«Criptocarte» senza controlli, così prosperano i traffici illeciti

Gli investitori di venture capital stanno riversando nell’intelligenza artificiale così tanto denaro che ne rimane ben poco per tutto il resto. Alcuni, tuttavia, conservano un debole per una precedente frenesia: la finanza delle criptovalute. Nella prima metà di quest’anno, le startup del settore hanno ricevuto 10 miliardi di dollari di capitale di rischio attraverso quasi 750 operazioni. A parte il largo impiego di potenza di calcolo, l’IA e le criptovalute hanno finora avuto poco in comune. Ma un’inchiesta dell’Economist suggerisce che i due settori siano strettamente collegati da un fiorente commercio illecito.

L’emissione di carte di credito e di debito collegate alle criptovalute è in forte aumento. Queste carte collegano i portafogli digitali in criptovalute ai terminali di pagamento utilizzati dalle normali attività commerciali. Consentono agli abitanti dei Paesi poveri con valute inaffidabili di effettuare transazioni in stablecoin ancorate a monete estere più solide, in particolare al dollaro. Ma queste carte hanno anche altri importanti clienti. Molti fornitori non si impegnano seriamente a verificare l’identità dei titolari. Ciò le ha rese vulnerabili agli abusi di criminali e di chi elude le sanzioni. Permettono inoltre a persone che si trovano in Paesi come la Cina di acquistare abbonamenti ai modelli americani di IA più avanzati, aggirando le restrizioni imposte dai loro sviluppatori sulle vendite ai Paesi nemici degli Stati Uniti.

Le carte collegate alle criptovalute convertono le monete digitali in denaro tradizionale quando vengono utilizzate sui terminali Visa e Mastercard e il loro impiego è in crescita. Sebbene possano essere associate a bitcoin, ether e altre monete «instabili», la volatilità delle criptovalute non ancorate a una valuta fiduciaria le rende poco adatte come mezzo di scambio. Le stablecoin, il cui valore di mercato complessivo è quasi raddoppiato negli ultimi due anni, superando i 300 miliardi di dollari, sono ancora utilizzate soprattutto come riserva di valore. Ma, secondo Paymentscan, un fornitore di dati, in agosto le carte legate alle stablecoin sono state utilizzate per transazioni superiori a 1,1 miliardi di dollari, il triplo rispetto a un anno prima.

Negli ultimi due anni, le autorità di regolamentazione negli Stati Uniti, in Europa e a Hong Kong hanno favorito questa crescita introducendo norme più chiare per le valute digitali. Di conseguenza, le criptovalute in generale, e le stablecoin in particolare, hanno acquisito rispettabilità. Nel tentativo particolarmente aggressivo di conquistare una fetta della crescente economia delle criptovalute, Visa e Mastercard hanno iniziato ad aprire l’adesione ai propri circuiti, finora riservata soprattutto alle banche, a startup emittenti di carte dotate di licenze per i servizi di pagamento.

Questi emittenti, a loro volta, mettono l’accesso ai circuiti a disposizione dei fornitori di carte in criptovalute. Tra i maggiori figurano Rain, Reap e Wirex. Tutti e tre affermano di prendere sul serio i propri obblighi di conformità normativa. In gennaio, Rain ha raccolto 250 milioni di dollari da fondi di venture capital, tra cui nomi importanti come Iconiq e Lightspeed. Tra aprile e settembre, il numero di fornitori identificabili è passato da circa 100 a 250. Il coinvolgimento di Visa e Mastercard consente loro di offrire, attraverso gli emittenti, carte che riportano i loghi dei due colossi dei pagamenti, oltre al proprio, e che possono essere utilizzate in tutto il mondo.

La diffusione delle stablecoin preoccupa le autorità di regolamentazione dei Paesi poveri, perché potrebbe portare a una pseudo-dollarizzazione delle loro economie. Ma dovrebbe preoccupare anche le autorità dei Paesi ricchi. Le stablecoin, osserva Eswar Prasad della Cornell University, «creano ulteriori canali per transazioni finanziarie illecite, sia all’interno dei Paesi, sia tra un Paese e l’altro». Secondo le stime di TRM Labs, una società di analisi, lo scorso anno i flussi illeciti di criptovalute hanno superato i 158 miliardi di dollari.

Per le imprese che vogliono escludere determinati clienti, le carte in criptovalute possono rendere difficile verificare chi sia il titolare o dove si trovi. Siti in lingua persiana e russa, per esempio, pubblicizzano carte proprie o di terzi rivolgendosi, tra gli altri, a iraniani e russi, esclusi dal sistema finanziario occidentale dalle sanzioni contro i loro Paesi. Un sito in lingua russa si vanta del fatto che queste carte consentono agli utenti di «pagare ChatGPT, Claude, Netflix, Spotify e altri servizi internazionali».

Come le carte di pagamento delle «neobanche» digitali quali Monzo o Revolut, in linea di principio le carte in criptovalute possono essere emesse soltanto a favore di clienti verificati, che abbiano superato i consueti controlli di identificazione della clientela, noti come KYC, dall’inglese know your customer. Nella pratica, tuttavia, i fornitori non sono sempre scrupolosi. Per alcuni, la scarsa rigorosità dei controlli è un argomento di vendita.

Un rapporto pubblicato in aprile da Crystal Intelligence, un’altra società di analisi, ha rilevato che quasi sette fornitori di carte in criptovalute su dieci prevedevano requisiti KYC poco rigorosi o non ne prevedevano affatto. Circa la metà dei fornitori privi di controlli KYC individuati da Crystal Intelligence aveva sede a Hong Kong e un quinto negli Stati Uniti. Altri vendono carte virtuali, in alcuni casi in modo del tutto legale, operando con licenze rilasciate nel Caucaso o nei Paesi del Golfo, dove le norme KYC sono meno severe e applicate con minore rigore.

È possibile che alcune società pubblicizzino carte con controlli KYC deboli o assenti, ma richiedano una verifica dell’identità dopo che il titolare ha iniziato a utilizzarle. Alcune possono verificare le identità senza chiedere documenti. Molti fornitori di carte in criptovalute fanno rispettare le regole relative ai propri prodotti e operano correttamente. Alcuni impongono persino limiti ai pagamenti destinati a fornitori come Starlink, la società di Internet satellitare i cui prodotti vengono utilizzati illecitamente dalle forze armate russe.

In alcuni casi, però, Crystal Intelligence ha riscontrato che i fornitori non chiedevano informazioni sull’identità. In altri, non veniva fatto alcun tentativo di verificare le informazioni ricevute. L’Economist ha richiesto una carta Visa attraverso un canale in lingua russa su Telegram, l’app di messaggistica, che prometteva «niente documenti, niente attese e niente lunghi moduli», e nel giro di pochi minuti l’ha collegata a un portafoglio Apple Pay. Il fornitore si chiama CinCin e non indicava chiaramente l’emittente con cui collaborava. La carta veniva pubblicizzata con un limite mensile di pagamento di 500 mila dollari. Visa afferma di rispettare la legge ovunque e di vietare le attività illegali sul proprio circuito.

Almeno una guida online in lingua cinese per aggirare le restrizioni geografiche imposte dalle società americane di IA consiglia di richiedere una Mastercard a un fornitore di Dubai. Con una rete privata virtuale, o VPN, si fa credere di trovarsi in un altro Paese e si sceglie su Google Maps un indirizzo locale. Il fornitore afferma di effettuare i controlli KYC, ma nel video dimostrativo il presentatore rassicura gli spettatori: nessuno verifica se l’indirizzo sia reale. Mastercard dichiara di prendere sul serio la governance e di vietare, sul proprio circuito, le carte ricaricabili prive di controlli KYC.

Un impiego sempre più diffuso delle carte in criptovalute consiste nel permettere agli utenti cinesi di pagare per accedere a modelli americani di IA come Claude e ChatGPT. I social media cinesi sono pieni di guide su come aggirare le restrizioni americane e il divieto interno relativo all’IA straniera. Spesso gli utenti versano denaro a una «stazione di trasferimento» gestita da terzi, che acquista token di IA - le unità di dati elaborate dai modelli - in un Paese non soggetto a restrizioni e li rivende in Cina. Altri tutorial insegnano a comprare abbonamenti direttamente dalle società sviluppatrici, con identità false o nascondendo la propria ubicazione grazie alle carte in criptovalute.

Una fonte presso un fornitore americano di carte emesse da Rain afferma di vedere ogni mese centinaia di richieste con documenti d’identità cinesi e indirizzi fuori dal Paese. Un utente con un indirizzo IP a Shenzhen ha poi speso 50 mila dollari in abbonamenti a ChatGPT sull’App Store boliviano di Apple. Rain respinge chi indica un indirizzo in Cina, ma diversi fornitori che si appoggiano alla società consentono a chi non supera i controlli di riprovare; uno invita esplicitamente a «riprovare con un altro indirizzo». Rain afferma di stare indagando e di mantenere standard elevati di conformità.

Dalla fine del 2024, un fornitore con sede a Hong Kong, monitorato da Crystal Intelligence, ha registrato afflussi superiori a 355 milioni di dollari in stablecoin. «Azzarderei l’ipotesi», afferma la fonte americana, «che una parte consistente del miliardo di dollari speso ogni mese con le carte in stablecoin finanzi il mercato grigio dei token».

Il 10 settembre, Anthropic ha accusato Alibaba di aver ottenuto illecitamente accesso a Claude 151 milioni di volte tra maggio e luglio per addestrare i propri modelli, attraverso la cosiddetta «distillazione». Per farlo avrebbe usato cinquemila account, alcuni pagati con carte virtuali. Alibaba non ha finora commentato la vicenda.