MiCAR e DeFi: dove finisce il protocollo e inizia il servizio
MiCAR non regola la DeFi in blocco: i servizi pienamente decentralizzati restano fuori perimetro, ma front-end, aggregator, wallet evoluti e piattaforme di lending possono qualificarsi come CASP. Una guida operativa per distinguere protocollo, access layer e servizio.
— Studio LX20 Law Firm
Il Regolamento (UE) 2023/1114 sui mercati delle cripto-attività ("MiCAR") è entrato in vigore il 29 giugno 2023. Il regime sugli asset-referenced token e sugli e-money token si applica dal 30 giugno 2024; il regime sui prestatori di servizi per le cripto-attività (CASP) e sugli altri crypto-asset dal 30 dicembre 2024. In questo quadro, il rapporto tra MiCAR e finanza decentralizzata (DeFi) costituisce una delle aree più dibattute e meno consolidate. La normativa europea ha scelto un approccio prudente: non esclude la DeFi in blocco, ma circoscrive l'esenzione ai servizi prestati in modo pienamente decentralizzato e senza intermediario. La distinzione operativa, lungi dall'essere meramente teorica, determina la qualificazione regolamentare dei modelli di business più innovativi del settore.
Due piani da tenere distinti
Una premessa terminologica è necessaria. Nel dibattito su MiCAR e DeFi vengono spesso sovrapposti due piani diversi.
Il primo è il piano del protocollo. Riguarda smart contract, pool di liquidità, meccanismi automatici di lending, borrowing, staking, swap o liquidity provision, spesso descritti come infrastrutture decentralizzate. Quando il protocollo è realmente tale — codice immutabile, governance distribuita, assenza di soggetti che organizzano l'operatività — il considerando 22 di MiCAR offre una chiara indicazione di non riconducibilità al perimetro del Regolamento.
Il secondo è il piano dell'accesso al protocollo. Riguarda front-end, wallet, aggregator, piattaforme centralizzate, interfacce applicative, soggetti che promuovono il servizio, trattengono fee, selezionano protocolli o agiscono come intermediari di fatto. Su questo piano la valutazione cambia: la qualificazione come CASP diventa concreta e va analizzata caso per caso.
I due piani interagiscono, ma non sono interscambiabili. Un protocollo può essere decentralizzato ma l'interfaccia che consente all'utente di utilizzarlo può non esserlo. Un'operazione può essere eseguita su smart contract ma essere organizzata commercialmente da un soggetto identificabile.
Il considerando 22: la DeFi pienamente decentralizzata
Il punto di partenza è il considerando 22 di MiCAR. Il Regolamento chiarisce che, quando i servizi su cripto-attività sono prestati in modo *pienamente decentralizzato* e *senza alcun intermediario*, essi non rientrano nell'ambito applicativo. La formula è precisa e va presa nei suoi due elementi cumulativi: piena decentralizzazione e assenza di intermediario.
La portata della previsione è importante, ma non va applicata in modo estensivo senza limiti precisi. Il considerando non crea un'esenzione generale per qualsiasi progetto che si qualifichi come "DeFi"; identifica una sub-categoria circoscritta di operatività che non trova un soggetto regolabile.
È fondamentale comprendere che la decentralizzazione non è un'etichetta commerciale, ma un dato operativo. Un protocollo può essere basato su smart contract e, al tempo stesso, avere un team di sviluppo identificabile, una governance attiva, una fondazione, un soggetto che percepisce commissioni o coordina aggiornamenti. In questi casi, il fatto che la transazione tecnica avvenga *on-chain* non è sufficiente a sottrarre il modello al perimetro MiCAR.
Una presentazione corretta del perimetro evita di accomunare in un unico discorso "DeFi", "smart contract", "wallet non-custodial" e "assenza di regolazione", trattandosi di fenomeni tecnici e giuridici distinti.
Quando l'operatore DeFi può diventare CASP
MiCAR disciplina i prestatori di servizi per le cripto-attività. L'art. 3, par. 1, punti da 17 a 26, MiCAR tipizza i servizi per le cripto-attività: custodia e amministrazione di cripto-attività per conto di clienti; gestione di una piattaforma di negoziazione; scambio di cripto-attività con fondi o con altre cripto-attività; esecuzione di ordini su cripto-attività per conto di clienti; collocamento di cripto-attività; ricezione e trasmissione di ordini su cripto-attività per conto di clienti; consulenza, gestione di portafogli; servizi di trasferimento di cripto-attività per conto di clienti.
Il punto sta nel fatto che un front-end DeFi, un aggregator, un wallet con funzioni transazionali, una piattaforma che instrada operazioni verso pool decentralizzati o un soggetto che organizza staking o lending tramite smart contract possono integrare una o più di queste fattispecie. Il fatto che la transazione tecnica avvenga su protocollo decentralizzato non sterilizza la qualificazione regolamentare del soggetto che organizza, gestisce o promuove l'accesso.
La qualificazione richiede un'analisi caso per caso. Occorre verificare chi controlla l'interfaccia, chi seleziona i protocolli, chi determina il percorso dell'operazione, chi percepisce fee, chi riceve i token degli utenti — anche solo temporaneamente — e chi assume la responsabilità contrattuale verso l'utente finale.
ESMA, nei propri documenti interpretativi, ha chiarito che i servizi per i quali un CASP chiede autorizzazione devono corrispondere alla realtà operativa dell'attività svolta. In altri termini, la qualificazione regolamentare segue la funzione economica reale e non la rappresentazione commerciale.
Wallet non-custodial: il confine con la custodia
Il tema dei wallet non-custodial va tenuto separato dalla DeFi in senso stretto.
Il mero sviluppo o la messa a disposizione di un software che consente all'utente di detenere autonomamente le proprie chiavi private non coincide, di per sé, con la custodia MiCAR. La definizione regolamentare di custodia ruota intorno alla detenzione, anche temporanea, di cripto-attività per conto di terzi: se il provider non ha mai il controllo delle chiavi, l'elemento custodiale manca.
Il quadro cambia se il wallet integra funzioni ulteriori. Swap in-app, routing verso DEX, bridging, staking, lending, borrowing, ricezione e trasmissione di ordini, selezione dei protocolli su cui far interagire l'utente: ognuna di queste funzioni può integrare una fattispecie autonoma MiCAR. Un wallet che combina conservazione autonoma + swap automatici + accesso a piattaforme di lending può, sotto il profilo regolamentare, rappresentare un punto di erogazione di servizi che richiede analisi puntuale.
Anche qui il punto non è il wallet in astratto, ma il suo modello operativo. Un wallet può essere solo uno strumento tecnico di conservazione autonoma; oppure può diventare l'*access layer* attraverso il quale l'utente entra in operazioni che, sostanzialmente, sono prestate da un soggetto identificabile.
Lending, borrowing e staking: la zona grigia
Il Report congiunto EBA-ESMA del 16 gennaio 2025, predisposto ai sensi dell'art. 142 MiCAR in risposta alla richiesta della Commissione del 9 febbraio 2024, dedica attenzione specifica a DeFi, crypto-lending e crypto-staking, riconoscendo che si tratta delle aree di confine più complesse.
La distinzione centrale è tra utilizzo diretto di un protocollo e servizio organizzato da un soggetto identificabile.
Nel primo caso, l'utente interagisce con smart contract non amministrati da un intermediario, mentre nel secondo, una piattaforma raccoglie asset, seleziona protocolli, costruisce strategie, promette rendimenti o gestisce attivamente il flusso operativo.
Nel secondo scenario, l'elemento DeFi non sterilizza la possibile rilevanza regolamentare. L'operatore potrebbe non essere il protocollo, ma il soggetto che organizza l'accesso al protocollo. È lì che si colloca il rischio di qualificazione come CASP o, in alcuni casi, come emittente di prodotti finanziari sotto altre discipline.
Il confine con gli strumenti finanziari
Un'ulteriore distinzione che è opportuno fare riguarda il fatto che MiCAR non si applica ai crypto-asset che si qualificano come strumenti finanziari ai sensi della MiFID II. In quel caso, il tema non è MiCAR, ma il diritto dei servizi e strumenti finanziari nel suo complesso.
Questo è particolarmente rilevante per token ibridi, governance token con diritti economici, strumenti di liquid staking, claim tokenizzati o strutture che attribuiscono al titolare diritti di natura sostanzialmente partecipativa o creditoria. La qualifica MiFID II prevale: se il token *è* uno strumento finanziario, MiCAR cede il passo alla disciplina degli strumenti finanziari, con conseguenze radicalmente diverse in tema di prospetti, abusi di mercato, intermediazione e tutela dell'investitore.
Una presentazione corretta evita quindi di trattare tutti i token DeFi come crypto-asset MiCAR. Alcuni possono essere fuori perimetro per assenza di emittente identificabile o per piena decentralizzazione; altri possono essere fuori perimetro perché *dentro* la MiFID II.
Il quadro italiano
Nel mercato italiano, MiCAR si applica direttamente in quanto Regolamento UE; l'ordinamento interno vi ha dato attuazione con il D.Lgs. 5 settembre 2024, n. 129, che individua Banca d'Italia e Consob come autorità nazionali competenti e disciplina aspetti procedurali, sanzionatori e di vigilanza. Le linee di interpretazione delle autorità tendono a essere sostanziali: le qualificazioni regolamentari seguono la funzione effettiva svolta e non l'inquadramento commerciale prescelto dall'operatore.
Per gli operatori che costruiscono modelli DeFi-facing, il tema non è solo ottenere o non ottenere un'autorizzazione CASP. Il tema è predisporre una qualificazione regolamentare documentata: descrizione tecnica del modello, identificazione di chi controlla cosa, ruolo del front-end, modalità di percezione delle fee, presenza o assenza di soggetti identificabili lungo la catena operativa, regime fiscale e profilo AML.
L'analisi tenderà a fondarsi sulla funzione concretamente svolta, indipendentemente dalla qualificazione commerciale del progetto.
Outlook
Tre temi sono attesi nei prossimi dodici mesi.
Primo: progressiva emersione di casi di confine su wallet non-custodial evoluti, aggregator e front-end DeFi. Il mercato tenderà a spostare molte funzioni regolamentarmente sensibili dall'exchange centralizzato all'interfaccia *DeFi-facing*: la risposta delle autorità sarà determinante per stabilizzare le qualificazioni.
Secondo: maggiore attenzione europea a lending, borrowing e staking. Il Report congiunto EBA-ESMA del 16 gennaio 2025 ha già individuato queste attività come aree di sviluppo e di rischio; la traiettoria comunitaria è quella di un approfondimento normativo o regolamentare nei prossimi 12-24 mesi.
Terzo: convergenza tra MiCAR e altre discipline. Per gli operatori DeFi-facing, la qualificazione MiCAR sarà solo una parte dell'analisi: AML, travel rule, DORA, GDPR, servizi di pagamento, consumer protection e, dove applicabile, MiFID II concorrono a definire l'inquadramento complessivo.
In sintesi
MiCAR non regola la DeFi in blocco. I servizi prestati in modo pienamente decentralizzato, senza alcun intermediario, non dovrebbero rientrare nel perimetro del Regolamento. Ma questo non costituisce una franchigia generale per tutto ciò che si autoqualifica "DeFi".
Il criterio operativo è sostanziale: protocollo, access layer e servizio vanno tenuti distinti. Wallet non-custodial, front-end, aggregator, piattaforme di lending, borrowing e staking possono integrare una o più fattispecie CASP a seconda della struttura concreta dell'attività.
Il punto non è l'etichetta "DeFi". Il punto è chi controlla cosa, chi fa cosa per il cliente e quale funzione economica e regolamentare viene svolta.