Come la forensica blockchain traccia le criptovalute rubate: quello che le vittime devono sapere

1. Perché i blockchain sono tracciabili nonostante sembrino anonimi

Quando un ladro sottrae criptovalute, lascia una traccia incisa in modo permanente in un registro pubblico. Questo è il paradosso centrale del crimine crypto: la tecnologia che i criminali credono garantisca l'anonimato è, per molti versi, più trasparente della finanza tradizionale. Una blockchain è un database distribuito di ogni transazione mai effettuata su una rete. Ogni trasferimento viene registrato in un blocco, marcato temporalmente e collegato a ogni blocco precedente. Una volta scritto, questo registro non può essere eliminato né alterato.

Il Rapporto sui crimini informatici 2025 dell'FBI ha documentato 11,36 miliardi di dollari di perdite legate a frodi con criptovalute. Il termine "anonimo" è più correttamente descritto come "pseudonimo": le transazioni sono associate a un indirizzo wallet, che funziona come un'impronta digitale. Secondo il Crypto Crime Report 2026 di TRM Labs, i flussi illeciti di criptovalute hanno raggiunto un record di 158 miliardi di dollari nel 2025, eppure il tracciamento forense è diventato sempre più efficace.

Molte vittime confondono la pseudonimia con il vero anonimato. Uno pseudonimo, una volta collegato a un'identità reale attraverso anche un solo dato, collassa completamente. Nel momento in cui un wallet interagisce con un exchange regolamentato che ha raccolto dati KYC, l'intera storia delle transazioni di quel wallet può potenzialmente essere associata a una persona reale. Chainalysis definisce la forensica blockchain come il processo di raccolta, analisi e presentazione dei dati delle transazioni blockchain per identificare attività illecite e supportare procedimenti legali.

2. Come gli investigatori identificano e raggruppano gli indirizzi dei wallet

Un singolo furto di criptovalute può coinvolgere decine di wallet intermedi, migliaia di transazioni e molteplici asset. Il clustering, l'attribuzione e l'analisi comportamentale sono i metodi investigativi principali.

Euristica di proprietà per input comuni

Sulla rete Bitcoin, molte transazioni combinano più indirizzi di input per finanziare un singolo output. Poiché tutti quegli input devono essere firmati simultaneamente, gli analisti deducono che la stessa entità controlli tutti gli indirizzi di input. Ciò consente agli investigatori di raggruppare migliaia di indirizzi wallet separati in una singola entità. TRM Labs descrive il clustering come un mattone fondamentale dell'intelligence blockchain.

Analisi degli indirizzi di resto

Le transazioni Bitcoin producono abitualmente due output: il pagamento previsto e un output di resto. Analizzando quale output rappresenta l'indirizzo di resto, gli investigatori possono continuare a seguire i fondi attraverso il grafo delle transazioni.

Database di attribuzione e OSINT

Le società di analisi blockchain mantengono enormi database proprietari di attribuzione. Quando un wallet compare in un caso criminale storico, in una lista di sanzioni o come indirizzo di deposito su un exchange importante, tale tag viene registrato.

Fingerprinting comportamentale

Gli analisti esperti esaminano i tempi delle transazioni, i tassi delle commissioni e il modo in cui i fondi vengono suddivisi e ricombinati, costruendo un profilo comportamentale dell'entità indagata.

3. Gli strumenti degli investigatori: Chainalysis, TRM Labs ed Elliptic

Chainalysis Reactor è la piattaforma di indagine di riferimento. Nel 2024, il Tribunale Distrettuale degli Stati Uniti per il Distretto di Columbia ha validato la metodologia di Chainalysis Reactor secondo lo standard Daubert nel caso United States v. Roman Sterlingov, stabilendo che tale metodologia soddisfa i requisiti per la testimonianza di esperti nei tribunali federali statunitensi. Nel marzo 2026, Chainalysis ha introdotto agenti di intelligence blockchain basati sull'intelligenza artificiale.

TRM Labs offre una piattaforma forense che copre il risk scoring, il tracciamento su decine di blockchain e Seed Analysis (lanciata nel marzo 2025), che consente agli investigatori di derivare indirizzi wallet da seed phrase recuperate e tracciare l'attività su più di 40 blockchain. TRM offre anche Seizure 360, una piattaforma dedicata alla gestione degli asset digitali sequestrati.

Elliptic ha sviluppato competenze nell'analisi cross-chain con la sua piattaforma Nexus, che copre flussi investigativi multi-asset e cross-chain. Le piattaforme di analisi blockchain richiedono analisti formati che comprendano sia il software sia il contesto giuridico.

4. Come i fondi illeciti vengono tracciati attraverso mixer e chain-hopping

Un mixer raggruppa criptovalute provenienti da più input e restituisce importi equivalenti agli indirizzi di output, oscurando il collegamento tra fonte e destinazione. I mixer decentralizzati come il sanzionato Tornado Cash utilizzano smart contract. Gli investigatori contrastano i mixer attraverso l'analisi degli importi, l'analisi temporale e l'analisi comportamentale.

Il caso Roman Sterlingov è l'esempio più rilevante: Sterlingov gestiva Bitcoin Fog, che ha elaborato oltre 400 milioni di dollari in proventi criminali, e le prove di Chainalysis Reactor sono state centrali per la sua condanna.

Il chain-hopping si riferisce allo spostamento di asset da una blockchain all'altra in rapida successione. Elliptic ha documentato oltre 21,8 miliardi di dollari riciclati tramite metodi cross-chain nel 2025, rendendolo il metodo di riciclaggio di denaro per eccellenza dell'anno. Nel marzo 2026, Chainalysis ha lanciato agenti basati sull'IA che monitorano autonomamente l'attività dei bridge e segnalano pattern cross-chain sospetti. Le privacy coin come Monero rappresentano la sfida maggiore per gli investigatori forensi.

5. Come i risultati forensici portano a sequestri e restituzione

Convertire un grafo di transazioni in asset sequestrati richiede il coordinamento tra investigatori privati, forze dell'ordine, pubblici ministeri e tribunali. Nel giugno 2025, il Dipartimento di Giustizia statunitense e il Secret Service hanno annunciato il sequestro di 225,3 milioni di dollari legati a frodi sentimentali — il più grande sequestro di criptovalute mai realizzato dal Secret Service.

Nell'ottobre 2025, il DOJ ha annunciato la più grande confisca di criptovalute nella storia: 15 miliardi di dollari provenienti da reti di frode pig butchering. Entro maggio 2026, l'FBI ha sequestrato 8 miliardi di dollari legati a operazioni di compound truffaldine nel Sud-Est asiatico. In Europa, l'operazione di Europol del giugno 2026 contro la rete AudiA6 ha smantellato un servizio di riciclaggio crypto che aveva elaborato oltre 336 milioni di euro in proventi da ransomware.

Sequestrare asset e restituirli alle vittime sono due processi legali distinti. Il processo di risarcimento delle vittime di OneCoin del DOJ (aprile 2026) ha reso disponibili oltre 40 milioni di dollari per le vittime idonee. Il recupero civile è anch'esso possibile: una vittima con una traccia forense solida può presentare una richiesta legale che imponga a un exchange di congelare e restituire il saldo. Il Progetto A.S.S.E.T. di Europol, l'iniziativa di recupero di asset digitali transfrontalieri, fornisce un quadro di riferimento per i casi multi-giurisdizione.

6. Cosa possono fare le vittime per supportare un'indagine forense

Conserva tutti i registri delle transazioni: ogni indirizzo wallet, hash della transazione, data, importo e rete blockchain. Gli screenshot dovrebbero essere integrati da esportazioni complete dello storico delle transazioni. Segnala alle forze dell'ordine tempestivamente: la velocità è fondamentale — la finestra temporale per congelare i fondi presso gli exchange è ristretta, spesso nell'ordine di poche ore. Le vittime europee devono rivolgersi alla propria unità nazionale di crimine informatico.

Conserva le comunicazioni: email, messaggi di testo, chat WhatsApp e conversazioni Telegram con il truffatore devono essere preservati nella loro forma originale. Documenta la cronologia della verifica dell'identità: se la frode ha coinvolto un exchange falso, conserva tutta la documentazione KYC, le email di creazione dell'account e le comunicazioni sui saldi. Gli indirizzi di deposito utilizzati dalle piattaforme fraudolente sono tra i punti di partenza più preziosi per un analista forense.

Non tentare schemi di auto-recupero: l'FBI ha evidenziato il pattern delle truffe di recupero, in cui i criminali si spacciano per agenti di recupero e sottraggono ulteriori pagamenti. Una società di recupero legittima non richiederà un pagamento anticipato in criptovaluta.

7. Come lavorare con un'azienda professionale di forensica blockchain

Un'indagine professionale fornisce: una traccia completa delle transazioni dal wallet della vittima all'ultima posizione conosciuta dei fondi; l'attribuzione degli indirizzi di destinazione a exchange noti o ad attività criminali precedenti; un rapporto investigativo formale adatto al referral alle forze dell'ordine o alla presentazione in tribunale; e una guida strategica sui percorsi di recupero praticabili. L'aggiornamento mirato 2025 del FATF sugli asset virtuali e i VASP stabilisce le aspettative per gli investigatori in questo settore.

Nella scelta di una società forense, verifica che gli analisti possiedano certificazioni riconosciute, che la società abbia esperienza verificabile nei tipi di frode rilevanti e che sia in grado di spiegare chiaramente quali piattaforme analitiche utilizza. Segnali d'allarme: garanzie di recupero, richieste di pagamento in criptovaluta, rifiuto di fornire un contratto di ingaggio formale.

Le fasi tipiche sono: accettazione del caso, tracciamento, attribuzione, reportistica e referral. La forensica blockchain professionale è economicamente conveniente quando l'importo rubato è sufficientemente elevato e quando esiste un percorso realistico per il recupero.

8. I limiti della forensica blockchain: quando il tracciamento fallisce

Conversione in privacy coin: la conversione in Monero può ostacolare sostanzialmente il tracciamento. Quando l'ultima destinazione confermata è una conversione in Monero, gli investigatori possono documentare che i fondi sono entrati in una rete privacy, ma non possono tracciare in modo affidabile ciò che è avvenuto all'interno di essa.

Exchange peer-to-peer e transazioni in contanti: quando i fondi rubati vengono convertiti tramite exchange P2P o transazioni in contanti senza KYC, la traccia forense raggiunge un vicolo cieco. Giurisdizioni non cooperative: il recupero richiede che l'exchange cooperi con una richiesta di congelamento o sequestro. Se l'exchange opera in una giurisdizione priva di trattati di assistenza giuridica reciproca, l'applicazione diventa difficile. La guida 2025 del FATF evidenzia che permangono lacune significative nella supervisione degli asset virtuali, attivamente sfruttate da criminali sofisticati.

Anzianità del caso: gli exchange potrebbero eliminare i registri degli account dopo periodi prolungati. I sospettati si spostano, cambiano identità o spendono i fondi prima che i processi legali li raggiungano. Ciò che la forensica può quasi sempre fornire, anche nei casi difficili, è chiarezza: un documento preciso di esattamente ciò che è accaduto ai fondi.

Domande frequenti