C’è un grande problema nelle transazioni in Bitcoin dal punto di vista delle aziende, ma nessuno ne parla spesso. Supponiamo che un’azienda paghi un fornitore in BTC partendo da un indirizzo di wallet già usato più volte. Il fornitore può effettivamente vedere ben oltre la fattura.
Proprio ora, mentre leggi queste righe, un concorrente può aprire un block explorer e vedere a chi hai pagato in Bitcoin nell’ultima operazione: quanto, quando e da quale controparte. Il tracciamento delle transazioni non è un problema solo per chi ha qualcosa da nascondere. È un rischio d’impresa ormai costante: i movimenti di tesoreria, le relazioni con i partner e il flusso delle operazioni rimangono esposti a chiunque abbia voglia di dedicare un pomeriggio a seguire le tracce.
Viene naturale pensare che tutto inizi “on-chain”, nel momento in cui firmi una transazione. Non è così. Nel luglio 2026, i ricercatori del gruppo DistriNet della KU Leuven hanno testato 85 tra i wallet tramite estensione browser più popolari, scoprendo che questi stessi wallet lasciano trapelare abbastanza informazioni da poter individuare e seguire i loro utenti – prima ancora di firmare una singola transazione.
Il wallet contatta un server esterno per mostrare il saldo, e questa richiesta contiene già, in chiaro, l’indirizzo. Non si tratta di un exploit; le estensioni si comportano esattamente come sono state progettate. Tra tutti gli 85 wallet analizzati, la debolezza legata al fingerprinting coinvolge 36 wallet, che rappresentano circa l’82% delle installazioni analizzate — ed è su questo sottogruppo che si basano i numeri successivi della sezione.
E questo riguarda anche chi opera in modo trasparente. Andy Greenberg ha trascorso un decennio come il più scrupoloso cronista dei crimini crypto, raccontando hacker, trafficanti e riciclatori che consideravano la blockchain come un luogo dove nascondersi — per poi vedere, uno a uno, come le autorità li stanavano. Gli sono serviti dieci anni per comprendere quanto Bitcoin fosse in realtà tutt’altro che irrintracciabile. Il registro che avrebbe dovuto proteggerli è stato proprio ciò che li ha condannati.
La falsa sicurezza viaggia in un’unica direzione: le persone convinte di aver fatto abbastanza per restare nell’anonimato sono nella maggior parte dei casi quelle che non avevano niente da nascondere: un donatore la cui intera cronologia di donazioni è ormai pubblica, un giornalista le cui fonti possono essere ricostruite seguendo i flussi di pagamento, la controparte B2B citata in precedenza.
Quasi tutti questi livelli di esposizione vengono subiti, non controllati direttamente. Il resto di questo articolo mappa in dettaglio queste vulnerabilità – e indica l’unico collegamento che potrai mai davvero scrivere di tuo pugno.
Cosa Può Trapleare un Wallet Oltre alla Transazione Stessa
Un wallet crypto può rivelare informazioni ancora prima che tu effettui una transazione. Per mostrare il saldo, un wallet su browser di solito si collega a server esterni e invia loro l’indirizzo del wallet stesso. I ricercatori della KU Leuven hanno testato 85 popolari wallet tramite estensione browser, pari a circa 35 milioni di installazioni dallo store Chrome. Hanno scoperto che 36 wallet – che rappresentano circa l’82% delle installazioni analizzate – possono essere identificati e seguiti in questo modo.
Diciassette wallet, per un totale di circa 23 milioni di installazioni, possono anche rivelare i collegamenti tra diversi indirizzi appartenenti allo stesso utente. In 22 dei 36 wallet interessati, i siti web potrebbero comunque leggere un indirizzo anche dopo che l’utente aveva revocato i permessi e riavviato il browser.
Esiste poi un ulteriore problema. I siti web possono spesso rilevare quali estensioni wallet siano installate, anche senza che l’utente colleghi alcun wallet. I ricercatori hanno anche scoperto che 23 dei 36 wallet interessati potrebbero far trapelare l’indirizzo tramite contenuti caricati da un altro sito, senza che l’utente faccia click su nulla.
La maggior parte dei provider di wallet contattati dai ricercatori non ha considerato la questione come un grave bug. Coinbase Wallet, Coin98 e Hana hanno apportato delle modifiche, mentre altri tra cui MetaMask, Rabby e OKX non l’hanno fatto. I ricercatori hanno anche testato 30 applicazioni decentralizzate, scoprendo che solo 11 revocano correttamente l’accesso al wallet dopo che l’utente fa click su “disconnetti” o effettua il logout.
Una volta che un indirizzo diventa visibile, la blockchain pubblica mostra il resto delle informazioni.
Le aziende di analisi blockchain cercano dei pattern nelle transazioni che possano suggerire che più indirizzi appartengano alla stessa persona o organizzazione.
Ad esempio, se diversi wallet si inviano fondi a vicenda in modo ricorrente o interagiscono in modo simile, i software possono raggrupparli. Un solo indirizzo noto può così condurre gli analisti a molti altri.
Questo avviene su scala enorme. A metà del 2026, Chainalysis ha affermato di aver raggruppato oltre 1 miliardo di indirizzi blockchain in più di 134.000 entità identificate.
Spostare fondi tra blockchain diverse non interrompe necessariamente la tracciatura. Gli analisti possono seguire gli asset attraverso i bridge tra diverse reti. Anche utilizzare un DEX non nasconde automaticamente la transazione, perché i swap vengono comunque registrati pubblicamente sulla blockchain.
Il risultato è semplice: un indirizzo di wallet può apparire come una stringa casuale di caratteri, ma una volta che vi è collegata abbastanza attività, può diventare un vero e proprio profilo finanziario dettagliato.
Esistono esempi concreti di questo meccanismo. Dopo l’attacco ransomware a Colonial Pipeline nel 2021, le autorità statunitensi hanno seguito i Bitcoin attraversando diversi wallet e hanno recuperato circa 2,3 milioni di dollari dei 4,4 milioni richiesti come riscatto.
Helix: Il Meccanismo Che Non Puoi Ingannare Cercando di Nasconderti
Nei primi anni di Bitcoin, Helix era molto popolare nei mercati del darknet. Era nata con uno scopo preciso: rendere Bitcoin irrintracciabile. Larry Dean Harmon l’ha gestita come servizio di mixing dal 2014 al 2017, mescolando le monete dei clienti per nascondere la provenienza dei fondi, e promuovendo gli output come bitcoin “pulito”. L’intero modello era basato sull’occultamento. Nulla del servizio esisteva se non per rompere il collegamento tra l’origine e la destinazione di una moneta.
Circa 354.468 BTC, pari a 311 milioni di dollari dell’epoca, sono passati da Helix. Il mixing cambiava l’aspetto della traccia, ma non la eliminava. Ogni moneta lasciava comunque un segno permanente sulla blockchain, che non poteva essere modificato o cancellato successivamente.
Harmon prendeva una commissione del 2,5% su ogni swap, e quella commissione finiva dove andavano tutte le altre monete: sulla blockchain, in modo permanente. La percentuale che tratteneva per gestire un servizio di occultamento è diventata la traccia che ha portato gli investigatori verso di lui. Il servizio creato apposta per cancellare le tracce ha finito per incidere il nome del suo proprietario proprio nella traccia che non poteva cancellare.
Come una Traccia del Wallet Viene Collegata a una Persona Reale
Helix dimostra che spostare Bitcoin non necessariamente cancella la traccia. Tuttavia, seguire il denaro è solo metà del lavoro. Gli analisti devono ancora collegare quegli indirizzi di wallet a una persona reale o a un’azienda.
Questo avviene solitamente quando i fondi finiscono su un exchange regolamentato. Gli exchange conoscono gli indirizzi di deposito dei loro clienti e dispongono di informazioni identificative grazie ai controlli KYC. Se gli investigatori rintracciano i Bitcoin a uno di questi indirizzi, possono richiedere i dettagli dell’account tramite provvedimento legale.
Questa singola connessione può rivelare molto più di una semplice transazione. Se l’analisi blockchain ha già collegato diversi indirizzi come probabilmente appartenenti allo stesso proprietario, identificarne uno può associare un nome a tutto il gruppo. L’exchange potrebbe conoscere solo l’indirizzo che ha interagito con la sua piattaforma, ma l’analisi precedente può collegarlo agli altri.
A volte non serve neanche una richiesta legale. Persone e aziende pubblicano regolarmente gli indirizzi dei wallet — sui siti web, sulle pagine delle donazioni, nelle chat Telegram o nei profili pubblici. Una volta che un indirizzo è apertamente associato a un nome, anche tutte le sue transazioni passate diventano visibili.
Per le aziende, ciò rappresenta un problema di privacy di base. Un pagamento a un fornitore può esporre pagamenti precedenti, movimenti di tesoreria e altri soggetti coinvolti. Poiché le transazioni su blockchain sono permanenti e hanno un timestamp, identificare un wallet può rendere anni di attività più facili da ricostruire.
Dove la Tracciabilità su Blockchain Può Sbagliare
Questo non significa che l’analisi della blockchain sia sempre corretta.
I sistemi utilizzati per collegare i wallet si basano fortemente su pattern e probabilità. Possono generare sia falsi positivi che falsi negativi: attività innocue possono essere segnalate, mentre attività sospette possono essere ignorate.
Uno dei problemi è la storia delle transazioni. I Bitcoin possono passare di mano più volte. Se le monete sono state spostate tramite un mixer o dal wallet considerato rischioso, un proprietario successivo può ereditarne il sospetto pur non avendo nulla a che fare con le attività precedenti.
Un caso documentato riguarda un acquirente P2P che si è visto congelare il conto poiché i Bitcoin ricevuti erano passati da un mixer prima di arrivare a lui.
Per gli exchange e altre aziende regolamentate, questi errori hanno costi concreti. Un falso allarme può portare al congelamento dei fondi di un cliente legittimo e creare problemi di conformità e assistenza.
Esistono inoltre limiti a ciò che le aziende di tracciamento possono vedere. Le criptovalute orientate alla privacy, come Monero, restano molto più difficili da analizzare. Anche le indagini possono interrompersi quando i fondi arrivano su exchange situati in giurisdizioni che si rifiutano di collaborare.
Anche le maggiori aziende di analisi blockchain hanno dovuto apportare importanti correzioni. All’inizio del 2025, Chainalysis ha ridotto la sua stima di crypto rubata dalla Corea del Nord nell’anno precedente da 1 miliardo di dollari a 660,5 milioni di dollari — una revisione di oltre 300 milioni di dollari dopo aver riconsiderato diversi attacchi hacker.
La qualità di questi sistemi è stata anche messa in discussione in tribunale. I team della difesa, in casi come Bitcoin Fog e Tornado Cash, hanno contestato quanto peso debba essere dato alle analisi realizzate con software proprietari che terzi non possono ispezionare completamente.
Questa attenzione è importante perché Chainalysis è anche un importante appaltatore del governo degli Stati Uniti. Un’indagine indipendente che ha esaminato i registri federali ha scoperto che aveva ricevuto più di 93,2 milioni di dollari in contratti governativi.
Il rischio più grande in caso di errore ricade sugli utenti innocenti. Un collegamento sbagliato può portare al congelamento di un account. Nei Paesi dove le tutele sono più deboli, questi strumenti possono esporre donatori, giornalisti o persone che finanziano l’opposizione politica. La tracciabilità sulla blockchain può rivelare molto, ma il risultato non dovrebbe mai essere considerato automaticamente corretto.
L’Unica Parte della Traccia Che Gli Utenti Possono Ancora Controllare
La maggior parte delle esposizioni descritte sopra avviene al di fuori del controllo dell’utente. I wallet possono rendere noti gli indirizzi anche prima di una transazione. L’analisi blockchain può collegare più indirizzi, e gli exchange regolamentati possono associare quei wallet a una vera identità tramite i dati KYC.
La parte che gli utenti possono ancora controllare è il collegamento diretto tra mittente e destinatario. Quando un wallet paga un altro, quel collegamento viene registrato in modo permanente sulla blockchain e può successivamente rivelare le controparti, i movimenti di tesoreria e le relazioni d’affari.
ChangeNOW ha introdotto le Private Transfers per eliminare questo collegamento diretto. Questa funzione fa passare il pagamento attraverso un indirizzo temporaneo separato, in modo che il destinatario non riceva i fondi direttamente dal mittente. Così si interrompe il percorso visibile da mittente a destinatario, senza però dichiarare di rendere la transazione completamente anonima.
Altri tipi di esposizione restano comunque. I metadati del wallet possono ancora essere diffusi, l’analisi blockchain può comunque tracciare le attività associate, e i controlli AML restano validi durante deposito, trasferimento e prelievo.
Per i partner API, Private Transfers è una funzionalità opzionale già integrata nell’infrastruttura di trasferimento esistente. Utilizza la stessa chiave API e lo stesso modello di commissioni e non richiede prodotti separati o integrazioni aggiuntive. Il suo obiettivo è più specifico: eliminare l’unico collegamento visibile che gli utenti possono scegliere di non creare.
Conclusione
Torniamo al punto di partenza. Andy Greenberg ha passato anni credendo che la blockchain nascondesse chi la utilizzava, per poi arrivare alla conclusione opposta: “ci ho messo dieci anni a capire quanto Bitcoin fosse l’opposto dell’inafferrabile”. È su questa realtà che si fonda tutto l’articolo. L’inafferrabilità, come proprietà assoluta, non esiste. Il wallet lascia tracce, la blockchain registra, il cluster si riconduce a un nome.
Questa è la posizione da mantenere per un partner. Non l’anonimato – che un decennio di tracciamento delle monete ha dimostrato essere solo una narrazione e non una caratteristica reale – ma una chiara distinzione tra quale livello di traccia si può chiudere e quale resta aperto. Private Transfers elimina l’unico collegamento che era facoltà dell’utente creare.
