L’auto-custodia non ti protegge dal rischio bancario. Lo nasconde solo meglio

L’auto-custodia dovrebbe essere il punto in cui smetti di fidarti di una terza parte. Le tue chiavi, le tue monete, nulla tra te e i tuoi soldi se non il tuo portafoglio. Questa promessa vale fino a quando non spendi le criptovalute con una carta, perché una carta funziona solo se qualche entità autorizzata da qualche parte accetta di spostare i fondi attraverso le reti di Visa o Mastercard (MA ) per tuo conto. La maggior parte dei titolari di carta non riuscirebbe a nominare quell’entità se gli venisse chiesto, e fino a gennaio di quest’anno pochi avevano motivo di pensare che fosse importante.

Poi un regolatore polacco ha revocato la licenza di pagamento di un’azienda, e tre carte crypto senza alcun collegamento evidente tra loro hanno smesso di funzionare entro due settimane: CEX.IO Card, Trustee Plus e IN1. Nessuno di questi tre marchi ha fatto nulla di proprio per innescare la revoca. Sono semplicemente passate attraverso lo stesso intermediario autorizzato, una società chiamata Quicko sp. z o.o., e una volta ritirata la sua autorizzazione, nessuna di esse è più stata in grado di elaborare una transazione.

Dedico molto tempo alla lettura dei contratti dei titolari di carta. Sweepbase traccia 141 carte di debito e credito collegate a criptovalute, e costruire quel confronto ha richiesto di esaminare le clausole nascoste di ciascuna. Un modello si ripete più e più volte. Il marchio a cui ti iscrivi è quasi sempre diverso dall’entità responsabile del funzionamento della tua carta. C’è un’azienda separata sottostante, che la maggior parte degli utenti non sente mai nominare, la cui licenza è l’unica cosa che mantiene viva la carta.

Cosa mantiene in funzione una carta crypto

Le reti di carte come Visa e Mastercard non consentono a chiunque di emettere carte. Farlo direttamente richiede di diventare un Principal Member, il che implica possedere una concessione bancaria o un’autorizzazione di moneta elettronica, soddisfare i requisiti di capitale, dotare di un team di conformità e pagare alla rete diversi milioni di dollari all’anno. Solo poche centinaia di aziende in tutto il mondo detengono questo status su ciascuna rete. Quasi nessuna di esse è una società crypto.

Quindi i marchi di carte crypto affittano l’accesso. Un Principal Member autorizzato accetta di sponsorizzare il BIN del marchio, il codice a sei cifre all’inizio di ogni numero di carta che indica alla rete chi è responsabile finanziariamente. Il marchio sviluppa l’app, gestisce il programma di premi e si occupa dell’integrazione del portafoglio e dell’assistenza clienti. Conformità, regolamento e rapporto normativo spettano invece allo sponsor, la parte che mantiene tutto in funzione ma appare raramente nel marketing. Quando le persone parlano dell'”emittente” di una carta crypto, di solito intendono il marchio. Lo sponsor è colui il cui nome compare nel contratto e che conta.

Dove si concentra il rischio

Guardando l’intero mercato delle carte crypto nel suo complesso, non sembra rischioso. Applicando la classica formula di concentrazione (un indice di Herfindahl-Hirschman) a tutte le 141 carte del dataset Sweepbase si ottiene un punteggio nella fascia 400‑500. Il Dipartimento di Giustizia degli Stati Uniti considera tutto ciò che è sotto 1.500 come non concentrato. Solo con questa misura, non c’è nulla da osservare.

Questa misura è sbagliata, perché nessuno sceglie realmente tra tutte le 141 carte. Una carta di auto-custodia basata sul dollaro emessa da un’entità di Porto Rico e una carta basata sul peso emessa in Argentina non hanno mai concorruto per lo stesso portafoglio. Una volta raggruppate le carte per il mercato in cui un vero acquirente sceglie, la concentrazione aumenta.

Il segmento di auto-custodia negli Stati Uniti è l’esempio più chiaro. Circa 22 carte sono attive qui, inclusi recenti lanci come Ether.fi (ETHFI ) Cash, Cypher, Solayer e Tangem Pay. Quasi l’intero segmento è canalizzato attraverso due sponsor. Third National, un trasmettitore di denaro autorizzato a Porto Rico che emette tramite la rete di gestione del programma Rain, è nominato direttamente negli accordi per Cypher, Solayer e Tangem Pay, ed è l’entità dietro circa una dozzina di altre carte che operano sulla stessa rete senza nominarla esplicitamente. Lead Bank, una banca statale con sede in Missouri e raggiunta tramite Bridge di proprietà di Stripe, è nominata direttamente in altre quattro (Phantom Cash, Wayex, Airtm, Fuse). Contando solo le carte che indicano uno sponsor in testo chiaro, l’indice di concentrazione di questo segmento supera già i 5.000. Includendo le carte che si presume operino sulla stessa rete Rain, il valore supera i 6.000, più del doppio della soglia del DOJ per “altamente concentrato”.

Il quadro europeo è più piccolo ma ancora più sbilanciato, e meglio documentato perché ogni carta lo indica direttamente lo sponsor. Gnosis (GNO ) Pay, la carta EEA di OKX, la carta Krak di Kraken, la carta CL di Ledger e 1inch passano tutte attraverso la stessa istituzione di moneta elettronica del Regno Unito: Monavate. La proprietà di questa istituzione è cambiata il 1° maggio 2026, quando Exodus ha preso il controllo della società madre ultima di Monavate tramite un processo di amministrazione controllata. Un precedente accordo di acquisto da 175 milioni di dollari era crollato, e Exodus ha risposto facendo causa per forzare la chiusura dell’accordo, richiamando contemporaneamente i prestiti già concessi al venditore; da lì è seguita l’amministrazione controllata. Quasi nessuno ha trattato la questione come una storia di concorrenza, probabilmente perché la struttura proprietaria è a più livelli di distanza dalle carte stesse. Tuttavia, una società di portafogli di auto-custodia ora controlla realmente lo sponsor dietro diversi dei suoi concorrenti diretti, inclusa la carta di Kraken, indipendentemente dal fatto che qualcuno ne abbia scritto.

Un modello, non un caso isolato

Quicko è l’esempio più recente, ma non il primo. Il deposito di insolvenza di Wirecard nel giugno 2020 ha spazzato via quasi da un giorno a cinque carte crypto iniziali: la prima Visa di Crypto.com, la prima Visa di Binance, TenX (PAY ), Monolith e la carta Visa originale di Wirex, più decine di programmi fintech non correlati che condividevano lo stesso sponsor. Una carta prepagata BitPay con marchio Mastercard è diventata inattiva nel 2023 dopo che il suo sponsor, Metropolitan Commercial Bank, ha abbandonato completamente le crypto, e da allora è rimasta inattiva. Nello stesso anno, l’uscita di Moorwand dalla sponsorizzazione crypto ha spostato la carta europea di Bybit verso un sostituto con licenza francese. Quattro crolli separati in sei anni, e in ognuno di essi il marchio rivolto al cliente ha mantenuto il nome e l’app; solo l’infrastruttura sottostante è cambiata o si è rotta.

Allora, cosa succede al denaro

L’esito realistico di un fallimento dello sponsor è più limitato rispetto alla perdita totale. Le normative britanniche ed europee sulla moneta elettronica richiedono che i fondi dei clienti siano depositati in un conto segregato presso una banca separata, non mescolati con i beni della società fallita, il che dovrebbe tenerli fuori dalla portata dei creditori ordinari. Tale protezione non è un’assicurazione sui depositi e non impedisce che l’accesso venga bloccato per settimane mentre un amministratore stabilisce chi possiede cosa, ma la regola legale predefinita favorisce il cliente.

La versione statunitense di questa protezione è ancora più limitata. Alcuni programmi di carte prepagate beneficiano della copertura FDIC pass‑through, ma solo quando il conto è strutturato correttamente per consentire il pass‑through fin dall’inizio, e solo nel caso in cui fallisca la banca sponsor stessa. Non serve a nulla se il gestore del programma, interposto tra la banca e il cliente, crolla, come è avvenuto durante il fallimento di Synapse nel 2024, dove i soldi dei clienti sono rimasti bloccati nonostante fossero, in teoria, depositati in una banca assicurata.

Questa asimmetria è anche il motivo per cui un cliente di Chase o Barclays non vive mai un evento in stile Quicko. Le banche assicurate in entrambi i paesi operano all’interno di un sistema progettato per mantenerle operative senza interruzioni in caso di fallimento, sia che ciò significhi la FDIC che trasferisce i depositi statunitensi a una banca più solida in un unico fine settimana, sia che gli strumenti di bail‑in e di banca ponte del Regno Unito svolgano un compito equivalente. Un’istituzione di pagamento che perde la licenza non ha una rete di sicurezza comparabile. Nessuno è obbligato a trovare uno sponsor sostitutivo. L’autorizzazione scompare e ogni carta costruita su di essa si ferma nello stesso momento.

La parte specifica dell’auto‑custodia

Questo colpisce più duramente il segmento dell’auto‑custodia, perché è il prodotto promosso proprio per eliminare questo tipo di dipendenza. Le monete rimangono nel tuo portafoglio fino al momento dello swipe e, al momento dello swipe, il controllo passa a uno sponsor che non hai scelto e non puoi ispezionare. Circa tre quarti delle carte di auto‑custodia attive negli Stati Uniti risalgono a un’unica entità emittente. Cambiare carta all’interno di quel segmento spesso significa solo cambiare il logo sopra la stessa licenza sottostante.

Niente di tutto ciò rende la sponsorizzazione BIN un errore. Un piccolo gruppo di sponsor ricompare in così tanti programmi perché hanno costruito i sistemi di conformità che una banca generalista non ha mai avuto motivo di creare, e tale infrastruttura è una parte reale del motivo per cui le carte finanziate da stablecoin esistono su larga scala. L’auto‑custodia svolge ancora un lavoro reale qui, solo più limitato rispetto a quanto suggerisce il marketing. Copre ciò che accade ai tuoi asset prima di spenderli. Non copre ciò che accade alla rete che trasporta il pagamento una volta effettuato lo swipe. Leggere il contratto del titolare della carta per trovare il nome dello sponsor richiede circa cinque minuti, ed è consigliabile farlo prima di caricare un saldo su una di queste carte. Quel nome è la tua risposta a una semplice domanda: se questo smette di funzionare da un giorno all’altro, a quale regolatore devi rivolgerti?