Fonti di attribuzione e loro affidabilità

Ogni attribuzione contenuta in una relazione forense si basa su una fonte, e la difesa porrà domande su ciascuna: da dove proviene questa etichetta, quando era valida, chi l'ha verificata e potrebbe essere stata copiata da qualche altra parte? Le fonti spaziano dai documenti prodotti da un servizio in adempimento a una richiesta dell'autorità giudiziaria a un tag privo di spiegazioni su un explorer pubblico. Questa lezione illustra le principali famiglie di fonti di attribuzione, la loro affidabilità tipica e un metodo per valutarle, datarle e riconciliarle, sulla base delle fonti delle etichette e dei gradi dei collegamenti descritti nella lezione Dall'indirizzo all'entità alla persona: attribuzione ed etichettatura.

Le famiglie di fonti in sintesi

La tabella è un punto di partenza. Un elenco pubblicato su un dominio che si spaccia per quello dell'entità non ha alcun valore; un'etichetta della comunità che si riesce a ricondurre a un atto depositato in tribunale è solida. Valutare il singolo elemento, non la famiglia.

Documentazione di servizi ed emittenti

Gli exchange, i custodi e gli emittenti di stablecoin detengono la documentazione che collega il livello del servizio a quello dell'intestatario dell'account (si veda la lezione Dall'indirizzo all'entità alla persona: attribuzione ed etichettatura). La documentazione prodotta in risposta a una richiesta dell'autorità giudiziaria costituisce solitamente la fonte di attribuzione più solida in un caso, ma deve comunque essere esaminata:

• Autenticare la documentazione prodotta: chi l'ha prodotta, attraverso quale canale, con quale dichiarazione di accompagnamento e con quale hash per ciascun file al momento del ricevimento (si veda la lezione Hashing, registrazione dei log, catena di custodia e gestione della qualità).
• Verificare l'ambito: il periodo, l'account e l'asset corrispondono alla richiesta?
• Riconciliare con la blockchain: ogni deposito e prelievo presente nella documentazione dovrebbe corrispondere a una transazione verificabile su un nodo, con lo stesso importo e un orario plausibile. Le discrepanze rivelano trasferimenti interni, movimenti contabili off-chain o errori (si veda la lezione Account di exchange e cloud come prove).
• Ricordare che cosa sia il KYC: i documenti presentati da un cliente, verificati secondo gli standard del servizio in vigore all'epoca.

Un emittente di stablecoin può anche confermare di aver congelato un indirizzo e indicare quando; la sua documentazione sul congelamento costituisce una fonte primaria.

Database sequestrati

Le operazioni di smantellamento di mercati darknet, mixer custodial ed exchange illeciti producono spesso immagini dei server contenenti account utente, indirizzi di deposito e log dei trasferimenti interni. Questi dati possono consentire di attribuire migliaia di indirizzi contemporaneamente e vengono spesso condivisi tra le autorità attraverso canali di cooperazione di polizia (si veda la lezione Mixer custodial).

Trattare un database sequestrato come una prova con una propria provenienza. L'esaminatore che vi fa affidamento deve disporre della catena di custodia dell'autorità che ha eseguito il sequestro, dell'hash dell'immagine e di una comprensione dello schema: quale colonna contiene l'indirizzo di deposito, quale fuso orario utilizzano i timestamp, se le righe includono account di prova, ordini annullati o indirizzi generati ma mai utilizzati. Un indirizzo di deposito generato per un utente ma mai finanziato non dimostra nulla in merito al valore. Validare un campione di righe confrontandole con la blockchain prima di fare affidamento sulle altre.

Dati divulgati illecitamente: limiti giuridici ed etici

I database di clienti sottratti mediante violazioni e altri dump circolano sui forum e vengono talvolta offerti agli investigatori. Sono allettanti perché possono collegare indirizzi o email a nomi. Sono anche rischiosi:

• Liceità: il possesso o il trattamento di dati personali rubati può essere di per sé illecito, e le norme variano notevolmente tra le giurisdizioni. L'utilizzo richiede una base giuridica chiara e una politica organizzativa scritta, stabilita dai consulenti legali, non dall'esaminatore.
• Autenticità: i dump vengono spesso ricompilati, uniti a dati di violazioni precedenti o parzialmente falsificati.
• Protezione dei dati: i dati riguardano molte persone estranee ai fatti. Si applicano i principi di proporzionalità e minimizzazione (si veda la lezione Etica, riservatezza, protezione dei dati e sicurezza dell'investigatore).
• Messa a disposizione degli atti ed equità: materiale che non può essere messo a disposizione delle parti o autenticato può compromettere un caso.

Laddove l'utilizzo sia consentito, un dato divulgato illecitamente costituisce al massimo una pista informativa, collocata al livello più basso della scala, e il fatto deve essere nuovamente accertato tramite una fonte lecita, tipicamente una richiesta al servizio i cui dati sono stati divulgati.

Etichette commerciali e della comunità

Gli strumenti di analisi contengono ampi insiemi proprietari di etichette. Sono spesso frutto di ricerche accurate, ma il metodo alla base di una singola etichetta è raramente visibile e le etichette cambiano tra le versioni senza preavviso. Per l'uso forense:

1. Registrare lo strumento, la versione, il testo dell'etichetta, la categoria e la data e l'ora di visualizzazione, acquisendo una schermata o un'esportazione (si veda la lezione Strumenti, riproducibilità e validazione).
2. Chiedere su quali elementi si basi ogni etichetta da cui dipende una risultanza: transazione di prova, pubblicazione pubblica, documentazione, estensione euristica.
3. Corroborare in modo indipendente le etichette determinanti per le decisioni, ad esempio con un proprio deposito di prova, un elenco pubblicato dall'entità stessa o la conferma del servizio.

Le etichette della comunità, come i tag pubblici degli explorer, i dataset aperti e le segnalazioni di truffa presentate dagli utenti, non offrono alcuna garanzia. Le segnalazioni di truffa possono essere presentate dolosamente contro indirizzi innocenti. Utilizzarle per formulare ipotesi, quindi risalire all'origine di ciascuna; le copie di un'unica fonte originaria contano una sola volta (la lezione Dall'indirizzo all'entità alla persona: attribuzione ed etichettatura definisce questo fenomeno segnalazione circolare).

Valutare separatamente fonte e informazione

La prassi di intelligence valuta due aspetti in modo indipendente: quanto sia affidabile la fonte e quanto sia credibile il singolo elemento informativo. Il sistema NATO "Admiralty" utilizza le lettere da A a F per l'affidabilità della fonte (da completamente affidabile a non valutabile) e i numeri da 1 a 6 per la credibilità dell'informazione (da confermata da altre fonti a non valutabile). Molti organismi di contrasto, tra cui Europol, utilizzano una versione quattro per quattro: fonti A, B, C o X (non valutabile) e informazioni da 1 a 4, da informazioni la cui accuratezza non è in dubbio a informazioni che la fonte non conosce direttamente e che non possono essere corroborate.

L'approccio a due assi si adatta bene all'attribuzione. Una fonte affidabile può trasmettere un elemento di cui non ha conoscenza diretta; un utente sconosciuto di un forum può pubblicare un indirizzo che la blockchain consente poi di corroborare. Una classificazione illustrativa 6x6:

Registrare entrambi i codici per ogni etichetta nel registro delle attribuzioni del caso, accanto al grado A–D del collegamento (si veda la lezione Dall'indirizzo all'entità alla persona: attribuzione ed etichettatura). Le due scale sono distinte: una fonte classificata A in questo sistema non rende il collegamento di grado A.

Verificare, datare e riconciliare le etichette

Ogni etichetta è valida per un determinato periodo. Una procedura pratica di verifica:

1. Risalire all'origine. Individuare la prima pubblicazione o il primo documento, non la copia consultata.
2. Conservare e datare. Archiviare la pagina o il documento con URL, ora di acquisizione in UTC e hash (si veda la lezione OSINT e collegamento degli identificatori on-chain e off-chain).
3. Verificare la finestra di attività. L'attività on-chain dell'indirizzo è coerente con il ruolo attribuito in quel periodo? Un indirizzo etichettato come hot wallet di un exchange che ha cessato di effettuare movimenti nel 2021 non dice nulla sui depositi del 2026.
4. Verificare il comportamento. L'indirizzo si comporta in modo coerente con la categoria: trasferimenti di raccolta per i depositi, un elevato numero di trasferimenti in uscita verso molteplici destinatari per gli hot wallet, codice di contratto per un bridge?
5. Cercare una seconda fonte indipendente per ogni etichetta da cui dipende una risultanza.

Quando le fonti sono in disaccordo, non farne una media:

Conservare nel registro l'etichetta scartata, insieme al motivo per cui è stata accantonata. I disaccordi tra le fonti sono esattamente ciò che cercano gli esperti della difesa, e dimostrare di averli individuati e risolti è più solido che dare l'impressione di non averli mai notati (si veda la lezione Messa a disposizione degli atti ed esame critico della difesa).

Focus sull'esame: le principali famiglie di fonti, i loro punti di forza e rischi e le modalità di verifica di ciascuna; autenticazione, verifica dell'ambito e riconciliazione della documentazione dei servizi; validazione dei database sequestrati (provenienza, schema, fusi orari, indirizzi mai finanziati); limiti giuridici, di autenticità e di protezione dei dati relativi ai dati divulgati illecitamente, e nuovo accertamento dei fatti tramite fonti lecite; registrazione delle etichette commerciali e richiesta degli elementi su cui si basano; segnalazione circolare; valutazione a due assi della fonte e dell'informazione (il sistema NATO Admiralty 6x6 e le versioni 4x4 degli organismi di contrasto); datazione delle etichette rispetto alle finestre di attività; risoluzione dei conflitti tra fonti e conservazione delle motivazioni.