Al centro di bitcoin c'è un registro aperto, quindi con le giuste competenze qualsiasi trasferimento può essere tracciato da indirizzo a indirizzo. È nata un'intera industria da questo: i trader tracciano le balene e i flussi verso gli exchange, gli esperti di forensic blockchain aiutano a recuperare fondi rubati e i filtri di conformità escludono le monete "sporche".
In questa guida passeremo passo dopo passo attraverso come analizzare le transazioni manualmente, come mettere il lavoro su un nastro trasportatore con l'aiuto di strumenti e automazione, e anche perché anche il tracciamento più avanzato fornisce una probabilità piuttosto che una risposta al cento per cento.
Lasceremo fuori dal campo le definizioni di base e le metriche di mercato — c'è un materiale separato per esse in formato scheda.
Parte 1. Analizzare le transazioni manualmente
Passo 1. Trovare una transazione tramite TXID
Ogni trasferimento sulla blockchain ha un identificatore unico — il TXID, l'hash della transazione. Questo è un lungo stringa, solitamente di 64 caratteri, che la rete ottiene eseguendo tutti i dati del trasferimento — input, output, importi e firme — attraverso l'algoritmo SHA-256.
È praticamente impossibile falsificare un tale hash: la minima modifica dei dati produce una stringa completamente diversa, quindi non esistono due TXID identici. In sostanza è un "numero di ricevuta" con cui qualsiasi nodo sulla rete può trovare e verificare l'operazione.
Il modo per ottenere l'hash dipende da ciò che hai già:
- se il trasferimento è già stato effettuato — può essere aperto nella cronologia di un portafoglio o di un exchange. Accanto all'operazione di solito c'è un link come "Visualizza nell'esploratore": porta alla pagina della transazione, dove l'identificatore è mostrato per intero;
- se hai solo l'indirizzo del mittente o del destinatario — viene incollato nella barra di ricerca di qualsiasi esploratore blockchain. La cronologia dell'indirizzo si aprirà con tutti i trasferimenti; la transazione necessaria può essere identificata per importo e data, e il suo hash trovato nella pagina della transazione stessa.
Passo 2. Comprendere la struttura di una transazione: input, output e resto
A differenza di un conto bancario, il bitcoin non memorizza il saldo come un singolo numero. La rete funziona sul modello UTXO (output di transazione non speso): i fondi esistono come "banconote" separate di diverse denominazioni, mentre il portafoglio memorizza solo le chiavi per esse. Il saldo disponibile è la somma di tutti questi output controllati dal proprietario.
Una "banconota" non può essere spesa parzialmente. Durante un pagamento, tale output entra nella transazione per intero, e in cambio la rete crea due nuovi output: uno per il destinatario, il secondo come resto per il mittente a un nuovo indirizzo.
Facciamo un esempio. Alice ha un output di 5 BTC e trasferisce 0.01 BTC a Bob. Sulla blockchain appare un input di 5 BTC, un pagamento di 0.01 BTC e un resto di ~4.99 BTC (meno la commissione).
Qualsiasi osservatore può vedere l'intera operazione attraverso un esploratore: un pagamento "rotondo" è facile da distinguere dal cambiamento "frazionato". La determinazione dell'indirizzo di cambiamento nella forense blockchain si basa su questa caratteristica.
Passo 3. Controllo delle conferme e del mempool
Una transazione inviata non raggiunge la blockchain istantaneamente. Prima il trasferimento finisce nel mempool — una coda comune di operazioni in attesa di inclusione in un blocco. In questa fase sono possibili ritardi: i miner di solito danno priorità alle operazioni con una commissione più alta, quindi con una commissione troppo bassa un trasferimento può rimanere in coda a lungo.
Non appena l'operazione raggiunge un blocco, ottiene la sua prima conferma. Dopo che il record è incluso in un blocco, riceve la sua prima conferma. Con ogni successiva, il livello di affidabilità cresce e la probabilità di cancellazione diventa sempre più bassa. Per piccole somme una o due conferme sono di solito sufficienti, mentre per pagamenti grandi è consuetudine aspettare sei.
È conveniente seguire in tempo reale tramite l'hash: l'esploratore mostrerà se il trasferimento è bloccato in coda, in quale blocco è finito, quante conferme ha guadagnato e quale commissione ha pagato il mittente. Se l'operazione è bloccata a lungo, la stessa pagina suggerirà il motivo — più spesso una commissione sottovalutata.
Passo 4. Tracciare il percorso di una moneta
Ogni input di una nuova operazione si riferisce a un output specifico di una delle precedenti — tramite il suo hash, e può avere diversi input e output contemporaneamente. Pertanto, i trasferimenti non formano una singola catena ma una rete ramificata: le monete in essa convergono e divergono tra indirizzi.
Lungo questa rete il movimento dei fondi può essere tracciato in entrambe le direzioni — in avanti verso nuovi indirizzi e indietro, fino alla transazione coinbase in cui sono apparsi per la prima volta come ricompensa per un blocco estratto.
In pratica, un analista segue gli indirizzi di output e osserva dove sono andati i fondi successivamente. Poi ripetono lo stesso con i nuovi indirizzi — passo dopo passo, fino a quando non si forma una catena completa.
Ecco come emergono percorsi caratteristici sulla blockchain: un trasferimento a un exchange, la suddivisione di una grande somma in parti, o il prelievo di fondi rubati attraverso diversi wallet intermedi.
Esempio: nel 2025 l'indirizzo di un investitore precoce ha mostrato attività per la prima volta dopo 13 anni di inattività, trasferendo 909 BTC (circa 85 milioni di dollari) a un nuovo wallet. Queste monete erano state ricevute nel 2012–2013, quando il prezzo del bitcoin non superava pochi dollari.
Tale trasferimento è visibile in qualsiasi esploratore: è sufficiente aprire l'indirizzo, seguire le catene di output e vedere dove si sono mossi i fondi successivamente.
Parte 2. Mettere l'analisi su un nastro trasportatore
L'analisi manuale è buona quando ci sono una o due transazioni. Ma il libro mastro si rifornisce ogni secondo, e migliaia di trasferimenti non possono essere coperti a occhio.
Qui l'automazione viene in soccorso: i programmi stessi richiedono dati dalla rete, calcolano metriche e inviano una notifica al momento giusto. Esaminiamo i suoi tre livelli: accesso ai dati, analisi e monitoraggio.
Passo 5. Collegamento ai dati tramite API
Il primo livello è l'accesso programmatico alla blockchain tramite le API dei nodi e degli esploratori. Questa è un'interfaccia attraverso la quale uno script richiede le stesse informazioni che potevamo vedere in precedenza nella pagina di trasferimento (ma senza coinvolgimento umano e in qualsiasi volume).
Il servizio mempool.space ha due opzioni tra cui scegliere. L'API REST risponde a richieste una tantum: stato della transazione, saldo dell'indirizzo, stato del mempool. L'API WebSocket mantiene una connessione costante e invia aggiornamenti da sola: puoi iscriverti a un indirizzo e ricevere un segnale ogni volta che un nuovo trasferimento lo attraversa.
Per controlli di massa, Blockchair e Bitquery sono adatti: restituiscono dati per molti indirizzi contemporaneamente e supportano i webhook.
Passo 6. Automatizzare l'analisi
Il secondo livello è rappresentato da piattaforme che ti permettono di scrivere una query una volta e ricevere un dashboard pronto invece di un risultato una tantum.
Su Dune, i dati della blockchain vengono interrogati nel linguaggio SQL e visualizzati su grafici; un report sui flussi di scambio, sull'attività delle balene o sui principali detentori si aggiorna da solo, senza una query ripetuta.
Flipside è organizzato in modo simile: ha anche un SDK Python gratuito attraverso il quale i dati possono essere estratti direttamente in script personalizzati.
La differenza chiave rispetto al metodo manuale è semplice: la query è scritta una volta ma funziona costantemente. In precedenza, un analista esaminava il grafico quotidianamente — ora ci sono dashboard che si aggiornano da sole.
Passo 7. Impostazione del monitoraggio e degli avvisi
Il terzo livello è le notifiche invece di aggiornare manualmente la pagina. Una combinazione di "API più bot" monitora gli indirizzi necessari e invia una notifica non appena i fondi arrivano o partono. Questo è il modo in cui funzionano sia gli avvisi pubblici su grandi operazioni di balene che gli avvisi privati, ad esempio riguardo al prelievo di monete da un portafoglio specifico.
Un set di base può essere configurato anche senza programmazione: piattaforme come Arkham offrono avvisi pronti riguardo ai trasferimenti e all'attività delle balene che arrivano via email o all'app. Per coloro che necessitano della propria logica di gestione degli eventi, i webhook sono adatti — inviano automaticamente una notifica al server quando si verifica un evento specificato.
Parte 3. Tracciamento e i suoi limiti
Passo 8. Come funziona la forense blockchain
Il culmine dell'automazione è il tracciamento delle monete rubate e l'indagine delle transazioni. I motori forensi ripetono la logica dell'analisi manuale ma la applicano su scala dell'intera rete.
Al centro di questa tecnologia c'è il clustering degli indirizzi tramite euristiche, cioè regole di assunzione; due di esse sono particolarmente importanti:
- input comune: se diversi UTXO vengono spesi in una transazione, sono con alta probabilità controllati da un unico proprietario;
- cambia la determinazione dell'indirizzo: tramite la funzione del Passo 2 — un pagamento rotondo rispetto al cambiamento frazionale — il motore determina quale dei risultati restituiti al mittente.
Oltre al clustering, viene aggiunto il riconoscimento di schemi tipici di riciclaggio. Questo è, ad esempio, la suddivisione di somme o "peeling" — quando piccole porzioni vengono staccate da un grande portafoglio ripetutamente.
Successivamente viene la valutazione del rischio e l'attribuzione: collegare i cluster a scambi reali, servizi o individui. Sia le piattaforme commerciali (Chainalysis, TRM, Elliptic) che i motori aperti (GraphSense, BlockSci) fanno questo.
Passo 9. Ci si può fidare dell'automazione
L'analisi automatica ha una limitazione fondamentale. Il clustering fornisce una probabilità, non un fatto. Le euristiche commettono errori: ad esempio, la tecnologia CoinJoin combina deliberatamente gli UTXO di diversi utenti in un'unica transazione, il che provoca il malfunzionamento della regola di input comune.
Il rischio di perdita di dati può essere ridotto anche manualmente. La funzione di controllo delle monete nei portafogli (ad esempio, Sparrow o Trezor Suite) ti consente di scegliere tu stesso quale UTXO spendere: scegli un output che corrisponda all'importo del pagamento e non mescolare monete provenienti da diverse fonti in un'unica transazione. Questo riduce il cambiamento e previene l'attivazione dell'euristica di input comune — gli stessi indizi su cui si basa il clustering.
Il Bitcoin non fornisce anonimato ma pseudonimato — una proprietà più debole che l'analisi persistente spesso "rompe", ma non sempre: il risultato rimane una stima, sebbene ben fondata. Come sottolinea Chainalysis, le euristiche di attribuzione forniscono un risultato probabilistico piuttosto che certezza, quindi una valutazione del rischio è solo una base per la decisione dell'analista, non un verdetto.
Pertanto, una conclusione pratica. È utile distinguere il raggruppamento automatico degli indirizzi dall'attribuzione verificata da esseri umani: il primo è un'ipotesi, il secondo è una conclusione. Il risultato di una valutazione del rischio è un motivo per esaminare più da vicino un indirizzo, non una sentenza sul suo proprietario.
***
Il libro mastro aperto rende ogni trasferimento di bitcoin tracciabile — tutta l'analisi on-chain si basa su questo. Per il lavoro manuale le basi sono sufficienti: sapere cos'è un TXID, comprendere il modello UTXO e la meccanica del cambiamento, leggere input, output e conferme in un esploratore. Questo è sufficiente per attraversare catene di transazioni e vedere dove si sono mossi i fondi.
L'automazione sotto forma di API, dashboard SQL e bot non elimina la necessità di queste basi — semplicemente scala il lavoro: ciò che un analista fa a mano con una transazione, gli strumenti lo ripetono per l'intera rete.
In cima ci sono le indagini forensi con clustering e valutazione del rischio. Tuttavia, si basa su euristiche probabilistiche e quindi fornisce ipotesi piuttosto che prove.
È logico padroneggiare l'argomento dal basso verso l'alto: prima l'esploratore, poi le API e i dashboard, e solo dopo gli strumenti di analisi on-chain specializzati. Allo stesso tempo, più profonda è la tracciabilità, più è importante distinguere il probabile dal provato.
Fonte: ForkLog
