Segnali d’allarme e tipologie

Gli scenari di monitoraggio sono efficaci solo quanto le tipologie su cui si basano. Un team di compliance che non sa descrivere come si presenterebbe il riciclaggio attraverso la propria piattaforma non può progettare regole per individuarlo, formare gli analisti a riconoscerlo o dimostrare a un’autorità di vigilanza che la copertura è completa. Questa lezione parte dall’elenco FATF dei segnali d’allarme per gli asset virtuali e trasforma sette schemi comuni in segnali che un analista può verificare.

Gli indicatori di segnali d’allarme della FATF

Nel settembre 2020, la FATF ha pubblicato Asset virtuali: indicatori di segnali d’allarme per il riciclaggio di denaro e il finanziamento del terrorismo, elaborato sulla base di oltre 100 casi di studio forniti dalle giurisdizioni tra il 2017 e il 2020. Gli indicatori sono raggruppati sotto sei intestazioni:

Il rapporto sottolinea due aspetti importanti per la pratica. L’elenco non è esaustivo e nessun singolo indicatore dimostra un’attività criminale: le funzionalità di anonimato, per esempio, hanno usi legittimi. Gli indicatori sono motivi per approfondire e chiedere spiegazioni; assumono maggiore rilevanza quando si presentano insieme e in rapporto al profilo del cliente.

Dagli indicatori agli scenari

Un segnale d’allarme diventa utile quando è associato ai dati in possesso dell’impresa e a una risposta che questa può adottare. Per ogni schema, una semplice mappa delle tipologie registra: gli indicatori coinvolti, i dati necessari (on-chain, fiat, dispositivo, profilo), lo scenario o il modello analitico che lo copre e i passaggi dell’indagine. La stessa mappa costituisce la base per la valutazione della copertura descritta nella lezione Ottimizzazione, metriche e governance dei modelli. Altri lavori della FATF aggiungono dettagli sulle tipologie, per esempio Contrastare il finanziamento del ransomware (marzo 2023), corredato da un elenco di potenziali indicatori di rischio, e Flussi finanziari illeciti derivanti da frodi informatiche (novembre 2023), realizzato insieme al Gruppo Egmont e all’INTERPOL.

Sette schemi esaminati

Frazionamento

Il frazionamento suddivide il valore per restare al di sotto di una soglia: il limite minimo della Travel Rule, un limite interno per il controllo rafforzato, una soglia di verifica dell’identità o una soglia di segnalazione. Tra i segnali figurano trasferimenti ripetuti in una fascia ristretta appena al di sotto del limite, la suddivisione di un unico importo tra più conti o indirizzi di prelievo e la distribuzione dei trasferimenti su più giorni. Una regola può conteggiare per ogni cliente, nell’arco di una settimana, i trasferimenti compresi tra l’80% e il 100% di una soglia. Una spiegazione innocua potrebbe essere un limite del prodotto, come il massimale di un ATM crypto o di una carta, che l’analista può verificare. È importante notare che comunicare ai clienti le soglie interne li invita a strutturare le operazioni per aggirarle.

Rapido ingresso e uscita

I fondi arrivano e vengono trasferiti rapidamente, con poca o nessuna attività di negoziazione: la piattaforma viene usata come tramite per interrompere la tracciabilità o convertire tra asset e canali di pagamento. I casi più evidenti sono l’ingresso di crypto e l’uscita in valuta fiat verso un conto bancario appena aggiunto nell’arco di poche ore, oppure l’ingresso di valuta fiat e l’uscita in crypto verso un indirizzo mai utilizzato prima. Anche i trader di arbitraggio e i market maker agiscono rapidamente, quindi lo scenario richiede una segmentazione; la prima cosa da verificare è l’attività dichiarata dal cliente. La lezione Monitoraggio delle transazioni per le imprese crypto mostra questo scenario espresso come regola SQL.

Catene peel verso gli exchange

In una catena peel, un saldo ingente passa attraverso una lunga sequenza di transazioni; ciascuna «stacca» un piccolo importo verso una destinazione, spesso un indirizzo di deposito di un exchange, e invia il resto a un nuovo indirizzo che ripete il processo (vedi la lezione IDFE-BA Metriche e schemi dei grafi). Le segnalazioni pubbliche sui furti di grande entità, compresi quelli attribuiti ad attori legati alla DPRK, hanno descritto catene peel che alimentavano numerosi conti su exchange. Su un exchange, il segnale è costituito da depositi la cui tracciabilità a ritroso porta a collegamenti all’interno di un’unica catena, eventualmente attraverso più conti cliente contemporaneamente. Un gruppo di clienti non correlati che riceve importi staccati dalla stessa fonte indica una rete coordinata di conversione in denaro, non utenti indipendenti.

Prestaconto

I prestaconto ricevono e trasferiscono proventi criminali, consapevolmente o meno. Nel settore crypto spesso aprono conti a proprio nome, ricevono valuta fiat da vittime di frodi o da terzi, acquistano crypto e la inviano a un indirizzo fornito da chi li controlla. Tra i segnali: numerosi pagatori in valuta fiat non correlati che versano su un unico conto; più conti che prelevano verso lo stesso indirizzo esterno; dispositivi, indirizzi IP o numeri di telefono condivisi tra i conti; profili non compatibili con i volumi (studenti, persone arrivate da poco, pensionati); e conti venduti o affittati, riconoscibili da un improvviso cambiamento di dispositivo e località dopo l’apertura. Le reti di prestaconto si individuano al meglio con l’analisi di rete, collegando i conti tramite attributi e controparti condivisi, anziché applicando regole a un solo conto alla volta.

Truffe d’investimento e sentimentali («macellazione del maiale»)

In queste truffe, la vittima viene adescata per settimane attraverso i social media, le app di incontri o messaggi con il pretesto del «numero sbagliato», quindi convinta ad acquistare crypto su un exchange legittimo e a inviarla a una falsa piattaforma d’investimento che mostra profitti inventati. Piccoli prelievi iniziali servono a instaurare fiducia; seguono depositi più ingenti e, infine, vengono richieste «commissioni» o «tasse» per liberare i fondi. Le segnalazioni delle Nazioni Unite hanno collegato grandi centri di truffe alla tratta di esseri umani.

Per un VASP il cui cliente è la vittima, tra i segnali figurano un nuovo cliente senza esperienza nel settore crypto; ingenti depositi in valuta fiat provenienti da risparmi, prestiti o fondi pensionistici; l’acquisto immediato di una stablecoin e il prelievo verso un nuovo indirizzo esterno; importi in aumento a intervalli regolari; e cluster di destinazione attribuiti a truffe. Il cliente potrebbe essere stato istruito a dichiarare che si tratta di investimenti propri. Le risposte sono di protezione, oltre che di segnalazione: avvisi nell’app, una chiamata da parte di un team formato e la sospensione di un prelievo mentre si spiega il rischio, il tutto registrato. In questo caso il cliente è la vittima, non il sospettato, ma l’impresa deve comunque evitare di rivelare qualsiasi segnalazione presentata.

Pagamenti di ransomware

Sono visibili due parti. Un’organizzazione vittima, spesso tramite un intermediario specializzato nella risposta agli incidenti, acquista urgentemente per la prima volta una quantità ingente di crypto e la invia a un unico indirizzo. La parte criminale riceve i fondi, li suddivide e li trasferisce attraverso mixer, privacy coin, passaggi tra blockchain o exchange ad alto rischio; gli indicatori FATF del 2020 osservano che nei casi di ransomware è comune uno schema scaglionato seguito da una lunga inattività. Per i depositi, il controllo fondamentale consiste nel verificare l’esposizione a cluster di ransomware tramite strumenti di analisi. Alcuni attori responsabili di ransomware sono soggetti a designazioni, quindi si applicano anche i controlli sulle sanzioni descritti nella lezione Rischi di sanzioni specifici del settore crypto.

Exchange annidati

Un exchange annidato è un servizio che opera tramite un conto presso un altro VASP per accedere alla sua liquidità o ai suoi servizi in valuta fiat, mentre i propri clienti restano invisibili al VASP ospitante. Tra i segnali: un conto registrato a nome di una persona fisica o di una piccola impresa, con depositi provenienti da migliaia di mittenti non correlati; frequenti trasferimenti cumulativi in uscita verso pochi indirizzi; un profilo di esposizione dei flussi in entrata simile a quello di un exchange; e controparti in giurisdizioni ad alto rischio. Di fatto, il VASP ospitante fornisce servizi di tipo corrispondente a un VASP sconosciuto senza svolgere un’adeguata due diligence. Gli esiti tipici sono la limitazione, la richiesta di prove delle licenze e delle misure AML, la cessazione del rapporto e la valutazione dell’opportunità di presentare una segnalazione.

Valutare uno schema

Per ogni schema l’analista pone le stesse domande: l’attività è compatibile con lo scopo dichiarato e il profilo del cliente? Esiste una spiegazione innocua credibile e può essere comprovata? Quanti indicatori indipendenti sono presenti? Che cosa hanno fatto i fondi prima di arrivare e dopo essere partiti? Le risposte determinano se l’allerta viene chiusa, sottoposta a ulteriori verifiche o inoltrata a un livello superiore, come descritto nella lezione Triage e indagine degli alert.

Focus sull’esame: gli indicatori di segnali d’allarme FATF del settembre 2020 e i loro sei gruppi, con esempi per ciascuno; il fatto che l’elenco non sia esaustivo e che nessun singolo indicatore dimostri un reato; la mappatura degli indicatori ai dati, agli scenari e ai passaggi dell’indagine; i segnali e le spiegazioni innocue per il frazionamento, il rapido ingresso e uscita, le catene peel, i prestaconto, le truffe di «macellazione del maiale», il ransomware e gli exchange annidati; l’analisi di rete per individuare i prestaconto; le risposte di protezione quando il cliente è vittima di una truffa.