Guida · Rischi degli indirizzi · · di Stefan Tsezarov
L’indirizzo che non puoi pagare
Un wallet sanzionato sembra uguale a tutti gli altri. La blockchain gli invierà denaro senza esitare. La legge può vederla in tutt’altro modo.
Non compare nessun avviso. Nessuno schermo diventa rosso. Nella maggior parte dei casi, la transazione viene confermata come qualsiasi altra.
Una blockchain può inviare denaro quasi ovunque. Il diritto delle sanzioni decide dove alcune persone possono inviarlo.
Questa guida spiega cos’è un indirizzo sanzionato, come persone comuni possono finire per toccarne uno senza volerlo e cosa può, e non può, dirti un controllo degli indirizzi. È un’informazione generale, non una consulenza legale.
01Cosa significa «sanzionato»
I governi tengono liste di sanzioni che nominano persone, aziende e organizzazioni con cui chi è soggetto alla loro giurisdizione può avere il divieto di trattare.
La lista statunitense più nota è tenuta dall’Office of Foreign Assets Control del Dipartimento del Tesoro, l’OFAC. Si chiama Specially Designated Nationals and Blocked Persons List, di solito semplicemente lista SDN.
Il 28 novembre 2018 l’OFAC ha fatto qualcosa di nuovo: accanto a due nomi della lista SDN ha pubblicato i loro indirizzi Bitcoin. I due uomini non erano accusati dell’attacco informatico. Erano accusati di aver gestito il denaro, convertendo in rial iraniani i riscatti del ransomware SamSam, che aveva colpito ospedali, università ed enti pubblici.
Da allora gli indirizzi crypto possono comparire direttamente nei registri delle sanzioni. Ne derivano due cose.
Un indirizzo è un identificativo, non una persona. Quando un indirizzo compare in una lista di sanzioni, aiuta a identificare la persona o l’entità che c’è dietro. Pensalo meno come «questo wallet è malvagio» e più come «questo è uno degli identificativi collegati a una parte designata». Il divieto riguarda il trattare con quella parte. Pagare il suo indirizzo significa trattare con lei.
Le sanzioni si applicano a persone ed entità, non alle blockchain. Una blockchain non ha nazionalità. I tuoi obblighi legali sì.
Le sanzioni statunitensi, per esempio, si applicano in generale ai cittadini e ai residenti permanenti statunitensi ovunque si trovino, alle persone ed entità presenti negli Stati Uniti e alle società costituite negli USA e alle loro filiali estere. Altri paesi hanno i propri regimi di sanzioni; l’UE, per esempio, applica le sue, che valgono anche in Italia. Possono sovrapporsi alle liste statunitensi, ma non sono identici. Quali regole si applicano a te dipende da chi sei, da dove ti trovi e dal regime in questione.
02Perché la blockchain non ti fermerà
Una banca controlla un pagamento prima che parta. Ci sono sistemi di screening delle sanzioni. Ci sono team di compliance. Ci sono persone il cui lavoro è fermare una transazione che non dovrebbe passare.
Una blockchain non ha niente di tutto questo integrato nel pagamento. Controlla se la transazione rispetta le regole della rete (una firma valida, un saldo sufficiente) e non chiede se la destinazione compare in una lista di sanzioni.
Incolli un indirizzo. Premi invia. Firmi la transazione. Viene confermata come qualsiasi altra.
Non compare nessun responsabile delle sanzioni. Nessun avviso legale. E di solito non c’è un pulsante per annullare.
C’è un’eccezione parziale. Alcuni emittenti di stablecoin possono bloccare il proprio token sugli indirizzi che hanno messo in blacklist; il contratto USDC di Circle, per esempio, rifiuta i trasferimenti verso o da quegli indirizzi. È una decisione dell’emittente sul proprio token, non la rete che controlla il tuo pagamento, e non copre ETH né la maggior parte degli altri token.
Quindi il controllo importante deve avvenire altrove: prima di inviare.
La blockchain verifica la transazione. Non decide se potevi farla.
03Puoi ricevere da uno di questi senza chiederlo
Chiunque può inviare crypto a un indirizzo pubblico. Non puoi impedire a qualcuno di scegliere il tuo. Potresti non aver chiesto il trasferimento. Potresti non sapere nemmeno chi l’ha inviato.
L’8 agosto 2022 l’OFAC ha sanzionato Tornado Cash, un servizio di mixing che rende le crypto più difficili da tracciare. Il Tesoro ha detto che era stato usato per riciclare più di 7 miliardi di dollari dal 2019, compresi oltre 455 milioni rubati dal gruppo Lazarus della Corea del Nord.
Il giorno dopo qualcuno ha inviato piccole quantità di ether da Tornado Cash a centinaia di wallet pubblici, tra cui quelli di un conduttore televisivo, dell’amministratore delegato di un grande exchange, di un marchio di abbigliamento sportivo e di un fondo che raccoglieva donazioni per l’Ucraina.
Non l’avevano chiesto. Non potevano rifiutarlo.
Era una provocazione, ma ha dimostrato una cosa vera: essere esposti a un indirizzo non è la stessa cosa che scegliere di trattare con esso.
Questo non significa che un trasferimento in entrata si possa semplicemente ignorare. Gli exchange controllano da dove arrivano i depositi. Se i fondi risalgono a un indirizzo in lista o ad alto rischio, un exchange può trattenerli mentre chiarisce i propri obblighi legali. Per un’azienda statunitense questo può significare bloccare i fondi e segnalarli all’OFAC.
Quindi sì, qualcun altro può creare il problema. Puoi comunque essere tu a ritrovartelo in mano.
04«Non lo sapevo» non lo rende legale
Questa è la parte che molti non si aspettano.
L’OFAC può imporre sanzioni civili in base a una responsabilità oggettiva alle persone soggette alla giurisdizione statunitense. Con le parole dell’OFAC, una persona può essere ritenuta responsabile «anche se non sapeva o non aveva motivo di sapere» che la transazione era vietata.
Quindi non sapere non impedisce a una transazione di essere una violazione. Ciò che può cambiare è cosa succede dopo.
Le linee guida dell’OFAC sull’applicazione delle sanzioni considerano se una violazione è stata volontaria o imprudente, cosa sapeva la persona e cosa ha fatto quando l’ha scoperto. L’esito può andare da nessuna misura, o una lettera di avvertimento, fino a una multa. Le accuse penali richiedono una condotta volontaria.
L’invio massiccio da Tornado Cash mostra come funziona. Un mese dopo l’OFAC ha detto che le sue regole si applicavano tecnicamente anche a quei trasferimenti non richiesti. Ha anche detto che non avrebbe dato priorità ad azioni contro i destinatari statunitensi che li avessero segnalati in ritardo, purché non ci fosse un altro legame con le sanzioni. Ancora coperti dalle regole, ma non una priorità. È la responsabilità oggettiva nella pratica.
Le azioni contro privati per piccole somme sono rare, e questa guida non sostiene il contrario. Ma la lezione è semplice: il momento di controllare è prima del pagamento. Dopo, «non ho controllato» e «non lo sapevo» possono lasciarti con lo stesso problema.
05Le liste cambiano, in entrambe le direzioni
L’inserimento in una lista di sanzioni non è necessariamente permanente. È uno status giuridico, e gli status giuridici possono cambiare. Tornado Cash è l’esempio più chiaro che ci sia.
| Quando | Cosa è successo |
|---|---|
| 8 agosto 2022 | L’OFAC sanziona Tornado Cash. |
| 26 novembre 2024 | Una corte d’appello federale statunitense, quella del Quinto Circuito, stabilisce che gli smart contract immutabili di Tornado Cash (codice che nessuno possiede e nessuno può cambiare) non sono «beni» che la legge sulle sanzioni consente all’OFAC di bloccare. |
| 21 marzo 2025 | Il Tesoro statunitense rimuove Tornado Cash dalla lista SDN. |
Stesso codice. Stessi indirizzi. Tre risposte diverse, a seconda del giorno in cui chiedevi.
Per questo un controllo delle sanzioni è sempre un’istantanea. Un indirizzo pulito oggi può finire in lista domani. Uno che era in lista l’anno scorso può esserne uscito da allora.
C’è anche un secondo ritardo. I database che legge uno scanner non si aggiornano nello stesso momento delle liste ufficiali, quindi può esserci un intervallo tra una designazione o una rimozione e il suo recepimento in un database. La Trasparenza tecnica descrive il ritardo osservato nell’oracolo delle sanzioni usato da questo scanner.
Un controllo è aggiornato solo quanto i dati che ci sono dietro.
06Eccone uno
Questo indirizzo è reale. Il 14 aprile 2022 l’OFAC l’ha aggiunto alla sua voce sul gruppo Lazarus. È l’indirizzo che ha ricevuto le crypto rubate dal Ronin Bridge, il ponte che collega il gioco Axie Infinity a Ethereum: più di mezzo miliardo di dollari. È ancora in lista oggi.
Indirizzo reale in lista · non inviargli nulla
Copialo nello scanner. Scegli EVM, poi Scan Wallet, poi Ethereum, ed esegui il controllo.
Quando l’abbiamo controllato il 21 settembre 2026 ha restituito FAIL, con il risultato «In una lista di sanzioni». Il record del fornitore di sicurezza per l’indirizzo porta un indicatore di sanzioni, e lo stesso record lo segnala per furto. Anche l’oracolo delle sanzioni di Chainalysis, una fonte separata, l’ha indicato come sanzionato, e la ricerca dell’OFAC stessa ha restituito la voce del gruppo Lazarus.
Ecco come appare una corrispondenza diretta. Ma una corrispondenza è solo metà della storia. La domanda più utile è: cosa significa davvero l’assenza di una corrispondenza?
07Cosa controlla questo scanner, e cosa no
Uno scanner non è una finestra magica su un wallet. Controlla dati specifici, da fonti specifiche, su chain e periodi specifici.
| Controllo | Cosa succede |
|---|---|
| Questo indirizzo EVM è in lista? | L’indirizzo viene confrontato con la libreria di indirizzi malevoli del fornitore di sicurezza, che include indicatori di sanzioni, furto, phishing e riciclaggio. Una corrispondenza con le sanzioni dà FAIL. |
| Questo wallet ha trattato di recente con un indirizzo in lista? | Su otto chain EVM vengono letti i trasferimenti recenti di token e le controparti vengono confrontate con l’oracolo delle sanzioni di Chainalysis. La finestra è breve: poco meno di sette ore su Ethereum, e da circa otto minuti a poco più di un’ora sulle chain più veloci. Una corrispondenza dà CAUTION, non FAIL. Essere esposti non è la stessa cosa che essere designati. |
| ETH semplice che passa tra wallet | Non visibile. Il controllo delle controparti recenti legge solo i trasferimenti di token. |
| L’intera cronologia del wallet | Non controllata. L’analisi non ricostruisce tutto ciò che il wallet ha mai fatto. |
| Wallet Solana | Confrontati con gli indirizzi Solana della lista OFAC del Tesoro USA, aggiornata dai dati pubblicati dall’OFAC e controllata ogni giorno. Un indirizzo in lista dà FAIL. Le liste di altri paesi e le segnalazioni di truffe non vengono controllate, e il risultato lo dice. |
| Wallet Sui e TRON | Non controllati. Lo scanner non ha alcuna fonte di sanzioni per queste chain, e lo dice invece di fingere il contrario. |
| Contratti di token | Non confrontati con le liste di sanzioni. Un’analisi del token guarda cosa può fare il contratto, non l’identità di chi può controllarlo o usarlo. |
Un controllo non è più ampio delle liste che legge e della cronologia che può vedere.
Un risultato pulito non è un certificato di innocenza. È un risultato di fonti specifiche, in un momento specifico, su un periodo specifico.
08Se un controllo risulta segnalato
Se è qualcuno che stai per pagare: fermati. Non inviare. Se ti propone un altro indirizzo, questo non cambia chi pagheresti. Chiedi un altro modo di saldare, oppure rinuncia.
Se sono già arrivati fondi da un indirizzo in lista: niente panico, ma non spostarli alla leggera.
- Non rimandarli indietro di tua iniziativa. Restituirli è di per sé un pagamento all’indirizzo in lista e, per chi è soggetto alle regole statunitensi, spostare fondi bloccati può creare un secondo problema. Chiedi prima un parere.
- Non farli passare per altri wallet per farli sembrare più puliti. Non ne cancella la storia. La allunga.
- Annota cosa è successo. Conserva l’hash della transazione, la data, l’importo, l’indirizzo di provenienza e qualsiasi messaggio che spieghi come sono arrivati i fondi.
- Se sei una persona statunitense, o detieni i fondi per un’azienda, possono applicarsi regole sui beni bloccati e obblighi di segnalazione. Qui un avvocato è più utile di un post in un forum.
- Se i fondi sono su un exchange, contatta il suo team di assistenza o di compliance.
Se è il tuo indirizzo a essere segnalato e pensi che la segnalazione sia sbagliata, trattala prima come una questione di dati. I database di sicurezza possono contenere errori, e le liste cambiano. Lo scanner indica il fornitore dietro ogni risultato, così sai dove guardare. Per le sanzioni statunitensi, la Sanctions List Search gratuita dell’OFAC può cercare direttamente indirizzi di valute digitali. Se il record del fornitore è sbagliato, chiedigli di correggerlo.
Nessuno di legittimo ha bisogno della tua frase di recupero per «sbloccare» le tue crypto.
Le persone i cui fondi sono appena stati trattenuti da un exchange sono un bersaglio preferito delle truffe di recupero. Uno sconosciuto che si offre di liberare crypto congelate o rubate, in cambio di un compenso anticipato o della tua seed phrase, quasi sicuramente ne sta gestendo una.
09Cosa può e non può dirti un’analisi
Una corrispondenza significa: questo indirizzo compare in una lista che abbiamo potuto vedere, nel momento in cui abbiamo controllato. È utile.
L’assenza di corrispondenze significa molto meno di quanto a volte si pensi. Significa che l’indirizzo non compariva nelle fonti controllate in quel momento.
Non dimostra che la persona dietro sia legittima.
Non dimostra che i fondi siano puliti.
Non dimostra che l’indirizzo sarà ancora pulito domani.
Molte persone che non dovresti mai pagare non sono mai finite in nessuna lista.
L’OFAC dice che il suo strumento di ricerca «non sostituisce un’adeguata due diligence». Per questo questo scanner descrive un risultato pulito come «nessun indicatore di rischio importante», non come «sicuro».
Un controllo delle sanzioni ti informa su una categoria di rischio, con fonti specifiche, in un momento specifico. Vale la pena farlo ogni volta. Non è tutta la risposta.
La regola
Controlla prima di inviare. Non dopo.
Alla blockchain non importa chi riceve il denaro. Alla legge può importare moltissimo.
Un indirizzo non può dirti chi c’è dietro. Una lista di sanzioni può dirtelo solo quando le autorità hanno identificato e designato qualcuno. Tra questi due fatti c’è ogni pagamento crypto che fai.
Un controllo richiede trenta secondi. Trenta secondi costano poco. Sbrogliare una transazione sbagliata no.
Correlati: perché nessuno di legittimo ha mai bisogno della tua frase di recupero e token che puoi comprare ma non vendere. Questo articolo è un’informazione generale, non una consulenza legale o finanziaria. L’indirizzo della sezione 6 è pubblicato dal Tesoro statunitense nella lista SDN; viene mostrato perché tu possa vedere un risultato reale, e non dovresti inviargli nulla.