OSINT e collegamento tra identificativi on-chain e off-chain

La ricerca su fonti aperte fornisce spesso il collegamento che l'analisi on-chain non può offrire: un post in cui un sospettato ha pubblicato un indirizzo, la cronologia di registrazione del sito web di una truffa, uno pseudonimo riutilizzato su una seconda piattaforma. Tali corrispondenze hanno avviato molte identificazioni. Sono anche frequenti fonti di errore, perché gli identificativi possono essere copiati, falsificati, rivenduti e coincidere per caso, e uno screenshot privo di URL, di riferimenti temporali e di una documentazione su come sia stato trovato è facilmente contestabile in tribunale. Questa lezione illustra come pianificare il lavoro su fonti aperte, raccogliere elementi documentandone la provenienza, valutare ogni tipo di collegamento tra on-chain e off-chain e verificare un collegamento prima di farvi affidamento.

Informazioni, intelligence e prove

Il Protocollo di Berkeley sulle indagini digitali su fonti aperte, pubblicato nel dicembre 2020 dallo Human Rights Center della UC Berkeley School of Law insieme all'Ufficio dell'Alto Commissario delle Nazioni Unite per i diritti umani, è il principale riferimento internazionale per il lavoro su fonti aperte destinato ai procedimenti giudiziari. Distingue tre categorie:

• Informazioni da fonti aperte: informazioni che qualsiasi membro del pubblico può osservare, acquistare o richiedere, senza uno status giuridico speciale né accessi non autorizzati.
• Intelligence da fonti aperte (OSINT): informazioni da fonti aperte utilizzate principalmente per supportare decisioni, ad esempio su dove concentrare l'attenzione o su cosa richiedere.
• Prove da fonti aperte: informazioni da fonti aperte con valore probatorio, sulle quali ci si può basare per accertare fatti nei procedimenti.

La maggior parte dell'OSINT in un caso relativo alle criptovalute rimane intelligence, indicando il servizio a cui rivolgersi. Solo gli elementi raccolti e conservati secondo standard probatori possono diventare prove; occorre quindi pianificare in tal senso fin dalla prima ricerca: una pagina che scompare non può essere raccolta nuovamente. Quanto all'ubicazione dei dati, la Convenzione di Budapest consente a una Parte di accedere a dati informatici archiviati accessibili al pubblico, indipendentemente dalla loro ubicazione geografica (articolo 32(a)); continuano ad applicarsi le norme nazionali sulle ricerche online degli investigatori, definite dai consulenti legali dell'unità.

Pianificazione e modalità operativa

Il lavoro su fonti aperte segue il ciclo di intelligence: indirizzo (che cosa occorre sapere?), raccolta, elaborazione, analisi, diffusione e riscontro. Il Protocollo di Berkeley descrive le fasi investigative come ricerche online, valutazione preliminare, raccolta, conservazione, verifica e analisi investigativa. Prima di effettuare ricerche, redigere un breve piano di raccolta nel fascicolo del caso:

Il piano limita la ricerca a quanto necessario per rispondere al quesito (la minimizzazione dei dati è tra i principi del Protocollo di Berkeley, insieme all'accuratezza, alla conservazione e alla sicurezza fin dalla progettazione) e consente di rispondere in seguito alla domanda sul perché una fonte sia stata o non sia stata consultata.

Il modo in cui l'investigatore si presenta online è importante per la sicurezza e per il caso. La ricerca attribuibile è riconoscibile come attività dell'agenzia o della società e può mettere in allerta i soggetti. La ricerca non attribuibile utilizza infrastrutture che non rivelano l'organizzazione e si limita alla consultazione passiva; è adatta alla maggior parte delle attività OSINT sui soggetti. L'attività sotto copertura, che comporta l'interazione con i soggetti sotto falsa identità, non è OSINT passiva e richiede una specifica autorizzazione giuridica; il Protocollo di Berkeley avverte che la falsa rappresentazione della propria identità, come l'ingresso in gruppi chiusi con falsi pretesti, può violare il diritto alla riservatezza e compromettere un'indagine. Anche la ricerca di un indirizzo sospetto su un explorer pubblico comunica al suo operatore che qualcuno vi è interessato; le interrogazioni sensibili devono essere eseguite sul proprio nodo (lezione 1.5).

Ricerca, acquisizione e provenienza

Gli operatori di ricerca ("…" per una stringa esatta, site:, -term, OR, intitle:, filetype: e, su alcuni motori, before: e after:) differiscono tra i motori e cambiano nel tempo, pertanto occorre registrare la stringa esatta dell'interrogazione insieme a ciascun risultato. Per i casi relativi alle criptovalute:

• Cercare gli indirizzi completi, con e senza virgolette, su più motori, repository di codice e siti di condivisione di testo; un risultato relativo a una stringa lunga e univoca è raramente una coincidenza, anche se potrebbe trattarsi di una copia. Cercare gli pseudonimi con le relative varianti (trattini bassi, cifre, sostituzioni).
• Controllare gli archivi web, come la Wayback Machine di Internet Archive, per trovare versioni precedenti alla rimozione degli indirizzi di deposito da parte di un sito truffaldino o alla modifica di un post da parte di un utente; citare l'URL dell'archivio e l'orario di acquisizione così come registrato dall'archivio.
• Acquisire prima, analizzare dopo. Le pagine online cambiano e scompaiono, talvolta perché il soggetto ha notato l'interesse nei suoi confronti.

Ogni elemento richiede informazioni sufficienti a dimostrare in seguito che cosa fosse, da dove provenisse, quando e come sia stato acquisito e che non sia cambiato. Il documento SWGDE Buone pratiche per l'acquisizione di contenuti online (documento 21-F-001) raccomanda di acquisire l'intera sequenza di URL, registrare date, orari e fuso orario dell'accesso, conservare i metadati, calcolare l'hash di ogni file acquisito con algoritmi approvati dal NIST e documentare l'esaminatore, il browser e l'IP di accesso; il Protocollo di Berkeley aggiunge gli strumenti e i software utilizzati. Una voce del registro di raccolta:

{
  "item_id": "OS-0007",
  "case_id": "CF-2026-0142",
  "url": "https://forum.example/t/48213?page=3#post-912",
  "query": "\"bc1q…7k3f\" site:forum.example",
  "captured_utc": "2026-03-06T10:41:12Z",
  "method": "full-page capture + HTML source + WARC",
  "tool": "open-source capture tool v3.2, browser 128",
  "files": [
    {"name": "OS-0007.warc.gz", "sha256": "5b0e…11d4"},
    {"name": "OS-0007.png", "sha256": "c3a9…7e20"}
  ],
  "archive_copy": "web archive capture requested 2026-03-06T10:44Z",
  "posture": "non-attributable, research host RH-2",
  "collector": "EX-07",
  "note": "post dated 2023-11-14 shows address in user signature"
}

La voce conserva un file WARC (il formato di archiviazione web standardizzato come ISO 28500), che preserva lo scambio HTTP; uno screenshot leggibile; e il codice sorgente HTML, ciascuno sottoposto a hashing al momento dell'acquisizione, oltre a una copia d'archivio indipendente come documentazione di terza parte. La nota distingue la data mostrata nel post, un'affermazione della piattaforma, dall'orario di acquisizione, un'osservazione diretta dell'esaminatore.

Tipi di collegamento e relativa forza

Ogni collegamento viene valutato singolarmente secondo la scala della lezione 4.5, e una catena di collegamenti assume il grado del suo elemento più debole. La colonna della forza rappresenta un punto di partenza tipico, non un grado: una firma verificata personalmente è una prova diretta del controllo al momento della firma (A su quella scala), un singolo post o dato di registrazione è un indicatore con modalità di errore note (C), una sola corrispondenza di pseudonimo o di orari di attività è solitamente una pista (D), e ciascuno di questi elementi passa a B quando trova conferma in un indicatore indipendente di tipo diverso.

Messaggi firmati e servizi di denominazione

La corrispondenza più forte è un messaggio firmato. Con BIP-322 (Bitcoin) o EIP-191 (Ethereum), il titolare di una chiave firma un testo e chiunque può verificare la firma. Una firma valida dimostra che il firmatario poteva firmare per quell'indirizzo in quel momento. Lo stesso BIP-322 precisa che cosa non dimostra: che il firmatario controlli ancora i fondi o che abbia inviato transazioni precedenti. Verificare personalmente ogni firma con un'implementazione aperta, registrando lo strumento e la versione.

L'Ethereum Name Service (ENS) associa nomi e indirizzi in due direzioni di peso diverso. La risoluzione diretta (da nome a indirizzo) è impostata dal proprietario del nome e può puntare a qualsiasi indirizzo senza il consenso di chi lo controlla; mostra ciò che il proprietario del nome ha scelto di visualizzare. La risoluzione inversa (da indirizzo a nome primario) è impostata tramite una transazione proveniente dall'indirizzo stesso, quindi è un'affermazione di chi controllava l'indirizzo al momento dell'impostazione, che ha maggiore forza, soprattutto quando i record diretti e inversi coincidono. I nomi contengono anche record di testo come url, email, com.twitter e avatar. Sono soggetti a scadenza: dopo il periodo di tolleranza e un periodo di 21 giorni con sovrapprezzo decrescente, chiunque può registrare un nome scaduto; occorre quindi registrare la cronologia di registrazione e il blocco in cui è stato impostato ciascun record. I badge di wallet verificato e le funzioni «collega wallet» sulle piattaforme sono affermazioni della piattaforma; è possibile richiedere i suoi dati su quale account abbia collegato quale indirizzo.

Pseudonimi, email e domini

Le persone riutilizzano gli pseudonimi. Nell'indagine su Silk Road, un investigatore che cercava le prime menzioni online del mercato trovò post del gennaio 2011 pubblicati con uno stesso pseudonimo che promuovevano il sito su due forum; un post successivo dello stesso pseudonimo, volto a reclutare uno sviluppatore, forniva un indirizzo email personale per le risposte, che divenne una pista approfondita attraverso gli strumenti giuridici previsti. Valutare una corrispondenza di pseudonimo in base alla rarità (quietharbor_77 su due forum è più significativo di crypto_king; verificare quanti utenti non correlati lo condividano), alla coerenza di argomenti, stile, fusi orari e date, alla cronologia dell'account (un account creato il giorno dopo un avviso pubblico è più probabilmente un'imitazione che un riutilizzo) e alla direzione temporale (l'uso più antico è solitamente il più importante). Una corrispondenza sostiene un'ipotesi; l'account sottostante è un account presso un servizio, per il quale è possibile richiedere i dati dell'intestatario (lezione 1.4).

Le piattaforme truffaldine, gli exchange falsi e i kit di phishing hanno bisogno di domini, e i domini lasciano tracce documentali. Per i domini di primo livello generici, il Registration Data Access Protocol (RDAP) è diventato la fonte di riferimento dei dati di registrazione il 28 gennaio 2025, sostituendo WHOIS. Le risposte pubbliche sono spesso oscurate per tutelare la riservatezza, quindi i dati del registrante provengono solitamente dal registrar attraverso gli strumenti giuridici previsti; il Secondo Protocollo addizionale alla Convenzione di Budapest prevede richieste dirette di informazioni sulla registrazione dei nomi di dominio (articolo 6). I dati storici di registrazione e il DNS passivo mostrano quali indirizzi IP abbia utilizzato un dominio e quali altri domini li condividessero. I log di Certificate Transparency (RFC 6962) registrano certificati TLS pubblicamente attendibili in registri pubblici di sola aggiunta, e una ricerca al loro interno di un marchio truffaldino rivela spesso domini correlati. L'infrastruttura condivisa collega i siti tra loro in modo più affidabile di quanto li colleghi a una persona: un IP condiviso su un grande servizio di hosting è un collegamento debole, mentre un identificativo insolito di analisi del traffico o un indirizzo di deposito condiviso è un collegamento forte.

Copie, tempistiche e prove relative agli IP

Gli indirizzi sono tra le stringhe più copiate su Internet. Gli indirizzi per donazioni e pagamenti vengono ripubblicati da sostenitori, truffatori e aggregatori. Nell'address poisoning, gli attaccanti creano indirizzi simili che condividono i primi e gli ultimi caratteri dell'indirizzo di una controparte della vittima e inviano trasferimenti di importo minimo o nullo affinché l'indirizzo simile compaia nella cronologia della vittima; un indirizzo troncato in uno screenshot potrebbe corrispondere a entrambi. Alcune piattaforme consentono modifiche senza una cronologia visibile, quindi occorre confrontare il contenuto con le acquisizioni d'archivio. Confrontare sempre l'indirizzo completo, carattere per carattere o tramite hash. La tempistica è la verifica più forte: un post che mostra un indirizzo prima della sua prima attività on-chain è molto più forte di uno apparso dopo un avviso pubblico, quando chiunque avrebbe potuto copiarlo. Nell'esempio, il post OS-0007 è datato 2023-11-14 e l'indirizzo ha ricevuto i primi fondi nel dicembre 2023.

Gli indirizzi IP provengono principalmente dai dati dei servizi (log di accesso agli exchange, backend dei wallet, fornitori di nodi o API) ottenuti attraverso gli strumenti giuridici previsti (lezione 7.5). Biryukov, Khovratovich e Pustogarov (2014) hanno dimostrato che gli osservatori della rete peer-to-peer possono talvolta collegare le transazioni Bitcoin all'indirizzo IP che le ha inoltrate per primo, ma non si tratta di una prova ordinaria e Tor vanifica questa tecnica. Una corrispondenza IP richiede contesto: nodi di uscita VPN, Tor, NAT degli operatori e uffici condivisi collocano molte persone dietro un unico indirizzo, e i log utilizzano fusi orari diversi.

I profili degli orari di attività sono, nel migliore dei casi, elementi probatori di supporto. Conteggiare le transazioni di un cluster per ora UTC (in SQL, EXTRACT(HOUR FROM block_timestamp), oppure HOUR() o date_part('hour', …) in alcuni motori) fornisce un profilo da confrontare con gli orari di pubblicazione di uno pseudonimo. Occorre ricordare i limiti: l'orario del blocco non è l'orario di diffusione della transazione (su Bitcoin, i timestamp dei blocchi possono differire dall'ora reale di oltre un'ora), i bot operano ventiquattr'ore su ventiquattro e molte persone condividono lo stesso fuso orario.

Verifica e messa alla prova di un collegamento

Gli elementi raccolti restano affermazioni finché non ne vengono verificati autenticità, affidabilità, pertinenza e valore probatorio. Esaminare la fonte (chi lo ha pubblicato; l'account è autentico e consolidato?), il contenuto (è coerente al proprio interno e con le altre informazioni?) e le tracce tecniche (metadati, struttura della pagina, cronologia dell'archivio). La blockchain offre un forte riscontro indipendente per le affermazioni datate. Annotare quindi le spiegazioni alternative (l'autore del post controlla l'indirizzo; lo ha copiato; qualcuno ne ha assunto l'identità o ne ha compromesso l'account) e gli elementi a favore e contro ciascuna.

Chiedersi con quale frequenza un collegamento potrebbe verificarsi per caso. Se un sospettato ha prelevato 0,5 ETH dall'exchange K dieci minuti dopo un deposito di 0,5 ETH altrove, contare quanti prelievi da 0,5 ETH abbiano effettuato gli hot wallet dell'exchange K in quell'intervallo; se fossero quaranta, la corrispondenza sarebbe debole. Applicare quindi una lista di controllo:

1. L'identificativo è raro ed è stato verificato quanti altri lo condividano?
2. È stato osservato prima che il caso diventasse pubblico?
3. Potrebbe essere stato copiato, imitato o oggetto di address poisoning?
4. La collocazione temporale del dato off-chain è compatibile con l'attività on-chain?
5. Esiste un secondo collegamento indipendente, idealmente di tipo diverso?
6. Le spiegazioni alternative sono state annotate e messe alla prova?

Registrare anche i collegamenti che non hanno superato la lista di controllo.

Documentazione per il tribunale

Un elemento probatorio da fonti aperte è difendibile quando un altro esaminatore può seguire lo stesso percorso e verificare ogni elemento. Il fascicolo del caso contiene il piano di raccolta e le relative modifiche; il registro di raccolta sottoposto a hashing e le acquisizioni sottoposte a catena di custodia (lezioni 8.2 e 8.3); le note redatte contestualmente, incluse le ricerche prive di risultati; la verifica di ogni elemento su cui ci si basa; e una dichiarazione sulla modalità operativa che confermi l'assenza di accessi non autorizzati o di false rappresentazioni della propria identità. Nella relazione, citare gli elementi tramite identificativo, riportare solo quanto necessario e oscurare i dati delle persone non coinvolte; i collegamenti a privati restano in un allegato ad accesso limitato finché non vengono confermati attraverso gli strumenti giuridici previsti.

Focus sull'esame: informazioni, intelligence e prove da fonti aperte nel Protocollo di Berkeley (2020) e le relative fasi investigative; articolo 32(a) della Convenzione di Budapest; un piano di raccolta con una regola di arresto; modalità operative attribuibile, non attribuibile e sotto copertura e perché l'attività sotto copertura richiede un'autorizzazione specifica; registrazione dell'interrogazione esatta e acquisizione prima dell'analisi; documentazione della raccolta con URL completo, orario UTC, metodo, versione dello strumento, hash SHA-256 e WARC (ISO 28500), secondo SWGDE 21-F-001; tipi di collegamento e relativa forza tipica; che cosa dimostra e non dimostra un messaggio firmato (BIP-322, EIP-191); risoluzione diretta e inversa ENS e scadenza; valutazione delle corrispondenze di pseudonimo (rarità, coerenza, cronologia dell'account, primo utilizzo); RDAP dal 28 gennaio 2025, DNS passivo, Certificate Transparency (RFC 6962) e infrastruttura condivisa; indirizzi copiati, address poisoning e confronto degli indirizzi completi; limiti della correlazione degli IP e degli orari di attività; ragionamento basato sui tassi di base e lista di controllo contro i collegamenti casuali.