A cura di Marco Tullio Giordano, avvocato e partner di 42 Law Firm
Il 24 settembre un attacco ai wallet operativi di Bitget ha sottratto circa 388 milioni di dollari. L’exchange ha coperto la perdita con il proprio fondo di protezione e in otto giorni ha riaperto i prelievi, presentando la scelta come una tutela per gli utenti. Per un prestatore autorizzato nell’Unione sarebbe un obbligo previsto da MiCA. Con un limite da ricordare.
Secondo la ricostruzione dell’exchange, gli attaccanti non hanno rubato chiavi private: hanno sfruttato una vulnerabilità in apparati di sicurezza forniti da terzi, ottenuto credenziali interne e fatto approvare trasferimenti falsificati. In circa tre ore sono stati svuotati i wallet hot e warm, collegati ai sistemi operativi; la custodia a freddo non è stata toccata. La stima è salita da 351,6 a circa 388 milioni. La pista nordcoreana non ha ancora conferme ufficiali.
Depositi e trading sono rimasti attivi, i prelievi sono stati sospesi e riaperti per gradi dal 28 settembre al 2 ottobre, i saldi dei clienti non sono stati toccati. La perdita è stata coperta dal fondo di protezione, dichiarato in circa 464 milioni di dollari in bitcoin e ricostituito il 30 settembre, con capitale aziendale, a 3.705 BTC: circa 309 milioni.
Il fondo ha funzionato, ma non è una garanzia
Nessun cliente ha perso denaro: in questo senso il fondo ha funzionato. Ma non è un fondo di garanzia. È patrimonio della società destinato per policy interna, in un solo asset volatile, senza vigilanza e senza un diritto azionabile dei clienti. Lo conferma la ricostituzione, fatta con il bilancio del gruppo. La tutela reale è stata la solidità di Bitget e la sua decisione di pagare.
Custodia: in Europa pagare non è una scelta
Il Regolamento (UE) 2023/1114 (MiCA) toglie la discrezionalità. L’art. 75, par. 8, rende il prestatore che custodisce cripto-attività responsabile verso i clienti della loro perdita quando l’incidente gli è imputabile, entro il valore di mercato al momento della perdita. Il considerando 83 vi include attacchi informatici e furti. Non sono imputabili gli eventi che il prestatore prova essere indipendenti dal servizio e dalla propria operatività, come un problema intrinseco al registro distribuito che non controlla. Un’intrusione nel backend tramite il prodotto di un fornitore non è un evento indipendente: il Regolamento (UE) 2022/2554 (DORA) lascia l’entità finanziaria pienamente responsabile dei servizi ICT che acquista (art. 28).
MiCA disciplina anche il prima e il dopo: politica di custodia contro le minacce informatiche (art. 75, par. 3), segregazione degli asset dei clienti, sottratti ai creditori del prestatore (art. 75, par. 7), continuità operativa e piani di ripristino (art. 68, par. 7), segnalazione dell’incidente grave all’autorità di vigilanza (art. 19 DORA). Bitget ha gestito la crisi per scelta e l’ha raccontata su X. Un CASP europeo deve farlo per legge, e ne risponde all’autorità.
Flussi sospetti: la rete sta all’uscita
In poche ore gli attaccanti hanno convertito in ether le stablecoin congelabili e spostato i fondi su protocolli cross-chain e nel circuito schermato di Zcash. A inizio ottobre risultava congelato meno di un milione di dollari.
Un exchange europeo che riceve quei flussi avrebbe obblighi precisi. Il Regolamento (UE) 2023/1113 vuole che ogni trasferimento viaggi con i dati di cedente e cessionario. Se mancano, il prestatore del cessionario, secondo il rischio, rifiuta o restituisce il trasferimento, oppure chiede i dati prima di mettere a disposizione le cripto-attività (art. 17); oltre i 1.000 euro da indirizzi auto-ospitati verifica che l’indirizzo sia posseduto o controllato dal proprio cliente (art. 16, par. 2). Sul piano antiriciclaggio, fondi riconducibili a un furto noto impongono la segnalazione alla UIF e il divieto di eseguire l’operazione prima dell’invio (art. 35, commi 1 e 2, D.Lgs. 231/2007). Il limite è nel perimetro: i servizi pienamente decentralizzati restano fuori da MiCA (considerando 22), e la regola intercetta il denaro solo quando prova a rientrare nel circuito vigilato.
L’investitore europeo: un diritto, non un salvadanaio
Bitget non figura nel registro ESMA dei prestatori autorizzati: secondo la società, la controllata europea ha chiesto l’autorizzazione all’autorità austriaca, che la sta valutando. E dal 1° luglio il periodo transitorio si è chiuso. Per l’utente europeo la copertura è stata una scelta dell’operatore, non un diritto garantito da MiCA.
Con un CASP autorizzato avrebbe un credito per il valore perso, asset residui protetti dalla segregazione, un’autorità informata e dotata di poteri. Ma MiCA dà il diritto, non il denaro. Il presidio prudenziale è commisurato alle spese fisse, non al valore custodito: minimo 125.000 euro per la custodia, 150.000 per una piattaforma di negoziazione (art. 67 e allegato IV). Non c’è indennizzo degli investitori (direttiva 97/9/CE) né garanzia dei depositi. Un operatore meno capitalizzato, davanti allo stesso ammanco, sarebbe insolvente, e il cliente un creditore come gli altri per la parte sottratta.
MiCA, dunque, funziona? Il caso Bitget non lo dimostra, perché Bitget non è sotto MiCA. Dimostra però che ciò che un grande operatore rivendica come scelta autonoma e di coscienza, in Europa è lo standard minimo di legge. Resta da garantire che dietro l’obbligo ci sia sempre qualcuno in grado di onorarlo.