Il ciclo di vita dell'indagine: dalla domanda all'ipotesi

Un'indagine sulle criptovalute è un progetto con conseguenze giuridiche e può fallire in modi prevedibili: si lasciano scadere i termini di conservazione, l'ambito si amplia senza controllo, i risultati non vengono riesaminati e nessuno riesce successivamente a spiegare perché una pista sia stata abbandonata. Può anche fallire in modo silenzioso: i dati on-chain sono talmente interconnessi che un investigatore che parte da una spiegazione preferita può quasi sempre trovare transazioni che sembrano confermarla. Un ciclo di vita definito assegna a ogni fase uno scopo, un risultato e una registrazione nel fascicolo del caso; al suo interno, una domanda ben formulata e ipotesi concorrenti mantengono l'analisi rigorosa.

Le fasi in sintesi

ISO/IEC 27043 raggruppa le indagini in processi di preparazione, inizializzazione, acquisizione e investigazione, con processi concorrenti quali autorizzazione, documentazione e catena di custodia che si svolgono per tutta la durata: sono attività trasversali dall'acquisizione della segnalazione alla chiusura, non fasi. Le fasi, inoltre, non sono lineari. L'analisi rivela nuovi identificatori di partenza, come una seconda vittima o un bridge verso un'altra blockchain, riportando il caso alla definizione dell'ambito e alla raccolta; un riesame che rileva una lacuna lo riporta alla pianificazione. Ogni ritorno a una fase precedente lascia una registrazione datata che spiega il cambiamento.

Acquisizione della segnalazione e triage

L'acquisizione della segnalazione registra quanto ricevuto: chi ha segnalato, che cosa viene denunciato, ogni identificatore fornito (txid, indirizzi, ID degli account, schermate, esportazioni delle chat), gli orari degli eventi in UTC, la perdita dichiarata e ciò che il segnalante ha già fatto, poiché una vittima che ha pubblicato l'indirizzo del truffatore o contattato l'exchange potrebbe avere già allertato il soggetto.

Il triage stabilisce la priorità. La rapidità determina spesso l'esito, quindi i fattori da valutare riguardano la possibilità che un'azione immediata possa ancora cambiare la situazione.

I fondi passati attraverso un mixer due anni prima vengono registrati, ma non vengono trattati per primi. Registrare la decisione di triage e le relative motivazioni: anche una decisione di non intervenire potrebbe dover essere spiegata in seguito.

Dalla richiesta a una domanda a cui è possibile rispondere

Le richieste arrivano raramente in una forma utilizzabile. "Trovate i truffatori" o "Chi c'è dietro questo wallet?" descrivono una preoccupazione, non una domanda a cui i dati possono rispondere. Una buona domanda è specifica (indica gli asset, gli indirizzi o gli eventi), delimitata (nel tempo, nel numero di passaggi o nell'impegno richiesto), risolvibile con dati che possono essere ottenuti lecitamente, rilevante ai fini decisionali (la risposta cambia ciò che qualcuno farà: congelare, richiedere documenti, chiudere il fascicolo) e neutrale (non presuppone la risposta).

La prima riformulazione elimina "chi": di norma, l'identità di una persona fisica non può essere determinata dai soli dati della blockchain, e ciò che serve al caso è il tipo di entità e i servizi presso i quali esistono registrazioni off-chain (Lezione 3.4). Le domande possono inoltre essere descrittive (che cosa è accaduto), esplicative (perché, o quale tipo di attore) o estimative (qualcosa di non osservabile o non ancora accaduto, per esempio se i fondi rimanenti raggiungeranno un exchange); ciascuna richiede un diverso tipo di risposta e una dichiarazione del grado di confidenza (Lezione 9.2).

Definizione dell'ambito

La dichiarazione dell'ambito stabilisce le domande e i limiti di ogni risultato.

Gli identificatori di partenza, ossia gli identificatori da cui prende avvio il caso, vengono verificati on-chain prima dell'uso: le vittime leggono male le schermate, copiano indirizzi troncati e confondono le reti; inoltre, lo stesso formato di indirizzo EVM è valido su molte blockchain, quindi occorre indicare quali siano state controllate. Esprimere il periodo sia come altezze dei blocchi sia come date UTC, includendo un margine prima del primo evento noto; gli intervalli di blocchi sono esatti, mentre i timestamp richiedono cautele (Lezione 2.1).

I limiti di profondità sono importanti perché il tracciamento cresce in modo esplosivo: se ciascun indirizzo invia fondi in media ad altri tre indirizzi, cinque passaggi producono 3^5 = 243 percorsi e dieci passaggi 59.049. Una regola di arresto presso i servizi di custodia non è una forma di pigrizia: oltre un hot wallet, i movimenti non appartengono più al proprietario originario. Una rapida query di dimensionamento che conti le controparti distinte degli identificatori di partenza nell'intervallo di blocchi consente di verificare l'ambito: 40 è un numero gestibile; 40.000 suggerisce che un identificatore di partenza sia un servizio e che la domanda debba essere ripensata.

L'ampliamento dell'ambito non è di per sé sbagliato, ma lo è un ampliamento non documentato. Quando l'ambito cambia, registrare che cosa è cambiato, perché, chi lo ha approvato e in quale data.

Pianificazione e ipotesi concorrenti

Il piano d'indagine elenca le attività, i dati necessari per ciascuna, l'autorizzazione giuridica richiesta per ogni fonte (Lezione 1.3), i responsabili, le scadenze e le dipendenze; le richieste all'estero possono richiedere mesi, quindi vengono avviate tempestivamente, in parallelo al lavoro on-chain.

Un'ipotesi è una spiegazione verificabile di ciò che mostrano i dati. Formularne per iscritto diverse prima di valutarne una qualsiasi, includere quella non illecita, renderle quanto più possibile mutuamente esclusive e chiedersi "che cos'altro potrebbe produrre questo schema?" finché non emergono più nuove risposte. Per una presunta truffa d'investimento: i gestori si sono appropriati dei fondi; una terza parte ha compromesso il wallet della vittima; oppure la piattaforma era un'impresa reale, sebbene in difficoltà. Il fascicolo del caso deve mostrare quali ipotesi siano state sottoposte a verifica e quali elementi probatori le abbiano eliminate.

La struttura è importante perché, come ha osservato Richards Heuer, ex analista della CIA, i bias si comportano come illusioni ottiche: conoscerli non li fa scomparire. La Lezione 1.5 tratta in generale le misure di controllo dei bias; le loro manifestazioni on-chain sono:

Verifica delle ipotesi: ACH

L'analisi delle ipotesi concorrenti (ACH) è la tecnica descritta da Heuer in Psicologia dell'analisi di intelligence (1999); deriva dalla pratica dell'intelligence, non dal diritto. Le sue otto fasi sono: (1) individuare le ipotesi, idealmente con colleghi che vedono il caso in modo diverso; (2) elencare gli elementi probatori significativi, comprese le assunzioni e gli elementi attesi ma assenti; (3) costruire una matrice contrassegnando ogni cella come coerente, incoerente o non applicabile; (4) perfezionarla, eliminando gli elementi che non discriminano; (5) cercare di confutare le ipotesi, in modo che sopravviva quella con il minor numero di incoerenze; (6) verificare quanto la conclusione sia sensibile ad alcuni elementi critici; (7) riportare la probabilità relativa di tutte le ipotesi; (8) stabilire indicatori di verifica futuri, ossia osservazioni future che mostrerebbero che gli eventi stanno prendendo una direzione diversa.

L'idea centrale è il potere diagnostico: gli elementi probatori coerenti con ogni ipotesi non dicono nulla su quale sia vera, per quanti se ne raccolgano, mentre un solo elemento incoerente con due ipotesi può risolvere la questione.

Una matrice esemplificativa

L'indirizzo Bitcoin bc1q…m4x2 riceve 38 piccoli pagamenti da 38 indirizzi nell'arco di sei giorni, poi li spende tutti in un'unica transazione con due output. Sono compatibili tre ipotesi: H1, è un indirizzo di deposito di un exchange i cui fondi vengono trasferiti a un hot wallet mediante sweep; H2, un proprietario sta consolidando le proprie monete mentre le commissioni sono basse; H3, un ladro sta raccogliendo output da precedenti peel chain.

E1 ed E5 non hanno potere diagnostico; E2 è compatibile con H1 perché gli exchange ricevono fondi da chiunque. H1 non presenta incoerenze, H2 ne presenta tre e H3 due. Sensibilità: E3 ed E4 sostengono la conclusione ed entrambi si basano su un'unica fonte di etichette (E3 tramite la logica degli input comuni della Lezione 4.1). Se quella fonte è errata, H1 crolla, quindi l'etichetta viene verificata in modo indipendente, per esempio confermando che lo schema di sweep si ripeta su molti indirizzi di deposito. Indicatore di verifica futuro: se bc1q…m4x2 dovesse inviare fondi a una destinazione diversa dall'hot wallet noto dell'exchange, H1 meriterebbe un riesame. Molto probabilmente i fondi hanno raggiunto un servizio di custodia, quindi il passo successivo è una richiesta di documenti attraverso gli strumenti giuridici previsti, non un ulteriore tracciamento.

Dalla raccolta alla chiusura

La raccolta acquisisce i dati in base alla corretta autorizzazione e li conserva per verifiche successive (Lezione 8.2). L'analisi li trasforma in risultati corredati da metodo, fondamento e grado di confidenza (Modulo 3). Il riesame è una fase distinta, non una cortesia: un revisore che non ha svolto il lavoro ripete i passaggi chiave a partire dai dati grezzi e mette in discussione ogni inferenza; i disaccordi e la loro risoluzione vengono inseriti nel fascicolo (Lezione 8.3). Seguono la redazione della relazione (Lezione 9.2) e la comunicazione alla controparte, che comprende il materiale non utilizzato e la provenienza degli strumenti e delle etichette (Lezione 8.4). La chiusura è facile da trascurare: la nota registra l'esito, le piste aperte, i beni ancora detenuti e chi li controlla, i periodi di conservazione degli elementi probatori e dei dati personali e gli insegnamenti tratti. I casi relativi alle criptovalute vengono spesso riaperti quando fondi inattivi vengono movimentati anni dopo, quindi il fascicolo deve consentire a un altro esaminatore di riprendere dal punto in cui il precedente si era fermato.

Un esempio di acquisizione della segnalazione

Il fascicolo del caso è il luogo unico, ad accesso limitato, in cui risiede il caso: acquisizione della segnalazione, ambito e modifiche, piano, autorizzazione giuridica, richieste e risposte, registro degli elementi probatori, note, risultati, riesami, relazioni, comunicazione alla controparte e chiusura.

Una vittima segnala di aver perso 48.500 USDT su Tron in cinque pagamenti nell'arco di tre settimane a favore di una piattaforma di trading che ha smesso di rispondere.

1. Verificare gli identificatori di partenza. Quattro txid vengono confermati su Tron. Il quinto, ricavato da una schermata, non si trova su Tron ma su Ethereum, dove la vittima aveva inviato un pagamento di prova; entrambi i fatti vengono registrati.
2. Seguire i flussi in avanti ed effettuare il triage. L'ultimo pagamento, pari a 9.800 USDT, ha raggiunto un indirizzo che due ore prima ha trasferito i fondi mediante sweep a un hot wallet etichettato Exchange K: fondi presso un servizio di custodia, movimentati di recente, priorità alta.
3. Agire. Le richieste di conservazione e di congelamento volontario vengono inviate a Exchange K la stessa mattina (Lezione 1.4); nel piano viene inserita la verifica della possibilità che l'emittente della stablecoin congeli l'indirizzo destinatario.
4. Definire l'ambito. Vengono messi per iscritto gli identificatori di partenza, le due blockchain, un periodo che inizia una settimana prima del primo pagamento, tre domande e le ipotesi concorrenti.

{
  "case_id": "CF-2026-0147",
  "received_utc": "2026-03-04T09:15:00Z",
  "allegation": "investment scam; funds sent to an unresponsive trading platform",
  "seeds": [
    {"chain": "tron", "type": "txid", "value": "7b2f…d9e0", "verified": true},
    {"chain": "ethereum", "type": "txid", "value": "0x3a8c…f71b", "verified": true,
     "note": "screenshot labeled Tron; found on Ethereum"}
  ],
  "reported_loss": {"asset": "USDT", "amount": "48500.00"},
  "priority": "high",
  "priority_reason": "9,800 USDT reached a suspected Exchange K deposit address 2 hours before intake",
  "immediate_actions": ["preservation request P-01", "voluntary freeze request F-01"],
  "assigned_to": "examiner-07",
  "authority_status": "production order requested"
}

La registrazione mostra gli identificatori di partenza verificati, la discrepanza e la sua risoluzione, il motivo della priorità e ogni azione con un riferimento alla richiesta nel fascicolo. Sono mostrati due dei cinque identificatori di partenza; l'elenco completo viene inserito nella dichiarazione dell'ambito. Gli importi sono stringhe per evitare arrotondamenti.

Focus sull'esame: sono previste domande sulle nove fasi e sui relativi risultati nel fascicolo del caso, sui processi concorrenti di ISO/IEC 27043 e sui fattori di triage. Occorre saper riformulare una richiesta vaga in una domanda specifica, delimitata, risolvibile, rilevante ai fini decisionali e neutrale; elencare gli elementi dell'ambito (identificatori di partenza verificati, periodi espressi come altezze dei blocchi, limiti di passaggi, regole di arresto presso i servizi di custodia); e spiegare perché il numero di percorsi cresce in modo esplosivo con la profondità (3^5 = 243). Conoscere le ipotesi concorrenti, compresa una non illecita, i bias on-chain e l'ACH: classificazione in base alle incoerenze, potere diagnostico, sensibilità e indicatori di verifica futuri. Riconoscere una registrazione della segnalazione e una nota di chiusura adeguate.