Il rischio exchange è la possibilità che la piattaforma o uno dei soggetti da cui dipende impedisca di usare, trasferire o recuperare asset e denaro, alteri la qualità dell'esecuzione o interrompa il servizio. Non è un solo rischio: unisce contratto, custodia, bilancio, tecnologia, conflitti e mercato.
In parole semplici — Il saldo sullo schermo non risponde a tre domande decisive: chi deve restituirlo, dove sono gli asset e che cosa accade se prelievi o società si fermano.
1. Quale entità ha un obbligo verso il cliente?
Il marchio e l'app possono essere condivisi da più società. Occorre identificare entità contrattuale, paese, servizio prestato e legge applicabile per trading, custodia, fiat, derivati e staking. Licenza o registrazione vanno lette nel perimetro effettivo: autorità, attività autorizzate e soggetto elencato.
“Regolamentato” non significa privo di rischio. Significa che determinati obblighi e controlli si applicano in un perimetro specifico. Non garantisce prezzo, solvibilità futura o restituzione immediata in ogni crisi.
2. Chi controlla gli asset e quali diritti restano?
Un CEX può registrare il saldo in un ledger interno e detenere chiavi tramite wallet omnibus, custodi o sub-custodi. Contratto e legge stabiliscono se gli asset restano di proprietà del cliente, vengono affidati in custodia, possono essere riutilizzati o generano un credito verso l'intermediario.
La segregazione separa registri o detenzione secondo regole definite, ma non assicura da sola restituzione istantanea né identico trattamento in ogni insolvenza. Servono riconciliazioni, accesso alle chiavi, catena di sub-custodia, procedure e diritto applicabile.
3. Proof of reserves, audit e solvibilità
Una proof of reserves può mostrare che un soggetto controllava certi asset in un momento e con un perimetro dichiarato. Non dimostra necessariamente passività complete, asset vincolati, esposizioni fuori bilancio, qualità dei controlli o diritti giuridici dei clienti.
Un audit finanziario, un'attestazione sulle riserve e una riconciliazione di custodia hanno obiettivi diversi. Anche un bilancio solvibile è una fotografia: liquidità, concentrazione, leva e scadenze possono cambiare. La domanda corretta non è “ha la PoR?”, ma quale affermazione verifica, a quale data e con quali esclusioni?
4. Prelievi e continuità operativa
Downtime, attacco informatico, errore del wallet, congestione, manutenzione o problema di un fornitore possono fermare ordini e prelievi. API funzionante e sito raggiungibile non provano che settlement e custodia siano operativi.
La verifica osserva storico incidenti, comunicazioni, tempi reali di prelievo, limiti, whitelist, procedure manuali, business continuity, disaster recovery e dipendenze cloud, custodi e reti. Un piccolo test può confermare un percorso in un momento; non garantisce che resti disponibile sotto stress.
5. Conflitti e integrità del mercato
Un intermediario crypto può combinare piattaforma, brokeraggio, custodia, prestito, staking, market making, emissione di token e trading proprietario. Questa concentrazione può creare conflitti, uso incrociato di collaterale, opacità dei prezzi e trasmissione delle perdite tra attività.
Vanno distinti matching, market surveillance, ammissione degli asset, gestione dei token collegati, priorità degli ordini e ruolo delle affiliate. La pagina CEX, DEX e OTC separa modello della sede, meccanismo di prezzo, custodia e regolamento.
Il rischio non si elimina distribuendo saldi alla cieca
Usare più venue può ridurre una singola concentrazione, ma aggiunge account, chiavi, API, entità e procedure. Due marchi possono dipendere dallo stesso custode, gruppo o fonte di liquidità. La self-custody riduce alcune esposizioni all'intermediario, ma trasferisce all'utente rischi di chiavi, backup, firma e successione.
La soluzione non è una percentuale universale. Il capitale operativo dipende da strategia, liquidità, tempi di trasferimento e capacità di fermarsi. Ogni limite va motivato, monitorato e collegato a un piano di uscita praticabile.
Segnali da investigare
Ritardi o regole di prelievo che cambiano senza spiegazione, entità poco chiare, passività non descritte, rendimenti incompatibili con i flussi osservabili, token propri usati come collaterale e comunicazioni incomplete richiedono approfondimento. Anche spread, mark price o liquidazioni divergenti tra mercati possono indicare stress, ma nessun segnale singolo prova insolvenza.
Confronta fonti indipendenti e conserva data e perimetro. L'assenza di una red flag visibile non è evidenza di sicurezza.
Piano di uscita e continuità
- Identifica entità, servizio, giurisdizione e contratto applicabile.
- Documenta custodia, sub-custodia, segregazione, riuso e diritti in insolvenza.
- Confronta riserve con passività, assurance, riconciliazioni e data di riferimento.
- Prova prelievi, indirizzi autorizzati e canali di assistenza prima di un'emergenza.
- Prepara come ridurre posizioni, coperture e ordini se API o mercato si fermano.
- Tieni inventario di saldi, asset, reti, chiavi, contatti e dipendenze comuni.
Livello professionale: monitoraggio per affermazioni
La due diligence professionale collega ogni evidenza a una precisa affermazione: esistenza degli asset, completezza delle passività, proprietà, segregazione, controllo interno, resilienza o integrità del mercato. Versiona termini, autorizzazioni, bilanci, attestazioni, incidenti e modifiche ai limiti.
Gli scenari includono insolvenza, cyberattack, perdita del custode, depeg del collaterale, freeze di una rete, liquidazioni a cascata, chiusura di una banca e conflitto con una società affiliata. Il piano deve funzionare anche quando la trasferibilità promessa non è disponibile.
Fonti
- ESMA — MiCA, articolo 68 — governance, resilienza, continuità e controlli nel perimetro UE.
- ESMA — MiCA, articolo 70 — salvaguardia di fondi e cripto-attività dei clienti e segregazione.
- ESMA — MiCA, articolo 72 — identificazione, prevenzione e disclosure dei conflitti.
- ESMA — MiCA, articolo 75 — custodia, registri, sub-custodia, restituzione e responsabilità.
- IOSCO — Policy Recommendations for Crypto and Digital Asset Markets — raccomandazioni 12–17 su asset dei clienti, segregazione, assurance e rischio operativo.
- FSB — Multifunction Crypto-asset Intermediaries — concentrazione di funzioni, interdipendenze e conflitti.
- BIS–FSI — Cryptoasset service providers as financial intermediaries — custodia, titolo sugli asset, intermediazione e canali di rischio.
Collegamenti
Attività digitali e mercati crypto · CEX, DEX e OTC · Exchange e broker · Broker risk · Rischio operativo · Self-custody
Percorso Oro — Modulo execution. Indice: Percorso Oro.