In breve. Per anni le cripto-attività hanno vissuto in una zona grigia. Oggi non è più così: l’Italia le tassa dal primo euro, l’Europa ha imposto regole agli operatori con il regolamento MiCAR e dal 2026 il fisco vede quasi tutto grazie allo scambio automatico di dati (DAC8). Chi non ha dichiarato guadagni o detenzioni rischia il penale — dichiarazione infedele, omessa dichiarazione, fino all’auto-riciclaggio. La buona notizia è che, quasi sempre, c’è ancora tempo per mettersi in regola prima che arrivi un avviso.
Chi mi cerca per una storia di criptovalute, di solito, non lo fa il giorno in cui ha comprato il primo bitcoin. Lo fa molto dopo: quando arriva una raccomandata dell’Agenzia delle Entrate, quando l’exchange chiede improvvisamente documenti che prima non chiedeva, oppure quando un amico più informato gli dice una frase che gli toglie il sonno — “guarda che adesso il fisco i dati li riceve direttamente”.
La prima domanda che pongo, in quei casi, è sempre la stessa: cosa hai dichiarato, e per quali anni? La risposta, nella maggior parte dei casi, è un silenzio imbarazzato. Ed è da lì che parte il lavoro.
Voglio raccontarti, senza paludamenti accademici, qual è oggi il terreno su cui ti muovi. Perché è cambiato moltissimo, e molto in fretta.
Quello che è cambiato (e che molti non hanno ancora capito)
Fino al 2022 il trattamento fiscale delle cripto in Italia era materia da interpreti: prassi dell’Agenzia, qualche risposta a interpello, nessuna legge organica. Poi è arrivata la Legge di Bilancio 2023 (la legge n. 197 del 2022, ai commi da 126 a 147), che ha finalmente scritto le regole nero su bianco. Da quel momento le plusvalenze da cessione di cripto-attività vanno tassate, e la detenzione va dichiarata.
Attenzione, però, perché qui sta l’errore in cui cadono in tanti: le regole del 2023 sono già state superate. La Legge di Bilancio 2025 (la legge n. 207 del 2024) ha cambiato due cose decisive. Primo: ha cancellato la franchigia dei 2.000 euro che esentava le plusvalenze più piccole — dal 1° gennaio 2025 si paga dal primo euro. Secondo: ha alzato l’aliquota dell’imposta sostitutiva, portandola al 26% per il 2025 e poi al 33% a partire dal 1° gennaio 2026, con un’unica eccezione al 26% per i token di moneta elettronica in euro conformi a MiCAR. Se trovi ancora chi ti parla di “soglia di 2.000 euro” e “26% fisso”, sappi che ti sta descrivendo un mondo che non esiste più.
Resta poi l’imposta sul valore delle cripto-attività — un piccolo prelievo patrimoniale del 2 per mille sul valore detenuto, che assume la forma dell’imposta di bollo se le tieni presso un intermediario italiano, o dell’IVAFE se le tieni su un exchange estero, su un wallet o su una chiavetta. E resta l’obbligo di monitoraggio: la detenzione va indicata in dichiarazione, in quello che fino a ieri era il Quadro RW e che oggi, nel modello Redditi, ritrovi come Quadro W.
Perché il 2026 è uno spartiacque
C’è un motivo preciso per cui ti scrivo questo proprio adesso, e si chiama DAC8.
È la direttiva europea (UE) 2023/2226 sullo scambio automatico di informazioni in materia di cripto-attività. L’Italia l’ha recepita con il decreto legislativo n. 194 del 2025, e si applica dal 1° gennaio 2026. In sostanza: gli operatori cripto — gli exchange, i gestori di wallet, i fornitori di servizi — comunicano alle amministrazioni fiscali i dati dei loro clienti, che vengono poi scambiati tra i Paesi dell’Unione. Le prime trasmissioni riguarderanno l’anno 2026 e arriveranno entro settembre 2027.
Tradotto: l’opacità che per anni ha protetto chi operava su piattaforme estere è finita. Il fisco incrocerà i dati ricevuti dagli operatori con quello che hai (o non hai) scritto in dichiarazione. Chi ha tenuto cripto all’estero pensando che “tanto non lo sanno”, farebbe bene a rivedere quella convinzione prima che lo facciano gli accertatori al posto suo.
Sul fronte degli operatori c’è poi il regolamento MiCAR — il regolamento (UE) 2023/1114 — pienamente applicabile dal 30 dicembre 2024. Impone a chi offre servizi su cripto-attività (i cosiddetti CASP) di ottenere un’autorizzazione: in Italia la rilascia la Consob, sentita la Banca d’Italia. Per chi era già operativo è previsto un periodo di transizione, che in Italia consente di continuare a lavorare fino al rilascio dell’autorizzazione e comunque non oltre il 30 giugno 2026. Oltre quella data, operare senza titolo significa esporsi all’accusa di esercizio abusivo di attività finanziaria.
Dove scatta il penale
Fin qui la cornice fiscale. Ma tu non sei qui per le percentuali: sei qui perché temi un’accusa. Allora vediamo dove la mancata regola fiscale diventa reato.
Se non presenti la dichiarazione pur essendovi obbligato, il rischio è l’omessa dichiarazione (art. 5 del d.lgs. 74/2000): scatta quando l’imposta evasa supera 50.000 euro per ciascuna imposta e per ciascun anno, ed è punita con la reclusione da due a cinque anni. Se invece la dichiarazione l’hai presentata ma hai “dimenticato” le plusvalenze cripto, il rischio è la dichiarazione infedele (art. 4 dello stesso decreto): qui le soglie sono più alte — imposta evasa oltre 100.000 euro ed elementi sottratti all’imposizione superiori al 10% del dichiarato, o comunque oltre due milioni — e la pena va da due anni a quattro anni e sei mesi.
Più in alto nella scala della gravità c’è la dichiarazione fraudolenta (art. 2): è quella di chi usa fatture per operazioni inesistenti o artifici equivalenti, e si punisce con la reclusione da quattro a otto anni. Nel mondo cripto la incontro soprattutto in costruzioni di trading o di società-veicolo create per far sparire ricavi.
E poi c’è la fattispecie che, nella mia esperienza, fa più paura e più danni: l’auto-riciclaggio (art. 648-ter.1 del codice penale). Accade quando i proventi di un reato fiscale vengono reinvestiti in cripto-attività proprio per nasconderne l’origine. La pena è la reclusione da due a otto anni. Il problema, per chi si difende, è che spesso l’accusa lo contesta in aggiunta al reato tributario, trasformando una posizione gestibile in un procedimento serio.
A latere, ma non meno insidioso, c’è l’abusivismo finanziario (art. 166 del Testo unico della finanza e art. 132 del Testo unico bancario): riguarda chi gestisce servizi cripto senza l’autorizzazione richiesta da MiCAR. È il rischio tipico dell’operatore di settore, non dell’investitore privato.
I due casi che porto sempre con me
Il primo. Ho difeso un investitore privato cui era contestata la dichiarazione infedele per plusvalenze realizzate negli anni in cui non esisteva ancora una disciplina fiscale chiara. La difesa si è giocata tutta sull’incertezza normativa dell’epoca: prima delle regole entrate in vigore nel 2023, il trattamento di quelle operazioni era oggettivamente controverso, e perfino i tecnici si dividevano. Ho valorizzato la buona fede del mio assistito e la complessità interpretativa del momento. Il procedimento si è chiuso con un esito ridotto, coerente con un quadro che allora era davvero ambiguo.
Il secondo. Ricordo un operatore italiano del settore accusato di esercizio abusivo di attività finanziaria, per non aver ancora ottenuto l’autorizzazione prevista dal nuovo regime europeo. Ho impostato la difesa sui tempi di transizione: il sistema prevede fasi di adeguamento progressivo per chi era già attivo. Dimostrato che il mio assistito si collocava dentro quella finestra, la posizione si è risolta con la regolarizzazione e una sanzione contenuta, senza arrivare a una condanna piena.
Due storie diverse, una lezione comune: nel penale cripto la differenza la fa il tempismo. Chi si muove prima ha argomenti; chi aspetta l’avviso, molti meno.
Come si difende, davvero
Quando arrivo a leggere le carte, lavoro su pochi fronti concreti. Il primo è la quantificazione delle plusvalenze: i criteri di calcolo (il metodo di abbinamento tra acquisti e vendite, la conversione in euro al momento giusto, l’attribuzione dei costi di acquisto) sono terreno di battaglia tecnica, e una perizia di settore seria spesso ridimensiona la pretesa erariale. Il secondo è la buona fede, soprattutto per il pregresso anteriore al 2023: di fronte a un quadro normativo allora oggettivamente oscuro, l’errore scusabile (art. 5 del codice penale) è un argomento che i giudici hanno mostrato di saper apprezzare.
Poi c’è la leva più potente di tutte: il pagamento del debito tributario. L’art. 13 del d.lgs. 74/2000 prevede che chi salda integralmente il dovuto — imposte, sanzioni e interessi — non sia punibile. Per i reati di omesso versamento il pagamento può intervenire fino all’apertura del dibattimento; per i reati dichiarativi come l’infedele e l’omessa, invece, occorre muoversi prima, attraverso il ravvedimento o la presentazione della dichiarazione omessa, e comunque prima di aver avuto notizia formale di controlli o verifiche. È esattamente per questo che insisto tanto sul tempismo. Sul fronte patrimoniale, infine, c’è da gestire la confisca del profitto (art. 12-bis dello stesso decreto), che colpisce anche le cripto-attività: lì si discute sull’esatta identificazione del profitto e sullo scomputo di quanto già pagato all’erario.
Non è una materia in cui ci si improvvisa, né lato fisco né lato penale. Ma è una materia in cui, quasi sempre, chi agisce per tempo può cambiare il finale.
Le norme di riferimento. Disciplina fiscale: L. 197/2022, commi 126-147, come modificata dalla L. 207/2024 (Legge di Bilancio 2025). Reati tributari: artt. 2, 4, 5, 13 e 12-bis del D.lgs. 74/2000. Auto-riciclaggio: art. 648-ter.1 c.p. Abusivismo: art. 166 TUF e art. 132 TUB. Quadro UE: Reg. (UE) 2023/1114 (MiCAR) e Dir. (UE) 2023/2226 (DAC8), recepita in Italia con il D.lgs. 194/2025.
FAQ
Le criptovalute si pagano davvero in Italia? Sì, e oggi più di prima. Dal 2025 la franchigia dei 2.000 euro non esiste più: si tassa dal primo euro di plusvalenza. L’aliquota è il 33% dal 2026 (26% solo per gli stablecoin in euro conformi a MiCAR), più il prelievo del 2 per mille sul valore detenuto.
Con DAC8 il fisco vede le mie cripto sull’exchange estero? In sostanza sì. Dal 2026 gli operatori comunicano i dati dei clienti e le amministrazioni fiscali se li scambiano. Le prime trasmissioni riguardano il 2026 e arriveranno entro settembre 2027. L’anonimato di fatto è finito.
Ho dimenticato di dichiarare anni passati. Rischio il penale? Dipende dagli importi. Sotto le soglie penali resti nell’illecito amministrativo; sopra, scattano l’infedele o l’omessa dichiarazione. In entrambi i casi conviene valutare subito un ravvedimento: il pagamento del dovuto, fatto per tempo, può escludere la punibilità.
Mi possono sequestrare le cripto? Sì. La giurisprudenza ammette il sequestro di credenziali e wallet. L’esecuzione tecnica è complessa, ma possibile, e spesso si accompagna alla richiesta di confisca del profitto.
Sono un operatore: cosa rischio se non ho l’autorizzazione MiCAR? La finestra di transizione in Italia arriva fino al 30 giugno 2026. Operare oltre senza titolo espone all’accusa di esercizio abusivo di attività finanziaria. Meglio chiudere il percorso autorizzativo prima.
Per approfondire
L’incrocio tra criminalità finanziaria, fisco e cripto-attività è oggi uno dei terreni più vivi del diritto penale dell’impresa. Se vuoi i miei commenti aggiornati quando le regole cambiano — e cambiano spesso — iscriviti alla mia newsletter mensile.