Ciclo investigativo e quadro giuridico · Lezione 2 di 5
Il ciclo di vita di un'indagine
9 min di lettura
Un'indagine sulle criptovalute è un progetto con conseguenze legali e può fallire in modi prevedibili: le finestre temporali per la conservazione delle prove vengono mancate, l'ambito si allarga, i risultati non vengono sottoposti a revisione e nessuno riesce in seguito a spiegare perché una pista è stata abbandonata. Un ciclo di vita definito assegna a ogni fase uno scopo, un risultato e una registrazione nel fascicolo del caso. Questa lezione illustra le fasi, il fascicolo del caso che le collega e un esempio pratico di acquisizione iniziale.
Le fasi a colpo d'occhio
| Fase | Domanda chiave | Risultato nel fascicolo del caso |
|---|---|---|
| Acquisizione iniziale e triage | Che cosa è stato segnalato e con quale urgenza? | Registrazione iniziale, priorità, azioni immediate |
| Definizione dell'ambito | Che cosa sarà esaminato esattamente? | Dichiarazione dell'ambito: seed, blockchain, periodo, domande |
| Pianificazione e ipotesi | Come risponderemo e che cosa potrebbe essere vero? | Piano d'indagine, ipotesi, autorizzazioni necessarie |
| Acquisizione | Di quali dati abbiamo bisogno e in virtù di quale autorizzazione? | Dati preservati, risposte dei fornitori, registro della catena di custodia |
| Analisi | Che cosa dimostrano le prove? | Note d'esame, risultati con relativo livello di confidenza |
| Revisione | Un altro esaminatore giungerebbe allo stesso risultato? | Registrazione della revisione tra pari, risultati della ripetizione delle analisi |
| Relazione | Che cosa possiamo affermare e con quale certezza? | Relazione, appendici, pacchetto probatorio |
| Divulgazione | Che cosa deve vedere la controparte? | Elenco del materiale divulgato, registrazione del materiale non utilizzato |
| Chiusura | Che cosa rimane in sospeso? | Memorandum di chiusura, decisioni su conservazione e beni |
La norma ISO/IEC 27043 descrive le indagini in modo simile, raggruppando le attività in processi di preparazione, inizializzazione, acquisizione e indagine, con processi concorrenti come l'ottenimento delle autorizzazioni, la documentazione e la conservazione della catena di custodia che si svolgono per tutta la durata dell'indagine. Il principio si applica direttamente: alcune attività non sono fasi, ma filoni che si estendono dall'acquisizione iniziale alla chiusura.
Le fasi, inoltre, non sono strettamente lineari. L'analisi rivela spesso nuovi seed, per esempio una seconda vittima o un bridge verso un'altra blockchain. Questo riporta il caso alla definizione dell'ambito e all'acquisizione; ogni passaggio di questo tipo dovrebbe lasciare una registrazione datata che spieghi la modifica.
Acquisizione iniziale e triage
L'acquisizione iniziale registra la segnalazione così come è stata ricevuta: chi l'ha presentata, che cosa viene denunciato, tutti gli identificativi forniti (txid, indirizzi, ID di account, schermate, esportazioni di chat), quando si sono verificati gli eventi in UTC, la perdita dichiarata e ciò che il segnalante ha già fatto. Quest'ultimo dato è importante. Una vittima che ha pubblicato sui social media l'indirizzo del truffatore o ha contattato direttamente l'exchange potrebbe aver già avvisato il soggetto.
Il triage stabilisce la priorità. Nei casi legati alle criptovalute, la rapidità spesso determina l'esito; i fattori principali riguardano quindi la possibilità che un intervento immediato possa ancora cambiare la situazione.
| Fattore | Perché aumenta la priorità |
|---|---|
| Fondi non spesi o trasferiti nelle ultime ore | Potrebbero ancora essere congelati o sequestrati |
| Fondi presso un exchange, un custode o un emittente che può congelarli | Una sola richiesta potrebbe bloccarli |
| Rischio per la vita o attacco ancora in corso | Si applicano procedure e canali di emergenza |
| Prove volatili: server attivi, chat, siti web | Potrebbero scomparire nel giro di poche ore |
| Molte vittime o uno schema ancora attivo | È possibile prevenire ulteriori perdite |
Un caso in cui i fondi sono stati riciclati tramite un mixer due anni fa viene comunque registrato, ma non è il primo su cui si interviene. Registrare la decisione di triage e le relative motivazioni: anche la decisione di non intervenire potrebbe dover essere spiegata in seguito.
Definizione dell'ambito
Una dichiarazione dell'ambito comprende quattro elementi.
- Seed: gli identificativi da cui parte il caso. Verificare ciascuno sulla blockchain prima di farvi affidamento. Le vittime interpretano male le schermate, copiano indirizzi troncati e confondono le reti; è comune che un txid non esista o appartenga a un'altra blockchain.
- Blockchain e asset: le reti e i token inclusi nell'ambito. Lo stesso formato di indirizzo EVM è valido su molte blockchain, quindi indicare quali sono state controllate.
- Periodo: data e ora di inizio e fine in UTC, includendo un margine precedente al primo evento noto.
- Domande: specifiche e a cui sia possibile rispondere. «Dove si trovano ora i fondi della vittima e quali account di servizi li hanno ricevuti?» è una domanda a cui si può rispondere; «Trova i truffatori» no, quantomeno non da parte di un esaminatore.
L'ampliamento dell'ambito non è di per sé sbagliato, ma lo è se non viene registrato. Quando l'ambito cambia, registrare che cosa è cambiato, perché, chi ha approvato la modifica e in quale data.
Pianificazione e ipotesi
Il piano d'indagine elenca le attività, le fonti di dati necessarie per ciascuna attività, l'autorizzazione legale richiesta per ogni fonte (vedere la lezione Autorizzazione legale e cooperazione internazionale), i responsabili delle attività, le scadenze e le dipendenze. Le richieste ai fornitori all'estero possono richiedere mesi, quindi vengono avviate tempestivamente e in parallelo alle attività on-chain.
Le ipotesi mantengono l'indagine rigorosa. Annotare almeno due spiegazioni compatibili con i fatti disponibili al momento dell'acquisizione iniziale e indicare quali prove permetterebbero di distinguerle. In un caso di presunta truffa d'investimento, le ipotesi potrebbero essere: i gestori della piattaforma hanno sottratto i fondi; il wallet della vittima è stato compromesso da un terzo; oppure la piattaforma era un'attività reale, anche se in difficoltà. La lezione IDFE-BA Dalla domanda all'ipotesi tratta l'analisi di ipotesi concorrenti; l'aspetto aggiuntivo in ambito forense è che il fascicolo del caso deve mostrare quali ipotesi sono state verificate e quali prove le hanno escluse.
Acquisizione, analisi e revisione
L'acquisizione consiste nell'ottenere dati in virtù dell'autorizzazione appropriata e nel preservarli affinché possano essere verificati in seguito: dati on-chain con riferimenti ai blocchi, risposte dei fornitori, immagini dei dispositivi, acquisizioni di pagine web. La lezione Preservare le prove on-chain tratta le tecniche.
L'analisi trasforma i dati preservati in risultati, ciascuno corredato del metodo, dei fondamenti e del livello di confidenza, come illustrato nel Modulo 2.
La revisione è una fase distinta, non una semplice cortesia. Un revisore che non ha svolto il lavoro verifica il metodo, ripete i passaggi chiave a partire dai dati grezzi e mette in discussione ogni inferenza. Le divergenze e il modo in cui sono state risolte vengono registrati nel fascicolo. Se la revisione rileva una lacuna, il lavoro torna alla pianificazione: occorrono più dati, un metodo diverso o un'affermazione più circoscritta. La lezione Gestione della qualità nell'unità forense descrive più approfonditamente la revisione tra pari e la convalida.
Relazione, divulgazione e chiusura
La relazione produce la dichiarazione o la perizia e le relative appendici (vedere la lezione Redigere la relazione forense). La divulgazione rende il materiale disponibile alla controparte secondo quanto richiesto dal procedimento, compresi il materiale non utilizzato e la provenienza degli strumenti e delle etichette (vedere la lezione Divulgazione e verifica della difesa).
La chiusura è facile da trascurare. Un memorandum di chiusura registra l'esito, le eventuali piste ancora aperte, i beni ancora detenuti e chi li controlla, i periodi di conservazione delle prove e dei dati personali, nonché le lezioni apprese. I casi legati alle criptovalute vengono spesso riaperti quando fondi dormienti si spostano anni dopo; il fascicolo deve quindi consentire a un altro esaminatore di riprendere il lavoro dal punto in cui il precedente si era fermato.
Gestione del caso ed esempio pratico di acquisizione iniziale
Il fascicolo del caso è il luogo unico in cui viene conservato tutto ciò che riguarda il caso: acquisizione iniziale, ambito e modifiche, piano, copie delle autorizzazioni legali, richieste e risposte, registro delle prove, note contemporanee agli eventi, risultati, registrazioni delle revisioni, relazioni, divulgazione e chiusura. L'accesso è limitato e registrato.
Una vittima segnala di aver perso 48.500 USDT sulla rete Tron in cinque pagamenti nell'arco di tre settimane, inviati a una piattaforma di trading che ha smesso di rispondere. L'esaminatore procede con l'acquisizione iniziale:
- Verificare i seed. Quattro txid vengono confermati su Tron. Il quinto, ricavato da una schermata, non esiste su Tron; viene trovato su Ethereum, dove la vittima aveva inviato un pagamento di prova. Entrambi vengono registrati, annotando la discrepanza.
- Verifica rapida dei movimenti successivi. L'ultimo pagamento, pari a 9.800 USDT, è arrivato a un indirizzo che ha trasferito i fondi a un wallet caldo identificato come Exchange K due ore fa.
- Triage. Fondi presso un servizio di custodia, trasferiti di recente: priorità alta.
- Azioni immediate. La stessa mattina vengono inviate a Exchange K una richiesta di preservazione e una richiesta volontaria di congelamento (vedere la lezione Collaborare con i fornitori di servizi). Nel piano viene annotato se l'emittente della stablecoin potrebbe congelare l'indirizzo ricevente.
- Ambito e ipotesi. Vengono definiti i seed, due blockchain, un periodo che inizia una settimana prima del primo pagamento, tre domande e due ipotesi concorrenti.
La registrazione iniziale al termine della mattinata:
{
"case_id": "CF-2026-0147",
"received_utc": "2026-03-04T09:15:00Z",
"allegation": "truffa d'investimento; fondi inviati a una piattaforma di trading che non risponde",
"seeds": [
{"chain": "tron", "type": "txid", "value": "7b2f…d9e0", "verified": true},
{"chain": "ethereum", "type": "txid", "value": "0x3a8c…f71b", "verified": true,
"note": "schermata etichettata Tron; trovato su Ethereum"}
],
"reported_loss": {"asset": "USDT", "amount": "48500.00"},
"priority": "high",
"priority_reason": "9.800 USDT sono arrivati a un indirizzo di deposito di Exchange K 2 ore prima dell'acquisizione iniziale",
"immediate_actions": ["richiesta di preservazione P-01", "richiesta volontaria di congelamento F-01"],
"assigned_to": "examiner-07",
"authority_status": "ordine di produzione richiesto"
}La registrazione mostra i seed verificati, la discrepanza e la sua risoluzione, il motivo della priorità e le azioni intraprese, ciascuno con un riferimento che rimanda alla richiesta nel fascicolo del caso. Qui sono mostrati solo due dei cinque seed; l'elenco completo è riportato nella dichiarazione dell'ambito. Gli importi sono memorizzati come stringhe per evitare arrotondamenti durante l'elaborazione della registrazione.
Focus sull'esame: le nove fasi del ciclo di vita e il risultato che ciascuna lascia nel fascicolo del caso; la norma ISO/IEC 27043 e il concetto di processi concorrenti come autorizzazione, documentazione e catena di custodia; i fattori di triage che aumentano la priorità nei casi legati alle criptovalute; i quattro elementi di una dichiarazione dell'ambito e perché i seed devono essere verificati on-chain; la registrazione delle modifiche all'ambito; la formulazione di ipotesi concorrenti e delle prove che permettono di distinguerle; la revisione come ripetizione indipendente delle analisi; ciò che deve essere registrato in un memorandum di chiusura; gli elementi di una corretta registrazione iniziale.