Il dato forte non è che il 99% degli exchange crypto illegali europei sia italiano. Il dato verificato è un altro: nel registro ESMA dei provider crypto non conformi, 165 record su 167, pari al 98,8%, sono stati trasmessi dalla Consob. La sproporzione non fotografa la geografia delle frodi, ma rende visibile quanto l’applicazione nazionale di MiCA sia ancora disomogenea.
Quella chiamata informalmente “blacklist crypto MiCA” è in realtà il registro non esaustivo previsto dall’articolo 110 del regolamento. ESMA raccoglie le informazioni ricevute dalle autorità competenti e aggiorna periodicamente il file. Essere presenti significa che un’autorità ha trasmesso una segnalazione; essere assenti non significa essere autorizzati o sicuri.
Cosa contiene davvero il registro ESMA
Il file ufficiale NCASP.csv, aggiornato al 21 agosto 2026, contiene 167 righe. Il conteggio per autorità segnalante restituisce una distribuzione estrema: 165 record riconducibili alla Consob italiana, uno alla Netherlands Authority for the Financial Markets e uno alla National Bank of Slovakia. Soltanto tre autorità nazionali compaiono quindi nella fotografia corrente.
Il perimetro giuridico è più preciso della formula generica “operatori senza licenza”. L’articolo 59 di MiCA vieta di fornire servizi per le crypto-attività nell’Unione senza autorizzazione o senza rientrare tra le entità finanziarie abilitate dall’articolo 60. L’articolo 61 disciplina invece la reverse solicitation: un’impresa di un Paese terzo può servire un cliente europeo soltanto quando l’iniziativa parte esclusivamente dal cliente, senza promozione o sollecitazione preventiva nell’UE.
Il 98,8% non misura dove si trovano gli operatori illegali
Il rischio editoriale maggiore consiste nel trasformare il conteggio in una classifica geografica dell’abusivismo. Il CSV dice quale autorità ha trasmesso ogni record, non dimostra che le entità segnalate siano stabilite in Italia. Se si prendono come riferimento le 30 giurisdizioni dell’Unione europea e dello Spazio economico europeo, il file contiene righe riferibili alle autorità di soli tre Paesi. Le altre 27, comprese Germania e Francia, non compaiono come autorità segnalanti in questa versione del dataset.
Questo non permette di concludere che in quei mercati non esistano operatori abusivi o attività di vigilanza. ESMA precisa che il registro è non esaustivo, viene aggiornato settimanalmente e riflette le informazioni ricevute dalle autorità nazionali. Per capire come interpretare correttamente questi archivi è utile distinguere il file dei non conformi dal registro ESMA degli operatori autorizzati, che risponde a una domanda diversa.
- 167 record complessivi
nel registro dei provider crypto non conformi. - 165 trasmessi dalla Consob
il 98,8% dell’intero file ESMA. - Tre autorità rappresentate
Consob, AFM e banca centrale slovacca.
Perché la Consob pesa così tanto
Il file ESMA non spiega le ragioni della sproporzione. Il dato è però coerente con un’autorità italiana particolarmente visibile nell’uso dei poteri contro l’abusivismo online. SpazioCrypto ha già ricostruito la stretta della Consob sui siti finanziari e crypto abusivi, distinguendo i poteri generali derivanti dal Decreto Crescita da quelli specifici introdotti con MiCAR.
All’11 agosto 2026 la Consob dichiarava 1.805 siti finanziari oscurati dal luglio 2019. Quel totale comprende categorie diverse e non può essere confrontato direttamente con i 165 record del CSV MiCA, che conta entità e può associare più domini alla stessa riga. Mostra tuttavia l’esistenza di una macchina nazionale di monitoraggio e intervento molto attiva. Non dimostra, al contrario, che le altre autorità europee siano inattive: differenze procedurali, tempi di trasmissione e modalità di classificazione possono incidere sulla rappresentazione finale.
Come verificare se un provider è davvero autorizzato
Per un utente, la blacklist non deve diventare un certificato al contrario. Non trovare un marchio nel file dei non conformi non offre alcuna garanzia. La verifica positiva deve partire dalla lista dei CASP autorizzati MiCA, cercando il nome dell’entità legale, l’autorità che ha rilasciato l’autorizzazione e i singoli servizi che quella società può fornire.
Occorre poi verificare che il dominio utilizzato appartenga davvero all’entità autorizzata e controllare eventuali comunicazioni dell’autorità nazionale. Una licenza ottenuta in un Paese può essere utilizzata nell’UE attraverso il passaporto europeo, ma questo non elimina ogni adempimento locale, come mostra il nostro approfondimento sugli obblighi del mercato crypto italiano oltre MiCA.
La lettura più grande
MiCA ha creato un regolamento comune, ma il dato 165 su 167 mostra che la visibilità dell’enforcement dipende ancora in larga misura dalle autorità nazionali. Un registro europeo alimentato quasi interamente da un solo supervisore rischia di essere molto informativo su ciò che accade in quella giurisdizione e quasi muto sul resto del mercato.
La conclusione non è che l’Italia ospiti quasi tutti gli operatori illegali d’Europa. È che il sistema europeo di segnalazione non offre ancora una fotografia uniforme. La blacklist è utile per sapere chi è stato segnalato, ma è debole quando viene usata per dedurre chi sia sicuro. Per quello serve il registro positivo degli autorizzati, letto insieme ai provvedimenti delle autorità nazionali e verificato alla data più recente disponibile.
