Come creare un exchange di criptovalute nel 2026

Fino a poco tempo fa creare un exchange di criptovalute era soprattutto un problema di ingegneria: portafogli, ordini, sicurezza. Dal 1° luglio 2026 non lo è più. È un problema di autorizzazione, e chi scrive il software è la persona meno importante nella stanza.

Questa guida spiega cosa è cambiato con MiCA, cosa comporta davvero l'autorizzazione, quanto pesa la conformità sul progetto tecnico e quali progetti in questo settore restano possibili senza licenza.

Cosa è cambiato il 1° luglio 2026

Il regolamento europeo sui mercati delle cripto-attività prevedeva un periodo transitorio per gli operatori già attivi. Quel periodo si è chiuso il 30 giugno 2026: da allora, la prestazione di servizi su cripto-attività a clienti europei è riservata ai soggetti autorizzati come CASP, i prestatori di servizi per le cripto-attività.

In Italia l'autorizzazione la rilascia la Consob, sentita la Banca d'Italia. Al termine del transitorio i soggetti abilitati in Italia risultavano nove — un numero che dice, meglio di qualsiasi analisi, quanto è selettivo il percorso.

Chi ottiene l'autorizzazione in uno Stato membro può operare negli altri ventisei con una semplice notifica. È il passaporto europeo, ed è la ragione per cui la licenza vale molto più di quanto costa ottenerla.

Cosa comporta l'autorizzazione

Non è una pratica: è la costruzione di una struttura aziendale che un'autorità di vigilanza deve giudicare adeguata. Le voci principali sono queste.

• Sede legale nell'Unione europea e presenza sostanziale, non una casella postale.
• Requisiti di capitale, che a seconda dei servizi prestati arrivano fino a centocinquantamila euro.
• Separazione dei fondi dei clienti dal patrimonio della società: i soldi degli utenti non sono vostri e devono essere tenuti separati anche in caso di dissesto.
• Tracciabilità di ogni transazione, con i controlli antiriciclaggio che ne conseguono.
• Requisiti di onorabilità e professionalità di chi amministra, valutati dall'autorità.
• Presidi organizzativi: gestione dei rischi, continuità operativa, conservazione dei dati, gestione dei reclami.

Nessuno di questi punti si risolve scrivendo codice, ma tutti ricadono sul software: la separazione dei fondi è un modello dati, la tracciabilità è un registro immutabile, la continuità operativa è architettura.

Quanto pesa la conformità sul progetto tecnico

Nei progetti regolamentati che abbiamo visto, la parte di sistema che esiste solo per soddisfare requisiti normativi vale fra un terzo e la metà del lavoro complessivo. Non è tempo perso: è il prodotto.

1. 01Identificazione dei clienti, con verifica documentale e controlli sulle liste, integrata nel percorso di registrazione e non appiccicata dopo.
2. 02Registro delle operazioni conservato in modo che non sia modificabile e sia estraibile su richiesta.
3. 03Segregazione contabile dei fondi dei clienti, con riconciliazione periodica dimostrabile.
4. 04Reportistica verso l'autorità nei formati richiesti, che va progettata nel modello dati fin dal primo giorno.
5. 05Gestione dei reclami e tracciamento delle risposte, che è un pezzo di software vero e viene sempre dimenticato.

Cosa resta possibile senza autorizzazione

Non tutto in questo settore richiede una licenza CASP, e vale la pena sapere dove passa la linea prima di rinunciare o, peggio, di partire senza saperlo.

• Software venduto a soggetti già autorizzati: costruire la piattaforma per chi ha la licenza è un mestiere legittimo e in crescita.
• Strumenti di analisi e informazione che non custodiscono fondi e non eseguono ordini per conto altrui.
• Applicazioni di portafoglio non custodial, dove le chiavi restano all'utente e voi non entrate mai nella disponibilità dei suoi fondi — il confine però è sottile e va verificato con un legale, non per analogia.
• Infrastruttura tecnica per aziende autorizzate: nodi, integrazioni, sistemi di riconciliazione.

La distinzione decisiva è quasi sempre la stessa: custodite fondi altrui o eseguite ordini per conto di altri? Se sì, siete dentro. Se no, probabilmente no — ma «probabilmente» in questo settore è una parola cara.

Come verificare se un operatore è autorizzato

Vale sia per chi valuta un partner sia per chi sta scegliendo dove tenere le proprie cripto-attività: l'unica fonte affidabile è il registro pubblico dei CASP tenuto dall'ESMA, integrato in Italia dalle informazioni pubblicate da Consob e Banca d'Italia.

Un logo su un sito e una dichiarazione di conformità non sono verifiche. Il registro sì, ed è consultabile da chiunque in pochi minuti.

Il consiglio scomodo

Se state valutando questo progetto e la licenza vi sembra un ostacolo burocratico da aggirare, il progetto non è pronto. Non perché sia complicato: perché il vantaggio competitivo, in questo mercato, è esattamente la licenza. Chi ce l'ha ha accesso a ventisette Paesi; chi non ce l'ha non ha un prodotto più snello, ha un prodotto che non può vendere.

Se invece il vostro progetto è costruire software per soggetti già autorizzati — infrastruttura, integrazioni, riconciliazione — allora è un progetto di sviluppo su misura come altri, con requisiti di sicurezza e tracciabilità più severi della media.

Domande frequenti

Posso creare un exchange e non offrirlo a clienti europei?

Tecnicamente sì, ma la regola guarda ai clienti, non alla sede. Se accettate utenti europei, MiCA vi riguarda, ovunque siate. E il controllo su chi accedete è a vostro carico: non basta una casella da spuntare.

Quanto tempo serve per ottenere l'autorizzazione?

Mesi, e la variabile principale non è l'istruttoria: è quanto tempo serve a voi per arrivarci con una struttura presentabile. Il numero di soggetti autorizzati in Italia dice che non è un percorso di forma.

Serve un exchange per lanciare un token?

No, sono cose diverse, e anche l'emissione di cripto-attività ha regole proprie sotto MiCA, comprese quelle sul documento informativo. È il tipo di verifica da fare con un legale specializzato prima di scrivere una riga.

Costruite exchange?

Costruiamo software per aziende che operano in ambiti regolamentati, dove la parte difficile è la tracciabilità, la separazione dei dati e la dimostrabilità dei controlli. Non ci occupiamo della pratica autorizzativa, che è mestiere di consulenti e legali specializzati.

In sintesi

Dal 1° luglio 2026 un exchange che serve clienti europei senza autorizzazione CASP non è un progetto ambizioso: è un'attività non consentita. La licenza richiede capitale, struttura e presidi organizzativi, e fra un terzo e la metà del lavoro tecnico esiste per soddisfarli.

Resta molto spazio per chi costruisce software in questo settore, ma dal lato giusto: per chi la licenza ce l'ha. Se è il vostro caso, si parte da una conversazione.