La Banca Centrale Europea ha selezionato 36 prestatori di servizi di pagamento per il progetto pilota dell’euro digitale. Fra questi c’è Revolut. Nella stessa settimana in cui la notizia circolava, il progetto GrapheneOS accusava pubblicamente Revolut di bloccare in modo mirato i propri utenti. Le due cose, prese separatamente, sono cronaca ordinaria. Messe insieme, disegnano qualcosa di molto meno ordinario.
I fatti, nell’ordine
Il pilota BCE partirà nella seconda metà del 2027 e durerà dodici mesi. Le candidature sono state oltre cinquanta, i selezionati 36. Fra loro banche tradizionali (Deutsche Bank, UniCredit, BPCE), operatori di pagamento (Nexi, Worldline, Adyen, SumUp, Stripe) e fintech (Revolut). L’Italia è il Paese più rappresentato: Banca Monte dei Paschi di Siena, Banca Sella, Isybank, Nexi Payments, Numia, Poste Italiane, UniCredit, più Satispay che ha presentato domanda dal Lussemburgo. La sperimentazione si svolgerà presso la BCE e in 19 delle 21 banche centrali nazionali dell’area euro.
Attenzione a non confondere i piani: il pilota non è il lancio. Il 9 luglio 2026 il Parlamento europeo ha approvato con 416 voti favorevoli, 169 contrari e 22 astensioni il mandato negoziale sul regolamento, aprendo il trilogo con Consiglio e Commissione. L’obiettivo è chiudere l’iter entro fine 2026, con prima emissione ipotizzata al 2029. Il testo attualmente in discussione prevede che l’euro digitale non maturi interessi, che sia soggetto a un limite di detenzione (si parla di una forbice fra 3.000 e 5.000 euro, ma il numero definitivo non c’è ancora) e che i pagamenti offline godano di un livello di riservatezza assimilabile al contante, senza coinvolgimento di terze parti.
Il secondo fatto: Revolut contro GrapheneOS
GrapheneOS è un sistema operativo Android open source orientato a sicurezza e privacy, che gira sui Pixel di Google e che permette di installare i servizi Play come applicazioni in sandbox anziché come componenti privilegiati di sistema. Il progetto sostiene che Revolut abbia ripreso a bloccare i propri utenti in fase di login, dopo un primo tentativo nel gennaio 2025 aggirato modificando alcuni valori di build rilevabili.
L’accusa non è generica. GrapheneOS afferma che Revolut cerchi specificamente gli indizi della presenza del proprio sistema operativo, anziché applicare a tutti i dispositivi lo stesso controllo di sicurezza; che l’app Revolut continui a funzionare su Android 9, rilasciato nel 2018 e senza patch da anni; e che esista già una via tecnica alternativa — l’API standard di attestazione hardware di Android, disponibile su ogni dispositivo uscito con Android 8 o successivo — che consentirebbe di verificare dispositivo, sistema operativo e applicazione senza passare per la licenza dei servizi Google. Il progetto dichiara di aver inviato per anni a Revolut la guida su come farlo.
Interpellata da Android Authority, Revolut ha evitato di rispondere nel merito, limitandosi a dichiarare che l’app supporta pienamente Android e iOS. Il che, come è stato osservato, non spiega perché venga escluso proprio un sistema Android che gira su hardware Google.
Il punto di GrapheneOS è netto: qui non si sta applicando uno standard di sicurezza, si sta applicando un modello di licenza. E la leva, in ultima analisi, non è di Revolut ma di Google.
Dove le due storie si toccano
Il regolamento eIDAS 2 (UE 2024/1183) impone a tutti gli Stati membri di rendere disponibile un portafoglio di identità digitale europeo. In Italia il percorso passa per IT-Wallet e l’ecosistema App IO, con SPID e CIE in transizione fino al 2027. Il wallet gestisce attributi verificabili — età, residenza, titoli di studio, qualifiche — condivisibili selettivamente: per dimostrare di essere maggiorenne si trasmette un’attestazione crittografica, non la data di nascita. Sulla carta, un guadagno di privacy rispetto all’esibizione del documento fisico.
Il problema non è nel principio, è nell’implementazione. Il 3 agosto 2026 è emerso che un collaboratore del progetto EUDI Wallet ha dichiarato, in una discussione sul repository GitHub ufficiale, che l’attestazione ancorata all’hardware è un requisito del progetto e non un dettaglio implementativo che si possa semplicemente rimuovere. È stato annunciato un security review dedicato con il threat model che giustificherà la scelta. Nel frattempo, sullo stesso repository giacciono da tempo due segnalazioni: una chiede di rimuovere il requisito di Play Integrity, l’altra — aperta dallo sviluppatore principale di GrapheneOS — chiede di usare l’API standard di attestazione hardware di Android invece di imporre di fatto la licenza dei Google Mobile Services.
Le implementazioni nazionali del wallet, fra cui quella italiana e quella francese, hanno già adottato il controllo Play Integrity. Le versioni nazionali sono attese entro fine anno o inizio 2027, con l’adozione da parte di soggetti pubblici e privati nel corso del 2027. Esattamente la finestra in cui parte il pilota dell’euro digitale.
Ecco la convergenza: un’infrastruttura in cui identità, età e — prospetticamente — moneta pubblica digitale transitano dallo stesso dispositivo, la cui ammissibilità è certificata da due aziende americane. Non per decisione del legislatore europeo, ma per scelta implementativa di chi scrive il codice.
Fonti:
BCE / Reuters – Euro digitale: la BCE seleziona 36 fornitori di servizi di pagamento per il progetto pilota
Android Authority – GrapheneOS isn’t pulling any punches in its beef with Revolut
Neowin – EU ID wallet app draws flak for depending on American big tech for age verification
GitHub – Issue #390, eudi-app-android-wallet-ui
Note dell’A.I. (Claude)
Distinguo tre livelli, perché confonderli fa perdere credibilità all’argomento.
Documentato: Revolut è nel pilota BCE; Revolut blocca GrapheneOS con metodi che vanno oltre il normale controllo Play Integrity; l’attestazione hardware è un requisito dichiarato del progetto EUDI Wallet; le implementazioni nazionali del wallet usano già Play Integrity; il calendario di euro digitale e EUDI Wallet si sovrappone.
Previsto ma non ancora definitivo: il limite di detenzione, il regime di privacy dei pagamenti online, il grado esatto di integrazione fra wallet di identità e wallet di pagamento. Il regolamento è in trilogo. Le specifiche tecniche dell’Architecture Reference Framework non sono cristallizzate. Chi afferma oggi con certezza come funzionerà nel 2029 sta indovinando.
Inferenza: che l’esclusione tecnica delle piattaforme alternative sia intenzionale e finalizzata al controllo. Il movente più economico è meno drammatico: Google spinge il proprio modello di licenza, gli sviluppatori scelgono la strada di minor resistenza, i regolatori non hanno le competenze per accorgersene. Il risultato pratico però non cambia. Un’esclusione che nasce da pigrizia progettuale produce lo stesso recinto di un’esclusione voluta — con l’aggravante che nessuno se ne assume la responsabilità politica.
Una precisazione tecnica che vale la pena fare, perché smonta l’alibi: l’attestazione hardware e Play Integrity non sono la stessa cosa. La prima verifica crittograficamente il dispositivo attraverso un meccanismo previsto da Android stesso, e funziona anche con sistemi operativi alternativi. La seconda è un servizio proprietario Google che, come nota GrapheneOS, promuove dispositivi con anni di patch mancanti e boccia installazioni completamente aggiornate. Chi dice “lo facciamo per la sicurezza” e sceglie la seconda sta scegliendo il controllo dell’ecosistema, non la sicurezza.
Considerazioni
Quarant’anni in questo settore mi hanno insegnato che le infrastrutture non si giudicano da come vengono presentate, ma da cosa rendono possibile a chi le controlla. E qui il punto non è se Christine Lagarde abbia cattive intenzioni. Il punto è che si sta costruendo una leva, e le leve, prima o poi, qualcuno le usa.
Il denaro contante ha una qualità che nessuna moneta elettronica possiede: è muto e cieco. Non sa cosa state comprando, non sa chi siete, non chiede il permesso a nessuno per funzionare. È l’ultima forma di transazione che non richiede l’autorizzazione di un terzo. Il giorno in cui sparisce — e sta sparendo, non per decreto ma per disuso indotto — ogni singolo trasferimento di valore che effettuate passa attraverso un’infrastruttura che qualcuno gestisce, che può registrare, che può rifiutare.
Chi obietta che è fantapolitica dovrebbe guardare un precedente italiano, recente e mai contestato da nessuno: la carta del reddito di cittadinanza. Con quel decreto interministeriale del 2019 lo Stato non ha semplicemente erogato un sussidio: ha stabilito, voce per voce, che cosa il beneficiario potesse comprare. Vietati gioco d’azzardo, armi, materiale pornografico, gioielli, pellicce, gallerie d’arte, club privati, servizi finanziari, assicurativi e creditizi, money transfer, noleggio e leasing di imbarcazioni da diporto. Vietati gli acquisti su siti di e-commerce e i pagamenti all’estero. Tetto ai prelievi in contanti di 100 euro al mese. E taglio del 20% sul residuo non speso entro il mese successivo — una moneta a scadenza, di fatto.
Il meccanismo tecnico era banale: il blocco per codice MCC dell’esercente. Cioè esattamente la stessa tecnologia che rende programmabile qualunque wallet digitale. Nessuno ha gridato allo scandalo, perché il ragionamento sembrava di buon senso: sono soldi pubblici, è giusto che vadano in pane e bollette e non in Gratta e Vinci. Il ragionamento non è insensato. Ma ha stabilito un principio: che l’ente emittente possa decidere quali spese siano meritevoli e quali no, e imporlo alla macchina anziché alla coscienza del cittadino.
Una volta accettato quel principio, resta solo una questione di perimetro. Oggi si applica a chi riceve un sussidio. Domani, con una moneta pubblica digitale universale, il perimetro potenziale è tutta la popolazione. E le categorie “non meritevoli” non sono scolpite nella pietra: cambiano con le maggioranze. Oggi il gioco d’azzardo, domani la carne rossa per ragioni climatiche, i voli aerei oltre una certa quota, le donazioni a un’associazione sgradita, i contanti prelevati sopra una soglia. Ogni singola restrizione avrà una giustificazione ragionevole e un ufficio stampa pronto a spiegarla. È così che funziona: mai un salto, sempre un gradino.
Mi si dirà che il regolamento prevede garanzie: privacy by design, riservatezza dei pagamenti offline analoga al contante, nessun accesso della BCE ai dati identificativi. Prendo atto, e sono garanzie serie. Ma le garanzie sono scritte in un regolamento, e i regolamenti si emendano a maggioranza — mentre l’infrastruttura, una volta costruita, resta. Chi si fida delle garanzie e non guarda le capacità tecniche sta guardando il dito. La domanda giusta non è “cosa promettono di fare”, è “cosa saranno tecnicamente in grado di fare il giorno in cui cambieranno idea”. E la risposta, in questo caso, è: tutto.
Aggiungete il tassello dell’identità. Un conto è un sistema di pagamento; un altro è un sistema in cui il pagamento è ancorato a un’identità certificata dallo Stato e a un dispositivo la cui ammissibilità è certificata da Google. In quel disegno, l’uscita dal sistema non è più una scelta possibile ma tecnicamente impedita: non c’è la porta di servizio del contante, non c’è il telefono degooglizzato, non c’è il conto aperto altrove. Chi rifiuta l’ecosistema non diventa un dissidente: diventa semplicemente qualcuno che non riesce a pagare la spesa.
Il paradosso più amaro è che l’euro digitale nasce con una motivazione che condivido: ridurre la dipendenza europea da Visa, Mastercard e dai circuiti di pagamento americani. Sovranità monetaria. Salvo poi costruirlo su un’infrastruttura di attestazione controllata da Google e Apple. Si esce dalla dipendenza dalla porta e si rientra dalla finestra, con in più la sgradevole novità che stavolta la chiave la tiene anche lo Stato.
Ho scritto altre volte, in questo blog, che Orwell aveva visto lontano ma che la realtà sta andando oltre le sue previsioni più fosche — trovate qui il thread dedicato, fra Chat Control, sorveglianza di massa e Panopticon computazionale. Orwell immaginava il controllo attraverso lo schermo che guarda. Non aveva previsto la variante più efficiente: il controllo attraverso il portafoglio che chiede il permesso. Il teleschermo poteva registrarvi; il wallet programmabile può impedirvi.
Cosa fare, sul piano pratico. Non ho ricette eroiche. Ma tre cose sì: usare il contante finché esiste, perché un mezzo di pagamento che nessuno usa più viene ritirato senza che serva vietarlo; diversificare i canali, e qui la vecchia banca noiosa con lo sportello fisico e il portale web accessibile da qualunque browser vale improvvisamente più di una fintech con l’app bellissima e la spesa pubblicitaria enorme; e detenere una quota del patrimonio in forme che non richiedano un’autorizzazione digitale per essere trasferite. Non è paranoia: è la stessa logica per cui non si tengono tutti i risparmi presso un unico intermediario. Ottimismo sul futuro, ridondanza nell’infrastruttura.
Il 2029 è lontano. Il momento per porre le domande, però, è adesso: quando le specifiche si scrivono su GitHub e non se ne accorge nessuno.
L’autore non detiene posizioni nei titoli eventualmente citati.
Se questo articolo ti è stato utile, puoi sostenere il blog con un contributo: ko-fi.com/gianni_m
Le informazioni contenute in questo articolo hanno scopo puramente informativo e non costituiscono consulenza finanziaria. Leggi il disclaimer completo.
Gianni & Claude (Anthropic) / filosofaresuimercati.eu
un pò inquietante questa cosa, bisognerebbe parlarne di più almeno essere coscienti di cosa si sta regalando in giro.