Segnalata nel 2025, multata nel 2026, aperta nel mezzo

Che cosa Dubai ha pubblicato il 24 luglio

L'avviso della VARA nomina la società, i nomi commerciali che usava e tre violazioni, e non pubblica alcuna cifra per la sanzione. La Virtual Assets Regulatory Authority ha emesso il 24 luglio 2026 un avviso di sanzioni contro Shelbit General Trading L.L.C, che operava commercialmente come Shelbit e Shelbit Exchange. L'autorità ha esposto che era stato accertato che la società continuava a prestare servizi in cripto-attività a clienti a Dubai e da Dubai senza una licenza valida, che registrava utenti senza le verifiche di adeguata conoscenza della clientela imposte dal diritto emiratino, e che promuoveva i propri servizi a Dubai senza autorizzazione. Di conseguenza la VARA ha dichiarato di aver adottato misure esecutive, imposto sanzioni pecuniarie e ordinato la cessazione immediata di ogni attività in cripto-attività priva di licenza a Dubai o da Dubai.

La parola che regge quell'avviso è "continuava". Non è così che un'autorità scrive di qualcosa che ha appena scoperto. È così che scrive di qualcosa di cui aveva già ordinato la cessazione e che poi non è cessato. L'avviso lo dice da sé nella prima riga: la misura segue l'ordine di cessazione del 2 gennaio 2025. Tutto ciò che è utile in questa vicenda sta nella distanza fra quelle due date.

Il primo ordine era pubblico da diciotto mesi

Fra l'ordine di fermarsi e la sanzione pubblicata corrono 568 giorni. Il 2 gennaio 2025 fu emesso un ordine di cessazione. L'avviso di sanzioni arrivò il 24 luglio 2026. Nel mezzo sta un anno e mezzo in cui la società, per ammissione della stessa autorità, continuava a registrare utenti e a farsi pubblicità a Dubai. Reuters riferì che nei mesi successivi a quel primo ordine furono trattati altri centinaia di milioni di dollari.

Vale la pena essere precisi su che cosa fu e che cosa non fu il primo avviso. Fu una dichiarazione pubblica, a un indirizzo pubblico, che nominava una precisa persona giuridica e i suoi nomi commerciali. Chi avesse verificato il nome Shelbit il 3 gennaio 2025 lo avrebbe trovato. Non fu, alla luce di ciò che seguì, un meccanismo capace di togliere la società dal circuito dei pagamenti. Un'autorità può pubblicare; staccare la spina non può.

Questa distinzione è poco appariscente ed è tutta la lezione pratica. Il registro riporta ciò che l'autorità ha detto. Non riporta mai ciò che la controparte ha fatto da allora. Le imprese trattano abitualmente le due cose come equivalenti, perché un nome o è su un elenco o non c'è, e perché quel sì o no si automatizza facilmente. Il sì o no è reale. Non è reale il significato che gli attribuisce la maggior parte dei processi di onboarding.

Il registro data il proprio ritardo

La pagina pubblica degli avvisi della VARA porta le marcature temporali che dimostrano lo schema, e si leggono senza fatica. Il 5 marzo 2026 l'autorità pubblicò avvertenze che in un avviso nominavano MEXC Estonia OU e MEXC Global LTD, e in un altro Phoenixfin Pte Ltd, MEK Global Limited, Peken Global Limited e KuCoin Exchange EU GmbH. Le sanzioni seguirono il 22 giugno 2026 contro MX Global LTD, che opera come MEXC, e il 24 giugno 2026 contro Peken Global Limited, che opera come KuCoin. Sono 109 e 111 giorni dall'avvertenza alla sanzione. CoinMENA FZE fu sanzionata lo stesso giorno di giugno di MEXC.

Tre mesi sono rapidi secondo i parametri della vigilanza finanziaria, e nulla di tutto questo indica un'autorità inerte. Il punto è più stretto e sopravvive all'elogio: anche quando un'autorità agisce con solerzia, esiste una finestra misurabile in cui una società nominata è nominata e non le è accaduto altro. Per Shelbit quella finestra arrivò a diciotto mesi. Nei casi di giugno, a circa un trimestre.

La domanda che un imprenditore europeo deve porre al proprio processo non è dunque se effettui controlli sui registri sanzionatori. Lo fanno quasi tutti. È con quale frequenza, e su che cosa. Una riverifica trimestrale e un ciclo sanzionatorio di 109 giorni sono lo stesso intervallo, il che significa che un ritmo trimestrale può mancare un'intera escalation fra due passaggi.

Che cosa Reuters ha tracciato attraverso di essa

L'inchiesta pubblicata il 31 luglio 2026 descrive una piattaforma che funzionava da snodo e non da destinazione. Reuters riferì che Shelbit, guidata da un espatriato iraniano di nome Siavash Kayvanpour, stava al centro di flussi per almeno 4 miliardi di dollari movimentati da maggio 2024, e collegava ai mercati globali delle cripto-attività una rete illegale di gioco con più di duemila piattaforme, la banca centrale iraniana e altri soggetti iraniani sanzionati. La banca centrale iraniana è sotto sanzioni statunitensi dal 2019. Una precedente inchiesta di Reuters aveva preceduto le sanzioni statunitensi contro la piattaforma iraniana Nobitex.

Qui l'attribuzione è delicata, e il resoconto la tratta con cura. Gli investigatori citati valutano l'operazione come condotta dalle Guardie rivoluzionarie, ma Reuters dichiarò espressamente di non aver potuto stabilire se le Guardie controllassero direttamente Shelbit o la rete di gioco. È una questione aperta, non un accertamento, e chi la riassume internamente deve riportare la riserva anziché arrotondarla per eccesso.

Il dettaglio più istruttivo per un imprenditore è la risposta di Binance. La piattaforma dichiarò che Shelbit non vi aveva mai avuto un conto e che le transazioni collegate non erano state segnalate come ad alto rischio, affermando al contempo di aver indagato su utenti, congelato conti e riferito le proprie risultanze alle autorità. Va letto con attenzione. L'esposizione entrò tramite gli utenti, non tramite un rapporto commerciale individuato. Un controllo che chiede soltanto se esista un contratto con una società elencata avrebbe risposto pulito a ogni passaggio.

Un nome in un elenco non è uno stato del mondo

L'istruzione pratica è datare i controlli e ripeterli, perché il registro che si consulta è esso stesso un documento in ritardo. Annotate quando avete verificato una controparte e quale data portava l'avviso più recente che avete visto. Se quelle due date distano mesi, non avete verificato una controparte: avete verificato ciò che un'autorità aveva pubblicato entro l'ultima volta che avete guardato. Per le imprese europee la stessa disciplina vale sul proprio lato, dove l'autorizzazione ai sensi del regolamento sui mercati delle cripto-attività è tenuta dalle autorità nazionali competenti, in Italia la Consob insieme alla Banca d'Italia, e dove il registro risponde alla stessa domanda stretta: che cosa è stato deciso, non che cosa sta accadendo ora.

La seconda istruzione discende dalla risposta di Binance. Chiedete chi sono le controparti delle vostre controparti, perché è lì che questa esposizione ha viaggiato. Un'impresa può non avere alcun rapporto con una società nominata e trattarne comunque i flussi attraverso conti della clientela. Verificare il nome sul contratto è il controllo più superficiale disponibile, e in questo caso fu quello che non restituì nulla.

Niente di tutto ciò richiede strumenti nuovi o un budget di conformità maggiore. Richiede di trattare una voce di registro come una prova con sopra una marcatura temporale, che è ciò che è sempre stata. L'ordine del gennaio 2025 rimase pubblico per 568 giorni facendo esattamente ciò per cui era stato costruito, cioè informare chiunque guardasse. Ciò che non fece mai, e non poteva fare, fu fermare il denaro.

Da leggere ora: La stablecoin del dollaro è ora una banca USA  |  Cloudflare fa pagare il web alle macchine