Articolo Pubblicazioni

Criptovalute e attività illegali: come si seguono i flussi sulla blockchain

di · Pubblicato il 10 gennaio 2024 - Aggiornato il 14 novembre 2026 · Tratto da «Criptovalute e attività illegali»

Abstract

L’articolo riprende il seminario «Criptovalute e attività illegali» tenuto nel gennaio 2024 alla Camera Penale di Reggio Calabria. Parte da tre premesse, cioè che le criptovalute sono destinate a restare, che sono un tema di sicurezza informatica e che non sono anonime. Riassume i dati presentati sull’adozione in Italia e sulle principali attività illecite, dai furti al ransomware, dal riciclaggio ai mercati del darknet, e spiega come le indagini seguono i flussi sulla blockchain fino ai punti in cui le criptovalute incontrano il sistema finanziario.

Vincenzo Calabrò | Criptovalute e attività illegali: come si seguono i flussi sulla blockchain
 

Tre premesse

Il seminario partiva da tre affermazioni. Le criptovalute sono destinate a restare, quindi chi si occupa di indagini deve conoscerle. Sono un aspetto della sicurezza informatica, perché furti, estorsioni e frodi passano per wallet, exchange e chiavi private. E non sono anonime. Una blockchain pubblica registra per sempre ogni transazione, con importi, indirizzi e orari, e chiunque può consultarla. L’anonimato apparente è una pseudonimia, che regge finché un indirizzo non viene collegato a una persona.

I numeri presentati

Le slide riportavano dati di analisi blockchain sul periodo fino al 2022. L’Italia era sesta nell’Europa occidentale per valore ricevuto in criptovalute, con circa 78,8 miliardi di dollari in dodici mesi e transazioni cresciute di oltre il 20%. Nello stesso periodo risultavano circa 403 milioni di dollari di attività illecite e 598 milioni ritenuti a rischio. La voce principale era legata a soggetti sanzionati, quella cresciuta di più erano i furti di criptovalute, e il ransomware restava un problema nazionale più marcato che in altri Paesi, soprattutto per le piccole e medie imprese.

Le principali attività illecite

  • Furti. Nel 2022 i gruppi legati alla Corea del Nord hanno battuto ogni record, con oltre 1,6 miliardi di dollari sottratti, soprattutto a piattaforme di finanza decentralizzata;
  • Ransomware. Il mercato è molto concentrato su poche famiglie e interconnesso, e nel 2022 si è intrecciato con la guerra in Ucraina. Dopo che il gruppo Conti ha dichiarato il proprio sostegno al governo russo, molte vittime sono diventate meno disposte a pagare e il gruppo si è disgregato in nuove sigle;
  • Riciclaggio. Il valore riciclato in criptovalute nel 2022 era stimato in 23,8 miliardi di dollari. I fondi illeciti finiscono soprattutto su exchange centralizzati, servizi di mixing, piattaforme di finanza decentralizzata, exchange ad alto rischio e scambi tra privati;
  • Mercati del darknet. Hydra Market era il primo operatore, con circa 1,7 miliardi di dollari di ricavi nel 2021.

Come si seguono i flussi

Il tracciamento parte da un indirizzo noto, quello indicato in una richiesta di riscatto, quello su cui la vittima ha inviato i fondi o quello trovato su un dispositivo sequestrato, e segue le transazioni in avanti e all’indietro. Gli strumenti di analisi raggruppano gli indirizzi che appartengono con buona probabilità allo stesso soggetto, per esempio quelli usati insieme come input di una stessa transazione o quelli che ricevono il resto, e li etichettano quando corrispondono a servizi conosciuti come exchange, mixer o mercati.
Il punto decisivo è il passaggio dalla blockchain al mondo reale. Gli exchange che convertono criptovalute in valuta tradizionale sono tenuti a identificare i clienti, e una richiesta dell’autorità giudiziaria può collegare un deposito a un nome, a un conto o a un indirizzo IP. Per questo i criminali cercano di spezzare la catena con mixer, conversioni fra criptovalute diverse, ponti fra blockchain ed exchange poco regolamentati. Ogni passaggio però lascia tracce, e i tempi e gli importi delle transazioni, correlati con altre fonti, spesso permettono di ricostruire il percorso.
Sul piano forense contano anche i dispositivi. Wallet installati su smartphone e computer, frasi di recupero annotate, cronologie di navigazione e conversazioni con un exchange sono evidenze da acquisire con le stesse cautele di qualsiasi prova digitale, perché il controllo dei fondi passa per le chiavi private e chi le possiede può spostarli in pochi secondi.

Un esempio di tracciamento

Una vittima di truffa invia bitcoin a un indirizzo indicato dal truffatore. Partendo da quell’indirizzo, l’analisi mostra che i fondi vengono divisi in più transazioni, passati attraverso una serie di indirizzi intermedi e in parte convertiti in un’altra criptovaluta tramite un servizio di scambio automatico. Una parte arriva infine a un indirizzo di deposito di un exchange centralizzato, riconoscibile grazie alle etichette degli strumenti di analisi. A quel punto l’autorità giudiziaria può chiedere all’exchange i dati del cliente titolare del conto, gli indirizzi IP usati per accedere e i conti bancari collegati, e in alcuni casi ottenere il blocco dei fondi ancora presenti.

Sequestro e custodia

Sequestrare criptovalute pone problemi particolari. Il controllo dei fondi coincide con il possesso delle chiavi private, quindi il sequestro avviene trasferendo i fondi su un portafoglio controllato dall’autorità, con procedure che garantiscano che nessuno possa spostarli senza autorizzazione. Le frasi di recupero trovate durante una perquisizione vanno trattate come chiavi, fotografate e protette, e il trasferimento deve essere documentato con gli identificativi delle transazioni. I portafogli hardware sequestrati vanno conservati come qualsiasi reperto, con la catena di custodia.

Le norme europee

Il quadro normativo si stava consolidando proprio nel periodo del seminario. Il regolamento europeo sui mercati delle cripto-attività, noto come MiCA, ha introdotto un regime di autorizzazione per i prestatori di servizi, e il regolamento sui trasferimenti di fondi ha esteso alle cripto-attività l’obbligo di accompagnare ogni trasferimento con le informazioni su ordinante e beneficiario, la cosiddetta travel rule. Queste regole aumentano le informazioni disponibili agli exchange e quindi le possibilità di seguire i flussi.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn