Congelamento, sequestro e recupero dei beni · Lezione 1 di 5
Opzioni di congelamento e sequestro
10 min di lettura
Una traccia che termina a un indirizzo in cui si trovano ancora fondi rubati vale qualcosa solo se qualcuno può impedire che quei fondi si spostino. Nei casi crypto, il tempo che intercorre tra un furto e la dispersione dei proventi si misura in minuti e ore, quindi la scelta della leva da parte dell’investigatore, e la rapidità e precisione con cui la applica, spesso determinano se le vittime riusciranno a recuperare qualcosa. Questa lezione collega lo standard giuridico alle opzioni tecniche e mostra come un investigatore scelga quella giusta.
Congelamento, sequestro, confisca: il lessico
Il Glossario FATF usa tre termini che ricorrono in ogni caso di recupero dei beni. È opportuno fissare subito i loro equivalenti nel settore crypto, perché una richiesta che domanda la misura sbagliata fa perdere la finestra utile.
| Termine | Significato FATF (parafrasato) | Equivalente tipico nel settore crypto |
|---|---|---|
| Congelamento | Vietare il trasferimento, la conversione, la cessione o lo spostamento di beni; il proprietario conserva la titolarità e una terza parte può continuare ad amministrarli | Un exchange blocca i prelievi da un account; un emittente impedisce a un indirizzo di trasferire i propri token |
| Sequestro | Come il congelamento, ma l’autorità competente assume il controllo dei beni | I fondi vengono trasferiti a un wallet le cui chiavi sono sotto il controllo dell’autorità |
| Confisca | Privazione permanente dei beni per ordine di un tribunale o di un’autorità competente | Un provvedimento definitivo trasferisce la titolarità; l’autorità può restituire, vendere o trattenere i beni |
Il congelamento e il sequestro sono misure provvisorie: mantengono i beni al sicuro mentre il caso procede. La confisca (chiamata forfeiture in alcuni ordinamenti) è l’esito finale. La differenza è importante dal punto di vista tecnico. Un saldo congelato presso un exchange resta nei registri dell’exchange e dipende dalla sua continua esistenza e collaborazione; un saldo sequestrato è custodito direttamente dall’autorità, con tutte le responsabilità descritte nella lezione Custodia degli asset crypto sequestrati.
Lo standard internazionale: R.4, R.38 e la revisione del 2023
La Raccomandazione 4 del FATF impone ai Paesi di attribuire alle autorità competenti il potere di identificare, tracciare e valutare i beni soggetti a confisca; adottare misure provvisorie, come il congelamento e il sequestro, per impedire qualsiasi operazione, trasferimento o cessione; prevenire o annullare le azioni che compromettono il recupero; e confiscare i beni riciclati, i proventi, gli strumenti e i beni di valore corrispondente, tutelando al contempo i terzi in buona fede. Ci si aspetta che le misure provvisorie siano disponibili senza preavvisare il proprietario, perché il preavviso ne vanificherebbe lo scopo.
Nell’ottobre 2023, la Plenaria del FATF ha rivisto le Raccomandazioni 4, 30, 31 e 38, le relative Note interpretative (inclusa la INR.40) e il Glossario, e ha pubblicato il testo rivisto nel novembre 2023. Le principali modifiche per gli investigatori sono:
- Il recupero dei beni come priorità politica, affiancato da quadri operativi nazionali e internazionali.
- Il potere di sospendere o negare il consenso alle transazioni collegate al riciclaggio di denaro, al finanziamento del terrorismo e ai reati gravi, esercitato in genere da un’UIF o da un’altra autorità prima di qualsiasi provvedimento del tribunale, per fermare la dispersione dei fondi nelle prime ore.
- La confisca senza condanna penale (NCBC) è diventata un requisito, in linea con i principi fondamentali del diritto interno, anziché una misura che i Paesi dovrebbero soltanto prendere in considerazione. È importante nel settore crypto perché molti sospettati si trovano all’estero, non sono identificati o sono deceduti.
- La confisca collegata a condotte criminali più ampie (confisca estesa), sempre nel rispetto dei principi del diritto interno.
- Meccanismi per gestire i beni congelati, sequestrati e confiscati e conservarne il valore (vedi la lezione Gestione e realizzo dei beni sequestrati).
La Raccomandazione 38 applica gli stessi strumenti oltre confine: i Paesi dovrebbero agire tempestivamente in risposta a richieste estere di identificazione, congelamento, sequestro e confisca, comprese quelle basate su procedimenti di confisca senza condanna penale, riconoscere i provvedimenti esteri provvisori e definitivi e predisporre accordi per la gestione e la condivisione dei beni confiscati. Le Raccomandazioni 30 e 31 attribuiscono agli investigatori i poteri per tracciare i beni e avviare il congelamento; la Raccomandazione 40 riguarda i canali informali più rapidi.
La Convenzione delle Nazioni Unite contro la criminalità informatica (adottata nel dicembre 2024) contiene disposizioni parallele: l’Articolo 31 sul congelamento, il sequestro e la confisca dei proventi; gli Articoli 49–51 sulla cooperazione internazionale in materia di confisca; e l’Articolo 52 sulla restituzione e la cessione. La Convenzione di Budapest riguarda i dati (conservazione accelerata nell’Articolo 16, perquisizione e sequestro dei dati informatici memorizzati nell’Articolo 19), non i beni; aiuta a conservare i registri su cui si basa una richiesta di congelamento. Le Linee guida e migliori pratiche per il recupero dei beni, pubblicate dal FATF il 4 novembre 2025, descrivono tre principali modalità per mettere al sicuro gli asset virtuali: ottenere le chiavi private, recuperare i fondi da wallet detenuti presso exchange e ottenere il congelamento da parte degli emittenti di stablecoin.
Le modalità giuridiche di ciascuna misura dipendono dal diritto nazionale. Il resto di questa lezione riguarda la scelta tecnica. Per i canali in sé, vedi la lezione Autorità giuridica e cooperazione internazionale.
La posizione dei fondi determina la leva
La prima domanda non è «che cosa consente la legge?», ma «chi, se c’è qualcuno, può impedire tecnicamente che questi fondi si spostino?».
| Dove si trovano i fondi tracciati | Chi può fermarli | Leva | Limite principale |
|---|---|---|---|
| Account presso un exchange o broker con custodia | Il fornitore | Blocco volontario, poi provvedimento di congelamento o sequestro | Il fornitore deve essere raggiungibile e disposto a collaborare; per i fornitori esteri può essere necessario un provvedimento nazionale |
| Stablecoin congelabile in un wallet non custodial | L’emittente | Congelamento a livello di indirizzo; in alcuni modelli, distruzione e nuova emissione | Non tutti i token sono congelabili; i detentori li scambiano rapidamente |
| All’interno di un protocollo con un ruolo di amministratore o guardiano (bridge, pool di prestito) | I titolari delle chiavi del protocollo o la governance | Pausa o inserimento in blocklist | Dipende dal modello e dalla governance; spesso è possibile soltanto subito dopo un exploit |
| Monete native (BTC, ETH) in un wallet non custodial | Solo il titolare della chiave | Sequestro tramite accesso legale alle chiavi, oppure monitoraggio finché i fondi non raggiungono un fornitore | Nessuna terza parte può congelarle |
| Su una chain i cui validatori possono censurare o aggiornare | Il gruppo dei validatori o gli sviluppatori principali | Congelamento a livello di rete | Raro, contestato e dipendente dalla governance |
L’ultimo caso si è verificato nel maggio 2025: dopo che circa 223 milioni di USD erano stati sottratti dall’exchange decentralizzato Cetus sulla rete Sui, i validatori hanno bloccato circa 162 milioni di USD detenuti agli indirizzi dell’aggressore e, in seguito, una votazione di governance on-chain ha approvato la restituzione di quei fondi tramite un trust multisignature. Questi interventi sono eccezionali e non si può fare affidamento su di essi nella pianificazione; la maggior parte delle chain non dispone di un meccanismo simile.
Quando nessuno può congelare i fondi, il piano realistico consiste nel monitorare gli indirizzi con avvisi e preparare richieste per i fornitori presso cui è più probabile che arrivino i fondi. Una richiesta di congelamento è inutile finché i fondi non raggiungono qualcuno in grado di intervenire.
Congelamenti volontari e degli emittenti: il punto di vista dell’investigatore
La lezione IDFE-CC Congelamenti, richieste delle forze dell’ordine e recupero dei beni spiega come un fornitore riceve e gestisce queste richieste. Dall’altro lato del tavolo, il compito dell’investigatore è rendere semplice e sicuro l’intervento del fornitore. I fornitori agiscono più rapidamente quando le richieste sono verificabili, precise e limitate al valore tracciato.
{
"request_id": "FRZ-2026-014",
"sent_utc": "2026-03-14T03:02:00Z",
"recipient": "stablecoin issuer, compliance desk (portal)",
"legal_basis": "urgent request; formal order to follow within agreed period",
"asset": "USDT (ERC-20)",
"address": "0x7cE1…40aB",
"amount_traced": "2,500,000.00",
"trace": "theft tx 0x91d2…e07f, block 24,679,412, direct transfer, 1 hop",
"confidence": "grade A, deterministic link",
"requested_action": "block address; preserve records",
"contact_verification": "agency switchboard, case officer ID"
}Il record indica il token, la chain e l’indirizzo esatti, l’importo tracciato e non l’intero saldo, e le prove on-chain del collegamento, con il relativo grado di affidabilità (vedi la lezione Tracciare secondo uno standard probatorio). Specifica inoltre quale seguito giuridico verrà dato e come il destinatario può verificare l’identità del mittente, poiché le richieste di polizia contraffatte sono comuni. Una richiesta basata su un collegamento euristico debole, o che chieda di congelare l’intero hot wallet di un exchange, verrà rifiutata oppure congelerà i fondi di clienti innocenti.
Ricorda tre limiti. Un blocco volontario ha una durata limitata e decade se non viene seguito da un provvedimento. Il congelamento da parte di un emittente blocca i token senza restituirli; il recupero richiede comunque una procedura giuridica, al termine della quale alcuni emittenti possono distruggere il saldo bloccato e riemettere un importo equivalente a un indirizzo sotto il controllo dell’autorità. Inoltre, anche il congelamento è una prova: registra quando è entrato in vigore, l’altezza del blocco e il saldo congelato, perché la difesa chiederà queste informazioni.
Sospensioni degli smart contract
Molti contratti DeFi includono un ruolo di amministratore che può sospendere i trasferimenti, inserire indirizzi in una blocklist o aggiornare il codice. Dopo un exploit, i bridge vengono spesso sospesi per impedire ulteriori perdite, come accadde al bridge Ronin, fermato nel 2022 dopo la scoperta del furto. Per gli investigatori, le domande sono fattuali: il contratto dispone di una funzione di sospensione o di blocklist? Chi detiene il ruolo (una singola chiave, un wallet multisignature, un contratto di governance)? Quanto velocemente può intervenire? Il codice sorgente verificato e le assegnazioni dei ruoli del contratto rispondono alle prime due domande (vedi la lezione IDFE-BA Decodificare le interazioni con gli smart contract). Un team di protocollo non è un’autorità di polizia; il suo intervento è volontario o avviene in seguito a un provvedimento e va documentato come qualsiasi altro congelamento.
La rapidità come fattore decisivo
Le linee guida del FATF del 2025 avvertono che, nei casi di asset virtuali, la finestra utile per il sequestro può chiudersi nel giro di pochi minuti. I congelamenti hanno successo quando le prime ore sono organizzate:
- Fissa gli elementi iniziali: txid del furto, indirizzi dell’aggressore, importi per asset e chain.
- Individua per primi gli asset congelabili: stablecoin presso l’emittente, fondi già depositati presso un fornitore.
- Invia richieste urgenti e precise attraverso canali verificati e avvaliti di ogni potere di sospensione dell’UIF disponibile.
- Imposta avvisi su tutti gli indirizzi dell’aggressore e sui probabili indirizzi successivi.
- Condividi gli indicatori attraverso i canali delle forze dell’ordine e, quando la legge lo consente, le reti di allerta del settore.
- Registra ogni richiesta, risposta e congelamento con gli orari UTC nel fascicolo del caso.
L’ordine è importante, perché gli aggressori sanno quali asset possono essere congelati e spostano per primi quelli: le stablecoin vengono scambiate e i depositi sugli exchange prelevati mentre la procedura giuridica più lenta è ancora in preparazione.
Focus sull’esame: i significati FATF di congelamento, sequestro e confisca e i relativi equivalenti nel settore crypto; i requisiti della Raccomandazione 4, comprese le misure provvisorie senza preavviso; la revisione dell’ottobre 2023 (recupero dei beni come priorità politica, potere di sospendere o negare il consenso alle transazioni, obbligo di confisca senza condanna penale, gestione dei beni); la Raccomandazione 38 e le richieste estere di NCBC; come scegliere la leva in base alla posizione dei fondi; che cosa deve contenere una richiesta precisa di congelamento e perché va limitata al valore tracciato; i limiti dei blocchi volontari, dei congelamenti degli emittenti e delle sospensioni dei protocolli; le priorità della prima ora.