Che cos’è la criptoforensics

Ogni indagine sulle criptovalute produce collegamenti e numeri, ma solo alcuni possono avere peso in un’aula di tribunale, in un’istanza di congelamento o in una richiesta nell’ambito di una procedura d’insolvenza. La criptoforensics è la disciplina che consiste nel formulare conclusioni sui flussi, sulle disponibilità e sul controllo degli asset digitali in modo che un’altra persona qualificata possa verificarle, ripeterle e contestarle. Questa lezione spiega cosa rende un’attività forense anziché meramente analitica, quali casi affronta e chi la svolge.

Attività analitica e attività forense

Gli stessi dati della blockchain consentono due tipi di attività. L’attività analitica risponde alle domande abbastanza rapidamente da consentire di agire: quale exchange ha ricevuto un deposito, quanto un cliente è esposto a un mixer, se un wallet è ancora attivo. Ammette ipotesi di lavoro, usa lo strumento più rapido disponibile ed è valutata in base alla sua utilità.

L’attività forense risponde alle domande secondo uno standard probatorio. La conclusione si basa su dati sorgente conservati, è raggiunta mediante un metodo dichiarato, è documentata in modo da poter essere ripetuta e ne esplicita i limiti. È valutata in base alla sua capacità di resistere all’esame di un esperto della controparte e del tribunale.

La maggior parte dei casi inizia come attività analitica e diventa forense quando da essa dipende una decisione con conseguenze giuridiche. Il rischio è trasferire scorciatoie analitiche, come un’etichetta non verificata o una regola di tracciamento non documentata, in una dichiarazione su cui si farà affidamento come prova. Le unità efficienti trattano ogni caso come potenzialmente forense fin dal momento della presa in carico, perché ricostruire la provenienza in seguito è lento e talvolta impossibile.

Riproducibile, documentata, difendibile

Tre criteri distinguono una conclusione forense da un’opinione.

Riproducibile. Un altro esaminatore, usando le stesse fonti e lo stesso metodo, giunge allo stesso risultato. Su una blockchain pubblica questo è insolitamente fattibile: ogni txid, blocco e importo può essere recuperato di nuovo da un nodo indipendente. Non è invece automaticamente riproducibile l’interpretazione che vi si sovrappone: un’euristica di clustering, un’etichetta di terze parti, un metodo di tracciamento. La norma ISO/IEC 27037 indica la ripetibilità (stesso metodo, stesso ambiente, stesso risultato) e la riproducibilità (stesso metodo, strumenti o condizioni diversi, stesso risultato), insieme alla verificabilità e alla giustificabilità, come qualità che dovrebbero caratterizzare la gestione delle prove digitali.

Documentata. Ogni passaggio viene registrato nel momento in cui avviene: cosa è stato richiesto, da quale fonte, con quale versione dello strumento, a che ora in UTC e quale risultato è stato ottenuto. Se la documentazione non riporta un passaggio, chi la esamina deve presumere che non sia avvenuto nel modo descritto. La lezione Hashing, registrazione e catena di custodia illustra gli aspetti pratici.

Difendibile. Il metodo è adatto alla domanda, le sue debolezze note sono dichiarate, sono state prese in considerazione alternative e la conclusione non va oltre quanto consentito dalle prove. Una conclusione difendibile anticipa le domande che porrà un esperto della difesa (vedi la lezione Divulgazione e scrutinio della difesa).

Una buona abitudine consiste nel separare tre livelli in ogni dichiarazione:

• osservazione: ciò che la blockchain o un documento mostra;
• inferenza: ciò che l’esaminatore conclude sulla base di quanto osservato e con quale metodo;
• ipotesi: ciò che si assume come dato, per esempio che un’etichetta sia corretta.

Cosa indaga la criptoforensics

Le tecniche sono condivise, ma ogni tipo di caso presenta punti di partenza, domande e obiettivi finali tipici.

I casi pubblici mostrano l’ampiezza del campo. Dopo l’attacco ransomware del 2021 a Colonial Pipeline, gli investigatori hanno tracciato il riscatto di 75 BTC attraverso diversi indirizzi e ne hanno recuperati circa 63,7 BTC detenuti presso uno di essi. Nell’attacco del 2016 a Bitfinex, gli investigatori hanno seguito circa 119.754 BTC rubati per diversi anni e nel 2022 hanno recuperato più di 94.000 BTC dopo aver decrittato un file presente in un account di archiviazione online che conteneva chiavi private. In entrambi i casi, il tracciamento on-chain era solo una parte dell’indagine: il resto consisteva in procedure legali, prove da dispositivi e servizi cloud e documentazione che rendeva utilizzabili le conclusioni.

Ruoli in un’indagine sulle criptovalute

I responsabili della risposta agli incidenti presso exchange e protocolli svolgono spesso le prime ore di attività dopo un furto. I loro appunti e le esportazioni di dati diventano in seguito prove, perciò devono adottare la stessa disciplina. Un consulente tecnico nominato dal tribunale opera per conto del tribunale, non di una delle parti.

Nelle unità più piccole una persona può ricoprire più ruoli. È possibile, a condizione che ogni prodotto documenti quale ruolo lo ha generato. Il prodotto informativo di un analista può basarsi su fonti sensibili e non è redatto per il tribunale; la conclusione di un esaminatore, invece, lo è. Confondere i due, per esempio inserendo una valutazione informativa in una dichiarazione probatoria, è un motivo frequente per cui le conclusioni vengono escluse o ricevono scarso peso.

Esempio svolto: la stessa domanda, due risposte

Una vittima denuncia un pagamento di 3,0 ETH a una falsa piattaforma d’investimento. Un analista apre uno strumento di tracciamento e scrive: «I fondi sono finiti all’exchange K». Questa è una pista. La versione forense recita:

Conclusione F-03

• Osservazione: il txid 0x9c1e…44ab (blocco 19.204.117, 2024-02-11 08:42:19 UTC) ha trasferito 3,0 ETH dall’indirizzo della vittima 0x5D0f…a1C2 a 0xA1b2…9F.
• Osservazione: 0xA1b2…9F ha inviato 2,98 ETH a 0x77cd…e310 nel txid 0x41b0…7d2e (blocco 19.204.160). In seguito, 0x77cd…e310 ha trasferito tutto il suo saldo a 0xE3f9…08B1.
• Inferenza: 0x77cd…e310 è un indirizzo di deposito dell’exchange K. Fondamento: il trasferimento a 0xE3f9…08B1, che due fonti indipendenti identificano come un hot wallet dell’exchange K (istantanee S-07 e S-08).
• Ipotesi: le etichette nelle istantanee S-07 e S-08 sono corrette.
• Livello di confidenza: osservazioni certe (verificate nuovamente sul proprio nodo, 2024-03-02); attribuzione probabile fino alla conferma tramite i documenti dell’exchange K.

Chiunque può ricontrollare ogni osservazione sulla blockchain. L’inferenza ne indica il fondamento e i riferimenti alle prove che la supportano. L’ipotesi è dichiarata anziché nascosta e il livello di confidenza indica al lettore cosa potrebbe modificare la conclusione: i documenti dell’exchange. La valutazione del livello di confidenza è approfondita nella lezione Tracciamento secondo uno standard probatorio.

Come CF si integra con IDFE-BA e IDFE-CC

CF si basa su altri due corsi IDFE e non ne ripete i contenuti. Il clustering e i relativi tassi di errore sono trattati nelle lezioni IDFE-BA L’euristica della proprietà per input comuni e Valutare la qualità dei cluster; le regole di allocazione, come FIFO e haircut, nella lezione Tracciare i fondi in avanti e a ritroso; la provenienza delle etichette nella lezione Attribuzione ed etichettatura. Le modalità con cui gli exchange monitorano, segnalano e rispondono alle autorità sono trattate nelle lezioni IDFE-CC Obblighi di segnalazione delle transazioni sospette e Congelamenti, richieste delle forze dell’ordine e recupero degli asset.

CF aggiunge il livello forense: il ciclo di vita dell’indagine e l’autorità giuridica (questo modulo), il tracciamento e l’attribuzione secondo uno standard probatorio, l’acquisizione di prove dai dispositivi e il recupero dei wallet in virtù di un’autorità legittima, l’integrità delle prove, le relazioni tecniche e le testimonianze, nonché la messa in sicurezza e la restituzione degli asset.

Focus sull'esame: la differenza tra attività analitica e forense; lo standard probatorio come riproducibile, documentato e difendibile; le qualità della norma ISO/IEC 27037: ripetibilità, riproducibilità, verificabilità e giustificabilità; la distinzione tra osservazione, inferenza e ipotesi in una conclusione; i tipi di caso indagati e i relativi punti di partenza e obiettivi finali tipici; i ruoli di investigatore, esaminatore, analista, consulente tecnico, responsabile della risposta agli incidenti e consulente tecnico nominato dal tribunale; perché i prodotti informativi e le conclusioni probatorie devono rimanere distinti.