Custodi ed exchange

Leggi l’edizione PDF (2 pagine)

Doveri concorrenti e limiti delle condizioni

Il custode ha verso il cliente obblighi contrattuali derivanti dal contratto di custodia. Ha inoltre un dovere concorrente in tort di prendersi ragionevole cura dei beni, poiché il rapporto si fonda sull'assunzione di responsabilità e sull'affidamento.¹ La pretesa extracontrattuale è utile al cliente sotto tre profili. Può essere regolata dal diritto di Singapore e decisa a Singapore anche quando il contratto sceglie una legge straniera e l'arbitrato, se l'illecito è stato commesso a Singapore. Può sottrarsi a una clausola di limitazione della responsabilità che per sua formulazione copre soltanto le pretese contrattuali. Infine, può essere fatta valere contro una società operativa di Singapore che svolge la custodia mentre il contratto è concluso con una società di comodo offshore. La difesa del custode è che il contratto definisce la portata del dovere e che le clausole di esonero si applicano anche alla responsabilità extracontrattuale; se ciò avvenga è una questione di interpretazione. L'Unfair Contract Terms Act 1977 si applica alle esclusioni della responsabilità per negligence comunque la pretesa sia formulata.²

Lo standard di diligenza dopo un attacco informatico

Lo standard è quello di un custode di asset digitali ragionevolmente competente. Che cosa ciò significhi nel 2026 è determinato dalle MAS Technology Risk Management Guidelines, che impongono agli istituti finanziari autorizzati di mantenere un'adeguata igiene informatica, separare la custodia hot da quella cold, implementare controlli multi-parte sulle chiavi ed effettuare penetration test e pianificazione della risposta agli incidenti.³ Le Guidelines non creano un diritto di azione privato, ma un tribunale le considererà come prova dello standard che un custode ragionevole rispetta. Il custode che teneva il 40 per cento dei beni dei clienti in un unico hot wallet protetto da una sola chiave detenuta da un solo dipendente è al di sotto di tale standard, qualunque cosa dicano le sue condizioni. Il custode che ha perso beni a causa di un nuovo exploit di una libreria di wallet ampiamente utilizzata, pur avendo seguito le Guidelines, probabilmente non lo è.

Seguono il nesso causale e il danno. Il cliente deve dimostrare che la violazione ha causato la perdita, il che in un caso di attacco informatico richiede di solito una perizia su come l'aggressore abbia ottenuto l'accesso. Il danno è commisurato al valore dei beni alla data della sentenza, secondo lo stesso ragionamento applicabile all'equitable compensation, anche se il convenuto sosterrà la data della perdita.⁴ Il concorso di colpa (contributory negligence) è invocabile quando la condotta del cliente stesso ha contribuito al danno, per esempio riutilizzando una password compromessa o approvando una transazione malevola; il tribunale ripartisce allora la responsabilità ai sensi del Contributory Negligence and Personal Injuries Act 1953.⁵

Frodi con pagamento autorizzato (authorised push payment fraud)

Una questione diversa si pone quando è la cliente stessa a ordinare alla piattaforma di trasferire beni a un truffatore. Secondo il diritto inglese, la banca che esegue un ordine autentico del cliente non ha alcun dovere di proteggerlo dalla sua stessa decisione, come ha confermato la UK Supreme Court in Philipp v Barclays.⁶ Il dovere Quincecare, che impone alla banca di astenersi dall'eseguire un ordine impartito da un rappresentante quando ha ragionevoli motivi di ritenere che costui stia frodando il cliente, è stato riconosciuto a Singapore.⁷ Un exchange di Singapore che esegue il prelievo di un cliente retail verso un indirizzo segnalato dai propri strumenti di analisi come noto indirizzo di truffa occupa una posizione intermedia. Le regole di condotta della MAS impongono avvertenze sui rischi e, per alcuni licenziatari, il monitoraggio delle transazioni. Un tribunale che applichi Spandeck potrebbe ravvisare una prossimità sufficiente a fondare un dovere di avvertimento quando la piattaforma sapeva effettivamente che la destinazione era una truffa, ma nessuna decisione di Singapore si è finora spinta fino a questo punto.

Note

1. Henderson v Merrett Syndicates Ltd [1995] 2 AC 145 (HL), accolto a Singapore come fondamento della responsabilità concorrente contrattuale ed extracontrattuale, per esempio in Go Dante Yap v Bank Austria Creditanstalt AG [2011] SGCA 39 at [20]–[36]. ↩
2. Unfair Contract Terms Act 1977, ss 1(1) e 2 (la negligence comprende la violazione di un dovere contrattuale di diligenza e del dovere di common law). ↩
3. MAS, Technology Risk Management Guidelines (gennaio 2021), in particolare le sezioni sulle operazioni di sicurezza informatica e sulla sicurezza dei sistemi. La Parte K, Capitolo II e la Parte L, Capitolo VII ne descrivono l'applicazione regolamentare. ↩
4. La data di quantificazione del risarcimento per negligence è di regola quella della violazione, con deroghe quando la giustizia lo richiede. Si veda Dodd Properties (Kent) Ltd v Canterbury City Council [1980] 1 WLR 433 (CA), applicato a Singapore. ↩
5. Contributory Negligence and Personal Injuries Act 1953, s 3. ↩
6. Philipp v Barclays Bank UK plc [2023] UKSC 25 at [97]–[100], che circoscrive il dovere Quincecare ai casi in cui l'ordine proviene da un rappresentante e la banca ha ragionevoli motivi di sospettare una frode. ↩
7. Barclays Bank plc v Quincecare Ltd [1992] 4 All ER 363, riconosciuto a Singapore in Major Shipping & Trading Inc v Standard Chartered Bank (Singapore) Ltd [2018] SGHC 4. ↩

Solo a scopo informativo generale. Il presente articolo non costituisce consulenza legale o fiscale, non sostituisce la consulenza sul singolo caso e non instaura alcun rapporto tra avvocato e cliente. Riflette la situazione giuridica aggiornata a novembre 2026.