Il caso Coinbase mette in luce i limiti della custody di bitcoin
Il caso riguarda molto più di un conflitto con BlockTower: anche governance, audit trail e custody multi-sig sulle riserve in bitcoin finiscono sotto pressione.
In breve
- Le accuse contro Coinbase mostrano chiaramente che spesso le aziende non riescono a dimostrare bene chi custodisce bitcoin, chi approva le transazioni e come tutto questo viene monitorato.
- Il testo cita i precedenti incidenti di QuadrigaCX e Prime Trust e segnala rischi maggiori dovuti a hack, phishing e frodi guidate dall’AI.
- La custody multi-sig viene indicata come possibile soluzione, soprattutto per gli operatori europei che chiedono più governance e più responsabilità.
Le accuse del fondatore di BlockTower Ari Paul contro Coinbase mettono in evidenza un problema più grande: le aziende che mettono bitcoin in bilancio spesso non riescono a mostrare chiaramente chi gestisce i fondi, chi approva i movimenti e se le coin sono ancora lì. Coinbase nega le accuse, mentre Paul dice che le cause in corso gli impediscono di pubblicare le sue prove. Per il mercato crypto, quindi, il caso non riguarda solo colpe o innocenza, ma soprattutto la domanda su come sia organizzato nella pratica il controllo dei bitcoin.
Perché i board si bloccano
Secondo Paul, Coinbase avrebbe perso circa $25 milioni (€22,3 milioni) di asset della sua società e avrebbe inoltre nascosto hack che, nel complesso, avrebbero coinvolto più di $1 miliardo (€0,9 miliardi) presso una dozzina di istituzioni. Al di fuori delle due parti questo non si può verificare, ed è proprio questo a rendere la vicenda così scomoda per le aziende che vogliono detenere bitcoin. Un conto bancario o un conto brokerage ha ruoli fissi, regole di approvazione e un audit trail. Con bitcoin, spesso tutto questo manca non appena un’azienda sceglie un singolo accesso a un exchange o un hardware wallet in mano a una sola persona.
Questa vulnerabilità non è teorica. Il testo cita QuadrigaCX, dove dopo la morte del CEO sarebbero rimasti bloccati circa $190 milioni (€169 milioni) di asset dei clienti, e Prime Trust, che in seguito non è più riuscita ad accedere ai propri legacy wallet. L’autore richiama anche un studio di Deloitte, in cui i CFO hanno citato la complessità di accounting e controlli quasi con la stessa frequenza della volatilità dei prezzi come motivo per evitare di mettere bitcoin in bilancio. Questo si inserisce nel dibattito più ampio sulle riserve aziendali, in cui anche Strategy aveva già avvertito che errori di custody e liquidazioni forzate restano rischi seri.
Più pressione sulla custody
Secondo il testo, i rischi sono diventati anche più alti. Sul fronte fisico, dal 2014 sono stati registrati più di 360 attacchi noti a detentori di bitcoin, tra cui 86 nel 2025 e più di 60 quest’anno. Coinbase stessa lo scorso anno ha subito una violazione dei dati in cui dei criminali hanno corrotto addetti del supporto e sottratto dati dei clienti, con un costo potenziale di centinaia di milioni di dollari secondo l’azienda. Allo stesso tempo, phishing, deepfake e altri trucchi guidati dall’AI rendono più difficile per i team finance capire chi stia davvero dando istruzioni.
Il testo indica anche una possibile via d’uscita: la custody multi-sig, in cui più parti condividono il controllo degli asset. Questo distribuisce il potere e riduce il rischio che un singolo errore, un’uscita o una chiave compromessa apra tutto. Gli operatori istituzionali ci guardano da tempo proprio perché un singolo custodian è semplice, ma non è automaticamente più controllabile.
Perché questo conta per l’Europa
Per aziende e investitori europei questo è rilevante perché la domanda di custody di bitcoin non riguarda solo la conservazione, ma anche governance e responsabilità. Soprattutto ora che più operatori professionali vogliono detenere crypto, una struttura con più approvazioni e ruoli chiari può diventare più importante di un semplice report di audit o di una proof-of-reserves. Il dibattito attorno a Coinbase mostra che la fiducia in un custodian non basta se un’azienda non può verificare da sola chi può spostare cosa.
