Quando un attacco ransomware blocca i sistemi o sottrae dati sensibili, il pagamento del riscatto può sembrare destinato a scomparire in una rete anonima. In realtà, su Bitcoin e su molte blockchain pubbliche ogni trasferimento lascia una traccia consultabile: indirizzo mittente e destinatario, importo, orario, commissioni e successive movimentazioni. La difficoltà non consiste tanto nel vedere la transazione, quanto nel collegare gli indirizzi a soggetti, servizi e infrastrutture reali.
Il fenomeno resta rilevante: secondo alcune stime, nel 2025 i pagamenti ransomware on-chain hanno superato 820 milioni di dollari, mentre gli attacchi dichiarati sono aumentati del 50%.
Tracciare i pagamenti in criptovalute di un ransomware significa quindi ricostruire il percorso del denaro dalla vittima ai wallet controllati dagli estorsori, seguire eventuali passaggi tra exchange, mixer, bridge e protocolli DeFi e individuare i punti nei quali l’analisi tecnica può incontrare dati identificativi. Non equivale automaticamente a identificare l’autore o recuperare le somme, ma può produrre elementi utili per denuncia, indagine, congelamento e sequestro.
Indice dei contenuti
- Le criptovalute dei ransomware sono davvero anonime?
- Come tracciare i pagamenti in criptovalute di un ransomware
- Mixer, chain hopping e privacy coin: cosa ostacola il tracciamento
- Tracciare significa anche recuperare il riscatto?
- Cosa conservare e come costruire una prova utilizzabile
- Domande frequenti sul tracciamento dei pagamenti ransomware
Le criptovalute dei ransomware sono davvero anonime?
Per comprendere il tracciamento occorre distinguere la riservatezza dell’identità dalla visibilità finanziaria.
Blockchain pubblica: pseudonimia, non anonimato assoluto
Un indirizzo Bitcoin non mostra direttamente nome, domicilio o società del titolare: funziona come uno pseudonimo alfanumerico. Tuttavia, le transazioni Bitcoin sono pubbliche, tracciabili e registrate permanentemente nel ledger.
Un blockchain explorer verifica una transazione, ma non attribuisce il wallet a una persona. L’identificazione richiede informazioni esterne: dati KYC di un exchange, ricevute, comunicazioni, indirizzi IP, account, log o infrastrutture già associate a un gruppo criminale.
Quali dati lascia un pagamento di riscatto
L’elemento iniziale è normalmente l’indirizzo di pagamento contenuto nella ransom note. Se il trasferimento è avvenuto, diventano centrali il transaction ID o TXID, la blockchain, l’asset, l’importo, la data e il wallet di provenienza. Servono a distinguere il pagamento e osservare come le somme vengono frammentate, aggregate o trasferite.
Come tracciare i pagamenti in criptovalute di un ransomware
L’analisi segue un processo verificabile: parte da un dato certo, mappa i flussi e aggiunge livelli di attribuzione. La sola rappresentazione grafica non è una prova conclusiva; devono essere documentati fonti, criteri, limiti e grado di attendibilità di ogni collegamento.
| Fase | Attività | Risultato investigativo |
|---|---|---|
| 1. Acquisizione | Raccolta di wallet, TXID, note e ricevute | Punto di partenza verificato |
| 2. Analisi on-chain | Lettura di input, output, importi e tempi | Mappa cronologica dei flussi |
| 3. Clustering | Valutazione di indirizzi probabilmente controllati insieme | Individuazione di wallet collegati |
| 4. Attribuzione | Confronto con etichette, OSINT e intelligence | Associazione a entità note |
| 5. Correlazione | Integrazione con log e reperti forensi | Collegamento tra denaro, attacco e infrastruttura |
| 6. Reporting | Relazione tecnica con hash, fonti e livelli di confidenza | Risultati riproducibili e utilizzabili legalmente |
Dall’indirizzo iniziale alla mappa delle transazioni
Sulle blockchain basate sul modello UTXO, come Bitcoin, si analizzano input, output e possibili indirizzi di resto; sulle reti account-based si osservano saldo, chiamate a smart contract, token e interazioni con protocolli. Software professionali di blockchain analytics arricchiscono i dati grezzi con grafi, etichette e indicatori di rischio.
Le tecniche di clustering possono suggerire che più indirizzi appartengano alla stessa entità, ma sono inferenze probabilistiche. Co-spesa, tempi ravvicinati o schemi ricorrenti acquistano valore solo se confermati da altri elementi.
Il passaggio decisivo: attribuire il wallet
La blockchain descrive dove si spostano i fondi; l’attribuzione tenta di stabilire chi controlla il punto di arrivo. I passaggi verso un exchange centralizzato, un broker o un altro Virtual Asset Service Provider possono aprire una pista perché tali operatori possono disporre di identificazione KYC, accessi, dispositivi e dati di prelievo. Queste informazioni non sono pubblicamente accessibili: richiedono la cooperazione dell’operatore e, normalmente, l’iniziativa dell’autorità competente.
L’analisi finanziaria va integrata con investigazioni digitali sull’incidente: variante del malware, indirizzi e-mail, portali di negoziazione, domini, server, log di rete e tattiche del gruppo. Il FATF sottolinea l’esigenza di raccogliere rapidamente le informazioni e tracciare i trasferimenti prima che gli asset si disperdano.
Mixer, chain hopping e privacy coin: cosa ostacola il tracciamento
Gli estorsori cercano di spezzare il legame tra il pagamento e l’incasso finale. Gli ostacoli aumentano costi, tempi e incertezza dell’analisi, ma non rendono necessariamente invisibile l’intero percorso.
Le principali tecniche di offuscamento
- Mixer o tumbler: combinano fondi di provenienze diverse per rendere meno immediato il collegamento tra entrata e uscita.
- Chain hopping: trasferiscono valore tra blockchain tramite bridge, swap o servizi di conversione.
- Peel chain e frammentazione: distribuiscono progressivamente le somme su numerosi indirizzi.
- Protocolli DeFi e DEX: aggiungono smart contract, liquidity pool e passaggi non custodial.
- Privacy coin: reti come Monero sono progettate per nascondere informazioni che nelle blockchain trasparenti risultano visibili.
La presenza di un mixer o di una privacy coin non autorizza attribuzioni automatiche. Il FATF li considera possibili indicatori di rischio, precisando che un singolo indicatore non dimostra da solo un reato. Anche l’assenza di etichette non prova che un wallet sia lecito o illecito.
Tracciare significa anche recuperare il riscatto?
No: tracciamento, attribuzione e recupero sono tre risultati distinti. Si può seguire un flusso senza conoscere il titolare; si può attribuire un account senza poter bloccare i fondi; il recupero richiede presupposti tecnici, giuridici e operativi ulteriori.
Quando il recupero può diventare possibile
Le probabilità aumentano se le somme raggiungono rapidamente un intermediario collaborativo, sono ancora disponibili e l’autorità può ottenere la conservazione dei dati, il congelamento o il sequestro. Nel caso Colonial Pipeline, il Dipartimento di Giustizia statunitense ricostruì più trasferimenti sul ledger Bitcoin e sequestrò 63,7 BTC, allora pari a circa 2,3 milioni di dollari. Il caso dimostra una possibilità, non una garanzia, e valorizza la segnalazione tempestiva alle autorità.
Pagare, invece, non garantisce la consegna di una chiave funzionante, la cancellazione dei dati esfiltrati o l’assenza di nuove estorsioni. La decisione non dovrebbe essere improvvisata: richiede il coordinamento tra direzione, incident response, legali, assicurazione e autorità, oltre alla verifica di eventuali sanzioni e obblighi applicabili.
Cosa conservare e come costruire una prova utilizzabile
La rapidità non deve compromettere l’integrità dei reperti. Prima di modificare sistemi o cancellare file, è opportuno coinvolgere specialisti di incident response e digital forensics, isolando l’incidente con una procedura documentata.
Checklist delle evidenze da acquisire
- ransom note nel formato originale e schermate del messaggio;
- indirizzo wallet, QR code, TXID, importo, asset, rete, data e ora;
- ricevute dell’exchange, bonifici e account utilizzati;
- e-mail complete di header, chat, URL .onion e cronologia della negoziazione;
- log di firewall, VPN, endpoint, server, cloud e autenticazioni;
- immagini forensi dei dispositivi, malware, file cifrati e relative impronte hash;
- cronologia delle attività, responsabile dell’acquisizione e modalità di conservazione.
Se l’attacco coinvolge dati personali, l’organizzazione deve inoltre valutare gli obblighi derivanti dal GDPR: il Garante ricorda che la notifica va effettuata, quando necessaria, senza ingiustificato ritardo e possibilmente entro 72 ore dalla conoscenza della violazione.
Dalla blockchain analysis alla relazione tecnica
Una perizia informatica efficace non si limita a esportare il grafo prodotto da un software. Deve indicare il dato di partenza, la rete analizzata, l’altezza dei blocchi o l’intervallo temporale, i passaggi rilevanti, le fonti delle etichette, le euristiche applicate e le spiegazioni alternative. Ogni conclusione dovrebbe distinguere tra dato direttamente osservato, correlazione e attribuzione.
Questo metodo è utile non solo nei riscatti, ma anche nelle frodi informatiche e nelle truffe con le criptovalute, dove la ricostruzione del flusso può individuare exchange, wallet di consolidamento e connessioni con altri eventi. Il dossier finale può supportare il legale e le autorità, senza sostituire i poteri di acquisizione, congelamento e sequestro riservati agli organi competenti.
Domande frequenti sul tracciamento dei pagamenti ransomware
Le risposte dipendono dalla blockchain, dalla qualità dei dati disponibili e dalla velocità di intervento. Questi sono i chiarimenti più utili prima di avviare l’analisi.
Basta conoscere l’indirizzo Bitcoin per identificare l’estorsore?
No. Permette di seguire le transazioni, ma l’identificazione richiede dati off-chain, riscontri forensi e spesso informazioni ottenibili soltanto attraverso le autorità.
È possibile iniziare l’indagine se il riscatto non è stato pagato?
Sì. Wallet, ransom note, chat e infrastruttura possono essere confrontati con indicatori già noti e collegati ad altri attacchi.
Quanto tempo occorre?
Non esiste una durata standard. Numero di passaggi, blockchain coinvolte, mixer, servizi esteri e tempi di risposta degli intermediari possono cambiare radicalmente il quadro. Agire subito aumenta la possibilità di preservare dati e fondi.
In un caso di ransomware, un intervento coordinato tra competenze investigative, forensi e legali consente di trasformare una sequenza di indirizzi in una ricostruzione documentata, indicando con chiarezza ciò che è accertato, ciò che è probabile e quali azioni possono ancora essere intraprese.
