Mixer custodiali

I mixer sono progettati per interrompere proprio i collegamenti da cui dipende il tracciamento. Gli investigatori li incontrano nei casi di furto, ransomware e truffa, ma anche nei portafogli di persone comuni che attribuiscono valore alla riservatezza finanziaria. Un mixer custodiale adotta il modello più diretto: prende in custodia le monete di un cliente e successivamente eroga altre monete, per cui il collegamento on-chain tra deposito ed erogazione semplicemente non esiste. Basandosi soltanto sulla blockchain, il massimo che un esaminatore può produrre è un insieme di candidati costruito su ipotesi dichiarate; quando un mixer viene smantellato, i suoi server possono trasformare quei candidati in registrazioni documentali. Saper distinguere con quale delle due situazioni si sta lavorando, e dichiararlo, è la competenza sviluppata da questa lezione. La lezione apre inoltre il modulo illustrando ciò che accomuna tutti i modelli di mixing; le lezioni da 6.2 a 6.5 approfondiscono CoinJoin, mixer basati su smart contract, criptovalute orientate alla privacy e altre tecniche.

Tre famiglie di mixing

Ogni tecnica di mixing sostituisce un arco deterministico (questo output è stato speso da quella transazione) con un insieme di candidati ugualmente plausibili. La dimensione di tale insieme è l'insieme di anonimato: il numero di partecipanti, depositi o output tra i quali potrebbe trovarsi una determinata moneta.

La blockchain mostra sempre chi ha depositato, quanto e quando, chi ha ricevuto un'erogazione, quanto e quando, e che è avvenuto un mixing. Ciò che nasconde è il collegamento tra questi elementi, a meno che gli utenti o il software non lo rivelino.

Come funziona un mixer custodiale

Il cliente richiede un ordine, riceve un nuovo indirizzo di deposito e indica uno o più indirizzi di erogazione, un ritardo e talvolta un livello di commissione. Trascorso il ritardo, l'operatore eroga l'importo depositato, al netto della propria commissione, dalla propria riserva, costituita dalle monete di clienti precedenti, spesso suddividendo l'erogazione tra più indirizzi e momenti diversi. Wu e colleghi (Verso la comprensione e la demistificazione dei servizi di mixing di Bitcoin, 2021), che hanno studiato diversi servizi effettuando propri depositi di prova, hanno descritto due meccanismi:

Due caratteristiche sono rilevanti ai fini probatori. Molti servizi rilasciano una lettera di garanzia, un messaggio firmato dal servizio che indica l'indirizzo di deposito e le condizioni dell'ordine, conservato dai clienti per dimostrare l'esistenza dell'ordine. Molti assegnano inoltre ai clienti abituali un codice affinché non ricevano mai indietro le proprie monete. Entrambi gli artefatti possono trovarsi sul dispositivo di un sospettato o in un database sequestrato, ed entrambi collegano una persona a un ordine in un modo che la blockchain non può mai offrire (lezione 7.1). Alcuni servizi si sono spinti oltre: l'operatore di Helix, che ha elaborato circa 354.468 BTC dal 2014 al 2017, ha realizzato un'interfaccia che consentiva ai mercati darknet di inviare i prelievi dei clienti direttamente al mixer.

Qualsiasi servizio custodiale con funzioni di deposito e prelievo può essere utilizzato abusivamente nello stesso modo. Nel caso Bitfinex del 2016, gli analisti hanno riferito che un mercato darknet era stato utilizzato come mixer improvvisato.

Il quadro on-chain sui due versanti

Sul versante dei depositi, il percorso è deterministico fino all'indirizzo di deposito e, in genere, per un ulteriore passaggio, quando l'operatore consolida i depositi nel proprio cluster. È importante come sia stato identificato quel cluster: un'etichetta derivata da un deposito di prova effettuato personalmente, un'etichetta ricavata da dati sequestrati e un'etichetta commerciale hanno ciascuna un'affidabilità diversa (lezione 4.6). Registrare quale sia stata utilizzata, insieme alla data dell'istantanea. Da quel punto in poi, trattare il deposito come si tratterebbe un deposito presso un exchange: il percorso sulla blockchain termina al confine del servizio (lezione 3.4).

Sul versante dei prelievi, le erogazioni escono dalla riserva lungo catene di peeling o in lotti, e la loro struttura può essa stessa diventare un elemento probatorio dell'origine. Zavřel e colleghi (Ruzzolando giù per le scale, presentato a DFRWS EU 2025 e pubblicato su Forensic Science International: Digital Investigation) hanno costruito un'impronta del portafoglio di un mixer a partire da circa 40 transazioni del servizio, utilizzando combinazioni rare di versione della transazione, segnalazione replace-by-fee e locktime che il suo software impostava in modo apparentemente casuale. Seguendo in avanti e a ritroso le transazioni corrispondenti, hanno distinto 344 indirizzi del servizio da 461 indirizzi dei clienti. Hanno inoltre avvertito che la corrispondenza di un'impronta è probabilistica e non hanno riportato alcun tasso di errore convalidato. Un'impronta può quindi attribuire un'erogazione al mixer con grado C; non può indicare a quale cliente fosse destinata l'erogazione.

Analisi di tempi e importi

In assenza di registrazioni, l'esaminatore può soltanto chiedersi quali erogazioni siano compatibili con un deposito noto. I parametri sono l'importo del deposito, l'intervallo di commissioni pubblicizzato dal servizio, la commissione di rete e il ritardo massimo.

-- Erogazioni candidate per un deposito di 0,50000000 BTC confermato al blocco 850.100
WITH payouts AS (                      -- transazioni che spendono monete del cluster del mixer
  SELECT DISTINCT i.transaction_hash AS tx
  FROM inputs i
  JOIN mixer_cluster m ON m.address = i.address
)
SELECT o.transaction_hash, o.output_index, o.value, o.block_number
FROM outputs o
JOIN payouts p ON p.tx = o.transaction_hash
WHERE o.block_number BETWEEN 850100 AND 850244           -- ritardo fino a 144 blocchi
  AND o.value BETWEEN 47480000 AND 49500000              -- sat: commissione 1-5%, commissione di rete fino a 0,0002 BTC
  AND o.address NOT IN (SELECT address FROM mixer_cluster)  -- escludere il resto interno
ORDER BY o.block_number;

La CTE individua le transazioni che spendono monete del cluster del mixer. La query esterna conserva gli output nella finestra di ritardo il cui valore equivale al deposito meno una commissione dell'1–5% e meno una commissione di rete fino a 0,0002 BTC (0,5 × 0,95 − 0,0002 = 0,4748 BTC; 0,5 × 0,99 = 0,4950 BTC; in satoshi 47.480.000 e 49.500.000), ed elimina gli output che rientrano nel cluster. Ogni numero nella clausola WHERE è un'ipotesi, e l'affidabilità del risultato dipende da quella del cluster.

La dimensione dell'insieme di candidati è molto sensibile a tali ipotesi. Nelle transazioni di prova pubblicate da Tippe e Deckers (Scomporre il mix, DFRWS EU 2025, nella stessa rivista), una ricerca in una finestra di 24 ore dell'esatto valore del deposito al netto della commissione del mixer ha lasciato due erogazioni candidate, una delle quali era quella effettiva. La ricerca nell'intero intervallo di commissioni pubblicizzato ha prodotto 4.453 candidati, e un intervallo aperto da zero fino a quel valore ne ha prodotti 461.140. Quando il cliente ha suddiviso l'erogazione tra due indirizzi, nessun singolo output corrispondeva al valore complessivo. Il risultato è pertanto l'insieme di candidati insieme ai suoi parametri, mai "l'erogazione". Una registrazione difendibile contiene:

1. il txid, l'importo e il blocco del deposito;
2. il modo in cui è stato identificato il cluster del mixer e la data della relativa istantanea;
3. ogni parametro e la sua fonte (le commissioni e i ritardi pubblicizzati dal servizio, archiviati);
4. il numero di candidati per ogni insieme di parametri, eseguendo la ricerca almeno due volte con ampiezze diverse;
5. il grado: una corrispondenza di tempi e importi è di grado D, che aumenta soltanto con riscontri indipendenti, come le registrazioni (lezione 3.2).

I server sequestrati come fonte di prova

Gli smantellamenti cambiano il quadro perché le registrazioni dell'operatore contengono il collegamento che la blockchain nasconde.

Tippe e Deckers, esaminando i casi ChipMixer, Helix e Bitcoin Fog, hanno osservato che in tutti e tre gli operatori sono stati identificati tramite informazioni off-chain, non soltanto attraverso il tracciamento sulla blockchain.

Un database sequestrato è potente e pericoloso. Prima di farvi affidamento, verificare:

• Provenienza: la catena di custodia dell'autorità che ha effettuato il sequestro e gli hash delle immagini, nonché il canale attraverso cui sono pervenuti i dati (lezioni 1.3 e 8.3).
• Schema e tempi: il significato di ogni tabella e colonna, il fuso orario delle marche temporali, gli ordini di prova o annullati.
• Completezza: i periodi di conservazione o cancellazione; un servizio che prometteva di cancellare i log dopo pochi giorni potrebbe conservare soltanto gli ordini recenti.
• Riconciliazione: ogni deposito registrato dovrebbe corrispondere a una transazione on-chain verso il relativo indirizzo di deposito, e ogni erogazione registrata a un output on-chain. Riportare il tasso di corrispondenza per l'intera tabella, non soltanto per un campione.
• Integrità: se l'operatore avrebbe potuto alterare le registrazioni e se i totali interni concordano con i saldi della riserva on-chain.

Un ordine riconciliato, registrato in modo che un secondo esaminatore possa ripetere la verifica:

{
  "source": "seized_image_03/orders.db, immagine SHA-256 9c1e…44ab",
  "order_id": "A7F3…",
  "deposit": {"address": "bc1q…7k3f", "txid": "9b1e…47d0", "onchain_match": true},
  "payouts": [
    {"address": "bc1q…m2pz", "txid": "9b0d…e7a2", "onchain_match": true},
    {"address": "bc1q…r81d", "txid": "c4e1…0f9b", "onchain_match": true}
  ],
  "db_time": "2022-11-04T13:22:07", "db_timezone": "UTC+1 (dalla configurazione del server)",
  "block_time_utc": "2022-11-04T12:31:55Z",
  "grade": "B (registrazione corroborata dalla blockchain)",
  "examiner": "EX-14", "verified_utc": "2026-10-20T09:12:00Z"
}

La registrazione cita il file del database e l'hash della sua immagine, indica per ciascun indirizzo se la blockchain lo conferma e mantiene separati l'orario e il fuso orario del database dall'orario del blocco. Lo scarto grezzo di circa 50 minuti scompare una volta applicato il fuso orario del server: l'ordine è stato registrato alle 12:22:07 UTC, circa dieci minuti prima della conferma del deposito, come previsto. Soltanto dopo questa verifica il collegamento dal deposito alle erogazioni passa da "nessun collegamento" al grado B.

Limiti dell'inferenza

Tenere presenti tre limiti. In primo luogo, l'uso di un mixer non costituisce di per sé una prova dell'origine dei fondi; molti utenti cercano riservatezza per ragioni lecite. In secondo luogo, in termini di blockchain, l'"origine" di un'erogazione è costituita dai depositi di altri clienti: considerare contaminata ogni erogazione di un mixer, oppure ogni cliente, attribuisce quindi un reato a persone prive di legami con il caso. In terzo luogo, una registrazione sequestrata dimostra ciò che il sistema dell'operatore ha registrato, e una registrazione riconciliata dimostra che il valore è stato trasferito come registrato; nessuna delle due dimostra chi abbia inserito l'ordine. A tal fine occorrono comunque elementi probatori relativi all'account, al dispositivo o alla rete.

Il mixing si combina spesso con il passaggio tra blockchain, per esempio tramite una conversione in una criptovaluta orientata alla privacy come Monero, in cui il percorso visibile termina alla conversione e può riapparire quando i fondi vengono riconvertiti (lezioni 5.3 e 6.4).

Nella relazione, indicare il servizio, gli importi e gli orari in entrata e in uscita, la dimensione dell'insieme di candidati e i relativi parametri, nonché gli eventuali elementi che supportano un collegamento.

Focus sull'esame: l'insieme di anonimato e le tre famiglie di mixing, e chi può detenere il collegamento in ciascuna; i meccanismi di scambio e offuscamento e le rispettive strutture on-chain; le lettere di garanzia e i codici cliente come artefatti che collegano una persona a un ordine; il confine del servizio sul versante dei depositi e l'identificazione tramite impronta del portafoglio sul versante delle erogazioni, con la sua natura probabilistica; la costruzione di un insieme di candidati basato su tempi e importi a partire da parametri dichiarati e la rendicontazione della sua sensibilità (due candidati contro 461.140); il grado D per tali corrispondenze; Bestmixer, ChipMixer, Helix e Bitcoin Fog, e il fatto che gli operatori siano stati identificati tramite informazioni off-chain; la convalida di un database sequestrato (provenienza, schema e fuso orario, completezza, riconciliazione integrale, integrità); perché considerare contaminata ogni erogazione o ogni utente di un mixer non è supportato.