Monitoraggio delle transazioni e gestione degli alert · Lezione 2 di 5
Analisi blockchain per la conformità
9 min di lettura
L'analisi blockchain è ciò che rende il monitoraggio delle criptovalute diverso da quello bancario: il team di conformità può vedere da dove provengono i fondi di un cliente e dove sono finiti, ben oltre la controparte immediata. Tuttavia, il risultato di uno strumento di analisi è un'inferenza, non un fatto. Un professionista della conformità deve sapere su quali elementi si basa un punteggio di rischio, come viene misurata l'esposizione e dove gli strumenti possono fallire, perché ogni decisione di trattenere, interrompere il rapporto o segnalare dipende da tale valutazione.
Dagli indirizzi alle entità
Le blockchain pubbliche registrano indirizzi e trasferimenti, non nomi. I fornitori di analisi trasformano questi dati in informazioni utilizzabili in due fasi:
- Raggruppamento: raggruppa gli indirizzi che si ritiene siano controllati dalla stessa entità, usando euristiche come la proprietà comune degli input per le chain UTXO e il riutilizzo degli indirizzi di deposito per le chain basate su account.
- Attribuzione: associa un'etichetta del mondo reale a un cluster, sulla base di fonti quali transazioni di prova del fornitore con servizi, indirizzi pubblicati dagli stessi soggetti, ricerche open source e comunicati pubblici delle forze dell'ordine o relativi a sanzioni.
Entrambe le fasi producono ipotesi con margini di errore. Il corso IDFE-BA spiega come funzionano e come verificarle (vedere le lezioni Che cos'è il raggruppamento e perché è importante, Attribuzione ed etichettatura e Valutare la qualità dei cluster). Ai fini della conformità, bastano tre punti: un cluster può fondere erroneamente due entità, un'etichetta può essere errata o non aggiornata e un cluster appartenente a un servizio di custodia indica chi controlla le chiavi, non chi sono i clienti del servizio.
Categorie di rischio
I fornitori associano le entità etichettate a categorie di rischio. I nomi variano, ma la maggior parte delle tassonomie include le seguenti; ogni impresa dovrebbe associarle alla propria propensione al rischio:
| Gruppo di categorie | Esempi | Trattamento tipico |
|---|---|---|
| Grave | Entità sanzionate, finanziamento del terrorismo, materiale pedopornografico, ransomware, fondi rubati | Bloccare o trattenere prima della transazione; sottoporre a escalation; valutare la segnalazione |
| Alto | Mercati del darknet, truffe e attività fraudolente, mixer, gioco d'azzardo illecito | Generare un avviso oltre una soglia di esposizione bassa; svolgere indagini |
| Elevato | Exchange ad alto rischio o senza licenza, piattaforme P2P con controlli deboli, servizi orientati alla privacy | Generare un avviso oltre una soglia più alta o in base a uno schema ricorrente |
| Standard | Exchange regolamentati, processori di pagamento, servizi per esercenti, protocolli DeFi | Di norma nessun avviso basato sulla sola esposizione |
| Sconosciuto | Cluster non attribuiti | Non è a basso rischio per impostazione predefinita; decide il contesto |
La categoria «sconosciuto» merita attenzione. La maggior parte degli indirizzi al mondo non è attribuita: considerare gli sconosciuti privi di rischio nasconderebbe la maggior parte dei rischi, mentre considerarli ad alto rischio farebbe scattare segnalazioni per quasi tutto. Di solito le imprese conteggiano l'esposizione a indirizzi sconosciuti solo insieme ad altri segnali.
Le categorie relative alle sanzioni e la gestione degli indirizzi designati sono trattate nella lezione Screening di wallet e transazioni; questa lezione riguarda l'analisi come elemento di input per il monitoraggio.
Esposizione diretta e indiretta
L'esposizione diretta indica che la controparte del trasferimento stesso appartiene a una categoria di rischio: il deposito del cliente proviene direttamente da un cluster di un mercato del darknet oppure un prelievo è inviato direttamente a un mixer. L'esposizione indiretta indica che la fonte o la destinazione rischiosa si trova a una o più transazioni di distanza, con indirizzi non attribuiti o di altro tipo nel mezzo.
L'esposizione indiretta deve essere misurata e il risultato dipende dal metodo di tracciamento (proporzionale o «haircut», first-in-first-out e altri, illustrati nella lezione IDFE-BA Tracciare i fondi in avanti e all'indietro) e dal limite di transazioni di distanza. Più transazioni si considerano, maggiore è la copertura, ma anche il rumore: quasi tutte le monete distano poche transazioni da qualcosa di spiacevole.
Esempio svolto. Un cliente deposita 2,00 BTC da un indirizzo non attribuito. Tracciando a ritroso con un metodo proporzionale e un limite di cinque transazioni, lo strumento attribuisce 1,40 BTC (70%) a un exchange regolamentato a una transazione di distanza, 0,30 BTC (15%) a un mercato del darknet a due transazioni di distanza e 0,30 BTC (15%) a fonti non attribuite oltre il limite. L'analista si chiede quindi:
- Il 15% a due transazioni di distanza supera la soglia dell'impresa per questa categoria e questo segmento?
- I fondi sono passati per un servizio intermedio (un exchange che ha interrotto la tracciabilità) oppure solo per indirizzi non custoditi?
- Quanto è datata l'etichetta del mercato del darknet e da dove proviene?
Esempio di record che un sistema di monitoraggio potrebbe memorizzare per quel deposito:
{
"txid": "4f3a…c21e",
"direction": "IN",
"asset": "BTC",
"amount": "2.00000000",
"customer_id": "C-10482",
"counterparty": { "cluster_id": "cl-88…1d", "entity": null, "category": "unknown" },
"exposure": [
{ "category": "exchange", "type": "indirect", "hops": 1, "share": 0.70 },
{ "category": "darknet_market", "type": "indirect", "hops": 2, "share": 0.15,
"label_source": "public law-enforcement release", "label_date": "2025-11-03" },
{ "category": "unknown", "type": "beyond_limit", "share": 0.15 }
],
"method": { "tracing": "proportional", "max_hops": 5 },
"dataset_version": "2026-10-20",
"risk_score": 62
}Il record conserva gli elementi alla base del punteggio, non soltanto il punteggio: ogni riga dell'esposizione indica categoria, tipo, distanza in transazioni e quota, mentre l'etichetta rischiosa conserva la propria fonte e data. Memorizza anche il metodo di tracciamento, il limite di transazioni e la versione del set di dati, così che in seguito un revisore possa riprodurre le ragioni dell'avviso, anche dopo che il fornitore ha aggiornato le proprie etichette.
Percentuali di esposizione delle controparti
La stessa tecnica, applicata a un intero cluster, produce un profilo di esposizione della controparte: quale quota di tutto ciò che una controparte ha ricevuto (o inviato) proviene da ciascuna categoria di rischio. Si usa in due ambiti:
- Due diligence sulla VASP controparte. Se il 4% dei fondi ricevuti da un exchange estero nell'ultimo anno è riconducibile direttamente a truffe e mixer, contro una percentuale ben inferiore all'1% per exchange comparabili, questo è un elemento utile per valutare i suoi controlli (vedere la lezione Identificare e verificare la controparte).
- Individuazione di servizi annidati. Un «cliente» i cui depositi presentano il profilo di afflusso di un piccolo exchange (molti mittenti non collegati, importi ridotti frequenti, trasferimenti successivi di fondi) potrebbe gestire un servizio tramite il conto dell'impresa.
Le percentuali vanno interpretate nel contesto. Un exchange di grandi dimensioni mostrerà sempre qualche afflusso illecito in termini assoluti; i confronti utili sono quelli con i pari, con la cronologia della controparte stessa e nella direzione pertinente (l'esposizione in ricezione indica cosa accetta un servizio; quella in invio indica dove vanno i fondi dei suoi clienti).
Limiti
I risultati delle analisi presentano modalità di errore note; un programma dovrebbe essere progettato tenendone conto, anziché ignorarle.
| Limite | Che cosa accade | Conseguenza |
|---|---|---|
| Attribuzione errata | Un'unione di cluster o un'etichetta sbagliata contrassegna come illecito un indirizzo innocente | Falsi positivi, interruzioni ingiustificate del rapporto, segnalazioni di scarsa qualità |
| Attribuzione mancante | Un servizio criminale non è ancora stato etichettato | Falsi negativi; i fondi passano come «sconosciuti» |
| Etichette obsolete | L'etichetta di un servizio sequestrato o di un indirizzo riutilizzato permane, oppure manca quella di un nuovo servizio | Punteggi errati in entrambe le direzioni |
| Disaccordo tra fornitori | Due fornitori etichettano diversamente lo stesso cluster o misurano l'esposizione in modo diverso | Decisioni incoerenti tra imprese |
| Lacune di copertura | Alcune chain, token, soluzioni di livello 2 o bridge sono supportati male | I fondi scompaiono alla vista su un bridge o su una nuova chain |
| Opacità della custodia | I wallet omnibus nascondono quale cliente di un servizio ha inviato i fondi | Esposizione a un servizio, non a una persona |
| Sensibilità al metodo | Il limite di transazioni e il metodo di tracciamento modificano la percentuale | Le soglie hanno significato solo se associate al metodo |
Anche le privacy coin, i mixer e gli swap cross-chain riducono la qualità del tracciamento. La loro presenza è di per sé un segnale di rischio secondo gli indicatori di allerta della FATF (vedere la lezione Segnali di allerta e tipologie), ma comporta anche una minore completezza dei dati di esposizione.
Convalida dei risultati delle analisi
Poiché la responsabilità delle decisioni spetta all'impresa, non al fornitore, l'impresa dovrebbe verificare ciò che acquista e registrare su quali elementi si è basata.
- Conoscere il metodo. Ottenere la documentazione sull'approccio del fornitore al raggruppamento, sulle fonti delle etichette, sulla loro classificazione, sul metodo di tracciamento e sulla frequenza degli aggiornamenti.
- Verificare casi noti. Eseguire test con gli indirizzi di deposito e prelievo dell'impresa, con indirizzi di VASP controparte confermati tramite exchange che usano la Travel Rule e con indirizzi tratti da comunicati pubblici delle forze dell'ordine, quindi verificare come vengono classificati.
- Esaminare manualmente un campione di avvisi. Per un campione di avvisi, un analista traccia il flusso in modo indipendente e verifica che l'esposizione dichiarata sia plausibile.
- Confrontare le fonti. Se è disponibile un secondo fornitore o un set di dati interno, misurare le discrepanze su un campione e analizzare le divergenze più ampie.
- Registrare le versioni. Memorizzare la versione del set di dati, il metodo e le date delle etichette associate a ogni decisione, affinché sia possibile spiegarla in seguito.
- Fornire riscontri. Segnalare al fornitore le etichette errate individuate durante le indagini e monitorare se vengono corrette.
I risultati della convalida rientrano nella governance dei modelli (vedere la lezione Ottimizzazione, metriche e governance dei modelli) e nei criteri di selezione trattati nella lezione Lo stack tecnologico della conformità.
Focus sull'esame: il raggruppamento e l'attribuzione come ipotesi, e i cluster di custodia che rappresentano il servizio anziché i suoi clienti; le categorie di rischio più comuni e perché «sconosciuto» non significa basso rischio; esposizione diretta e indiretta e l'effetto dei limiti di transazioni e dei metodi di tracciamento sul risultato; calcolo di una quota di esposizione a partire da un tracciamento svolto; profili di esposizione delle controparti per la due diligence sulle VASP e l'individuazione di servizi annidati; i principali limiti (attribuzione errata o mancante, etichette obsolete, disaccordo tra fornitori, lacune di copertura); le fasi di convalida e la registrazione del metodo e della versione del set di dati associati a ogni decisione.