Forense blockchain e crypto: Investigazioni 2026

Modelli di contabilità e tecniche di attribuzione

Ogni analisi parte dalla distinzione tra i due modelli di contabilità più diffusi. Nel modello UTXO (Bitcoin e derivati) il saldo non è memorizzato: è la somma degli output non ancora spesi, quindi ogni transazione consuma output esistenti e ne crea di nuovi. Nel modello a conto (Ethereum e reti compatibili EVM) i fondi sono un saldo associato a un indirizzo, aggiornato a ogni blocco. La differenza determina come si applicano le euristiche in perizia.

L'attribuzione si basa su euristiche di clustering, cioè regole dichiarate e ripetibili: l'euristica degli input multipli, secondo cui gli indirizzi che compaiono come input della stessa transazione appartengono con alta probabilità allo stesso soggetto; l'euristica del resto (change), che distingue l'output di ritorno dal pagamento; il riutilizzo dell'indirizzo; l'analisi dei depositi verso servizi noti. Si aggiungono elementi esterni: indirizzi resi pubblici da entità, ordini di pagamento, comunicazioni di controparte. Nessuna euristica è una prova in sé: ogni etichetta va motivata, datata e accompagnata dal livello di confidenza attribuito dallo strumento usato.

Cosa si può e cosa non si può stabilire dal registro pubblico

Dal registro pubblico si ricostruiscono con precisione tempi, importi, indirizzi coinvolti e collegamenti on-chain fra transazioni: si può dimostrare che un importo ha raggiunto un preciso indirizzo in un determinato blocco. Il limite riguarda l'identità. Il registro non contiene nomi, non prova la titolarità di un indirizzo e non dimostra chi ha firmato una transazione in assenza di elementi esterni. Per collegare un indirizzo a una persona servono fonti diverse: dati di identificazione di un fornitore di servizi, atti negoziali, corrispondenza o log aziendali. L'uso di mixer, coinjoin e catene orientate alla riservatezza riduce la qualità delle euristiche: non impedisce il tracciamento, ma introduce un'incertezza che va dichiarata nel rapporto. In questi casi il peso dell'analisi si sposta su tempi, importi e correlazioni off-chain.

Richieste di dati ai fornitori di servizi e quadro normativo

Il passaggio decisivo è ottenere i dati di identificazione da un exchange o da un altro fornitore di servizi. La richiesta va formulata in modo tracciabile: oggetto (indirizzo o hash), intervallo temporale, tipo di dati richiesti (dati di registrazione, log di accesso, movimenti in valuta fiat) e base giuridica. Chi agisce come privato o azienda segue la via contrattuale o l'autorizzazione dell'autorità competente; per le forze di polizia si procede tramite rogatoria. Chi non dispone di un canale diretto può avvalersi di un incarico professionale documentato, che formalizza l'oggetto e la sequenza delle richieste.

Il contesto europeo è cambiato. Il Regolamento (UE) 2023/1113 estende l'ambito del travel rule ai trasferimenti di cripto-attività e impone ai fornitori di trasmettere e conservare i dati di mittente e destinatario; MiCA (Reg. UE 2023/1114) uniforma autorizzazione e obblighi dei fornitori. Sui dati personali si applicano il GDPR (artt. 5, 28, 32 e 33) e il Codice privacy: la raccolta va limitata al necessario, conservata in modo sicuro e documentata. Il D.Lgs. 138/2024, che recepisce NIS2, rileva per i soggetti obbligati insieme alle indicazioni dell'ACN.

Sequestro, custodia e documentazione per il giudice

Quando un bene digitale viene individuato e posto sotto controllo, la priorità è la custodia. Le chiavi private che danno disponibilità dei fondi vanno gestite secondo una procedura scritta che ne tracci creazione, trasferimento e accesso, con separazione dei ruoli; le linee guida di settore raccomandano portafogli dedicati, doppia firma e registri immutabili.

Il rapporto finale deve essere leggibile da un giudice non tecnico: una cronologia con riferimento a blocchi e timestamp, una tabella dei flussi, le euristiche applicate con la relativa giustificazione e i limiti dell'analisi. La catena di custodia documenta chi ha avuto accesso al dato o al bene, quando e con quale autorizzazione, secondo il modello delle norme ISO/IEC 27035 e 27037.

Il coordinamento con la Polizia Postale e, per i casi transfrontalieri, con Europol EC3 consente canali di cooperazione più rapidi dei tempi di una rogatoria. Le tempistiche realistiche variano: la ricostruzione on-chain richiede giorni, l'ottenimento di dati identificativi da un fornitore estero richiede settimane o mesi e non è garantito. L'analisi non può assicurare il recupero dei fondi: può provare la destinazione degli importi, sostenere una richiesta all'autorità e, quando il bene è sotto controllo, documentare correttamente l'operazione.