Tracciare i fondi attraverso i servizi di custodia

La maggior parte delle tracce termina, almeno per un po', presso un servizio di custodia: un exchange, un broker, un wallet di custodia, un processore di pagamenti o un sito di gioco d'azzardo. È proprio a questo confine che l'indagine spesso può avere successo, perché il servizio conserva registrazioni e può congelare i fondi; ed è anche qui che le relazioni deboli tendono a spingersi troppo oltre. Questa lezione illustra come documentare che i fondi sono entrati in un servizio, cosa si può e non si può affermare su ciò che accade al suo interno, quando interrompere la tracciatura e richiedere le registrazioni, e come riprendere la traccia dal lato dei prelievi.

Documentare il confine del servizio

La lezione IDFE-BA Seguire il valore attraverso exchange e servizi spiega gli indirizzi di deposito, gli sweep, gli hot wallet e gli indirizzi omnibus. La domanda forense è più circoscritta: su quale base si afferma che un indirizzo è un indirizzo di deposito di un determinato servizio, e quanto è solida tale base?

Registra la base dell'attribuzione come voce a sé stante, insieme alla fonte e alla data di acquisizione, così che la registrazione del passaggio possa citarla (vedi la lezione Fonti di attribuzione e loro affidabilità). Usando i gradi della lezione Tracciare secondo uno standard probatorio, il flusso verso l'indirizzo è solitamente di grado A, mentre l'affermazione che l'indirizzo appartenga a un servizio è di grado C finché il servizio non lo conferma.

Dentro la scatola nera

Una volta che i fondi vengono raccolti nei wallet aggregati di un servizio, il denaro del cliente diventa una voce in un registro privato. All'interno di quel registro, il cliente può scambiare i fondi con altri asset, trasferirli all'account di un altro cliente senza alcuna transazione on-chain, prelevarli su un conto bancario o prelevare criptovalute provenienti dal deposito di qualcun altro. Nulla di tutto questo è visibile on-chain. Applicare FIFO o un haircut a un hot wallet produce dei numeri, ma questi descrivono la regola, non i registri del servizio.

La colonna di sinistra contiene ciò che afferma una relazione forense. La colonna di destra richiede le registrazioni.

Quando fermarsi e richiedere le registrazioni

Interrompere il lavoro on-chain presso un servizio è una decisione, e le note del caso dovrebbero registrare quando e perché è stata presa. Fermati e richiedi le registrazioni quando:

1. è stato stabilito, su una base dichiarata, che i fondi sono entrati in un servizio di custodia, idealmente con grado B o C;
2. ulteriore lavoro on-chain potrebbe produrre soltanto inferenze su ciò che accade all'interno;
3. i fondi potrebbero essere ancora nell'account, quindi un ritardo compromette il recupero;
4. il pacchetto della richiesta è pronto: indirizzi di deposito o tag, txid con riferimenti all'output o al log, importi in unità base, orari UTC, percorso, metodo e gradi.

Le richieste di conservazione dei dati e di congelamento dei fondi vengono prima, perché il saldo in un hot wallet può essere trasferito nel giro di pochi minuti; l'analisi prosegue in parallelo. La stesura della richiesta è trattata nella lezione Collaborare con i fornitori di servizi. Dal punto di vista della tracciatura, richiedi ciò che serve per riprendere la traccia: il registro interno completo dell'account per il periodo in questione (depositi, scambi e conversioni, trasferimenti interni verso altri account, prelievi in valuta fiat e criptovaluta) e, per ogni prelievo in criptovaluta, l'asset, la chain, l'importo, la commissione, l'indirizzo di destinazione, il txid e l'orario con il relativo fuso orario. Richiedi anche gli altri indirizzi di deposito assegnati all'account, gli indirizzi di prelievo salvati e gli account collegati tramite dispositivo, indirizzo IP o strumento di pagamento. Richiedi esportazioni leggibili automaticamente.

Analisi dal lato dei prelievi

Quando arrivano le registrazioni, la traccia riprende dai prelievi. Proseguendo il caso: Exchange K riferisce che il deposito di 1,2 BTC è stato accreditato, che l'account deteneva anche altri fondi e che sono stati effettuati i seguenti prelievi:

Ogni prelievo indicato viene prima verificato sulla chain, prima di basarvi qualsiasi altra conclusione:

-- Verificare i prelievi Bitcoin segnalati confrontandoli con gli output on-chain
SELECT r.record_id, r.txid, r.dest_address,
       r.amount_sat                AS reported_sat,
       o.value_sat                 AS onchain_sat,
       r.amount_sat - o.value_sat  AS difference_sat,
       b.block_time
FROM provider_withdrawals r
LEFT JOIN outputs o ON o.txid = r.txid AND o.address = r.dest_address
LEFT JOIN blocks  b ON b.block_hash = o.block_hash
WHERE r.chain = 'bitcoin'
ORDER BY r.requested_at;

Le join esterne mantengono tutte le registrazioni anche quando non esiste un output corrispondente. Supponiamo che W-1 restituisca un valore on-chain di 49.990.000 satoshi, con una differenza di 10.000 che corrisponde alla commissione di prelievo pubblicata dall'exchange: la registrazione indica l'importo prima della commissione. Supponiamo che W-3 non restituisca alcun output: il txid esiste, ma paga un indirizzo diverso. Si tratta di una discrepanza da sottoporre nuovamente al servizio, non da correggere senza segnalarla. W-2 viene verificato allo stesso modo rispetto ai trasferimenti di token su Tron. La convalida più completa delle registrazioni fornite dal provider è trattata nella lezione Account di exchange e cloud come prove.

Ne conseguono tre punti. Primo, un prelievo confermato sia dalle registrazioni sia dalla chain è un collegamento di grado B tra l'account e la destinazione. Secondo, la conversione in USDT su Tron è visibile soltanto nelle registrazioni: all'interno della scatola nera la traccia ha cambiato asset e chain. Terzo, il registro interno è a sua volta un account misto: gli 1,2 BTC sono stati accreditati su un account che deteneva altri fondi, quindi stabilire quale quota di ciascun prelievo sia valore della vittima è ancora una questione di ripartizione, da calcolare sulle voci del registro con un metodo dichiarato (vedi la lezione Metodi di tracciatura e relative conseguenze).

Correlazione temporale e degli importi

In assenza di registrazioni, o in attesa di riceverle, gli esaminatori spesso cercano un prelievo simile al deposito. Si tratta di un'inferenza, di grado D, il cui valore dipende dal numero di alternative esistenti. Nel caso sopra descritto, l'hot wallet del servizio ha effettuato 212 prelievi nell'ora successiva al deposito; nove di essi erano compresi tra 1,15 e 1,20 BTC. Un insieme di nove candidati è una pista da approfondire con priorità, non un collegamento.

La correlazione fallisce anche proprio nei casi più importanti. Le registrazioni mostrano prelievi di 0,5 e 0,3 BTC e una conversione in una stablecoin prelevata su un'altra chain; una ricerca basata su importo e orario per circa 1,2 BTC avrebbe indicato con sicurezza il cliente sbagliato. Usa la correlazione per formulare domande al servizio («confermate l'account associato al deposito bc1q…dx7e e i relativi prelievi tra le 14:00 e le 16:00 UTC?») e, se la riporti, indica il numero di candidati e la finestra temporale utilizzata. La lezione IDFE-BA Affidabilità, incertezza e linguaggio mostra come contare i candidati.

Servizi di raccolta e processori di pagamenti

Non tutti i servizi di custodia sono exchange e, per alcuni, serve più di una richiesta.

• Servizi annidati: un broker, un desk di swap o un exchange più piccolo che detiene un account presso un exchange di grandi dimensioni. Le registrazioni dell'exchange più grande indicano il servizio annidato, rendendo necessaria una seconda richiesta, spesso in un'altra giurisdizione (vedi la lezione Autorità legale e cooperazione internazionale).
• Processori di pagamenti: molti generano un nuovo indirizzo per ogni fattura e trasferiscono i fondi nei propri wallet. Le loro registrazioni identificano il venditore e l'ordine; il venditore potrebbe poi detenere i dati dell'acquirente, rendendo necessaria una seconda richiesta.
• Wallet di custodia, siti di gioco d'azzardo e desk OTC: i fondi sono raccolti come negli exchange, ma le registrazioni variano da dettagliate a scarne. Anche un servizio che non verifica l'identità può conservare indirizzi IP, dati del dispositivo, indirizzi e-mail e destinazioni dei prelievi.

Per ciascuno, documenta il confine allo stesso modo: la base dell'attribuzione al servizio, i depositi esatti, le richieste urgenti inviate e ciò che le registrazioni hanno aggiunto in seguito. La traccia si interrompe on-chain, ma non nel fascicolo del caso.

Focus sull'esame: valutare l'affermazione che un indirizzo sia un indirizzo di deposito di un servizio (registrazioni, elenchi pubblicati dal servizio, inoltro a un hot wallet attribuito con solide evidenze, etichette con e senza provenienza); quali affermazioni sui fondi all'interno di un servizio siano o non siano supportate dai dati on-chain; criteri per interrompere il lavoro on-chain e richiedere le registrazioni, dando priorità alla conservazione e al congelamento dei fondi; i campi del registro e dei prelievi necessari per riprendere una traccia; verificare i prelievi indicati confrontandoli con la chain e gestire differenze dovute alle commissioni e discrepanze; trattare il registro interno come un account misto; usare la correlazione basata su importo e orario come pista di grado D indicando il numero di candidati; servizi annidati e processori di pagamenti che richiedono una seconda richiesta.