Informativa sulla Policy di custodia e amministrazione delle cripto-attività

Ultimo aggiornamento: 28 agosto 2025

1. Introduzione

   1. La presente Informativa, predisposta ai sensi del Regolamento UE 2023/1114 del Parlamento europeo e del Consiglio del 31 maggio 2023 relativo ai mercati delle cripto-attività (“MiCAR”), descrive il servizio di custodia e amministrazione di cripto-attività offerto da CheckSig S.r.l. Società Benefit alla propria clientela ed in particolare i principi fondamentali, le responsabilità aziendali e le tutele per i clienti.

2. Tutela delle disponibilità delle cripto-attività dei clienti

   1. Principi generali. I prestatori di servizi per le cripto-attività che prestano servizi di custodia e amministrazione di cripto-attività per conto di clienti separano le cripto-attività detenute per conto dei loro clienti dalle proprie e garantiscono che i mezzi di accesso alle cripto-attività dei loro clienti siano chiaramente identificati come tali. Essi assicurano che, nel registro distribuito, le cripto-attività dei loro clienti siano detenute in modo distinto rispetto alle proprie cripto-attività. In particolare:
      1. Le cripto-attività detenute in custodia sono giuridicamente e operativamente separate dal patrimonio del prestatore di servizi per le cripto-attività, nell’interesse dei clienti del prestatore di servizi per le cripto-attività conformemente al diritto applicabile, in modo che i creditori del prestatore di servizi per le cripto-attività non abbiano alcun diritto di rivalsa sulle cripto-attività detenute in custodia dal prestatore di servizi per le cripto-attività, in particolare, in caso di insolvenza.
      2. Le cripto-attività e i fondi (in euro) sono di proprietà dei clienti e restano di proprietà dei clienti anche quando vengono trasferite o trasmesse alla Società per l’accesso al servizio di custodia. Le tutele della Policy si estendono, in particolare, alle cripto-attività e ai fondi nella disponibilità di CheckSig[^1].
      3. La Società non utilizza, investe o impiega per fini diversi dai servizi prestati, i fondi o le cripto-attività dei clienti. I fondi e le cripto-attività costituiscono patrimonio distinto e separato a tutti gli effetti da quello della Società.
   2. Presidi speciali
      1. Contrattuali: i contratti con i clienti stabiliscono che le cripto-attività restano di loro proprietà. Analogamente, gli accordi con i fornitori di servizi e con le banche prevedono misure di protezione per i fondi depositati.
      2. Organizzativi/contabili: CheckSig mantiene evidenze contabili interne in grado di delineare l’esatta ricostruzione del patrimonio (fondi e cripto-attività) della Società e del patrimonio (fondi e cripto-attività) di ciascun cliente. Le evidenze contabili sono distinte per ciascun cliente ed indicano la Banca o il Gestore di piattaforma di negoziazione presso cui ci sono i/le fondi/cripto-attività dei Clienti. Le movimentazioni sono tracciate e riconciliate periodicamente.
      3. Tecnologici: sono adottati strumenti di autenticazione avanzati e meccanismi di crittografia per prevenire accessi non autorizzati alle cripto-attività in custodia. La protezione dei dati è garantita attraverso soluzioni avanzate di sicurezza informatica (e protocolli di accesso sicuri).

3. Servizio di custodia abbinato a servizi complementari.

   1. Custodia con staking: per le cripto-attività che supportano lo staking, garantendo che le chiavi private restino sotto il controllo esclusivo di CheckSig e non vengano mai condivise con terzi.
   2. Custodia a fini di escrow: nell’ambito dell’operazione di prestito tra due parti terze, CheckSig offre a chi è cliente il servizio di custodia e di amministrazione delle cripto-attività oggetto di garanzia, nel rispetto delle istruzioni impartite dal prestatore e dal beneficiario. Si precisa che CheckSig non svolge alcuna attività di promozione, intermediazione, consulenza o offerta di prestiti.

4. Gestione degli incidenti informatici

   1. CheckSig, conformemente a quanto previsto dalla normativa, è responsabile nei confronti dei clienti della perdita di cripto-attività o dei mezzi di accesso alle cripto-attività a seguito di un incidente.
   2. La responsabilità è limitata al valore di mercato della cripto-attività al momento della sua perdita. Inoltre, CheckSig si è dotata di una polizza assicurativa a copertura di perdite legate al processo di custodia, infra.
   3. La responsabilità non sussiste ove la Società provi che gli incidenti sono avvenuti indipendentemente dalla prestazione del servizio o indipendentemente dalle operazioni di CheckSig, quale, ad esempio, un problema inerente al funzionamento del registro distribuito, che sfugge al controllo della medesima.
   4. L’Incident Manager di CheckSig mantiene un registro degli incidenti, conforme al Regolamento DORA, dove sono annotati gli elementi essenziali di ogni incidente segnalato e le misure adottate per gestire e risolvere l’evento.

5. Coperture assicurative

   1. CheckSig si impegna a garantire la massima trasparenza nella gestione delle coperture assicurative, fornendo ai propri clienti un quadro chiaro delle protezioni in essere e delle condizioni di attivazione delle polizze all’interno della contrattualistica e sul proprio sito pubblico all’indirizzo https://www.checksig.com/it/it/coperture-assicurative. Ad oggi, CheckSig garantisce una protezione assicurativa per i fondi in custodia, fornita da Great Lakes Insurance SE, parte del gruppo Munich RE, numero di polizza F06670112024.

6. Il modello di custodia

   1. Il modello di custodia adottato da CheckSig è progettato per garantire la massima sicurezza e protezione delle cripto-attività dei clienti. Il sistema si basa su un’architettura stratificata che prevede diversi livelli di wallets, ognuno con specifiche funzionalità di sicurezza e accessibilità. Il modello è suddiviso nei seguenti wallet (cumulativamente, i “wallets di Custodia di Checksig”):
      1. deposit wallets: insieme di wallets dedicati esclusivamente alla ricezione e al transito temporaneo delle cripto-attività depositate dalla clientela;
      2. frozen wallets: insieme di wallets a presidio rafforzato, destinati alla conservazione di massima sicurezza delle cripto-attività della clientela;
      3. cold wallets: insieme di wallets dedicati esclusivamente al transito temporaneo delle cripto-attività in uscita dai frozen wallets;
      4. Protocol Staking wallets: insieme di wallets destinati esclusivamente alla conservazione delle cripto-attività che supportano algoritmi di consenso basati su Proof-of-Stake (PoS);
      5. liquidity wallets: insieme di wallets dedicati esclusivamente alla gestione temporanea delle cripto-attività, ed in particolare al trasferimento delle cripto-attività da e verso gli altri ambienti di custodia;
   2. In aggiunta, CheckSig dispone di accounts ”Exchange c/Terzi” accesi presso Gestori di piattaforme di negoziazione, sui quali sono mantenute cripto-attività nella misura strettamente necessaria a consentire l’erogazione del Servizi di Scambio di cripto-attività (con fondi o con altre cripto-attività) e del Servizio di Esecuzione di ordini di cripto-attività per conto della clientela.
   3. I wallets frozen, cold e Protocol Staking sono dei wallets offline, ovvero possono essere movimentati solo tramite moduli di sicurezza hardware (“Hardware Secure Module” o “HSM”), dispositivi informatici fisici che custodiscono offline le chiavi crittografiche private necessarie per autorizzare le transazioni e che, pertanto, non sono accessibili tramite internet. Questo approccio riduce in modo significativo il rischio informatico poiché impedisce ad eventuali attaccanti (/‘hackers’) di accedere remotamente ai dispositivi di autorizzazione.

7. Sicurezza e gestione dell’accesso

   1. Ogni tipologia di wallet è soggetta a specifiche misure di sicurezza.
      1. Wallet offline: cold wallets e frozen wallets sono completamente isolati da Internet, con chiavi private custodite attraverso moduli di sicurezza hardware (/HSM).
      2. Autorizzazione multi-firma (“MultiSig” o “Multi-Party Computation”): per eseguire qualsiasi transazione dai wallets di Custodia di Checksig a presidio rafforzato è necessaria l’approvazione di più soggetti autorizzati, garantendo che nessun individuo possa movimentare i fondi unilateralmente. A seconda della tipologia di registro distribuito, sono pertanto impiegati o sistemi MultiSig (sia a livello nativo, che mediante smart contracts) o sistemi *Multi-Party Computation*.
      3. Meccanismi di autenticazione avanzata: tutti gli accessi ai wallet sono protetti da autenticazione a più fattori.
      4. Procedure di disaster recovery: in caso di compromissione di un wallet o di perdita delle chiavi di accesso, CheckSig dispone di piani di emergenza per il ripristino dei fondi in sicurezza.

8. Politiche di movimentazione

   1. Le cripto-attività all’interno del sistema di custodia possono essere movimentate solo rispettando precise politiche di autorizzazione.
      1. Trasferimenti dai deposit wallets ai frozen wallets: i fondi ricevuti dai clienti vengono inizialmente depositati nei deposit wallets e poi trasferiti nei frozen wallets una volta superati i controlli di conformità.
      2. Prelievi dai frozen wallets: qualsiasi prelievo da un frozen wallet deve essere autorizzato da un quorum di agenti terzi, riducendo il rischio di operazioni fraudolente.
      3. Movimenti dai cold wallets: le cripto-attività possono essere trasferite dai cold wallets solo previa autorizzazione di più soggetti approvanti, seguendo un processo multi-firma ed ad autenticazione avanzata (/forte).
      4. Gestione delle emergenze: in caso di incidente di sicurezza sono previste procedure di emergenza per consentire il trasferimento controllato dei fondi.
   2. L’architettura di custodia implementata da CheckSig garantisce un elevato livello di sicurezza e conformità normativa, proteggendo le cripto-attività dei clienti da rischi operativi, attacchi informatici e accessi non autorizzati.

9. Prova delle riserve

   1. Su base periodica, con una frequenza almeno mensile, CheckSig esegue una transazione di trasferimento interno delle cripto-attività dal frozen wallet al frozen wallet stesso.
   2. Questa operazione, denominata “Prova delle Riserve”, viene pubblicamente documentata sul registro distribuito (/blockchain) di riferimento e ha un duplice scopo:
      1. dimostrare che CheckSig mantiene il pieno controllo delle chiavi e dei mezzi di accesso ai bitcoin custoditi nel Frozen Wallet, confermando che non si è verificata alcuna perdita di controllo sulle cripto-attività in custodia;
      2. fornire trasparenza sugli indirizzi e sui saldi sotto il controllo di CheckSig, permettendo alle funzioni di controllo interne ed esterne di verificare la corrispondenza tra i saldi contabili e la quantità effettiva di cripto-attività in custodia.

10. Fork

    1. La Società effettua un monitoraggio continuo dei protocolli a registro distribuito rilevanti, al fine di individuare tempestivamente l’insorgere di eventi di separazione della chain principale (c.d. hard fork o chain split).
    2. Al verificarsi di un Fork, viene svolta un’analisi preliminare volta a determinare:
       1. la rilevanza economica dell’evento per il cliente, ossia che sia verificato un Fork quantitativamente rilevante, come definito nei “Termini e condizioni generali dei Servizi ex MiCAR”, Allegato 25 (con soglia minima dell’1% del valore complessivo delle Cripto-attività in custodia, trascorsi sei mesi dalla data del Fork);
       2. la fattibilità tecnica, alla luce delle peculiarità tecniche della nuova DLT;
       3. la conformità legale e regolamentare della nuova cripto-attività originatasi dal Fork, inclusi i profili AML/CFT.
    3. Sulla base dell’analisi condotta, l’organo interno competente (ossia, il Consiglio di Amministrazione, sentito il Comitato rischi) delibera se estendere o meno il servizio di custodia alla nuova cripto-attività generata dal Fork. La decisione è documentata mediante verbale, così da garantire tracciabilità e verificabilità a fini di audit e vigilanza.
    4. Ove sia deliberato il supporto, CheckSig provvede alla separazione e al recupero delle nuove cripto-attività, nonché alla loro allocazione pro-quota ai clienti in base alla posizione detenuta alla data del Fork quantitativamente rilevante. Tutte le operazioni sono tracciate e soggette a riconciliazione contabile.
    5. La Società informa tempestivamente i clienti in merito all’esito delle analisi e alla decisione adottata, specificando se la nuova cripto-attività sarà o meno supportata e indicando le eventuali limitazioni operative (ad esempio, la possibilità di transazioni più lente o bloccate finché la rete non si stabilizza e si adatta al nuovo protocollo DLT).

11. Informativa al cliente e Aggiornamento della Policy

    1. La presente Informativa è pubblicata sul sito web di CheckSig a favore della clientela.
    2. La Policy è aggiornata periodicamente per garantire il rispetto della normativa vigente e l’adozione delle migliori pratiche di mercato. Inoltre, CheckSig si impegna ad aggiornare la presente Policy ogniqualvolta intervengano modifiche rilevanti nel contesto normativo o tecnologico.

[^1]: Per questi ultimi (fondi euro), le garanzie non si estendono ai fondi nella disponibilità di CheckSig oltre la prima giornata lavorativa dalla loro ricezione.

Scarica l’informativa in PDF