MiCA + Travel Rule: la scadenza del 1° luglio 2026 e la fine del no-KYC in Europa

Una scadenza che non è più negoziabile

Il 1° luglio 2026 non è più una data prospettica. È il momento in cui la finestra di tolleranza che MiCA, il regolamento europeo Markets in Crypto-Assets, accordava ai Crypto-Asset Service Providers (CASP) sotto regime nazionale anteriore si chiude. A partire da quel giorno, ogni CASP che non abbia operazionalizzato il Travel Rule non può più trattare trasferimenti legalmente, anche se detiene già un'autorizzazione MiCA.

La frase è densa; spieghiamola. MiCA è entrato in vigore per tappe nel 2024-2025. Gli Stati membri hanno avuto un periodo di grandfathering che permetteva a un attore operante con licenza nazionale (VASP PSAN in Francia, BaFin in Germania, FinReg in Lituania) di continuare le sue attività il tempo di migrare verso il regime europeo unificato. Questa finestra si chiude, e il secondo mattone regolamentare, il Travel Rule derivante dalla Raccomandazione 16 del FATF, diventa una condizione di funzionamento operativo.

Cosa richiede concretamente il Travel Rule

La Raccomandazione 16 del FATF, adottata nel diritto europeo in particolare tramite il regolamento (UE) 2023/1113, impone a ogni istituzione finanziaria (e ogni CASP) che tratti un virtual asset transfer di trasmettere alla controparte un fascicolo di informazioni sul ordinante e sul beneficiario:

• Nome completo
• Numero di conto (o indirizzo wallet)
• Indirizzo fisico, data e luogo di nascita, o numero d'identificazione
• E la messa a disposizione di queste informazioni per tutta la catena di pagamento

Per un exchange centralizzato che raccoglie già questo fascicolo in KYC, l'impatto è essenzialmente tecnico: serve un protocollo interoperabile (TRP, IVMS 101, OpenVASP…) per trasmettere i dati in tempo reale alla controparte. Per un servizio no-KYC che non raccoglie questo fascicolo per costruzione, l'impatto è esistenziale. Il Travel Rule non è un costo aggiuntivo che si può assorbire; è l'antitesi del modello.

Il contatore dell'enforcement già gira

I regolatori europei e medio-orientali non aspettano il 1° luglio per attivare le loro leve. Nel quarto trimestre 2025, la Francia ha emesso 14 enforcement notices tramite l'ACPR e l'AMF, principalmente contro piattaforme offshore operanti senza VASP o senza autorizzazione MiCA in corso di istruzione. In Germania, la BaFin ha bloccato l'accesso a sei domini di exchange offshore utilizzando lo strumento di blocco previsto dalla Geldwäschegesetz emendata.

Dal lato FATF, il conteggio ufficiale è istruttivo: 85 giurisdizioni su 117 hanno già adottato o sono in corso di adozione del Travel Rule. Altre 14 ci stanno lavorando. La coorte delle giurisdizioni in cui un servizio no-KYC può prosperare senza esposizione regolamentare si riduce meccanicamente, e la messa in rete dei regolatori (tramite i gruppi di lavoro FATF e gli scambi bilaterali) accelera il rastrellamento.

CARF, la seconda ondata, quella fiscale

Il Crypto-Asset Reporting Framework (CARF) è spesso dimenticato nelle discussioni MiCA-centric. È un errore. Dove MiCA e il Travel Rule trattano il perimetro regolamentare dei servizi, CARF tratta la trasparenza fiscale: reporting automatico delle transazioni da parte dei CASP all' amministrazione fiscale della giurisdizione di residenza di ogni cliente, scambio internazionale dei dati.

Per un utente, il risultato composito dei due regimi è diretto. Una transazione passata tramite un CASP MiCA-compliant nel 2026 o oltre è, per costruzione:

• Legata a un'identità KYC verificata
• Trasmessa alla controparte tramite il Travel Rule
• Segnalata all'amministrazione fiscale del paese di residenza del cliente tramite CARF

La parola «anonimato» in questo percorso non ha più referente.

Cosa resta possibile per un utente europeo

La tabella che segue si scrive negli occhi di un utente che vuole operare nel 2026 senza rinunciare a ogni forma di privacy. Si scrive anche onestamente.

• Accettato di buona fede da MiCA: detenere e utilizzare crypto-asset rimane legale. I self-hosted wallets non sono vietati. Una transazione tra due self-hosted wallets rimane fuori dal perimetro Travel Rule (nessun CASP coinvolto).
• Restretto da MiCA + Travel Rule: ogni passaggio tramite un CASP regolato, exchange centralizzato, broker, custodian, passa ora attraverso il triplo strato KYC + Travel Rule + CARF. Le privacy coins possono essere delistate dai CASP stessi per evitare il rischio AML.
• Fuori perimetro di MiCA ma sorvegliato: i DEX P2P (Bisq, Haveno via RetoSwap), gli atomic swaps (Farcaster BTC↔XMR), i mixer e i coinjoin. La posizione europea su questi strumenti non è ancora unificata ed è oggetto di posizioni divergenti secondo le autorità nazionali.
• In zona grigia: i servizi no-KYC offshore accessibili a un utente europeo via clearnet o Tor. Il regolatore non può operare extraterritorialmente, ma può bloccare l'accesso domestico (caso BaFin) e sanzionare l'utente residente per difetto di dichiarazione CARF.

Cosa cambia per il directory

Il NoKYC Directory non scompare il 1° luglio 2026, si specializza. I servizi che referenzia si ripartiscono ora in tre gruppi:

1. Servizi no-KYC per costruzione operanti da giurisdizioni fuori-UE e fuori-MiCA, accessibili clearnet o Tor. Target: l'utente consapevole dei rischi e capace di operare il proprio wallet self-hosted.
2. Servizi a KYC condizionale (signup senza ID ma verifica possibile su trigger di frode) come Contabo nella nostra categoria Hosting. Questi servizi rimangono utilizzabili per un workflow pulito.
3. Servizi full-KYC elencati esplicitamente come contro-esempi (Zadarma, RedotPay, Heleket, Cryptomus), per documentare perché non fittano un uso privacy e perché continueranno a funzionare sotto MiCA.

L'angolo giuridico onesto

Questo articolo non è una consulenza legale. La regolamentazione crypto evolve rapidamente e ogni giurisdizione nazionale aggiunge le sue sfumature. Se siete operatori di un servizio europeo, parlate con un avvocato specializzato MiCA. Se siete utenti, tenete a mente che la non-dichiarazione fiscale (CARF) è tracciabile a partire dal momento in cui avete toccato un CASP regolato una sola volta nella catena, e che il silenzio non è una strategia difendibile. La posizione del directory non è né un appello a infrangere, né un appello a conformarsi ciecamente; è un appello a comprendere il perimetro reale di ogni strumento prima di utilizzarlo.