Quando gli aggressori ricattano le vittime con ransomware e ricevono pagamenti in bitcoin, queste transazioni vengono registrate sulla blockchain. Tuttavia, i portafogli che ricevono questi fondi illeciti vengono contrassegnati, spingendo i cybercriminali a riciclare il denaro attraverso vari metodi complessi per realizzare profitti da truffe online, furti e attacchi informatici. Il riciclaggio dei proventi del crimine informatico comporta trasferimenti e conversioni intricate tra criptovalute e moneta legale. Tracciare questi fondi rappresenta una sfida significativa per gli investigatori. Raúl Orduna, responsabile della Sicurezza Digitale del centro tecnologico basco Vicomtech, osserva che questa attività crea un’economia globale sommersa, vasta e complessa. Il problema critico per gli aggressori dopo un attacco informatico è come accedere al denaro ottenuto. Secondo il Rapporto sulla Criminalità Cripto 2024 di Chainalysis, nel 2023 il riciclaggio di fondi illeciti collegati alle criptovalute ha raggiunto circa 22, 2 miliardi di dollari. Nell’ultimo anno, il valore totale inviato ad indirizzi blockchain illeciti — conti digitali per le criptovalute — è stato di 40, 9 miliardi di dollari, potenzialmente destinati a salire a 51, 3 miliardi. I cybercriminali mirano a convertire questi ingenti fondi illeciti in denaro pulito. George Smaragdakis, professore di Cybersecurity presso la Delft University of Technology, spiega che gli aggressori di solito ricevono i fondi in bitcoin o altre criptovalute e tentano di accedervi in modo anonimo tramite meccanismi come exchange o mixer. I fondi si spostano tra diversi indirizzi blockchain, con alcune parti che alla fine entrano nell’economia reale. Per comprendere questo labirinto di riciclaggio, è necessario chiarire alcuni concetti. Smaragdakis e Orduna collaborano al Progetto Horizon, un’iniziativa europea coinvolgendo aziende, centri di ricerca e forze dell’ordine, finalizzata a rafforzare la preparazione dell’UE alle minacce informatiche, incluso il capire come i criminali ottengano profitto. Nelle criptovalute, un portafoglio contiene più indirizzi blockchain utilizzati per inviare o ricevere fondi. Sebbene le transazioni sulla blockchain siano anonime, i loro record sono pubblici, consentendo agli analisti di individuare schemi di riciclaggio senza identificare i proprietari, spiega Orduna. Gli investigatori si concentrano sull’identificazione di servizi cripto simili alle banche, ma operanti in modo anonimo. Prestano particolare attenzione a sistemi blockchain come i contratti intelligenti di deposito a garanzia, che trattengono i fondi finché vengono soddisfatti i termini del contratto, e ai mixer, progettati per aumentare l’anonimato delle transazioni oscurando le origini dei fondi e gli scambi tra tipi di criptovaluta.

Orduna spiega che i mixer ostacolano la tracciabilità delle fonti di pagamento. Smaragdakis aggiunge che, sebbene la fonte — la vittima — sia spesso identificabile, dopo numerosi trasferimenti la traccia si perde. I criminali sfruttano la facilità di creare migliaia di indirizzi blockchain (a differenza degli account bancari, più difficili da aprire) per confondere le operazioni di tracciamento. In passato, i criminali centralizzavano i pagamenti delle vittime in un singolo indirizzo, ma ora assegnano indirizzi unici per ogni vittima e spesso più indirizzi per lo stesso soggetto, spiega Smaragdakis. Questa strategia frammenta i fondi illeciti in quantità più piccole distribuite su molti indirizzi, complicando il controllo e il monitoraggio. Successivamente, i criminali possono mescolare questi fondi con altri denari o usarli in casinò che accettano criptovalute. Attraverso numerose micro-scommesse con rischio e profitto minimi, “puliscano” effettivamente il denaro, che può essere poi ritirato come moneta legale, aggiunge Orduna. Le piattaforme di scambio come Binance o Coinbase rappresentano un’ulteriore strada per il riciclo di denaro, ma sono generalmente inaccessibili ai criminali poiché applicano politiche antiriciclaggio, richiedendo documenti di identità verificati e selfie collegati agli account. Le forze dell’ordine possono richiedere tali informazioni tramite ordini giudiziari, scoraggiando le attività illecite. Pertanto, i criminali si rivolgono a piattaforme non regolamentate che cercano di imitare gli exchange. Orduna avverte che, sebbene queste entità non siano registrate, mostrano schemi di transazioni simili a quelli degli exchange legittimi. Ricercatori di Vicomtech cercano di individuare tali piattaforme analizzando i pattern delle transazioni blockchain. Modellando il comportamento degli exchange legittimi, gli investigatori sviluppano modelli di comportamento digitale per identificare attività illecite simili a quelle degli exchange lungo le reti blockchain. Il team di Vicomtech collabora strettamente con le autorità, raccogliendo requisiti ed esempi di attività sospette, generando dati sintetici anonimizzati per creare e testare modelli di rilevamento intelligenti. Una volta validati, questi modelli supportano indagini reali gestite dalle autorità competenti. Mentre la maggior parte della ricerca sulla cybersecurity si concentra sulla comprensione degli attacchi, il miglioramento delle difese e la mitigazione delle violazioni, un altro sforzo cruciale riguarda il tracciare i flussi di denaro illecito. Questo lavoro è fondamentale per ostacolare la capacità dei criminali di ottenere profitti, riducendo così il loro incentivo economico a compiere cybercrimini.