Operation Lighthouse trasforma 29.120 indirizzi crypto in 14.300 piste contro il CSAM

🛡️ Executive Summary

• Chainalysis coordina uno sprint investigativo contro oltre 100 piattaforme e reti coinvolte nella distribuzione di materiale di abuso sessuale su minori.
• L’analisi di 29.120 indirizzi e identificatori genera 14.300 piste e oltre 7.700 account sospetti distribuiti in 125 Paesi.
• Il caso ceco Jiřikovský mostra come blockchain intelligence, dati degli exchange e indagini tradizionali possano ricostruire patrimoni provenienti dal darknet.

Operation Lighthouse porta la blockchain forensics dalla ricostruzione finanziaria all’azione investigativa coordinata. Chainalysis ha riunito forze dell’ordine, exchange, servizi di pagamento e organizzazioni specializzate per analizzare 29.120 indirizzi crypto e identificatori digitali collegati a reti accusate di distribuire materiale di abuso sessuale su minori. Il risultato dichiarato comprende 14.300 piste investigative, oltre 7.700 account sospetti e soggetti individuati in 125 Paesi. Binance e Coinbase hanno partecipato insieme a Europol, Australian Federal Police, Royal Canadian Mounted Police e National Crime Agency britannica. Sullo sfondo, l’inchiesta ceca sui Bitcoin attribuiti a Tomáš Jiřikovský mostra la stessa dinamica su scala giudiziaria: la blockchain non identifica automaticamente una persona, ma conserva una traccia che può essere incrociata con account, dispositivi e dati finanziari.

Operation Lighthouse colpisce oltre 100 reti tra web e dark web

L’operazione è stata costruita dopo mesi di arricchimento dei dati e realizzata attraverso uno sprint investigativo di più giorni ospitato dalla National Cyber-Forensics and Training Alliance di New York. Non si è trattato di una conferenza o di una semplice esercitazione analitica: i partecipanti hanno lavorato su un insieme condiviso di obiettivi, indirizzi, transazioni e identificatori associati a consumatori, venditori, amministratori di piattaforme e gestori di reti accusate di commercializzare o distribuire CSAM, acronimo inglese utilizzato per indicare il materiale di abuso sessuale su minori. Secondo il bilancio ufficiale pubblicato da Chainalysis, l’attività ha interessato più di 100 piattaforme, forum e circuiti di distribuzione operativi sia sul web accessibile sia nel dark web. Il gruppo comprendeva almeno nove organismi di law enforcement, più di tredici partner privati e organizzazioni specializzate come Internet Watch Foundation. Il numero di indirizzi esaminati non corrisponde però automaticamente al numero di persone coinvolte: un singolo operatore può controllare numerosi wallet, mentre più utenti possono confluire in infrastrutture, servizi o indirizzi comuni.

Dai wallet alle identità attraverso gli exchange

L’elemento centrale dell’operazione è il passaggio dalla traccia on-chain all’attribuzione nel mondo reale. Una blockchain pubblica consente di seguire trasferimenti, importi, orari e relazioni tra indirizzi, ma non contiene necessariamente il nome del titolare. Gli investigatori devono raggruppare i wallet attraverso euristiche, seguire i fondi tra blockchain differenti, riconoscere depositi verso piattaforme centralizzate e collegare queste informazioni a dati KYC, indirizzi IP, dispositivi, email, numeri telefonici e metodi di pagamento. Binance, Coinbase, Block e altri intermediari hanno contribuito a questa fase individuando account interni corrispondenti agli indicatori condivisi.

Le 14.300 piste sono state generate attraverso 11 exchange e servizi di pagamento, mentre i partner privati hanno fatto emergere più di 7.700 account sospetti, compresi 16 riconducibili a persone già registrate come autori di reati sessuali. L’esistenza di una pista o di un account segnalato non equivale comunque a una condanna: ogni posizione richiede verifiche, acquisizione legale dei dati, valutazione delle autorità competenti e riscontri esterni. Lo stesso metodo di correlazione viene utilizzato nelle indagini sul riciclaggio internazionale, come mostra la rete brasiliana accusata di avere convertito i proventi del narcotraffico attraverso società di copertura e criptovalute.

Binance e Coinbase diventano sensori investigativi

La partecipazione degli exchange modifica il ruolo delle piattaforme centralizzate nell’ecosistema crypto. Binance e Coinbase non hanno condotto arresti né sostituito le autorità giudiziarie, ma hanno trasformato indicatori blockchain in informazioni sugli account presenti nei propri sistemi. Un exchange regolamentato rappresenta infatti uno dei principali punti di passaggio tra pseudonimia on-chain e identità documentata: riceve depositi, esegue controlli antiriciclaggio, conserva dati di accesso e gestisce prelievi verso conti bancari o altri wallet. Questa posizione permette di produrre intelligence ad alto valore, ma richiede procedure rigorose per evitare che una semplice esposizione indiretta a un indirizzo sospetto venga trattata come prova di partecipazione criminale. L’obiettivo è distinguere pagamenti diretti, transazioni di passaggio, servizi condivisi e fondi ricevuti senza consapevolezza. Operation Lighthouse mostra quindi un modello nel quale società private, forze di polizia e organizzazioni non profit lavorano sulla stessa missione, mantenendo ruoli e poteri differenti. È un’evoluzione della cooperazione già costruita nelle operazioni internazionali contro l’uso criminale delle criptovalute, ma con una concentrazione temporale e operativa molto più elevata.

La blockchain non garantisce anonimato assoluto

Il risultato dell’operazione contraddice l’idea ancora diffusa secondo cui Bitcoin e le altre criptovalute offrirebbero automaticamente anonimato. La maggior parte delle blockchain conserva un registro persistente: una transazione compiuta anni prima può essere riesaminata quando emergono nuovi dati, quando un indirizzo viene attribuito o quando i fondi raggiungono una piattaforma collaborativa. I criminali possono aumentare la complessità attraverso mixer, chain hopping, privacy coin, transazioni incrociate, prestanome e servizi decentralizzati, ma ogni passaggio aggiunge comportamenti e relazioni potenzialmente analizzabili. La vera difficoltà non consiste nel vedere il trasferimento, bensì nel dimostrare chi controllasse le chiavi, con quale consapevolezza e per quale finalità. Le operazioni contro le infrastrutture di mixing hanno già mostrato come server sequestrati, log, wallet e dati blockchain possano rafforzarsi reciprocamente: la chiusura di cryptomixer.io e il sequestro di 25 milioni di euro hanno prodotto non soltanto il blocco immediato del servizio, ma anche materiale destinato ad alimentare procedimenti successivi. Lighthouse applica lo stesso principio a una rete più distribuita, senza identificare un unico servizio centrale da spegnere.

Le 14.300 piste non sono ancora 14.300 procedimenti

Il dato più importante deve essere interpretato correttamente. Una pista investigativa non è una persona identificata, un arresto o un reato provato. Può indicare un account da approfondire, una relazione finanziaria, un wallet associato a un servizio già noto o una transazione che richiede ulteriori riscontri. Chainalysis prevede che gli esiti giudiziari continuino a maturare durante il 2027 attraverso restrizioni degli account, sequestri, arresti e procedimenti, ma la distanza tra intelligence e prova rimane decisiva. Gli investigatori devono ottenere legalmente i dati dagli intermediari, verificare la catena di custodia, escludere attribuzioni errate e collegare l’attività finanziaria al comportamento contestato. Questo passaggio è particolarmente delicato nei casi di sfruttamento minorile, dove la tutela delle vittime richiede rapidità ma anche controlli capaci di impedire accuse fondate soltanto sulla vicinanza transazionale. Il modello dello sprint riduce i tempi di coordinamento tra giurisdizioni, non elimina gli standard probatori. La stessa cautela vale per i dati economici prodotti attraverso la blockchain intelligence, compresi quelli con cui Chainalysis ricostruisce pagamenti, intermediari e flussi dell’economia ransomware.

Il caso Jiřikovský e i 44 milioni destinati allo Stato ceco

Il procedimento ceco che coinvolge Tomáš Jiřikovský mostra cosa accade quando la ricostruzione degli asset digitali entra in una controversia giudiziaria e politica. Il programmatore, già condannato in passato e associato dalle autorità alla gestione di attività sul darknet, aveva trasferito al ministero della Giustizia ceco una quota di Bitcoin provenienti da un wallet recuperato, per un valore indicato intorno ai 44 milioni di dollari. L’accordo prevedeva che lo Stato ricevesse il 30% degli asset in cambio dell’assistenza necessaria allo sblocco del portafoglio. L’origine delle monete e le modalità con cui il ministero aveva accettato la donazione hanno successivamente alimentato indagini per presunto riciclaggio e prodotto una crisi politica. Jiřikovský, che resta in custodia, avrebbe ora manifestato alla procuratrice Lucie Slámová una disponibilità iniziale a collaborare su alcuni elementi relativi al funzionamento del marketplace darknet e alla legalizzazione dei proventi, senza avere ancora reso una deposizione dettagliata. La procura chiede una pena che può arrivare fino a vent’anni e la confisca dei beni, ma le accuse dovranno essere provate nel processo. Il caso dimostra che il valore forense della blockchain non si esaurisce nel seguire un pagamento: deve ricostruire origine del patrimonio, controllo effettivo del wallet, passaggi intermedi e conoscenza della provenienza criminale.

La cyber forensics diventa una filiera pubblico-privata

Operation Lighthouse e il procedimento ceco descrivono due livelli della stessa trasformazione. Nel primo, migliaia di indicatori vengono aggregati rapidamente per generare piste transnazionali; nel secondo, una singola massa di Bitcoin diventa il centro di un confronto su provenienza, responsabilità e confisca. In entrambi i casi la tecnologia da sola non basta. Blockchain analysis, dati KYC, sequestri dei dispositivi, log degli exchange, intelligence sul dark web e attività giudiziaria devono convergere senza confondere correlazione e responsabilità penale. La scala raggiunta da Lighthouse suggerisce che gli sprint investigativi potrebbero essere riutilizzati contro ransomware, narcotraffico, frodi, sanzioni e riciclaggio, producendo in pochi giorni una quantità di segnalazioni che un singolo ufficio impiegherebbe mesi a elaborare. Il vantaggio è la velocità; il rischio è trasformare l’automazione dell’intelligence in automazione del sospetto. La maturità della cyber forensics si misurerà quindi non soltanto dal numero di indirizzi analizzati, ma dalla capacità di trasformarli in prove solide, attribuzioni verificabili e interventi mirati, proteggendo contemporaneamente vittime, indagini e persone estranee ai circuiti criminali.