Privacy e sicurezza in Bitcoin: rischi, regole e buone pratiche 2026

Parlare di privacy e sicurezza in Bitcoin nel 2026 non è più un esercizio da appassionati. Nel 2025 i furti tramite aggressioni fisiche ai detentori di cripto hanno toccato il record di 58 milioni di dollari. Nel primo semestre 2026 sono già oltre 30 milioni. Dietro molti di questi episodi c’è un elemento comune: dati personali finiti nelle mani sbagliate.

Questa guida riassume rischi concreti, nuove regole europee e buone pratiche. Partiamo dalle riflessioni di Martina Granatiero, avvocata e Head of Legal di Bull Bitcoin. Poi vediamo un punto che spesso si trascura: la privacy e sicurezza in Bitcoin riguarda anche il modo in cui i dati viaggiano verso exchange, software fiscali e professionisti.

Scheda aggiornata al 27 ottobre 2026.

Perché la privacy in Bitcoin è una questione di sicurezza

Bitcoin non è anonimo. Ogni transazione è registrata su un registro pubblico che chiunque può consultare. La protezione deriva dalla pseudonimia: gli indirizzi non riportano il nome del titolare. Tuttavia basta un collegamento, come un prelievo da un exchange con KYC o un indirizzo pubblicato sui social, per ricostruire saldi e movimenti.

Martina Granatiero lo ha scritto chiaramente su Atlas21: la privacy di Bitcoin esiste, ma è fragile. La indeboliscono le regole KYC e alcune abitudini degli utenti, come il riutilizzo degli indirizzi o l’esposizione dell’indirizzo IP. Nel suo articolo “Privacy is at risk of dying” sostiene che la domanda non è più se ci sarà una fuga di dati, ma quando e quanti dati verranno esposti.

Nel tema della privacy e sicurezza in Bitcoin il passaggio dalla privacy alla sicurezza fisica è diretto. Chi sa che una persona detiene bitcoin, e sa dove abita, ha tutto ciò che serve per pianificare un’aggressione. Per questo la riservatezza non è un vezzo ideologico: è la prima linea di difesa del patrimonio e della famiglia.

Sul piano tecnico, la stessa autrice segnala che l’aggregazione delle firme tra input (CISA), resa possibile dalle firme Schnorr introdotte con Taproot nel 2021, potrebbe migliorare privacy ed efficienza. Oggi, tuttavia, è solo una proposta. Per le basi tecniche rimandiamo a cos’è Bitcoin: storia, tecnologia e natura giuridica.

Le minacce reali: data breach e wrench attack

Data breach: quando il KYC diventa una mappa

I dati raccolti per obblighi antiriciclaggio restano custoditi da soggetti privati. Quando vengono sottratti, diventano un elenco di potenziali bersagli. Tre casi aiutano a capire la portata del problema:

• Ledger (2020): circa 1 milione di indirizzi e-mail esposti; a dicembre 2020 sono stati diffusi online circa 272.000 record con nome, indirizzo e telefono. Seguirono phishing e minacce dirette.
• Coinbase (maggio 2025): addetti dell’assistenza corrotti da criminali hanno ceduto i dati di 69.461 persone, tra cui nomi, indirizzi, immagini dei documenti e saldi. Coinbase ha rifiutato un riscatto di 20 milioni di dollari.
• Waltio (gennaio 2026): un software francese per i report fiscali cripto ha subito il furto dei dati di circa 50.000 utenti, con e-mail e plusvalenze o minusvalenze dichiarate. La Procura di Parigi ha aperto un’indagine.

Tra questi, il caso Waltio è il più istruttivo per chi deve dichiarare le cripto. Infatti un report fiscale dice esattamente chi detiene asset e di che importo. Secondo Chainalysis, il furto di dati fiscali in Francia è tra le probabili fonti usate per scegliere le vittime. Per lo stesso motivo occorre diffidare di e-mail e telefonate che chiedono di “mettere al sicuro” i fondi: ne abbiamo parlato in truffe con false e-mail dell’Agenzia delle Entrate.

Wrench attack: la violenza fisica per ottenere le chiavi

Il termine indica l’aggressione fisica per costringere la vittima a firmare una transazione. Secondo l’analisi di Chainalysis pubblicata ad agosto 2026:

• oltre 30 milioni di dollari rubati nel primo semestre 2026, contro un record di 58 milioni nell’intero 2025;
• il 52% degli episodi del 2026 sono sequestri e il 37% irruzioni in casa (erano il 14% nel 2025);
• nel 25-30% dei casi vengono colpiti familiari o conoscenti, oltre il 40% in Francia;
• la Francia è l’epicentro: 19 casi nel 2025 e 30 casi noti nella prima metà del 2026.

Anche l’Italia, però, non è immune. A Milano tre giovani sono stati condannati in via definitiva a nove anni per aver sequestrato tre fratelli e chiesto un riscatto in cripto. Inoltre, nel maggio 2025 un ventottenne italiano è stato tenuto prigioniero per circa venti giorni in una casa di Manhattan per ottenere le credenziali dei suoi bitcoin.

Il quadro normativo: meno anonimato, più dati in circolazione

La tendenza europea è chiara: più identificazione e più scambio di informazioni. Un tema che abbiamo approfondito in travel rule cripto e DAC8. Ecco le tappe principali.

• Travel rule (Reg. UE 2023/1113), in vigore dal 30 dicembre 2024: i dati di ordinante e beneficiario accompagnano ogni trasferimento tra CASP, senza soglia minima. Per trasferimenti oltre 1.000 euro da o verso un wallet self-hosted, l’exchange deve verificare che sia controllato dal cliente.
• MiCA: in Italia il regime transitorio si è chiuso il 30 giugno 2026. Dal 1° luglio 2026 operano solo i CASP autorizzati.
• DAC8 (D.Lgs. 10 dicembre 2025, n. 194): i CASP raccolgono i dati dal 2026 e li comunicano all’Agenzia delle Entrate entro il 30 giugno 2027; seguirà lo scambio con gli altri Stati.
• AMLR (Reg. UE 2024/1624), dal 10 luglio 2027: l’art. 79 vieta a banche, intermediari e CASP di tenere conti anonimi o che consentono l’anonimizzazione delle transazioni, anche tramite cripto ad anonimato rafforzato.

Autocustodia e sviluppatori: la battaglia descritta da Granatiero

Nel secondo articolo, “Self-custody: the battle for privacy and financial freedom”, Granatiero analizza il caso Samourai Wallet. I fondatori, arrestati nell’aprile 2024, si sono dichiarati colpevoli di gestione di un servizio di trasmissione di fondi senza licenza. Sono stati condannati a novembre 2025 a cinque e quattro anni.

Inoltre, il punto sollevato dall’autrice va oltre il caso concreto. Se chi sviluppa software non custodial viene equiparato a un intermediario, il rischio si estende a produttori di hardware wallet, miner e sviluppatori open source. La sua proposta è usare la custodia come criterio: obblighi stringenti per chi detiene i fondi dei clienti, non per chi scrive codice.

Nel frattempo, il mercato europeo offre qualche segnale in questa direzione. Bull Bitcoin, l’exchange solo bitcoin e non custodial in cui lavora la stessa Granatiero, ha ottenuto a giugno 2026 la licenza MiCA in Francia mantenendo l’invio diretto ai wallet degli utenti. Secondo Galaxy Research, circa 11,1 milioni di BTC, il 55% dell’offerta, non sono riconducibili a soggetti noti: un indizio di quanto l’autocustodia sia ancora diffusa.

Buone pratiche di privacy e sicurezza in Bitcoin

Sicurezza delle chiavi

• Preferire l’autocustodia con hardware wallet per gli importi rilevanti.
• Per somme importanti valutare un multisig (ad esempio 2 di 3) con chiavi in luoghi diversi: un aggressore non può ottenere tutto da una sola persona.
• Conservare la seed phrase offline; valutare una passphrase e un wallet “di emergenza” con importi minimi.
• Preparare un piano di successione e istruire i familiari su cosa fare in caso di minaccia.

Privacy on-chain e digitale

• Non riutilizzare gli indirizzi ed etichettare gli UTXO per conoscerne la provenienza.
• Usare un proprio nodo, o almeno connessioni via Tor, per non rivelare saldi e IP a terzi.
• Lightning e Payjoin riducono l’impronta on-chain.
• Profilo basso: niente screenshot di saldi o acquisti sui social, account separati per l’attività cripto.

Privacy dei dati verso terzi

• Scegliere exchange autorizzati MiCA e limitare i dati forniti allo stretto necessario.
• Usare password manager e autenticazione a due fattori con app o chiave fisica, non via SMS.
• Non inviare documenti, export e report fiscali per e-mail in chiaro.

Privacy e fisco: si possono conciliare?

Sì. Curare la privacy e sicurezza in Bitcoin non significa sottrarsi agli obblighi. Le cripto in autocustodia vanno indicate nel quadro RW e nel quadro RT come quelle sugli exchange. Allo stesso modo, le plusvalenze sono tassate al 33% dal 2026 (si discute un ritorno al 26%: tassazione cripto 2027). Inoltre l’Agenzia dispone già di strumenti di analisi on-chain, come spiegato in Chainalysis e Agenzia delle Entrate.

Esiste una zona grigia sugli strumenti di privacy on-chain, come il CoinJoin. Le letture sono due. Per la prima, il loro uso è lecito e risponde a esigenze di sicurezza legittime: se la catena di acquisto e la dichiarazione sono documentate, non c’è nulla da nascondere. Per la seconda, più prudente, gli strumenti di analisi segnalano questi movimenti come ad alto rischio e un exchange può bloccare o chiedere spiegazioni sui fondi in entrata. In attesa di indicazioni ufficiali, quindi, conviene conservare la documentazione della provenienza dei fondi.

D’altra parte, dichiarare non significa esporsi più del necessario. I dati per la dichiarazione devono circolare in modo protetto. Nel nostro studio i documenti dei clienti si scambiano solo tramite piattaforma cifrata, con link protetti da password e a scadenza. Inoltre, nei software di riconciliazione carichiamo file privi di dati identificativi. Se ricevi una richiesta dell’Agenzia, leggi anche come funzionano i controlli sulle cripto.

Per la formazione pratica su custodia e gestione sicura, lo studio collabora con CorsiBitcoin.it.

Tabella riepilogativa: privacy e sicurezza in Bitcoin

Tabella · scorri in orizzontale per leggere tutte le colonne ↔

Rischio	Esempio	Contromisura
Data breach KYC	Coinbase 2025, Ledger 2020	Dati minimi, exchange autorizzati, attenzione al phishing
Furto di dati fiscali	Waltio 2026	Scambio documenti cifrato, file anonimizzati
Wrench attack	Francia 2025-2026, Milano, Manhattan	Multisig, profilo basso, wallet di emergenza
Tracciamento on-chain	Riutilizzo indirizzi, IP esposto	Nodo proprio, Tor, gestione UTXO
Vincoli normativi	Travel rule, DAC8, AMLR 2027	Documentare la provenienza, dichiarare correttamente

Domande frequenti

Rischi e protezione

Bitcoin è anonimo?

No. Bitcoin è pseudonimo: le transazioni sono pubbliche e gli indirizzi non riportano il nome del titolare, ma un solo collegamento con un’identità, ad esempio tramite un exchange con KYC, consente di ricostruire movimenti e saldi.

Che cos’è un wrench attack?

È un’aggressione fisica, come un sequestro o un’irruzione in casa, per costringere la vittima a cedere le chiavi o firmare una transazione. Secondo Chainalysis nel primo semestre 2026 ha causato furti per oltre 30 milioni di dollari.

Come proteggere i propri bitcoin da un’aggressione?

Le difese principali sono il profilo basso, il multisig con chiavi in luoghi diversi, un wallet di emergenza con importi minimi e un piano condiviso con i familiari. Nessuna misura elimina il rischio, ma insieme lo riducono molto.

I dati KYC degli exchange sono al sicuro?

Non sempre. I casi Ledger, Coinbase e Waltio dimostrano che i database possono essere sottratti. Conviene fornire solo i dati richiesti, usare exchange autorizzati e diffidare di contatti che chiedono di spostare i fondi.

Normativa e fisco

Dal 2027 i wallet self-hosted saranno vietati?

No. L’AMLR, dal 10 luglio 2027, vieta ai CASP di tenere conti anonimi e cripto ad anonimato rafforzato. L’autocustodia resta lecita; per trasferimenti oltre 1.000 euro tra exchange e wallet self-hosted l’exchange verifica chi controlla il wallet.

Cosa cambia con la DAC8 in Italia?

Con il D.Lgs. 194/2025 i prestatori di servizi per le cripto raccolgono dal 2026 i dati dei clienti e delle operazioni e li comunicano all’Agenzia delle Entrate entro il 30 giugno 2027, che poi li scambia con gli altri Stati.

Le cripto in autocustodia vanno dichiarate?

Sì. Vanno indicate nel quadro RW per il monitoraggio e nel quadro RT per le eventuali plusvalenze, esattamente come quelle detenute su un exchange.

Usare il CoinJoin è illegale?

In Italia non esiste un divieto per i privati. Le letture però divergono: c’è chi lo considera uno strumento legittimo di sicurezza e chi segnala che gli exchange possono bloccare o chiedere spiegazioni sui fondi mixati. Conviene conservare la documentazione della provenienza.

Fonti

• M. Granatiero, Privacy is at risk of dying. And no one seems to notice – Atlas21, marzo 2025
• M. Granatiero, Self-custody: the battle for privacy and financial freedom – Atlas21, luglio 2025
• Agenda Digitale – sequestri di investitori in cripto
• The Block – dati Chainalysis sui wrench attack, agosto 2026
• Cointelegraph – indagine sul data breach Waltio, gennaio 2026
• Decrypt – data breach Ledger
• U.S. DOJ – condanna dei fondatori di Samourai Wallet
• Il Post – il caso di Manhattan, maggio 2025
• The Hacker News – data breach Coinbase, maggio 2025
• crypto.news – Galaxy Research sulla distribuzione dei BTC, ottobre 2026
• Bitcoin Magazine – licenza MiCA a Bull Bitcoin, giugno 2026
• Regolamento (UE) 2024/1624 (AMLR)
• Regolamento (UE) 2023/1113 (Transfer of Funds)
• Consob – fine del periodo transitorio MiCA in Italia
• PartitaIVA.it – recepimento DAC8 (D.Lgs. 194/2025)

Le informazioni hanno carattere divulgativo e non costituiscono consulenza fiscale, legale o di sicurezza. Normativa e dati sono aggiornati al 27 ottobre 2026.

Hai bitcoin in autocustodia e vuoi metterti in regola senza esporti?

Ti aiutiamo a dichiarare correttamente le tue cripto con uno scambio di documenti cifrato e la minima circolazione di dati. Lo Studio ME ha oltre 9 anni di esperienza nella fiscalità delle cripto-attività.

Prenota consulenza