Tre incarichi recenti, uno per ciascuna delle nostre linee di servizio. Ogni caso è anonimizzato — i dettagli identificativi sono stati modificati per tutelare la riservatezza dei clienti. Metodologia, tempistiche ed esiti sono autentici.
Pig-butchering · €340.000 sottratti · €187.000 recuperati · 14 mesi
Un pensionato italiano di 65 anni, residente in Piemonte, è stato avvicinato tramite un gruppo WhatsApp verso quella che gli veniva presentata come una piattaforma di "arbitrage crypto" con base a Hong Kong. Nell'arco di sei mesi ha eseguito quattordici depositi in USDT-TRC20 su un singolo indirizzo on-chain, per un totale di €340.000. L'interfaccia mostrava profitti in crescita, un account manager dedicato e persino un piccolo "prelievo di prova" effettivamente pagato per costruire fiducia. Quando i prelievi più consistenti hanno iniziato a essere bloccati dietro richieste crescenti di "tasse" e "pre-pagamenti di compliance", ha compreso di essere stato bersaglio di un'operazione pig-butchering.
Siamo stati contattati 52 giorni dopo l'ultimo deposito — tardi rispetto all'ideale, ma prima che la catena di cashout fosse completata.
Al momento dell'apertura del fascicolo, i fondi erano già transitati attraverso tre hop di wallet e avevano raggiunto un cluster di deposito presso un exchange asiatico di Tier-2. L'operatore della truffa aveva iniziato l'off-ramp verso fiat ma non lo aveva completato: una parte del saldo era ancora sulla piattaforma. Ogni settimana in più avrebbe significato una frazione maggiore di saldo dispersa in bonifici bancari non recuperabili.
€187.000 recuperati — il 55% del capitale — quattordici mesi dopo l'apertura del caso. La parte residua era già stata dispersa in cashout fiat attraverso molteplici relazioni bancarie minori prima del freeze ed è stata formalmente documentata come non recuperabile nella nostra relazione di chiusura.
Ciò che ha fatto la differenza: il cliente è arrivato da noi in tempo utile perché la cluster analysis avesse ancora leva. Se ci avesse contattati sei mesi dopo, la catena di cashout sarebbe stata ultimata e lo stesso fascicolo avrebbe prodotto un recupero pari a zero. Il tempo è l'ingrediente più costoso nel lavoro di recupero.
Divorzio contenzioso · ~€520.000 in cripto occulte identificate · ~€260.000 assegnati all'asse matrimoniale
Un divorzio contenzioso davanti al Tribunale Civile di Milano. I legali della moglie sospettavano che il marito avesse trasferito beni significativi della comunione in criptovalute nei diciotto mesi precedenti il deposito del ricorso, ma i tracciati bancari italiani mostravano solo ordinari movimenti familiari. Il marito, sotto giuramento, negava di detenere cripto.
Il procedimento civile italiano ha strumenti di discovery limitati per patrimoni off-shore o in self-custody. Senza un approccio forense mirato, il portafoglio occulto sarebbe rimasto invisibile al procedimento.
Dovevamo costruire una tesi persuasiva davanti a un giudice non tecnico, con evidenze che reggessero il controesame del CTP avverso. Significava: (1) ottenere registri ammissibili dagli exchange italiani giusti, (2) stabilire un collegamento difendibile fra quei registri e un wallet on-chain, (3) produrre una relazione che un giudice civile potesse leggere, comprendere e farne propria.
Il giudice ha accolto integralmente la nostra analisi. La sentenza ha ordinato al marito di trasferire il 50% delle disponibilità identificate — circa €260.000 alla data del trasferimento — all'asse matrimoniale. Il successivo appello è stato rigettato.
Ciò che ha fatto la differenza: la relazione era scritta per un giudice non tecnico. Glossario integrato, diagrammi puliti, conclusioni correttamente caveatate. La credibilità sotto controesame è pesata più di ogni singolo dettaglio on-chain. Una risposta corretta che il giudice non può comprendere non è una prova — è rumore.
Ransomware LockBit · 1,8 BTC di riscatto (~€78K) · 0,84 BTC congelati presso HTX
Una PMI manifatturiera di medie dimensioni in Emilia-Romagna è stata colpita da una variante LockBit. Dopo undici giorni di tentativi di ripristino falliti e pressione per le ore di produzione perse, l'amministratore delegato ha autorizzato il pagamento di un riscatto di 1,8 BTC (circa €78.000 al cambio del momento). Le operazioni sono state ripristinate. La Procura locale ha successivamente aperto un'indagine sulla filiera del pagamento e siamo stati incaricati come consulenti tecnici a supporto del Nucleo Speciale Tutela Economia della Guardia di Finanza.
L'infrastruttura Bitcoin di LockBit adotta pattern di peel chain aggressivi e miscela sistematicamente le quote degli affiliati tramite CoinJoin. L'indirizzo di ricezione del riscatto era nuovo di zecca, senza errori di OPSEC nel punto di ingresso. Preso da solo, il fascicolo non aveva alcun appiglio evidente.
0,84 BTC congelati presso HTX (circa €36.000 alla data del freeze), attualmente in attesa di rilascio giudiziario a favore della PMI vittima. Al di là del singolo caso, l'analisi ha contribuito tre nuovi cluster di wallet affiliati all'intelligence europea congiunta sul ransomware.
Ciò che ha fatto la differenza: il CoinJoin doveva essere la fine della pista. Non lo è stato — perché un caso separato aveva già fissato il pattern di consolidamento di quell'affiliato. L'investigazione è cumulativa. Ogni fascicolo alimenta il successivo; il valore di un dataset interno si misura in mesi, non in transazioni.
Prima siamo coinvolti, migliore è l'esito. Consulenza preliminare gratuita — tutte le informazioni trattate in stretta confidenzialità.
Contatta un Esperto →