Attribuzione e OSINT · Lezione 2 di 5
Fonti di attribuzione e relativa affidabilità
9 min di lettura
Ogni attribuzione contenuta in una relazione forense si basa su una fonte, e la difesa chiederà conto di ciascuna: da dove proviene questa etichetta, quando era valida, chi l’ha verificata e potrebbe essere stata copiata da qualche altra parte? Le fonti spaziano dai documenti prodotti da un servizio in risposta a un provvedimento legale a un tag senza spiegazioni su un explorer pubblico. Questa lezione illustra le principali categorie di fonti di attribuzione, la loro affidabilità tipica e un metodo per valutarle, datarle e riconciliarle, sviluppando quanto descritto sulle fonti delle etichette nella lezione IDFE-BA Attribuzione ed etichettatura.
Panoramica delle categorie di fonti
| Fonte | Cosa fornisce | Affidabilità | Come verificare | Rischi principali |
|---|---|---|---|---|
| Indirizzi pubblicati dall’entità stessa | Indirizzi di riserva, donazione o contratto propri di un’entità | Alta per gli indirizzi elencati, alla data di pubblicazione | Archiviare l’elenco; confermare che il dominio appartenga all’entità | Elenchi obsoleti; elenchi falsi pubblicati da impostori |
| Comunicazioni delle autorità | Indirizzi indicati in atti d’accusa, avvisi di sequestro, elenchi di sanzioni e avvisi | Alta per gli indirizzi nominati | Archiviare; citare l’ente emittente e la data | L’attribuzione è dell’autorità; le estensioni sono tue |
| Registri di servizi ed emittenti | Assegnazione degli account, KYC, registri di depositi e prelievi, registri contabili | Alta come documentazione; l’identità solo nei limiti di quanto dichiarato | Calcolare l’hash al ricevimento; riconciliare con la blockchain | Periodo o account errato; il KYC identifica il titolare, non l’autore dell’azione |
| Database sequestrati | Dati dei server ottenuti con la chiusura di mercati, mixer o servizi | Alta una volta convalidati | Registro della catena di custodia; verificare le righe sulla blockchain | Schema, fusi orari, dati di test, indirizzi non finanziati |
| Comunicazioni di vittime e incidenti | Indirizzi degli aggressori indicati in analisi post-incidente e rapporti delle vittime | Alta per gli indirizzi dell’incidente | Verificare rispetto alle transazioni dell’incidente | Elenchi iniziali corretti in seguito |
| Etichette commerciali | Attribuzioni dei fornitori all’interno degli strumenti di analisi | Variabile; raramente spiegata | Annotare la versione; chiedere su quali basi si fonda | Metodo opaco, senza data, versioni soggette a modifiche |
| Etichette della comunità | Tag su explorer, dataset aperti, segnalazioni di truffe da parte degli utenti | Da bassa a moderata | Risalire alla fonte originaria | Copie circolari, segnalazioni malevole |
| Dati trapelati | Database di clienti violati, dump | Sconosciuta | Verificare nuovamente tramite una fonte legittima | Legalità, autenticità, protezione dei dati |
La tabella è un punto di partenza. Un elenco pubblicato su un dominio che imita quello legittimo non vale nulla; un’etichetta della comunità che si riesce a ricondurre a un atto giudiziario è solida. Valuta l’elemento specifico, non la categoria.
Registri di servizi ed emittenti
Gli exchange, i custodi e gli emittenti di stablecoin detengono i registri che collegano i livelli del servizio e del titolare dell’account (vedi la lezione Dall’indirizzo all’entità alla persona). I documenti prodotti in risposta a un provvedimento legale sono di solito la fonte di attribuzione più solida in un caso, ma devono comunque essere esaminati:
- Autentica la produzione: chi l’ha fornita, attraverso quale canale, con quale dichiarazione di accompagnamento e qual è l’hash di ogni file al ricevimento (vedi la lezione Calcolo degli hash, registrazione e catena di custodia).
- Verifica l’ambito: il periodo, l’account e l’asset corrispondono alla richiesta?
- Riconcilia con la blockchain: ogni deposito e prelievo riportato nei registri deve corrispondere a una transazione verificabile su un nodo, per lo stesso importo e a un orario plausibile. Le discrepanze rivelano trasferimenti interni, movimenti nei registri contabili off-chain o errori (vedi la lezione Exchange e account cloud come prove).
- Ricorda cosa rappresenta il KYC: i documenti presentati dal cliente e verificati secondo gli standard del servizio in quel momento.
Un emittente di stablecoin può anche confermare se e quando ha congelato un indirizzo; i suoi registri del congelamento sono fonti primarie.
Database sequestrati
Le operazioni di chiusura di mercati darknet, mixer custodial ed exchange illeciti spesso portano al sequestro di immagini dei server contenenti account utente, indirizzi di deposito e registri di trasferimenti interni. Questi dati possono attribuire migliaia di indirizzi in una volta sola e sono spesso condivisi tra le autorità attraverso canali di cooperazione di polizia (vedi la lezione Mixer custodial).
Tratta un database sequestrato come una prova con una propria provenienza. Chi lo utilizza deve disporre della catena di custodia dell’autorità che ha effettuato il sequestro, dell’hash dell’immagine e di una comprensione dello schema: quale colonna contiene l’indirizzo di deposito, quale fuso orario usano i timestamp, se le righe includono account di test, ordini annullati o indirizzi generati ma mai utilizzati. Un indirizzo di deposito generato per un utente ma mai finanziato non dimostra nulla sul trasferimento di valore. Prima di basarti sul resto dei dati, convalida un campione di righe rispetto alla blockchain.
Dati trapelati: limiti legali ed etici
I database di clienti violati e altri dump circolano sui forum e talvolta vengono offerti agli investigatori. Sono allettanti perché possono collegare indirizzi o email a nomi. Sono anche rischiosi:
- Legalità: il possesso o il trattamento di dati personali rubati può essere di per sé illecito e le norme variano notevolmente da una giurisdizione all’altra. L’uso richiede una chiara base giuridica e una politica organizzativa scritta, definite da consulenti legali, non dall’esaminatore.
- Autenticità: i dump spesso vengono ricompilati, uniti a violazioni precedenti o falsificati in parte.
- Protezione dei dati: i dati riguardano molte persone non coinvolte. Si applicano i principi di proporzionalità e minimizzazione (vedi la lezione IDFE-BA Protezione dei dati, etica e divulgazione responsabile).
- Divulgazione ed equità: il materiale che non può essere divulgato o autenticato può compromettere un caso.
Ove l’uso sia consentito, un dato trapelato è al massimo un indizio investigativo, da collocare al livello più basso della scala; il fatto deve essere verificato nuovamente tramite una fonte legittima, in genere con una richiesta al servizio da cui sono trapelati i dati.
Etichette commerciali e della comunità
Gli strumenti di analisi contengono ampi insiemi proprietari di etichette. Spesso sono frutto di ricerche approfondite, ma il metodo alla base di una singola etichetta raramente è visibile e le etichette cambiano da una versione all’altra senza preavviso. Per l’uso forense:
- Registra lo strumento, la versione, il testo dell’etichetta, la categoria e la data e l’ora in cui è stata visualizzata, acquisendo una schermata o un’esportazione (vedi la lezione Strumenti, riproducibilità e convalida).
- Chiedi su quali basi si fonda ogni etichetta da cui dipende un risultato: transazione di prova, comunicazione pubblica, registri, estensione euristica.
- Corrobora in modo indipendente le etichette che incidono sulle decisioni, per esempio con un deposito di prova effettuato da te, un elenco pubblicato dall’entità stessa o una conferma del servizio.
Le etichette della comunità, come i tag pubblici degli explorer, i dataset aperti e le segnalazioni di truffe inviate dagli utenti, non offrono alcuna garanzia. Le segnalazioni di truffe possono essere presentate in malafede contro indirizzi innocenti. Usale per formulare ipotesi, poi risali all’origine di ciascuna; le copie provenienti dalla stessa fonte contano una sola volta (la lezione IDFE-BA Attribuzione ed etichettatura definisce questo fenomeno segnalazione circolare).
Valutare separatamente fonte e informazione
Nell’attività di intelligence si valutano separatamente due aspetti: l’affidabilità della fonte e la credibilità dello specifico elemento informativo. Il sistema NATO «Admiralty» usa lettere da A a F per l’affidabilità della fonte (da completamente affidabile a non valutabile) e numeri da 1 a 6 per la credibilità dell’informazione (da confermata da altre fonti a non valutabile). Molti organismi di contrasto, tra cui Europol, usano una versione quattro per quattro: fonti A, B, C o X (non valutabile) e informazioni da 1 a 4, da informazioni la cui accuratezza non è in dubbio a informazioni che la fonte non conosce personalmente e che non possono essere corroborate.
L’approccio a due assi è adatto all’attribuzione. Una fonte affidabile può trasmettere un elemento che non conosce in prima persona; un utente sconosciuto di un forum può pubblicare un indirizzo che viene poi corroborato dalla blockchain. Un esempio di mappatura 6x6:
| Elemento | Fonte | Informazione | Motivo |
|---|---|---|---|
| I documenti forniti dall’exchange assegnano l’indirizzo di deposito a un account | A | 1 | Registro primario, riconciliato con la blockchain |
| Etichetta del fornitore «Exchange K», senza indicazione delle basi | B | 3 | Fonte solitamente affidabile; elemento non confermato in modo indipendente |
| Un post sul forum sostiene che un indirizzo appartenga a una truffa | F | 3 | Autore sconosciuto; attività dell’indirizzo compatibile con la dichiarazione |
| Indirizzo tratto da un dump trapelato e collegato a un’email | F | 6 | Provenienza e autenticità impossibili da stabilire |
Registra entrambi i codici per ogni etichetta nel registro delle attribuzioni del caso, insieme al livello di confidenza del collegamento (vedi la lezione Dall’indirizzo all’entità alla persona).
Verificare, datare e riconciliare le etichette
Ogni etichetta è valida per un certo periodo. Una procedura pratica di verifica:
- Risali alla fonte. Trova la prima pubblicazione o il primo documento, non la copia che hai consultato.
- Conserva e data. Archivia la pagina o il documento con l’URL, l’ora di acquisizione in UTC e l’hash (vedi la lezione Metodologia OSINT).
- Verifica la finestra di attività. L’attività on-chain dell’indirizzo è compatibile con il ruolo dichiarato in quel periodo? Un indirizzo etichettato come hot wallet di un exchange che ha smesso di movimentare fondi nel 2021 non dice nulla sui depositi del 2026.
- Esamina il comportamento. L’indirizzo si comporta come previsto per quella categoria: raccolta dei depositi, ampie operazioni di distribuzione per gli hot wallet, codice di contratto per un bridge?
- Cerca una seconda fonte indipendente per ogni etichetta da cui dipende un risultato.
Quando le fonti sono in disaccordo, non fare una media:
| Conflitto | Risoluzione abituale |
|---|---|
| Comunicazione di un’autorità rispetto a un’etichetta di un fornitore | Riporta l’attribuzione dell’autorità come tale; indica l’etichetta del fornitore e chiedi su quali basi si fonda |
| Registri del servizio rispetto a qualsiasi etichetta | Una volta riconciliati con la blockchain, i registri prevalgono per gli indirizzi propri di quel servizio |
| Due etichette di fornitori indicano entità diverse | Considera una possibile fusione erronea di cluster; riesamina i collegamenti tra i cluster |
| Etichetta recente rispetto a un’etichetta più vecchia | Verifica se l’indirizzo ha cambiato titolare o ruolo; entrambe possono essere corrette per i rispettivi periodi |
Conserva nel registro anche l’etichetta scartata, indicando il motivo per cui è stata accantonata. Le divergenze tra le fonti sono esattamente ciò che gli esperti della difesa cercano, e dimostrare di averle rilevate e risolte è più convincente che dare l’impressione di non essersene mai accorti (vedi la lezione Divulgazione e verifica della difesa).
Focus sull'esame: le principali categorie di fonti, i loro punti di forza e i rischi, e come verificare ciascuna; autenticazione, definizione dell’ambito e riconciliazione dei registri dei servizi; convalida dei database sequestrati (provenienza, schema, fusi orari, indirizzi non finanziati); limiti legali, di autenticità e di protezione dei dati relativi ai dati trapelati, e verifica dei fatti tramite fonti legittime; registrazione delle etichette commerciali e richiesta delle basi su cui si fondano; segnalazione circolare; valutazione su due assi di fonte e informazione (le versioni NATO Admiralty 6x6 e delle forze dell’ordine 4x4); datazione delle etichette in rapporto alle finestre di attività; risoluzione dei conflitti tra fonti e registrazione delle relative motivazioni.