Perquisizione e sequestro di cripto-attività sul posto

Una perquisizione in un caso riguardante cripto-attività è scandita da due orologi che procedono contemporaneamente. Il primo è il normale orologio probatorio: preservare dispositivi e dati affinché i risultati possano essere difesi in seguito. Il secondo è l'orologio degli asset: chiunque altro possieda una copia di una frase seed può trasferire i fondi in pochi minuti, ovunque si trovi. Questa lezione illustra come pianificare la perquisizione, decidere tra acquisizione live e acquisizione a dispositivo spento, gestire gli hardware wallet e i backup del seed, ottenere l'accesso in modo lecito e documentare il luogo della perquisizione tenendo conto di entrambi gli orologi.

Pianificazione prima dell'ingresso

La maggior parte degli errori sul posto deriva da carenze nella pianificazione. Prima dell'ingresso, la squadra deve sapere che cosa prevede di trovare, quali operazioni è autorizzata a compiere e chi decide quando si verifica un imprevisto.

Il wallet dell'ente e la procedura di trasferimento devono rientrare nel piano, non essere improvvisati sul tavolo della cucina; la lezione Messa in sicurezza delle cripto-attività sequestrate ne illustra la predisposizione.

Decisioni tra acquisizione live e acquisizione a dispositivo spento

Un'acquisizione a dispositivo spento esamina un dispositivo non alimentato. Un'acquisizione live acquisisce dati da un sistema in esecuzione. La scelta segue l'ordine di volatilità definito nella RFC 3227, Linee guida per la raccolta e l'archiviazione delle prove: raccogliere prima i dati più effimeri, come la memoria, lo stato della rete e i processi in esecuzione, e successivamente i dati su disco. Nei casi riguardanti cripto-attività, i dati volatili possono essere decisivi, perché un wallet in esecuzione può contenere chiavi decifrate in memoria e la cifratura dell'intero disco può rendere il disco illeggibile a dispositivo spento.

Due indicazioni per i dispositivi mobili provengono dal documento SWGDE Buone pratiche per la raccolta, la preservazione, la gestione e l'acquisizione delle prove da dispositivi mobili (versione 2.0, 2025). La modalità aereo può lasciare attivi il Wi-Fi o il Bluetooth: occorre quindi confermare l'isolamento oppure utilizzare una schermatura. Inoltre, un riavvio può far passare un telefono dallo stato dopo il primo sblocco (AFU) allo stato prima del primo sblocco (BFU), nel quale molti più dati sono cifrati e possono diventare irrecuperabili; per questo è importante un'alimentazione esterna stabile.

Ogni intervento live modifica il sistema. La norma ISO/IEC 27037 lo ammette quando è giustificato, purché l'esaminatore riduca al minimo le modifiche e registri ogni intervento con il relativo orario e la motivazione. Un registro degli interventi live è quindi obbligatorio, non facoltativo.

Dati volatili rilevanti nei casi riguardanti cripto-attività

Quando un sistema è in esecuzione, i seguenti dati possono andare persi con lo spegnimento o il blocco:

• Memoria: chiavi del wallet o seed decifrati mantenuti dal software del wallet in esecuzione, password, contenuto degli appunti (spesso un indirizzo appena copiato).
• Sessioni aperte: account di exchange con accesso effettuato, wallet sotto forma di estensioni del browser sbloccati, webmail che mostrano notifiche degli exchange.
• Stato dello schermo: saldi, indirizzi e cronologie delle transazioni visualizzati da un wallet aperto.
• Stato della rete: connessioni a server di wallet, nodi peer, desktop remoti o altre macchine controllate dal soggetto.
• Codici di autenticazione a due fattori nelle app di autenticazione su un telefono sbloccato.

Documentare ciò che visualizza un wallet aperto, mediante fotografie o registrazioni dello schermo, è molto diverso dall'utilizzarlo. L'esaminatore registra ciò che viene mostrato; qualsiasi trasferimento di fondi avviene esclusivamente secondo il piano e nei limiti dell'autorizzazione, con i controlli descritti di seguito.

Un esempio noto mostra perché sia importante pianificare tenendo conto dello stato live. In occasione dell'arresto relativo a Silk Road nel 2013, gli investigatori organizzarono l'intervento in modo da prendere il portatile del gestore mentre era aperto e con l'accesso effettuato, preservando l'accesso a dati che la cifratura avrebbe altrimenti protetto.

Hardware wallet e backup del seed

Un hardware wallet è progettato per resistere proprio a ciò che un operatore curioso potrebbe tentare durante una perquisizione. Molti dispositivi si cancellano dopo un numero limitato di inserimenti di PIN errati; pertanto, nessuno sul posto deve tentare di inserire un PIN, nemmeno se scritto su un biglietto nelle vicinanze: occorre documentare il biglietto e sequestrarlo. Il dispositivo va sequestrato insieme al cavo, alla scatola e a qualsiasi scheda di recupero.

Il dispositivo è spesso meno importante del suo backup del seed, perché il backup ripristina il wallet senza il dispositivo. Occorre cercarlo come descritto nella lezione Wallet sui dispositivi sequestrati. Quando se ne trova uno:

1. fotografarlo nella posizione in cui è stato rinvenuto con una fotocamera dell'ente, mai con un telefono personale;
2. classificare le fotografie come materiale contenente chiavi e limitarne l'accesso;
3. sigillare il backup in una busta antimanomissione senza trascriverlo sul posto, a meno che il piano non richieda un trasferimento immediato;
4. registrare il ritrovamento, il numero del sigillo e ogni persona che ha visto le parole.

Chiunque veda una frase seed potrebbe in seguito trasferire i fondi; limitarne l'esposizione protegge quindi sia gli asset sia gli operatori da successive contestazioni.

Ottenere l'accesso in presenza di una legittima autorizzazione

Le persone presenti sul posto possono fornire PIN, password, passphrase o indicare dove si trovano i backup. La possibilità di obbligare una persona a fornirli e le tutele contro l'autoincriminazione applicabili variano tra le giurisdizioni; la squadra deve conoscere la norma applicabile prima dell'ingresso. Qualunque sia la norma, tre pratiche sono comuni alle indagini condotte correttamente:

• Registrare con esattezza che cosa è stato chiesto, che cosa è stato detto e che cosa è stato fornito, indicando gli orari.
• Non lasciare che il soggetto utilizzi un dispositivo. Un utente può inserire un PIN di coercizione, attivare una cancellazione o aprire un wallet esca con una passphrase diversa pur dando l'impressione di collaborare.
• Verificare, non fidarsi. Una passphrase che apre un wallet con un saldo ridotto non dimostra che non esista un altro wallet protetto da passphrase basato sulle stesse parole.

Le domande su account, exchange e altri dispositivi sono utili quanto le password: una risposta che indica un exchange può tradursi in una richiesta di congelamento nel giro di pochi minuti.

Messa in sicurezza dei fondi e documentazione del luogo della perquisizione

Il possesso di una frase seed non rende sicuri i fondi, perché un complice potrebbe averne una copia. Quando l'autorizzazione lo consente e il piano lo prevede, i fondi vengono trasferiti tempestivamente a un wallet controllato dall'ente, sotto duplice controllo e con una transazione di prova, come descritto nella lezione Messa in sicurezza delle cripto-attività sequestrate. I saldi detenuti presso servizi di custodia vengono invece protetti mediante richieste immediate di congelamento o conservazione.

La documentazione del luogo della perquisizione collega tutti gli elementi: fotografie e video prima che qualsiasi cosa venga spostata, uno schizzo, il registro dei reperti e il registro degli interventi live. Ogni intervento live viene registrato secondo la stessa struttura:

{
  "case": "CASE-0417",
  "action_id": "LA-006",
  "time_utc": "2026-03-14T07:18:40Z",
  "device": "CASE-0417-I-003 laptop, on, unlocked",
  "action": "Screen video of open desktop wallet; no clicks on send or settings",
  "reason": "Displayed balances and addresses lost at lock or shutdown",
  "performed_by": "Examiner 1",
  "witness": "Examiner 2",
  "output": "VID_0009.mp4, SHA-256 3c7e…b1d9",
  "system_changes": "Mouse moved to prevent sleep"
}

La registrazione identifica il dispositivo e il suo stato, ciò che è stato fatto e deliberatamente non fatto, perché l'intervento fosse necessario, chi lo ha eseguito e chi vi ha assistito, il file prodotto con il relativo hash e le modifiche apportate al sistema dall'intervento. Un consulente tecnico della difesa che la esamini in seguito può constatare che l'intervento live era giustificato e controllato. Il calcolo degli hash e la custodia dei file prodotti proseguono come descritto nella lezione Calcolo degli hash, registrazione, catena di custodia e gestione della qualità.

Focus sull'esame: i due orologi (preservazione delle prove e movimentazione degli asset) e gli elementi di pianificazione che rispondono alle loro esigenze, compresi l'ambito dell'autorizzazione, gli specialisti, l'attrezzatura e un wallet dell'ente predisposto in anticipo; decisioni tra acquisizione live e acquisizione a dispositivo spento e ordine di volatilità (RFC 3227); isolamento dei dispositivi mobili, alimentazione esterna e differenze tra AFU e BFU; dati volatili rilevanti per le cripto-attività (memoria, sessioni aperte, schermate, appunti, codici di autenticazione a due fattori); non inserire mai PIN su un hardware wallet; trattare i backup del seed e le relative fotografie come materiale contenente chiavi; registrare e verificare le informazioni di accesso senza lasciare che il soggetto utilizzi i dispositivi; trasferimento tempestivo a un wallet dell'ente sotto duplice controllo, registrato nel registro degli interventi live.