Wallet su dispositivi sequestrati

Molti casi legati alle criptovalute si vincono o si perdono nel momento in cui vengono trovate le chiavi: su un laptop sequestrato, un telefono, un piccolo dispositivo in un cassetto o un foglio di carta infilato in un libro. Un esaminatore che conosce le tracce lasciate da ciascun tipo di wallet, e dove trovarle, può collegare un sospettato ad attività on-chain, individuare fondi che possono ancora essere messi al sicuro ed evitare di distruggere l’unico reperto importante. Questa lezione descrive i reperti relativi ai wallet e gli indicatori che li segnalano; le tre lezioni successive trattano la scena, l’acquisizione e il recupero.

Cosa lascia dietro di sé un wallet

Un wallet non contiene monete. Contiene chiavi, o i mezzi per derivarle, oltre a metadati che il software conserva per comodità dell’utente. Per un esaminatore, i reperti relativi ai wallet rientrano in tre categorie, ciascuna delle quali risponde a una domanda diversa.

Questa distinzione determina ogni decisione successiva. Il materiale pubblico, come una chiave pubblica estesa, consente a un esaminatore di elencare tutti gli indirizzi di un account senza poter spostare alcunché; BIP-32 descrive esattamente questo uso «di sola visualizzazione». Il materiale delle chiavi consente il controllo, quindi chiunque lo veda può spendere i fondi; la sua gestione è trattata nella lezione Hashing, registrazione e catena di custodia. Le tracce d’uso raramente dimostrano il controllo, ma collocano una persona davanti a un wallet in un determinato momento.

Tipi di wallet e dove si trovano i relativi reperti

La posizione dei reperti dipende dal tipo di wallet, dal sistema operativo e dalla versione del software. La tabella presenta lo schema generale, non un elenco di percorsi; gli strumenti forensi e la documentazione del wallet indicano le posizioni esatte per una determinata versione.

Alcuni esempi concreti tratti da wallet open source mostrano questo schema. Bitcoin Core conserva i wallet nella propria directory dei dati, in file normalmente denominati wallet.dat: i vecchi wallet legacy usano Berkeley DB, mentre i wallet basati su descrittori, introdotti nella versione 0.21 e predefiniti dalla versione 23.0, usano SQLite. Dalla versione 30.0 (ottobre 2025) i wallet legacy non possono più essere caricati, ma solo migrati; pertanto, nel verbale vanno registrati sia il formato del file sia la versione del software usata per leggerlo. Electrum conserva un file per ciascun wallet in una cartella wallets della directory Electrum dell’utente. Nei browser basati su Chromium, lo spazio di archiviazione locale di un’estensione si trova nel profilo, in una cartella che porta il nome dell’ID dell’estensione; l’ID stesso permette quindi di identificare quale wallet era installato anche quando il suo vault è cifrato.

Ne derivano due considerazioni pratiche. Primo, un file wallet cifrato costituisce comunque un reperto: la sua esistenza, i timestamp e i metadati non cifrati spesso rivelano indirizzi e attività prima ancora che si conosca una password. Secondo, il computer host di un hardware wallet può contenere le chiavi pubbliche estese del dispositivo, che possono esporre l’intera cronologia dell’account senza mai toccare il dispositivo.

Frasi seed al di fuori del wallet

Spesso il reperto più prezioso non si trova in alcun software wallet. Una frase seed BIP-39 (detta anche mnemonica o frase di recupero) codifica da 128 a 256 bit di entropia più un checksum sotto forma di 12, 15, 18, 21 o 24 parole tratte da un elenco di 2.048 parole. Chiunque la possieda può ricostruire il wallet con qualsiasi software compatibile; per questo gli utenti la trascrivono e per questo può trovarsi in luoghi che non hanno nulla a che fare con il wallet:

• schede di recupero nelle confezioni degli hardware wallet, quaderni, foglietti adesivi, margini dei libri;
• placche e rondelle di metallo punzonate o incise, realizzate per resistere a incendi e alluvioni;
• foto e screenshot nel rullino fotografico e relative copie nelle librerie di foto cloud;
• app per le note, file di testo, fogli di calcolo, gestori di password, bozze di email e messaggi inviati a se stessi.

L’elenco inglese BIP-39 è strutturato in modo che le prime quattro lettere identifichino univocamente ogni parola; per questo molti backup su metallo riportano solo quattro lettere per parola. È importante riconoscere lo schema di un elenco di 12-24 parole inglesi brevi e comuni, spesso numerate. Non tutte le frasi sono BIP-39: Electrum genera seed secondo un proprio sistema di numerazione delle versioni, i wallet Monero legacy usano un formato di 25 parole e i backup Shamir conformi a SLIP-39 suddividono un segreto in diverse quote di 20 o 33 parole. Registrare il tipo di frase così come è stato trovato e lasciare che sia la fase di recupero a determinare lo standard (vedere la lezione Recupero dei wallet nell’ambito dell’autorità legale).

Una frase seed può anche essere protetta da una passphrase, un segreto aggiuntivo che modifica il wallet derivato dalle stesse parole. Spesso gli utenti conservano la passphrase separatamente dalle parole, quindi è comune trovarne una senza l’altra. Altro materiale delle chiavi da riconoscere comprende le chiavi private in formato Wallet Import Format (sulla mainnet Bitcoin iniziano con 5, K o L), le chiavi private estese (xprv, zprv), i codici QR sui paper wallet e le monete o schede fisiche con una chiave sotto un adesivo antimanomissione.

Riconoscere gli indicatori di wallet sulla scena di una perquisizione

Gli operatori che non sono specialisti di criptovalute hanno bisogno di un breve elenco di cosa cercare e di cosa non toccare.

Dispositivi: piccoli dispositivi simili a chiavette USB o delle dimensioni di una scheda, dotati di schermo o pulsanti; cavi e confezioni; computer a scheda singola; telefoni di riserva o vecchi; unità USB e schede di memoria; hardware per il mining.

Carta e metallo: elenchi di parole, schede di recupero, placche di metallo, codici QR, indirizzi stampati, appunti con PIN o «parole», libri con parole contrassegnate.

Contesto: ricevute di ATM per criptovalute, lettere e schede di exchange, token per l’autenticazione a due fattori, quaderni di operazioni, libri e manuali sui wallet.

Schermi: app wallet o sessioni di exchange aperte su un computer o telefono acceso, che richiedono le decisioni operative descritte nella lezione Perquisizione e sequestro di criptovalute sulla scena.

I piccoli dispositivi possono essere nascosti ovunque. In un caso pubblico del novembre 2021, gli investigatori che eseguivano un mandato di perquisizione recuperarono circa 50.000 BTC rubati nel 2012 dal marketplace Silk Road; secondo il resoconto ufficiale, i bitcoin furono trovati in una cassaforte sotterranea e su un computer a scheda singola nascosto sotto delle coperte, in una scatola di popcorn, nell’armadio di un bagno. Un piano di perquisizione per un caso legato alle criptovalute dovrebbe prevedere occultamenti di questo tipo e informare gli operatori sul significato di un computer insolito o di un foglio con un elenco di parole.

Documentare gli indicatori senza distruggerli

La prima regola nella fase di individuazione degli indicatori è la cautela: trovare, fotografare sul posto, documentare, imballare. Non accendere un hardware wallet, non inserire PIN e non digitare mai una frase trovata in un wallet, sito web o telefono, perché così si modificano i reperti, si possono allertare altre persone e si rischia di esporre i fondi. Una foto di una frase seed costituisce essa stessa materiale delle chiavi e va conservata come tale, non lasciata su un telefono personale che si sincronizza con il cloud.

Per ciascun indicatore si crea una registrazione che lo colleghi alla sua posizione, al suo stato e alla persona che lo ha trovato:

{
  "reperto": "CASE-0417-I-012",
  "tipo": "seed_backup_metal_plate",
  "posizione": "Camera da letto 2, dentro un libro cavo, scaffale B",
  "trovato_da": "Operatore 3",
  "trovato_il_utc": "2026-03-14T06:52:10Z",
  "osservazioni": "24 righe, 4 lettere ciascuna; nessuna passphrase visibile",
  "foto": ["IMG_0451", "IMG_0452"],
  "foto_classificate_come_materiale_delle_chiavi": true,
  "sacchetto_sigillato": "TE-88213",
  "parole_trascritte": false
}

La registrazione riporta dove, quando e da chi è stata trovata la placca, cosa è stato osservato senza trascrivere le parole nel verbale, quali foto sono state scattate e che sono classificate come materiale delle chiavi, nonché il numero del sacchetto antimanomissione. Lasciare parole_trascritte impostato su false è una scelta deliberata: la trascrizione, se necessaria, avviene in seguito sotto doppio controllo. La catena di custodia prosegue quindi come descritto nella lezione Hashing, registrazione e catena di custodia.

Focus sull'esame: le tre categorie di reperti (materiale delle chiavi, materiale pubblico, tracce d’uso) e la domanda a cui ciascuna risponde; dove si trovano generalmente i reperti nei wallet desktop, mobile, nelle estensioni del browser, negli hardware wallet e nei wallet custodial; perché un file wallet cifrato e gli xpub sul computer host mantengono valore probatorio; lunghezze delle frasi BIP-39 (da 12 a 24 parole, elenco di 2.048 parole) e regola delle quattro lettere; formati non BIP-39 (Electrum, Monero legacy da 25 parole, quote SLIP-39) e passphrase separata; indicatori sulla scena relativi a dispositivi, carta, metallo e contesto; cautela nella fase di individuazione degli indicatori e registrazione di ogni ritrovamento, trattando le foto delle frasi seed come materiale delle chiavi.