C’è un grosso problema con le transazioni Bitcoin dal punto di vista aziendale, di cui spesso nessuno parla. Mettiamo che un’azienda paghi un fornitore in BTC usando un indirizzo di wallet già utilizzato. In realtà, si può vedere ben più di quanto riportato in fattura.
In questo momento, mentre leggi, un concorrente può aprire un block explorer e vedere a chi hai pagato in Bitcoin l’ultimo affare: quanto, quando e a quale controparte. La tracciabilità delle transazioni non è un problema solo per chi ha qualcosa da nascondere. È un rischio aziendale costante: i movimenti di tesoreria, i rapporti con i partner e il flusso degli affari sono alla portata di chiunque sia disposto a passare un pomeriggio a seguirne le tracce.
La reazione istintiva è pensare che questa esposizione inizi on-chain, nel momento in cui firmi una transazione. Non è così. Nel luglio 2026, i ricercatori del gruppo DistriNet della KU Leuven hanno testato 85 tra i wallet con estensione per browser più diffusi e hanno scoperto che i wallet stessi divulgano informazioni sufficienti a identificare e seguire i propri utenti, prima ancora che venga firmata una sola transazione.
Il wallet contatta un server esterno per mostrare il saldo e quella richiesta trasmette già l’indirizzo in chiaro. Non viene sfruttata alcuna vulnerabilità: le estensioni si comportano esattamente come sono state progettate. Tra tutti gli 85 wallet, la sola vulnerabilità che consente di rilevare l’impronta digitale riguarda 36 wallet, che rappresentano circa l’82% delle installazioni esaminate: è su questo sottogruppo che si basano tutti i dati successivi di questa sezione.
E questo vale anche per gli onesti. Per un decennio, Andy Greenberg è stato il cronista più scrupoloso dei crimini legati alle criptovalute: ha raccontato le vicende di hacker, trafficanti e riciclatori che consideravano la blockchain un nascondiglio, osservando gli investigatori stanarli uno dopo l’altro. Ci sono voluti dieci anni perché capisse quanto Bitcoin fosse in realtà lontano dall’essere non tracciabile. Il registro che avrebbe dovuto proteggerli è diventato la prova che li ha condannati.
La falsa sicurezza va in una sola direzione: chi pensa di aver fatto abbastanza per restare nell’anonimato, perlopiù, è chi non aveva nulla da nascondere: un donatore la cui intera storia di donazioni è ora pubblica, un giornalista le cui fonti si possono dedurre dalle tracce dei pagamenti, la controparte B2B di cui sopra.
Quasi ogni aspetto di tutto questo ti accade, non dipende da te. Il resto di questo articolo traccia un quadro completo dell’esposizione e indica l’unico collegamento che sia mai spettato a te creare.
Cosa rivela un wallet oltre alla transazione
Un wallet crypto può rivelare informazioni ancor prima che tu effettui una transazione. Per mostrarti il saldo, un wallet per browser contatta di solito server esterni e invia loro l’indirizzo del tuo wallet. I ricercatori della KU Leuven hanno testato 85 popolari wallet sotto forma di estensioni per browser, che rappresentavano circa 35 milioni di installazioni dal Chrome Web Store. Hanno scoperto che 36 wallet — pari a circa l’82% delle installazioni esaminate — potevano essere identificati e monitorati in questo modo.
Diciassette portafogli, che coprono circa 23 milioni di installazioni, potrebbero anche rivelare i collegamenti tra diversi indirizzi appartenenti allo stesso utente. In 22 dei 36 portafogli interessati, i siti web potevano continuare a leggere un indirizzo anche dopo che l’utente aveva revocato l’accesso e riavviato il browser.
C’è un altro problema. Spesso i siti web possono rilevare quali estensioni per portafogli una persona ha installato senza che l’utente colleghi un portafoglio. I ricercatori hanno inoltre scoperto che 23 dei 36 portafogli interessati potevano divulgare un indirizzo tramite contenuti caricati da un altro sito web, senza che l’utente cliccasse su nulla.
La maggior parte dei fornitori di portafogli contattati dai ricercatori non ha considerato il problema un bug grave. Coinbase Wallet, Coin98 e Hana hanno apportato modifiche, mentre altri, tra cui MetaMask, Rabby e OKX, non lo hanno fatto. I ricercatori hanno inoltre testato 30 app decentralizzate e hanno scoperto che solo 11 revocavano correttamente l’accesso al portafoglio quando gli utenti cliccavano su «disconnetti» o uscivano dall’account.
Una volta che un indirizzo diventa visibile, la blockchain pubblica fornisce il resto del quadro.
Le società di analisi della blockchain cercano schemi nelle transazioni che suggeriscano che diversi indirizzi appartengano alla stessa persona o organizzazione.
Per esempio, se diversi portafogli si inviano ripetutamente fondi tra loro o interagiscono in modo simile, un software può raggrupparli. Un indirizzo noto può quindi condurre gli analisti a individuarne diversi altri.
Questo avviene su scala enorme. A metà del 2026, Chainalysis ha dichiarato di aver raggruppato oltre 1 miliardo di indirizzi blockchain in più di 134.000 entità identificate.
Anche spostare fondi tra blockchain non interrompe necessariamente le tracce. Gli analisti possono seguire gli asset attraverso i bridge tra reti. Usare un exchange decentralizzato non nasconde automaticamente la transazione, perché gli swap vengono comunque registrati pubblicamente sulla blockchain.
Il risultato è piuttosto semplice: un indirizzo di wallet può sembrare una stringa casuale di caratteri, ma quando si riesce a collegare abbastanza attività a quell’indirizzo, può trasformarsi in un profilo finanziario dettagliato.
Ci sono esempi concreti di questo meccanismo. Dopo l’attacco ransomware alla Colonial Pipeline nel 2021, gli investigatori statunitensi hanno seguito i Bitcoin attraverso diversi wallet e recuperato circa 2,3 milioni di dollari dei 4,4 milioni pagati come riscatto.
Helix: il meccanismo che non puoi ingannare cercando di nasconderti
Nei primi anni di Bitcoin, Helix era molto popolare nei mercati del darknet. Era stato creato per fare una sola cosa: rendere Bitcoin non tracciabile. Larry Dean Harmon lo gestì come servizio di mixing dal 2014 al 2017, mescolando le monete dei clienti per nascondere la provenienza dei fondi e pubblicizzando i bitcoin ottenuti come “puliti”. L’intero modello si basava sull’occultamento. Il servizio non aveva altro scopo che spezzare il legame tra l’origine e la destinazione di una moneta.
Sono passati attraverso il servizio circa 354.468 BTC, per un valore di circa 311 milioni di dollari all’epoca. Il mixing ha modificato l’aspetto delle tracce, ma non le ha cancellate. Ogni moneta ha comunque lasciato un segno permanente sulla blockchain, che non poteva essere alterato né eliminato in seguito.
Harmon applicava una commissione del 2,5% su ogni scambio, e quella commissione finiva dove finivano tutte le altre monete: sulla blockchain, in modo permanente. La quota che tratteneva per gestire un servizio di occultamento divenne la traccia che riportava al suo gestore. L’unico servizio progettato da zero per cancellare le tracce finì per lasciare il nome del suo proprietario proprio nella traccia che non riusciva a cancellare.
Come si collega la traccia di un wallet a una persona reale
Helix dimostra che spostare Bitcoin non cancella necessariamente le tracce. Ma seguire il denaro è solo metà del lavoro. Gli analisti devono comunque collegare quegli indirizzi di wallet a una persona o a un’azienda reale.
Di solito questo accade quando i fondi passano da un exchange regolamentato. Gli exchange sanno quali indirizzi di deposito appartengono ai loro clienti e conservano i dati identificativi raccolti tramite i controlli KYC. Se gli investigatori rintracciano Bitcoin fino a uno di questi indirizzi, possono richiedere i dati del conto attraverso le procedure legali.
Questo singolo collegamento può rivelare molto più di una sola transazione. Se l’analisi della blockchain ha già collegato diversi indirizzi, ritenendo che appartengano probabilmente allo stesso proprietario, identificarne uno può permettere di associare un nome all’intero gruppo. L’exchange potrebbe conoscere solo l’indirizzo che ha interagito con la sua piattaforma, ma l’analisi precedente può collegarlo agli altri.
A volte non serve alcuna richiesta legale. Persone e aziende pubblicano regolarmente i propri indirizzi di wallet: su siti web, pagine per le donazioni, chat di Telegram o profili pubblici. Quando un indirizzo viene associato pubblicamente a un nome, diventano visibili anche le sue transazioni passate.
Per le aziende, questo crea un problema fondamentale di privacy. Un pagamento a un fornitore può esporre pagamenti precedenti, movimenti di tesoreria e altre controparti. Poiché le transazioni blockchain sono permanenti e datate, identificare un wallet può rendere più facile ricostruire anni di attività.
Quando il tracciamento della blockchain può sbagliare
Questo non significa che l’analisi della blockchain sia sempre corretta.
I sistemi usati per collegare i wallet si basano molto su schemi ricorrenti e probabilità. Possono generare falsi positivi e falsi negativi: attività innocue possono essere segnalate, mentre attività sospette possono passare inosservate.
Un problema è la cronologia delle transazioni. I Bitcoin possono passare per molti proprietari. Se in precedenza le monete sono transitate attraverso un mixer o un wallet considerato rischioso, un proprietario successivo può ereditare quel sospetto pur non avendo nulla a che fare con le attività precedenti.
È documentato il caso di un acquirente P2P a cui è stato bloccato l’account perché i Bitcoin ricevuti erano passati attraverso un mixer prima che ne entrasse in possesso.
Per gli exchange e le altre aziende regolamentate, questi errori hanno conseguenze pratiche. Un falso allarme può bloccare i fondi di un cliente legittimo e creare problemi di conformità e assistenza.
Anche le società di tracciamento hanno dei limiti a ciò che possono vedere. Le criptovalute incentrate sulla privacy, come Monero, restano molto più difficili da tracciare. Le indagini possono inoltre interrompersi quando i fondi raggiungono exchange situati in giurisdizioni che rifiutano di collaborare.
Anche le più grandi aziende di analisi della blockchain hanno apportato correzioni significative. All’inizio del 2025, Chainalysis ha ridotto da 1 miliardo a 660,5 milioni di dollari la stima delle criptovalute rubate dalla Corea del Nord durante l’anno precedente: una correzione di oltre 300 milioni dopo una nuova valutazione di diversi attacchi informatici.
Anche in tribunale è stata messa in discussione l’affidabilità di questi sistemi. Le équipe difensive in casi come Bitcoin Fog e Tornado Cash hanno contestato il peso da attribuire alle analisi prodotte da software proprietari che gli esterni non possono esaminare a fondo.
Questo esame è importante perché Chainalysis è anche un importante appaltatore del governo statunitense. Secondo un’inchiesta indipendente basata su documenti federali, l’azienda ha ricevuto appalti governativi per oltre 93,2 milioni di dollari.
Il rischio maggiore di un risultato errato ricade sugli utenti innocenti. Un collegamento sbagliato può portare al blocco di un conto. Nei paesi con tutele più deboli, gli stessi strumenti di tracciamento possono esporre donatori, giornalisti o persone che finanziano l’opposizione politica. Il tracciamento della blockchain può rivelare molto, ma il risultato non dovrebbe mai essere considerato automaticamente corretto.
L’unica parte della traccia che gli utenti possono ancora controllare
La maggior parte dell’esposizione descritta sopra avviene al di fuori del controllo dell’utente. I portafogli possono divulgare gli indirizzi prima ancora che venga effettuata una transazione. L’analisi della blockchain può collegare più indirizzi e gli exchange regolamentati possono ricondurre quei portafogli a un’identità reale tramite i dati KYC.
La parte che gli utenti possono ancora controllare è il collegamento diretto tra mittente e destinatario. Quando un wallet paga un altro wallet, questo collegamento viene registrato in modo permanente on-chain e può in seguito rivelare le controparti, i movimenti della tesoreria e le relazioni commerciali.
ChangeNOW ha introdotto i Trasferimenti privati per rimuovere questo collegamento diretto. La funzione instrada un pagamento tramite un indirizzo separato monouso, così il destinatario non riceve i fondi direttamente dal mittente. In questo modo si interrompe il percorso visibile dal mittente al destinatario, senza affermare che l'intera transazione diventi anonima.
Restano altre forme di esposizione. I metadati del wallet possono comunque essere divulgati, l'analisi della blockchain può ancora seguire le attività correlate e i controlli AML continuano ad applicarsi alle fasi di deposito, trasferimento e pagamento.
Per i partner API, i Trasferimenti privati sono una funzione opzionale nell'infrastruttura di trasferimento esistente. Usano la stessa chiave API e lo stesso modello tariffario e non richiedono un prodotto o un'integrazione separati. Il loro obiettivo è più circoscritto: rimuovere l'unico collegamento visibile che gli utenti possono scegliere di non creare.
Fonte: BeInCrypto
