Applicabilità del Regolamento MiCA ai gestori di interfaccia web di protocolli decentralizzati

Autori: Salvatore Luciano Furnari e Raffaele Lener (Università di Roma Tor Vergata, Dipartimento di Giurisprudenza) Pubblicazione: Banca Impresa Società, a. XLIV, 2025, n. 2 Origine: Paper presentato al Convegno annuale dell'Associazione Orizzonti del Diritto Commerciale ("Stato, imprese, mercati in un mondo alla ricerca di nuovi equilibri"), Roma, 21-22 febbraio 2025. Parr. 1 e 4 di Raffaele Lener; parr. 2 e 3 di Salvatore Luciano Furnari. JEL: K20; K23; G18; O33.

Abstract

Il paper esamina l'applicabilità del Regolamento MiCA ai fornitori di interfaccia web che facilitano l'accesso ai protocolli DeFi, partendo dal caso CFTC v. Universal Navigation Inc. Gli autori analizzano come il regolatore USA abbia imposto responsabilità a un gestore di interfaccia web per aver abilitato l'accesso a un protocollo decentralizzato (Uniswap) che offriva strumenti derivati, e si chiedono se tale approccio — basato sull'estensione degli obblighi regolatori ad attori tecnicamente periferici — sia replicabile nell'UE sotto MiCAR. Distinguendo tra i tipi di DAO (social, protocol, investment) e dubitando che le protocol DAO possano qualificarsi come soggetti giuridici o prestatori di servizi finanziari, gli autori sostengono che i fornitori di interfaccia web tipicamente non rientrano nelle definizioni MiCAR di CASP, poiché non detengono né trasferiscono cripto-attività né trasmettono ordini dei clienti. Regolarli come CASP rischierebbe di minare la certezza giuridica e la proporzionalità perseguite da MiCAR. Si auspica un approccio regolatorio più sfumato, che bilanci innovazione e vigilanza.

Keywords: MiCAR; DeFi; Web Interface Providers; CASP; DAO.

1. Il caso Commodity Futures Trading Commission v. Universal Navigation Inc.

Il 4 settembre 2024 la CFTC ha riconosciuto responsabile Universal Navigation (Uniswap Labs): attraverso la propria interfaccia web era possibile collegarsi al protocollo decentralizzato Uniswap, all'interno del quale si scambiavano cripto-attività classificate dall'autorità come strumenti finanziari derivati (tra cui i "Leveraged Token" — BTC2XFLI, ETH2XFLI e varianti Polygon — e il token oSQTH, il cui valore replicava il prezzo di ETH al quadrato).

Uniswap è una DAO che, tramite una "suite di smart contract persistenti e non aggiornabili", crea un automated market maker. Universal Navigation aveva contribuito a sviluppare il protocollo, lanciato sulla blockchain, e sviluppato un'interfaccia web (ma l'interazione era possibile anche tramite altri applicativi di terze parti); non tratteneva commissioni sulle transazioni sui token derivati né controllava l'accesso degli utenti.

La CFTC contestava la violazione della Section 4(a) del Commodity Exchange Act: anche operando una semplice interfaccia web, la società "facilitava" l'accesso degli utenti a strumenti derivati (l'"offeror" ex Section 2(c)(2)(D) include chi presenta, sollecita o facilita l'uso di margine, leva o finanziamento). La vicenda si è chiusa in via transattiva con una sanzione di circa 175.000 dollari e l'obbligo di cessare il comportamento.

Rilievo teorico: la decisione rappresenta una possibile «nuova» tecnica regolatoria — non potendo intervenire sugli operatori decentralizzati, il regolatore individua i soggetti più prossimi al fenomeno (assoggettabili a controllo) per intervenire indirettamente, estendendo la riserva di attività a operatori che svolgono meri servizi informatici. Gli autori si chiedono se sia replicabile nel quadro UE, dove MiCAR definisce con precisione quali attività sono riservate.

2. Classificazione delle DAO e qualificazione giuridica

Le DAO sono organizzazioni gestite senza autorità gerarchica centrale (decentralizzate) e tramite meccanismi automatizzati (autonome). Tre tipologie:

Social DAO — scopi filantropici; distribuiscono le somme raccolte a progetti selezionati dai partecipanti (MolochDAO, GitCoin DAO, Big Green DAO).
Protocol DAO — gestiscono un protocollo decentralizzato (Uniswap, MakerDAO, ICP, Yearn).
Investment DAO — raccolgono fondi per investire in progetti imprenditoriali dividendone i profitti. Vi rientra TheDAO (2016), abbandonato dopo un attacco hacker e il report SEC che ne riconobbe la natura di strumento finanziario ai token (con il conseguente fork che generò Ethereum Classic).

Qualificazione come impresa collettiva: solo le investment DAO potrebbero esserlo, presentando i tre elementi dell'art. 2247 c.c. (conferimenti, esercizio in comune di attività economica, divisione degli utili). Questi elementi difettano nelle social DAO (riconducibili al più alla beneficenza/donation crowdfunding, senza problematicità regolamentare) e nelle protocol DAO, che assumono piuttosto la forma di infrastruttura informatica.

La giurisprudenza USA ha talora qualificato una DAO come general partnership tra i token holder (Samuels v. Lido DAO; CFTC v. Ooki DAO; Sarcuni v. bZx DAO), ma la difficoltà che un algoritmo assuma la gestione dell'impresa complica questa classificazione.

Il precedente Tornado Cash: nel 2022 l'OFAC aveva sanzionato Tornado Cash (protocollo software open-source che anonimizza le transazioni, accusato di favorire il riciclaggio anche a favore del gruppo hacker nordcoreano Lazarus Group), estendendo il concetto di «proprietà» agli smart contract del protocollo. Con decisione del 26 novembre 2024 la Corte d'Appello del Quinto Circuito (Van Loon v. Department of the Treasury) ha annullato le sanzioni: gli smart contract immutabili non possono essere oggetto di proprietà perché non appropriabili da alcuno. La Corte, rifiutando di assumere il ruolo del legislatore, ha ritenuto che l'OFAC avesse superato i limiti dei propri poteri (pur riconoscendo l'esigenza di combattere il riciclaggio): «Legislating is Congress's job – and Congress's alone». Conferma della natura infrastrutturale delle protocol DAO.

3. La normativa applicabile all'interfaccia web sotto MiCAR

Punto di partenza: il Regolamento MiCA (UE) 2023/1114, che al Titolo V disciplina i CASP (Crypto-Asset Service Provider). L'art. 3, c. 1, n. 15 definisce il CASP come persona giuridica/impresa che presta servizi per le cripto-attività su base professionale, autorizzata ex art. 59.

I dieci servizi per le cripto-attività (art. 3, c. 1, n. 16): (a) custodia e amministrazione per conto di clienti; (b) gestione di piattaforma di negoziazione; (c) scambio con fondi; (d) scambio con altre cripto-attività; (e) esecuzione di ordini per conto di clienti; (f) collocamento; (g) ricezione e trasmissione di ordini per conto di clienti; (h) consulenza; (i) gestione di portafoglio; (j) trasferimento per conto dei clienti.

L'elenco puntuale rende la fattispecie più precisa della precedente nozione FATF/GAFI di VASP. MiCAR affianca agli operatori tradizionali (wallet provider ed exchange) i soggetti che svolgono i tradizionali servizi di investimento aventi a oggetto cripto-attività — consentendo di impiegare la giurisprudenza e le pronunce di settore sui servizi di investimento «tradizionali».

Due servizi potenzialmente rilevanti per l'interfaccia web:

(1) Trasferimento di cripto-attività per conto dei clienti (art. 3, c. 1, n. 26): i prestatori di interfaccia non detengono le cripto-attività dei clienti; l'utente «firma» una transazione che autorizza gli smart contract del protocollo a movimentare il proprio wallet. È il protocollo stesso a effettuare il trasferimento; prima e dopo l'uso dell'interfaccia, le cripto-attività restano nell'esclusiva disponibilità dell'utente o del protocollo. Nessun trasferimento è realizzato dal prestatore di interfaccia.

(2) Ricezione e trasmissione di ordini (RTO) (art. 80 MiCAR): ricostruito tramite l'omologo servizio di investimento MiFID/TUF (art. 1, c. 5, lett. e, e c. 5-sexies TUF). Caratteristiche dell'RTO tradizionale: servizio meramente esecutivo su iniziativa del cliente; alterità soggettiva indefettibile tra chi trasmette l'ordine e chi lo esegue; l'intermediario individua in proprio l'intermediario negoziatore. Assimilata è la mediazione (mettere in contatto due o più investitori, artt. 1754 ss. c.c.), che presuppone che le parti poste in contatto siano investitori.

Precedente Consob (Comunicazione n. DI/99076449 del 19 ottobre 1999): una società che gestisce un sito internet per inviare ordini a intermediari non presta il servizio RTO, quando gli utenti sono clienti diretti degli intermediari negoziatori; il sito è «esclusivamente uno strumento tecnico di canalizzazione degli ordini».

Applicazione all'interfaccia web: manca sia l'alterità soggettiva sia la discrezionalità dell'interfaccia nella scelta dell'esecutore. L'utente passa «grazie» al sito direttamente sul protocollo (l'«intermediario negoziatore» è il protocollo, scelto liberamente dall'utente). Come nel precedente Consob, l'interfaccia è un mero «strumento tecnico di canalizzazione». Manca l'attività di «mettere in contatto» due parti: l'interfaccia mette in contatto il cliente con sé stesso (autorizza un software a operare sulle sue cripto-attività) o al più con un protocollo, automatizzando attività che l'utente potrebbe compiere da solo.

Anche ammettendo una qualche mediazione, servirebbe una controparte-«intermediario negoziatore»: l'art. 80 richiede l'invio a «una piattaforma di negoziazione o a un altro CASP». Per qualificare l'interfaccia come RTO occorrerebbe prima qualificare il protocollo come CASP — strada difficilmente percorribile, non potendo le protocol DAO qualificarsi come soggetti giuridici (al più infrastruttura). Coerente con la guida FATF: le raccomandazioni «do not apply to underlying software or technology», e i creatori/venditori di software rientrano solo se «retain control or sufficient influence over the assets, software, protocol, or platform».

4. La regolamentazione per «estensione della riserva di attività» funziona nella DeFi?

I protocolli decentralizzati sono insiemi di smart contract che offrono servizi (spesso finanziari) senza che il funzionamento sia riconducibile a soggetti determinati. Nessuno Stato può intervenire direttamente: non c'è figura «centrale» responsabile. La decisione CFTC nel caso Universal Navigation è un primo tentativo di «forzare» l'individuazione di un responsabile, benché il legame tra protocollo e potenziale responsabile sia debole: spesso le società che realizzano la «maschera» informatica non hanno collegamento col protocollo sottostante né intermediano il possesso delle cripto-attività.

Critica alla tecnica:

Estendere la riserva di attività a imprese che si limitano a rendere accessibili sistemi informatici (accessibili altrimenti solo a chi ha elevate competenze) contrasta con il quadro MiCAR.
Regolare come CASP (e sanzionare) tali imprese rischia di far perdere il primato di certezza regolatoria conquistato con MiCAR: nessuna norma MiCAR contempla la responsabilità da «facilitazione» di un servizio decentralizzato, e i soggetti che facilitano l'accesso ai protocolli non rientrano nella definizione di CASP (anche perché non detengono cripto-attività dei clienti).
Conseguenze negative: fuga dei servizi fuori dall'Europa (offshore), riduzione di competitività e progresso tecnologico, minore capacità delle autorità domestiche di intervenire prontamente (es. in caso di attacco hacker al protocollo), overregulation che limita l'ingresso di nuovi operatori in un mercato già oligopolistico. Lo scarso rilievo del requisito territoriale nei servizi tecnologici spinge gli operatori all'estero.

Conclusione: serve un equilibrio tra la necessità di regolare i nuovi mercati e le loro caratteristiche globali e tecnologiche (sfuggenti). L'equilibrio non si trova con strumenti basati su vecchi principi (come l'individuazione di un soggetto responsabile), ma con soluzioni che inducano alla collaborazione tra operatore e autorità — una sorta di compliance spontanea delle imprese alle regole del mercato.