L’attribuzione nella pratica: ransomware, truffe e furti attribuiti alla DPRK

Tre tipi di casi dominano il lavoro di attribuzione: ransomware, truffe condotte su scala industriale e furti ingenti che le autorità attribuiscono a gruppi legati a uno Stato, come quelli della Repubblica Popolare Democratica di Corea (DPRK). Ognuno presenta una forma on-chain riconoscibile, infrastrutture tipiche per la conversione in denaro e modalità tipiche con cui l’attribuzione viene resa pubblica. Conoscere questi schemi accelera un’indagine; farvi eccessivo affidamento porta a un’attribuzione eccessiva, l’errore di attribuzione più comune nella pratica. Questa lezione applica i livelli, le fonti e i test dei collegamenti delle lezioni precedenti a queste tre tipologie e si conclude con un esempio svolto fittizio.

Tre tipologie a colpo d’occhio

L’ultima riga è la più importante. Nei casi di ransomware e truffe, spesso è possibile risalire all’identità attraverso i registri dei punti di conversione in denaro. Nei furti attribuiti alla DPRK, il compito dell’investigatore consiste di solito nel tracciare i fondi, bloccarli e recuperarli; l’attribuzione dell’autore viene ripresa dalle autorità.

Ransomware

La maggior parte dei ransomware viene gestita come un servizio: gli sviluppatori forniscono il malware e l’infrastruttura per i pagamenti, gli affiliati si introducono nei sistemi delle vittime e lo distribuiscono, e ogni pagamento viene suddiviso. Per il gruppo DarkSide, nel 2021 gli analisti riferirono che gli affiliati trattenevano dal 75% al 90%, a seconda dell’entità del riscatto, e che la suddivisione era visibile on-chain sotto forma di due output con proporzioni prevedibili. Dopo l’attacco a Colonial Pipeline (maggio 2021), gli investigatori tracciarono il riscatto di circa 75 BTC e sequestrarono 63,7 BTC da un indirizzo (vedi la lezione Tracciare secondo uno standard probatorio). Analisi pubbliche osservavano che l’importo sequestrato corrispondeva a circa l’85% del pagamento, in linea con la quota dell’affiliato; il comunicato ufficiale non lo affermava e, in un rapporto accurato, tale interpretazione andrebbe descritta come un’inferenza.

Elementi utili per l’attribuzione:

• Gli indirizzi di pagamento sono di solito univoci per ogni vittima, quindi il registro dei pagamenti della vittima e la trascrizione della negoziazione identificano con certezza il punto di partenza.
• I wallet degli sviluppatori ricevono quote da molte vittime. Quando uno di questi pagamenti viene indicato in un comunicato di un’autorità, il wallet dello sviluppatore può essere collegato al gruppo: si tratta di una propria inferenza basata sul comunicato.
• I siti di divulgazione di dati rubati, dove i gruppi pubblicano i dati sottratti, sono fonti aperte che permettono di datare gli incidenti e identificare le vittime. Contengono dati personali delle vittime: raccogli solo ciò che serve al caso, adottando le precauzioni indicate nella lezione Metodologia OSINT.

Truffe e reti di prestanome

Le truffe d’investimento e sentimentali, talvolta chiamate «pig butchering», attirano le vittime su piattaforme di trading fasulle. On-chain mostrano numerosi depositi delle vittime provenienti da exchange regolamentati che confluiscono in indirizzi di raccolta, per poi spostarsi in stablecoin e proseguire verso punti di conversione in denaro. Le tipologie sono trattate nella lezione IDFE-CC Segnali di allarme e tipologie; qui l’interesse forense riguarda il livello di conversione in denaro.

La conversione in denaro avviene spesso tramite prestanome: persone che aprono conti su exchange o conti bancari a proprio nome, oppure vendono la propria identità, e trasferiscono i fondi in cambio di una commissione. Il titolare del conto che compare nei registri, quindi, spesso non è il controllore (vedi la lezione Dall’indirizzo all’entità alla persona). Gli indizi di una rete di prestanome emergono dai registri del servizio, non dai dati on-chain:

• Numerosi conti aperti in un breve periodo, con nomi diversi ma gli stessi identificativi dei dispositivi, intervalli di indirizzi IP o numeri di telefono.
• Depositi prelevati rapidamente verso gli stessi pochi indirizzi o conti bancari.
• Accessi da località che non corrispondono agli indirizzi dichiarati dai titolari dei conti.

Le richieste ai servizi dovrebbero quindi includere dati sui dispositivi e sugli accessi, conti collegati e destinazioni dei prelievi, non soltanto i dati KYC (vedi la lezione Collaborare con i fornitori di servizi). Gli emittenti di stablecoin possono bloccare gli indirizzi a livello di contratto, perciò la rapidità è determinante (vedi la lezione Opzioni di blocco e sequestro).

Furti attribuiti alla DPRK

I furti ingenti attribuiti dalle autorità a gruppi legati alla DPRK seguono uno schema riconoscibile: dispersione rapida, conversione da token bloccabili, trasferimenti cross-chain (spesso con arrivo in bitcoin), mixer e broker over-the-counter. Due casi pubblici mostrano come è stata resa nota l’attribuzione:

• Bridge Ronin (marzo 2022): sono stati sottratti circa 620 milioni di USD in ETH e USDC. Nell’aprile 2022, l’indirizzo dell’autore dell’attacco è stato aggiunto a un elenco di sanzioni e il furto è stato pubblicamente attribuito a un gruppo legato alla DPRK.
• Bybit (21 febbraio 2025): sono stati sottratti asset virtuali per circa 1,5 miliardi di USD. Cinque giorni dopo, un’agenzia nazionale di contrasto alla criminalità ha pubblicato un annuncio di servizio pubblico attribuendo il furto a un attore della DPRK che chiama TraderTraitor, elencando 51 indirizzi Ethereum, descrivendo la conversione in bitcoin e la dispersione tra migliaia di indirizzi su più blockchain e chiedendo agli operatori di nodi, agli exchange e ai bridge di bloccare le transazioni correlate.

Pubblicano rapporti anche organismi multilaterali. Il Gruppo di esperti del Consiglio di sicurezza dell’ONU sulla DPRK ha riferito sui furti informatici fino alla scadenza del suo mandato, nell’aprile 2024; un gruppo multilaterale di monitoraggio delle sanzioni, formato da undici Stati, ha pubblicato un rapporto nell’ottobre 2025 stimando che tra gennaio 2024 e settembre 2025 siano stati sottratti circa 2,84 miliardi di USD in criptoasset e descrivendo la conversione in denaro tramite broker e reti all’estero (dati riferiti a una data specifica, a titolo illustrativo).

L’attribuzione dell’autore in questi casi si basa su informazioni di intelligence, analisi del malware e prove relative alle infrastrutture, che esulano dal lavoro on-chain. L’esaminatore cita l’attribuzione dell’autorità e aggiunge il tracciamento.

Come vengono pubblicate le attribuzioni del settore pubblico e come citarle

Per ogni fonte, cita il titolo, l’ente emittente, la data e, ove possibile, una copia archiviata e il relativo hash. Indica quali indirizzi sono stati nominati dall’autorità e segnala ogni estensione (membri di cluster, indirizzi a valle) come una tua inferenza, specificandone il grado.

Evitare attribuzioni eccessive

• Attore e indirizzo: «il furto è stato attribuito dall’autorità competente al Gruppo X» è una citazione; «l’indirizzo Y appartiene al Gruppo X» è un’attribuzione che richiede una propria base probatoria.
• Un destinatario a valle non è l’attore: un hot wallet di un exchange, un contratto bridge o un pool di un mixer che ha ricevuto fondi rubati non fa parte dell’infrastruttura dell’attore. Interrompi la propagazione delle etichette quando raggiungi i servizi.
• Uno schema non è un’identità: una sequenza di riciclaggio simile allo stile di un gruppo noto è un motivo per approfondire, non un’attribuzione. Le imitazioni e i servizi condivisi producono schemi simili.
• Un gruppo, molte denominazioni: la stessa attività compare con nomi diversi in rapporti diversi. Registra i nomi usati da ciascuna fonte invece di accorparli.
• Correggi tempestivamente: se un’attribuzione pubblica viene rivista, aggiorna il fascicolo del caso e tutti gli avvisi condivisi.

Esempio svolto (fittizio)

Un’azienda ha pagato 12,00000000 BTC all’indirizzo bc1q…r4n5, indicato nel portale di negoziazione. L’esaminatore registra:

Il rapporto afferma che i fondi sono arrivati all’Exchange K (grado B), che i registri dell’Exchange K mostrano tre conti con dati dei dispositivi condivisi (grado A in quanto registri) e che il wallet dello sviluppatore è collegato al Gruppo R attraverso una spesa comune con un indirizzo nominato dall’autorità (grado C). Non afferma che i titolari dei conti siano gli affiliati. I passaggi successivi derivano dagli anelli più deboli della catena: ottenere i registri bancari del conto comune, acquisire prove sui dispositivi e chiedere all’Exchange K la cronologia degli indirizzi IP di accesso.

Focus sull'esame: la forma on-chain tipica, la conversione in denaro e la fonte dell’attribuzione per ransomware, truffe e furti attribuiti alla DPRK; la ripartizione del ransomware-as-a-service e perché interpretare una ripartizione come indicativa dei ruoli è un’inferenza; gli indirizzi di riscatto univoci come punti di partenza certi; gli indizi di prestanome nei registri dei servizi e quali dati richiedere; come sono state pubblicate le attribuzioni dei casi Ronin (2022) e Bybit (2025); i formati delle attribuzioni del settore pubblico e come citarle, distinguendo gli indirizzi nominati dalle proprie estensioni; i principali errori di attribuzione eccessiva (attore e indirizzo, servizi a valle, schema e identità); la valutazione dei gradi di certezza in una catena mista nell’esempio svolto.