistico del rapporto tra utente e piattaforma, che la giurisprudenza italiana aveva già ricondotto, nel silenzio del legislatore, allo schema del deposito irregolare.

§3 — INQUADRAMENTO SISTEMATICO: LA TASSONOMIA DELLE CRIPTO-ATTIVITÀ NEL MiCAR

Nozione di cripto-attività e categorie rilevanti

Il Regolamento (UE) 2023/1114 del Parlamento europeo e del Consiglio, del 31 maggio 2023 (MiCAR) definisce la cripto-attività, all’art. 3, par. 1, punto 5, Reg. UE 2023/1114, come la rappresentazione digitale di un valore o di un diritto, trasferibile e memorizzabile elettronicamente mediante la tecnologia a registro distribuito o una tecnologia analoga. Su questa definizione unitaria il Regolamento innesta una tripartizione che condiziona l’intero regime applicabile: i token collegati ad attività (asset-referenced token, ART), disciplinati dal Titolo III, artt. 16-47, Reg. UE 2023/1114; i token di moneta elettronica (e-money token, EMT), disciplinati dal Titolo IV, art. 48, Reg. UE 2023/1114; e le cripto-attività diverse dalle prime due categorie (le c.d. «other than», tra cui rientrano Bitcoin ed Ether), disciplinate dal Titolo II, artt. 4-15, Reg. UE 2023/1114.

I prestatori di servizi per le cripto-attività (CASP)

Distinta dalla disciplina degli emittenti è quella dei prestatori di servizi, i Crypto-Asset Service Provider (CASP) di cui al Titolo V, artt. 59-85, Reg. UE 2023/1114, che sostituiscono la precedente figura, di matrice antiriciclaggio, del prestatore di servizi relativi all’utilizzo di valuta virtuale (VASP) di cui all’art. 1, comma 2, lett. ff-bis), D.Lgs. 21 novembre 2007, n. 231. Rientrano tra i servizi per le cripto-attività, per quanto qui interessa, la custodia e l’amministrazione di cripto-attività per conto di clienti, la gestione di una piattaforma di negoziazione e i servizi di cambio tra cripto-attività e fondi o tra cripto-attività diverse, tutti elencati dall’art. 3, par. 1, punto 16, Reg. UE 2023/1114.

§4 — IL QUADRO NORMATIVO: DAL REGOLAMENTO MiCA ALLA FINE DEL REGIME TRANSITORIO ITALIANO

L’entrata in vigore del Regolamento e il recepimento nazionale

Il Regolamento (UE) 2023/1114, pubblicato nella Gazzetta Ufficiale dell’Unione Europea il 9 giugno 2023, è entrato in vigore il 29 giugno 2023 ed è divenuto applicabile in due tempi: dal 30 giugno 2024 per le disposizioni sui token collegati ad attività e sui token di moneta elettronica (Titoli III e IV) e, per l’intero corpus normativo, dal 30 dicembre 2024. Il legislatore italiano ha dato attuazione al Regolamento con il D.Lgs. 5 settembre 2024, n. 129 (pubblicato nella G.U. Serie Generale n. 215 del 13 settembre 2024, in vigore dal giorno successivo), che ha designato Consob e Banca d’Italia quali autorità competenti ai sensi dell’art. 94 Reg. UE 2023/1114, ripartendone le competenze secondo un criterio funzionale: alla Consob spetta la vigilanza su trasparenza e correttezza dei comportamenti dei CASP, alla Banca d’Italia la vigilanza prudenziale e la gestione delle crisi, mentre le due Autorità operano congiuntamente sulle materie del Titolo III relative agli ART [§1].

informatici idonei a rappresentare un valore trasferibile e misurabile, integra a tutti gli effetti una cosa mobile ai sensi della legge penale, sicché la sua mancata restituzione da parte di chi la detenga per conto altrui configura il reato di appropriazione indebita di cui all’art. 646 c.p. Il principio, pur reso in sede penale, offre un decisivo riscontro alla qualificazione civilistica della cripto-attività quale bene suscettibile di restituzione, rilevante anche ai fini della responsabilità contrattuale dell’exchange.

L’ultimo tassello: il Tribunale di Roma nel 2026

Il quadro è stato ulteriormente confermato dal Tribunale di Roma, Sez. VIII, 20 maggio 2026, n. 8006, che, richiamando espressamente il precedente fiorentino del 2019, ha ribadito la natura di bene fungibile del bitcoin ai sensi dell’art. 810 c.c., consolidando così, a distanza di oltre sette anni dal caso BitGrail e a pochi mesi dalla fine del regime transitorio MiCAR, un orientamento ormai stabile della giurisprudenza di merito.

Tabella sinottica delle pronunce citate

Organo	Data	Numero	Principio affermato	Esito
Trib. Firenze, Sez. Fallimentare	21 gennaio 2019	n. 18	Rapporto utente-exchange qualificato come deposito irregolare (artt. 1782-1783 c.c.); responsabilità restitutoria della piattaforma	Dichiarazione di fallimento
Corte d’Appello Firenze, Sez. I	1° aprile 2020	n. 712	Le cripto-attività sono beni fungibili ex art. 810 c.c., assimilabili al denaro quali mezzi di scambio	Conferma della sentenza di primo grado
Cass. pen., Sez. II	25 settembre 2020 (ud. 17 settembre 2020)	n. 26807	La vendita di bitcoin pubblicizzata come investimento è soggetta agli artt. 91 ss. TUF	Annullamento con rinvio
Cass. pen., Sez. II	22 novembre 2022	n. 44378	Criteri funzionali di qualificazione della cripto-attività come prodotto finanziario atipico	Rigetto del ricorso
Cass. pen., Sez. II	29 maggio 2025 (ud. 20 marzo 2025)	n. 20138	Il bitcoin è cosa mobile ex lege penale; la mancata restituzione integra appropriazione indebita (art. 646 c.p.)	Rigetto del ricorso
Trib. Roma, Sez. VIII	20 maggio 2026	n. 8006	Conferma della natura di bene fungibile del bitcoin ex art. 810 c.c.	—

§7 — I RIMEDI DELL’INVESTITORE: TUTELA GIUDIZIALE E LACUNA DELL’ARBITRO PER LE CONTROVERSIE FINANZIARIE

La via giudiziale ordinaria

Il precedente BitGrail dimostra come, in assenza di una disciplina pubblicistica ad hoc, l’investitore danneggiato dall’inadempimento di un exchange potesse comunque ottenere tutela invocando gli ordinari strumenti del diritto civile: l’azione di restituzione fondata sul deposito irregolare, l’insinuazione al passivo fallimentare della società inadempiente e, ove ne ricorrano i presupposti, l’azione di responsabilità extracontrattuale nei confronti degli amministratori. Con l’entrata a regime del MiCAR, tali rimedi si affiancano oggi alla responsabilità tipizzata dall’art. 75 Reg. UE 2023/1114, che agevola l’investitore sotto il profilo dell’onere della prova, gravando il CASP della dimostrazione che l’incidente non gli sia imputabile.

La perdurante assenza di un rimedio stragiudiziale dedicato

Resta tuttavia priva di soluzione, alla data di elaborazione del presente contributo, una lacuna di rilievo pratico non secondario. Il Regolamento concernente l’Arbitro per le Controversie Finanziarie, adottato da Consob ai sensi dell’art. 2, commi 5-bis e 5-ter, D.Lgs. 8 ottobre 2007, n. 179, circoscrive tuttora, all’art. 4, comma 1, la competenza dell’Arbitro alle controversie tra investitori e intermediari relative alla violazione degli obblighi previsti dalla Parte II del TUF, senza menzione dei prestatori di servizi per le cripto-attività. Il piano delle attività di regolazione predisposto da Consob per il 2026 ha espressamente previsto, entro il secondo trimestre dell’anno, una modifica del Regolamento ACF volta a tenere conto dell’operatività dei nuovi soggetti autorizzati ai sensi del MiCAR; nondimeno, il presidente dell’Arbitro ha dovuto sollecitare nuovamente l’intervento, in audizione dinanzi alla Commissione parlamentare d’inchiesta sul sistema bancario e finanziario, segnalando che l’ampliamento della competenza non richiederebbe un intervento legislativo, essendo sufficiente una delibera modificativa del Regolamento, come già avvenuto in passato per l’estensione della competenza dell’Arbitro alla violazione degli obblighi di consegna del documento contenente le informazioni chiave (KID) [§6]. Fino a quando tale modifica non sarà adottata, l’investitore che intenda far valere la responsabilità di un CASP italiano non dispone dello strumento di risoluzione alternativa delle controversie, gratuito e non necessitante di assistenza legale, di cui già beneficiano gli investitori in altri prodotti finanziari, ed è quindi tenuto a rivolgersi al giudice ordinario o, ove il valore della controversia lo consenta, al giudice di pace.

§8 — CASI PRATICI E PROFILI APPLICATIVI

L’exchange estero privo di autorizzazione dopo il 30 giugno 2026

È l’ipotesi, divenuta oggi la più ricorrente, del cliente italiano che continui a detenere fondi presso una piattaforma che non abbia ottenuto l’autorizzazione come CASP in alcuno Stato membro entro la scadenza del periodo transitorio. In tale ipotesi la prestazione del servizio si pone in violazione dell’art. 59 Reg. UE 2023/1114 e può essere oggetto delle misure inibitorie che Consob, avvalendosi dei poteri di cui all’art. 94, par. 1, Reg. UE 2023/1114 e dell’art. 36 D.L. 18 ottobre 2012, n. 179, convertito dalla L. 17 dicembre 2012, n. 221, ha già utilizzato per disporre l’oscuramento di siti internet operanti abusivamente nei confronti del pubblico italiano [§7]. Il cliente coinvolto dovrebbe procedere quanto prima al trasferimento delle proprie disponibilità verso un CASP autorizzato o verso un portafoglio auto-custodito, fermo restando il diritto a far valere, nelle sedi competenti, la responsabilità dell’operatore per l’eventuale pregiudizio economico subito nella fase di dismissione.

L’incidente di sicurezza presso un CASP autorizzato

Diversa è l’ipotesi, ancora priva di precedenti editi in ragione della recente entrata a regime della disciplina, dell’incidente informatico che colpisca un CASP italiano autorizzato dopo il 30 giugno 2026. In tale scenario troverà applicazione diretta il regime di responsabilità dell’art. 75 Reg. UE 2023/1114, con conseguente onere per il prestatore di dimostrare che l’evento dannoso non gli sia imputabile: prova che, alla luce degli obblighi organizzativi e prudenziali imposti dal Regolamento, richiederà la dimostrazione puntuale del rispetto dei protocolli di sicurezza e di segregazione patrimoniale.

Il fallimento della società di gestione

Ove la piattaforma versi in stato di insolvenza, come già avvenuto nel caso BitGrail, il cliente potrà insinuarsi al passivo della procedura concorsuale quale creditore per la restituzione del tantundem, fermo restando che l’autorizzazione come CASP e i correlati obblighi di segregazione patrimoniale dovrebbero, nelle intenzioni del legislatore europeo, ridurre significativamente il rischio di commistione tra il patrimonio dell’intermediario e le disponibilità della clientela rispetto al quadro previgente.

§9 — CONSIGLI OPERATIVI

• Prima di operare con una piattaforma di cripto-attività, verificare l’iscrizione nel registro dei prestatori di servizi per le cripto-attività tenuto dall’ESMA, ovvero il rilascio della notifica alla Banca d’Italia per gli intermediari già vigilati.
• Conservare la documentazione relativa alle operazioni di deposito, prelievo e scambio effettuate sulla piattaforma, incluse le comunicazioni ricevute in ordine alle politiche di custodia, poiché tale documentazione costituirà elemento di prova essenziale in caso di controversia.
• In presenza di un incidente di sicurezza o di un ritardo ingiustificato nell’esecuzione di un ordine di prelievo, formalizzare tempestivamente un reclamo scritto all’intermediario, quale presupposto procedurale per l’eventuale successivo accesso alla tutela giudiziale.
• Qualora la piattaforma utilizzata risulti priva di autorizzazione dopo la fine del periodo transitorio, procedere senza indugio al trasferimento delle cripto-attività verso un operatore autorizzato o verso un portafoglio auto-custodito, documentando ogni comunicazione intercorsa con il gestore uscente.
• Nella prospettazione di un’azione risarcitoria nei confronti di un CASP, valutare sin dall’origine se invocare, in via alternativa o cumulativa, sia la responsabilità tipizzata dall’art. 75 MiCAR sia i tradizionali rimedi contrattuali fondati sulla qualificazione del rapporto come deposito irregolare, avendo cura di quantificare il danno con riferimento al valore delle cripto-attività al momento dell’inadempimento.
• Tenere monitorata l’evoluzione del Regolamento ACF, poiché l’eventuale estensione della competenza dell’Arbitro alle controversie in materia di cripto-attività offrirebbe un rimedio stragiudiziale più celere ed economico rispetto al giudizio ordinario.

§10 — CONSIDERAZIONI CONCLUSIVE

Il 2026 segna un punto di svolta per la regolazione italiana delle cripto-attività: la conclusione del periodo transitorio MiCAR e l’autorizzazione dei primi otto CASP nazionali trasformano un mercato sinora regolato in via residuale dalla disciplina antiriciclaggio in un settore soggetto a un regime di vigilanza prudenziale e comportamentale assimilabile, per intensità, a quello dei tradizionali intermediari finanziari. In questo nuovo assetto, l’art. 75 MiCAR offre all’investitore uno strumento di tutela sostanziale largamente inedito, che sposta sul prestatore l’onere di dimostrare la non imputabilità della perdita subita dal cliente. Resta peraltro significativo che tale avanzamento sostanziale non sia stato accompagnato, alla data di redazione del presente contributo, dal corrispondente adeguamento degli strumenti di tutela stragiudiziale, sicché l’investitore che intenda far valere la responsabilità di un exchange continua a dover misurarsi, come già accadde ai creditori di BitGrail, con i tempi e i costi del giudizio ordinario. La giurisprudenza formatasi in assenza di una disciplina organica — dalla qualificazione del rapporto come deposito irregolare alla natura di bene mobile fungibile della cripto-attività — conserva dunque, anche nel nuovo contesto regolamentare, un valore interpretativo destinato a orientare l’applicazione concreta delle nuove regole per tutto il tempo necessario alla formazione di un diritto vivente specificamente riferito al regime MiCAR.

---

[§1] Cfr. D.Lgs. 5 settembre 2024, n. 129, artt. 3-4; la ripartizione di competenze è sintetizzata nella nota congiunta Banca d’Italia-Consob del 29 ottobre 2024.

[§2] Il testo dell’art. 45 D.Lgs. 129/2024, come modificato, è stato commentato dall’OAM nella comunicazione del 30 giugno 2025 e nel Vademecum per gli operatori in valute virtuali.

[§3] Comunicato stampa congiunto Consob-Banca d’Italia del 30 giugno 2026, «Termina il periodo transitorio del Regolamento MiCA sulle cripto-attività: in Italia 9 soggetti abilitati».

[§4] Orientamento espresso dalla Banca d’Italia nei chiarimenti operativi rivolti ai CASP in tema di esternalizzazione della custodia, richiamati nella comunicazione congiunta Banca d’Italia-Consob del 30 gennaio 2025.

[§5] Trib. Firenze, Sez. Fallimentare, 21 gennaio 2019, n. 18 (proc. RGF n. 15/2019 e n. 16/2019).

[§6] Il precedente richiamato dal presidente dell’ACF è la modifica introdotta con delibera Consob n. 21867 del 26 maggio 2021, che ha esteso la competenza dell’Arbitro alle controversie relative all’obbligo di consegna del KID.

[§7] Cfr. Consob Informa, Anno XXXII, n. 19 del 18 maggio 2026, in tema di oscuramento dei siti operanti abusivamente nella prestazione di servizi per le cripto-attività.