Caso di studio conclusivo: dalla prima traccia al recupero

I casi reali richiedono di applicare contemporaneamente tutte le competenze di questo corso, sotto pressione e con dati incompleti. Questo caso conclusivo segue un furto fittizio dal primo allarme alla restituzione dei fondi. A ogni passaggio, occorre porsi tre domande: da quale lezione deriva l'azione, quale registrazione lascia e fino a che punto è possibile fidarsi del risultato? Tutti i nomi, gli indirizzi e gli importi sono inventati, e gli importi quadrano, per cui il caso funge anche da esercizio di riconciliazione (le commissioni di rete diverse dai costi dello swap su Chain B sono ignorate).

Il caso in sintesi

Alle 02:10 UTC del 14 marzo 2026, un attaccante che aveva compromesso un portatile utilizzato per la firma presso Nordhaven Exchange (Paese A) ha svuotato tre hot wallet. I prezzi in quel momento erano di USD 2.500 per ETH e USD 80.000 per BTC.

Altri soggetti: Brightwater OTC, un intermediario registrato nel Paese B; Lumen Exchange nel Paese C; un emittente di stablecoin; un mixer basato su smart contract con pool a importo fisso di 100 ETH; e un bridge di tipo lock-and-mint verso Chain B, un rollup EVM.

La prima ora: il quesito, la preservazione e il primo congelamento

Il sistema di monitoraggio di Nordhaven ha generato un allarme alle 02:31 e il responsabile dell'incidente ha chiamato l'unità di polizia informatica alle 02:40. L'investigatore di turno ha aperto un fascicolo e registrato gli elementi di partenza: tre txid del furto, gli indirizzi dell'attaccante su due blockchain e gli importi per ciascun asset (Lezione 1.2). Prima di eseguire la prima interrogazione, la richiesta "trovare il denaro" è stata riformulata come quesito con un ambito definito: dove sono confluiti gli asset sottratti in queste tre transazioni, fino ai blocchi limite registrati su ciascuna blockchain; quali servizi di custodia ne hanno ricevuto una parte; e quale livello di confidenza abbiamo in ciascun collegamento? L'ambito fissava le blockchain (Ethereum, Chain B, Bitcoin), un limite di passaggi per le peel chain e una regola di arresto presso qualsiasi servizio di custodia. Agli ingegneri di Nordhaven è stato chiesto di non cancellare il portatile compromesso; ne è stata acquisita un'immagine forense e l'hash dell'immagine è stato registrato prima dell'analisi (Lezione 8.3).

Le due transazioni del furto su Ethereum sono state lette dalle rispettive ricevute, non da un riepilogo di un explorer: stato 1 (riuscita) e, per il furto di USDT, il log Transfer decodificato (Lezioni 2.4 e 2.9), normalizzando subito le unità: USDT ha 6 decimali, quindi un valore grezzo di 4.000.000.000.000 corrisponde a 4.000.000 USDT (Lezione 2.6). L'indirizzo Ethereum principale dell'attaccante era stato finanziato due giorni prima con 1,0 ETH prelevati da un pool da 1 ETH di un mixer basato su smart contract, prima che inviasse qualsiasi transazione; si tratta di fondi propri dell'attaccante destinati al gas, non di valore sottratto, quindi restano esclusi dalla riconciliazione. Questo finanziamento dice ben poco su chi vi sia dietro, perciò è stato registrato come un vicolo cieco, non come una pista (Lezione 6.3).

La priorità è stata data agli asset congelabili. Alle 02:48 l'attaccante ha scambiato 1.500.000 USDT con 600 ETH su un exchange decentralizzato, a un tasso di 2.500 USDT per ETH, in linea con il mercato (Lezione 5.2). I restanti 2.500.000 USDT si trovavano su un unico indirizzo, quindi l'investigatore ha inviato una richiesta urgente di congelamento all'emittente, che ha bloccato l'indirizzo alle 03:05 (Lezione 10.1). Entro le 03:30 gli indicatori erano stati diffusi attraverso i canali di cooperazione tra forze di polizia e una rete di allerta del settore.

Il messaggio on-chain con cui Nordhaven proponeva una ricompensa all'attaccante è stato sospeso finché il gruppo investigativo non ha concordato una formulazione che non rivelasse ciò che gli investigatori sapevano (Lezione 1.5).

Giorni 1–12: il tracciamento della suddivisione

L'attaccante deteneva ora 3.000 ETH (2.400 sottratti più 600 ottenuti dallo swap) e 50 BTC, e li ha suddivisi. A ogni collegamento è stato assegnato un grado sulla scala A–D (Lezione 3.2).

Per il passaggio tramite bridge è stato eseguito l'abbinamento con i sette controlli della Lezione 5.4: entrambi i txid, l'ID del messaggio, il destinatario e l'importo corrispondente sono stati inseriti nella traccia. Per il mixer è stata seguita la Lezione 6.3: lo schema di finanziamento del gas è stato registrato come inferenza, con i relativi fondamenti e limiti, e i 600 ETH come non tracciati anziché "probabilmente dell'attaccante".

La peel chain è stata seguita mediante un'interrogazione ricorsiva sulle tabelle degli input e degli output (Lezione 2.9) che, a ogni passaggio, collega l'output di resto alla transazione che lo spende e conserva l'output di importo maggiore di tale transazione. "Output di importo maggiore" è soltanto una regola empirica, quindi ogni passaggio è stato verificato rispetto agli indicatori di individuazione del resto della Lezione 4.2: il resto andava sempre a un nuovo indirizzo con lo stesso tipo di script dell'input, i pagamenti erano di importo tondo mentre il resto non lo era, e tutte le transazioni condividevano la stessa versione, lo stesso tasso di commissione e lo stesso schema di locktime, un'impronta coerente del wallet. La concordanza rende più solida ogni identificazione del resto, ma si tratta comunque di indicatori di individuazione del resto ricavati dalle medesime transazioni, non di elementi probatori indipendenti; pertanto, il controllo del resto rimane di grado C (Lezione 3.2), indipendentemente da quanti indicatori concordino.

L'etichetta Lumen si basava su quanto accaduto in seguito: ciascun indirizzo di deposito è stato successivamente svuotato insieme a più di 100 altri indirizzi verso un unico hot wallet (Lezioni 4.1 e 3.4), e a tale hot wallet era associata una sola etichetta di terzi. Un secondo esaminatore ha rieseguito ogni tracciamento a partire dai dati del nodo, registrando le versioni degli strumenti e le istantanee delle etichette (Lezioni 3.6 e 8.2).

Verificare un'ipotesi: chi controlla bc1q…9tm4?

I 18 BTC rimanenti non erano stati spostati. L'analista ha formulato tre ipotesi: il wallet personale dell'attaccante (H1), un indirizzo di un servizio di custodia (H2) oppure un terzo pagato dall'attaccante (H3). Il flusso è compatibile con tutte e tre: dimostra dove sono confluiti i fondi, non chi controlla l'indirizzo. Gli elementi discriminanti erano gli indicatori del resto a ogni passaggio, che rimandano allo stesso wallet dei passaggi precedenti (contro H3); l'assenza di qualsiasi attività precedente alla peel chain per quell'indirizzo e l'assenza di uno svuotamento verso un hot wallet (contro H2). H1 ha resistito alla verifica; H3 è stata mantenuta come ipotesi minoritaria, poiché gli elementi contrari si basavano esclusivamente su indicatori euristici (Lezione 1.2). La valutazione provvisoria, espressa separando probabilità e confidenza come richiesto dalla Lezione 9.2, era: È probabile che l'attaccante controlli bc1q…9tm4. La confidenza è moderata, poiché il collegamento si basa su euristiche del resto concordanti, ma non su registrazioni indipendenti.

Dal servizio di conversione in valuta fiat al sospettato

L'attribuzione a Brightwater si basava su due indicatori indipendenti: le istruzioni di deposito pubblicate dal servizio stesso, una fonte autoidentificata che non elenca i singoli indirizzi di deposito dei clienti, e un'etichetta presente in due insiemi di dati indipendenti, verificata e datata (Lezione 4.6). Per questo l'etichetta Brightwater partiva dal grado B e quella Lumen soltanto dal grado C: una fonte che parla a nome dell'entità può sostenere da sola il grado B, mentre una singola etichetta di terzi costituisce un indicatore con modalità di errore note (Lezione 4.5). Essendo un prestatore registrato nel Paese B, a Brightwater poteva essere chiesto di preservare immediatamente le registrazioni attraverso i canali di polizia e delle unità di informazione finanziaria (FIU), con successiva richiesta di assistenza giudiziaria reciproca da parte del Paese A (Lezioni 1.3 e 1.4). I Paesi A e B hanno costituito una squadra investigativa comune.

Le registrazioni di Brightwater mostravano che tutti i 4.980.000 USDC e i quattro prelievi dal mixer (400 ETH, ossia USD 1.000.000 al prezzo di USD 2.500) erano stati accreditati su un unico conto aziendale il cui amministratore viene qui chiamato Sospettato 1. Brightwater aveva già versato USD 2.980.000 (1.980.000 per USDC e 1.000.000 per ETH) su un conto bancario nel Paese B; 3.000.000 USDC erano ancora presenti sul conto. Le registrazioni, autenticate come descritto nella Lezione 7.5, hanno corroborato in modo indipendente l'inferenza relativa al mixer, passata dal grado D al grado B, mantenendo la cronologia dei gradi.

Le registrazioni di Lumen mostravano che i sei depositi erano confluiti su conti aperti da tre prestanome finanziari, portando l'etichetta Lumen al grado B. Gli identificativi dei dispositivi utilizzati per accedere a tali conti corrispondevano a un dispositivo che aveva effettuato l'accesso al conto Brightwater del Sospettato 1 (Lezione 4.7). La catena di attribuzione seguiva il percorso indirizzo → cluster → servizio → conto → persona, con elementi probatori specifici per ciascun livello (Lezione 4.5).

Prove ricavate dai dispositivi

Il 4 aprile, agenti del Paese B hanno perquisito l'abitazione del Sospettato 1 in esecuzione di un mandato (Lezione 7.2). Gli esaminatori hanno acquisito un'immagine forense del telefono e trovato la foto di una frase seed nel backup di un'app per le note (Lezioni 7.1 e 7.3). Ripristinata su un dispositivo isolato dell'esaminatore, con legittima autorizzazione, la frase ha consentito di derivare bc1q…9tm4 (Lezione 7.4). I 18 BTC sono stati trasferiti integralmente la stessa mattina in un wallet multisig 2-di-3 controllato dall'autorità (Lezione 10.2). Le parole della frase seed non compaiono in alcuna nota del caso, log, relazione o fotografia del caso; il fascicolo registra l'indirizzo derivato come identificativo non segreto, due persone identificate nominativamente erano presenti e sono state registrate ogni volta che il reperto contenente la frase seed è stato aperto, visionato o ripristinato, e il reperto è stato nuovamente sigillato con un nuovo numero di sigillo (doppio controllo); inoltre, il txid del trasferimento integrale consente a chiunque di verificare quando i fondi sono stati spostati (Lezione 8.3).

Il ritrovamento sul dispositivo ha consentito ciò che nessuna euristica poteva fare: la valutazione provvisoria su bc1q…9tm4 è stata sostituita da un riscontro documentato, una frase seed sul telefono del Sospettato 1 dalla quale si deriva l'indirizzo, di grado A per il controllo dell'indirizzo (Lezione 4.5). Chi abbia utilizzato quella frase seed rimane una questione relativa al livello della persona, alla quale rispondere mediante il resto delle prove ricavate dal dispositivo e dai conti. L'analisi euristica resta nel fascicolo come ragionamento che ha condotto a quell'indirizzo.

Congelamenti e sequestri

Il conto bancario era stato aperto due settimane prima del furto e non aveva ricevuto altro denaro, quindi non era necessario alcun metodo di allocazione; la relazione lo dichiarava esplicitamente anziché lasciare il punto irrisolto (Lezione 3.3). Ogni sequestro è stato valorizzato al momento del trasferimento, indicando la fonte del prezzo (Lezione 10.3). Nordhaven ha chiesto la restituzione dei bitcoin in natura, quindi non è stata richiesta alcuna vendita provvisoria.

Notifica, relazione e testimonianza

Lumen e Brightwater sono stati informati separatamente attraverso i canali di conformità, comunicando a ciascuno soltanto i propri indirizzi di deposito, i txid, gli importi e il grado di ciascun collegamento. Un indirizzo presente nella cronologia Ethereum precedente dell'attaccante, estraneo alla traccia dei fondi sottratti, veniva risolto tramite un servizio di denominazione in quello che sembrava il nome di un privato; è stato escluso da ogni documento condiviso e inserito soltanto in un allegato ad accesso ristretto per le procedure legali (Lezione 1.5).

La relazione dell'esaminatore responsabile seguiva la Lezione 9.2: istruzioni, materiali con i valori hash di ogni risposta documentale dei prestatori e di ogni immagine forense, metodi, risultanze per ciascun collegamento con i relativi gradi, limitazioni e appendici con tabelle dei txid generate mediante interrogazione. Seguendo la Lezione 9.3, conteneva un diagramma di Sankey per ciascun asset anziché un unico diagramma che mescolasse unità diverse; un diagramma di flusso che mostrava il valore tracciato, inferito e non tracciato con stili di linea diversi; e una cronologia con una corsia per ciascuna blockchain. Prima del processo è stato comunicato il materiale non utilizzato, comprese le fonti delle etichette e le ricerche pubblicate sui tassi di errore dell'euristica relativa al mixer (Lezione 8.4).

Durante il controesame, il difensore ha contestato all'esaminatore l'inaffidabilità delle euristiche relative ai mixer. L'esaminatore ha riconosciuto che lo schema di finanziamento del gas, da solo, costituisce soltanto un'inferenza (grado D), ha indicato la corroborazione indipendente nelle registrazioni di Brightwater che l'aveva elevata al grado B e ha precisato che il collegamento riguardava USD 1.000.000 su USD 14.000.000 e che nessun'altra risultanza dipendeva da esso (Lezione 9.4). Riconoscere il limite ha reso più credibile il resto delle prove.

Restituzione dei fondi e riconciliazione

Nordhaven aveva rimborsato i propri clienti utilizzando le riserve, perciò era il soggetto richiedente la restituzione. I Paesi B e C hanno restituito quanto detenevano al Paese A in base ad accordi di restituzione dei beni del tipo previsto dalla Raccomandazione 38 del GAFI, verificando ogni indirizzo di pagamento mediante un messaggio firmato prima del trasferimento (Lezione 10.4). Nel frattempo, i clienti di Nordhaven sono stati contattati da falsi "agenti di recupero"; la polizia ha pubblicato un avviso precisando che non avrebbe mai richiesto commissioni.

Il recupero è stato pari al 72,9% della perdita ai prezzi al momento del furto e i bitcoin, restituiti in natura, sono stati recuperati integralmente. Le perdite in ETH e USDT (USD 6.000.000 + 4.000.000 = 10.000.000) sono state coperte per il 62% dai recuperi a esse riconducibili: gli USDT riemessi, gli USDC sequestrati e i fondi bancari congelati (2.500.000 + 3.000.000 + 700.000 = USD 6.200.000). Ogni unità di valore sottratto ha una destinazione nella tabella: è la verifica finale della completezza del tracciamento.

Focus sull'esame: priorità della prima ora (elementi di partenza, quesito con ambito definito, preservazione, priorità agli asset congelabili, diffusione degli indicatori, comunicazione controllata con l'attaccante); lettura delle ricevute e normalizzazione delle unità dei token; perché un indirizzo dell'attaccante finanziato tramite mixer è un vicolo cieco; assegnazione di un grado a ogni collegamento sulla scala A–D e conservazione della cronologia dei gradi quando le registrazioni elevano un'inferenza; abbinamento dei depositi nei bridge ai rilasci; tracciamento di una peel chain e conferma del resto mediante più euristiche; attribuzione degli indirizzi di deposito attraverso gli svuotamenti e ragioni per cui un'etichetta autoidentificata ha maggior valore di una singola etichetta di terzi; verifica delle ipotesi sul controllo ed espressione separata di probabilità e confidenza; come le prove ricavate dai dispositivi trasformano un'inferenza sul controllo in un riscontro documentato e come gestire le frasi seed senza registrarle; attribuzione livello per livello dal cluster alla persona; scelta dello strumento d'intervento per ciascun asset (emittente, prestatore, banca, chiavi); comunicazione minima ai servizi e allegato ad accesso ristretto per i dati personali; riconoscimento dei limiti durante il controesame; riconciliazione degli importi recuperati e persi con la perdita totale.