Newsletter Fiscoin, 30 settembre 2026

Bitget violata: che cosa è successo, e che cosa fare se capita a Lei

Il 24 settembre alla piattaforma Bitget sono stati sottratti quasi 388 milioni di dollari, e la piattaforma ha bloccato i prelievi di tutti i suoi clienti. Questo mercoledì riprendono i prelievi in USDT. Quattro giorni più tardi, a Parigi, il regolatore europeo annunciava di voler sorvegliare da vicino proprio questo tipo di falla. Ecco i fatti, poi ciò che cambiano per Lei, anche nella Sua dichiarazione d'imposta.

Sei giorni di prelievi bloccati

Alcuni pirati informatici hanno sfruttato una falla in un prodotto di sicurezza fornito a Bitget da un prestatore esterno, che ha dato loro accessi interni di alto livello. Hanno svuotato una parte dei wallet connessi della piattaforma, su più reti. I wallet offline non sono stati toccati, e Bitget afferma che i saldi dei suoi clienti sono rimasti intatti. Gli inquirenti sospettano pirati legati alla Corea del Nord.

  1. Primi trasferimenti non autorizzati dai wallet connessi. Bitget sospende tutti i prelievi; depositi e negoziazione proseguono.

  2. Circle, poi Tether, bloccano un indirizzo dell'aggressore: circa 318'000 dollari congelati, una parte infima del bottino.

  3. Bitget alza la sua stima da 351,6 a 387,5 milioni di dollari e pubblica un calendario di riapertura, moneta per moneta.

  4. Riapertura dei prelievi in bitcoin. Lo stesso giorno, l'ESMA pubblica il suo programma di lavoro 2027.

  5. Riapertura dei prelievi in ether. In 24 ore, i clienti prelevano al netto circa 463 milioni di dollari.

  6. Riapertura annunciata dei prelievi in USDT, su Ethereum, BNB Chain, Solana e Tron.

  7. Ritorno previsto di tutte le altre monete, dei prelievi in valute e del mercato tra privati.

387,5 mio. $sottratti, il più grande furto cripto dell'anno
131 %tasso di riserve pubblicato al 29 settembre, su 19 attivi
< 200 mio. $rimasti nel fondo di protezione, contro oltre 464 mio. $ all'inizio
766 mio. $persi in attacchi informatici nell'intero settore a settembre, secondo CertiK

Il danno è coperto dal fondo di protezione degli utenti di Bitget, che la piattaforma dice di voler ricostituire con i propri fondi. Per i suoi clienti, la vicenda dovrebbe quindi concludersi con una settimana di attesa, non con una perdita. È lo scenario favorevole. Non si ripete ogni volta.

Nello stesso momento, l'Europa cambia marcia

Il programma di lavoro 2027 dell'Autorità europea degli strumenti finanziari e dei mercati (ESMA) segna una svolta: dopo due anni passati a scrivere le norme del regolamento MiCA, passa alla vigilanza. Le sue prime priorità per i prestatori di servizi cripto sono la resilienza operativa, il ricorso a subappaltatori e la presenza effettiva delle società nell'Unione. L'attacco a Bitget, passato attraverso uno strumento di sicurezza esterno, ne è l'illustrazione perfetta.

L'ESMA prevede anche di rendere pienamente operativo nel 2027 il suo sistema di individuazione degli abusi di mercato, e di alimentare la revisione di MiCA che la Commissione europea deve presentare entro giugno 2027. La Svizzera non applica MiCA, che resta un testo europeo. Ma buona parte delle piattaforme utilizzate dalla Svizzera vi si conforma per poter servire i propri clienti europei: un controllo più rigoroso della loro sicurezza Le giova indirettamente.

Se capita a Lei

Una piattaforma che blocca i prelievi non è ancora una perdita. Ciò che fa nei primi giorni condiziona tuttavia tutto il resto: le Sue possibilità di recuperare i fondi e la Sua capacità di giustificare la Sua dichiarazione d'imposta.

Nelle prime ore

  1. Si informi solo presso le fonti ufficiali. Il sito della piattaforma e i suoi account verificati. Ogni attacco informatico è accompagnato da falsi messaggi di assistenza e da link di phishing.
  2. Fissi la situazione. Schermata dei Suoi saldi con la data, esportazione completa della cronologia delle transazioni, copia dell'annuncio di sospensione. Se la piattaforma chiude il suo sito, non avrà nient'altro.
  3. Annoti la data, le quantità e il corso del giorno per ogni moneta interessata. Senza questi tre elementi, non potrà quantificare né una perdita né un rimborso.
  4. Ignori i servizi di recupero. Nessuno può sbloccare i Suoi fondi dietro pagamento. Queste offerte sono quasi sempre una seconda truffa.

Alla riapertura

  1. Verifichi il Suo saldo rispetto alle Sue schermate e, se la piattaforma lo propone, la Sua inclusione nella sua prova delle riserve.
  2. Prelevi senza fretta. Controlli l'indirizzo di destinazione e cominci con un piccolo importo. Le code d'attesa e i guasti sono frequenti nei primi giorni.
  3. Si chieda che cosa debba restare su una piattaforma. Ciò che non negozia trova il suo posto in un wallet di cui detiene le chiavi.

Al 31 dicembre

È qui che entra in gioco la fiscalità. Nella sostanza privata, gli utili di capitale sono esenti (art. 16 cpv. 3 LIFD) e, in contropartita, le perdite non si deducono: né un attacco informatico né un fallimento riducono la Sua imposta sul reddito. Salvo se il fisco La considera un commerciante professionale, nel qual caso i Suoi utili diventano imponibili e le Sue perdite deducibili. Ciò che l'incidente modifica è la Sua dichiarazione della sostanza, allestita in base alla situazione a fine anno (art. 14 e 17 LAID).

Che cosa dichiara al 31 dicembre, a seconda dell'esito

Prelievi riapertiIl caso Bitget: la piattaforma ha coperto la perdita, il Suo saldo è intatto.

Che cosa possiede
I Suoi token, come prima dell'incidente.
Valore da dichiarare
Corso di fine annoSecondo il listino ICTax dell'AFC o, in mancanza, il corso della piattaforma. Nulla di particolare da segnalare.
Documenti da conservare
Le Sue schermate ed esportazioni, nel caso in cui la questione si ponesse più tardi.

Ancora bloccatiLa piattaforma è solvibile ma i prelievi non sono stati riaperti al 31 dicembre.

Che cosa possiede
Sempre i Suoi token, solo l'accesso è sospeso.
Valore da dichiarare
Corso di fine annoUno sconto per illiquidità può essere chiesto e giustificato; dipende dalla prassi cantonale e non è automatico.
Documenti da conservare
Annuncio della sospensione, data del blocco, schermata del saldo al 31 dicembre.

FallimentoLa piattaforma non ha potuto coprire il furto ed entra in liquidazione.

Che cosa possiede
In generale, un credito nei confronti della massa fallimentare, e non più i token.
Valore da dichiarare
Valore probabile di recuperoI cantoni ammettono di tenere conto del rischio di perdita di un credito incerto, a condizione di documentarlo.
Documenti da conservare
Prova dell'insinuazione del credito, conteggi e piano di riparto del liquidatore.

Due precisazioni. Se una piattaforma svizzera fallisce e i Suoi token vi erano custoditi in modo individualizzabile, la legge consente di separarli dalla massa (art. 242a LEF): Lei ne resta proprietario e li dichiara al corso di fine anno. E se viene rimborsato, da un fondo di protezione o da un liquidatore, il versamento ripristina un capitale privato: non costituisce un reddito imponibile. Un'eventuale quota di interessi versata in aggiunta resta una questione aperta, da sottoporre al Suo cantone.

Per i dettagli, in particolare sul modo di dichiarare un credito incerto, legga il nostro articolo Token rubati, piattaforma in fallimento: che cosa dire al fisco?

Altrove questo mese

GermaniaBerlino vuole abolire il periodo di detenzione di un anno

Il 30 settembre, il ministero tedesco delle finanze ha sottoposto alle associazioni un avamprogetto di legge: per le criptovalute acquistate dal 1° gennaio 2027, gli utili sarebbero imposti al 25 % più il contributo di solidarietà, indipendentemente dalla durata di detenzione. Gli averi acquisiti fino al 31 dicembre 2026 manterrebbero la regola attuale. Il governo deve esaminarlo il 14 ottobre, poi il Bundestag e i Länder dovranno adottarlo: nulla è acquisito. In Svizzera, gli utili realizzati sulla sostanza privata restano esenti, indipendentemente dalla durata di detenzione.

Unione europeaL'ESMA chiede il potere di congelare cripto-attività

Nella sua risposta alla consultazione della Commissione sulla revisione di MiCA, consegnata il 30 settembre, l'ESMA chiede di poter ordinare a una piattaforma di congelare immediatamente averi sospettati di essere legati ad abusi di mercato o al riciclaggio, per il tempo dell'indagine. Auspica anche strumenti per agire contro i siti fraudolenti e le società estere che sollecitano gli europei senza autorizzazione. Sono proposte: la Commissione deve presentare il suo rapporto entro giugno 2027.

SicurezzaSettembre, il mese peggiore dell'anno per gli attacchi informatici

La società di audit CertiK quantifica in circa 766 milioni di dollari le perdite dovute ad attacchi informatici e phishing a settembre, oltre tre volte il totale di agosto. Bitget ne rappresenta da sola la metà, davanti alla rete Liquid. Circa 270 milioni sono stati da allora restituiti o congelati: la cifra misura i fondi sottratti, non le perdite definitive degli utenti.

Che cosa ricordare

  • Bitget ha perso 387,5 milioni di dollari il 24 settembre; i suoi clienti non dovrebbero perdere nulla, poiché il fondo di protezione copre il furto.
  • L'ESMA fa della sicurezza e del subappalto delle piattaforme la sua priorità per il 2027. MiCA non si applica in Svizzera, ma riguarda molte piattaforme che Lei utilizza.
  • Se i Suoi averi sono bloccati, documenti tutto fin dal primo giorno: saldi, data, corsi.
  • Una perdita cripto nella sostanza privata non si deduce mai dal reddito; modifica soltanto la Sua sostanza al 31 dicembre.
  • A seconda dell'esito, dichiara i Suoi token al corso di fine anno oppure un credito al suo valore probabile.
  • La Germania prepara la fine dell'esenzione dopo un anno; la Svizzera, invece, non impone gli utili privati.

Fonti

Le regole di base, senza gergo

La guida Capire spiega in 33 pagine come la Svizzera impone le Sue criptovalute: sostanza, redditi, confine con l'attività professionale. Sarà gratuita e uscirà prima della stagione delle dichiarazioni.

Essere avvisati dell'uscita Vedere i tre livelli