Quando i dati trapelarono, la storia cambiò: il modello 2026 per inchiestare il cybercrimine crypto

The story that changed when the honeypots leaked

Era a metà di un pezzo su un compound di Sihanoukville, quel genere di luogo che l'incriminazione di Chen Zhi, nell'ottobre 2025, aveva finalmente portato alla luce, quando la sua fonte ha smesso di rispondere. La fonte era un ex floor manager di una delle operazioni di pig-butchering, disposto a parlare perché il DOJ aveva appena presentato istanza di confisca di 127.271 BTC, circa quindici miliardi di dollari, e il terreno sotto l'intero settore sembrava di nuovo cedevole. Poi, nel febbraio 2026, è arrivata la violazione di IDMerit, un miliardo di record compresi metadati di telco, e il silenzio della sua fonte ha assunto un'altra forma. Le persone di cui stava scrivendo non erano più semplicemente adiacenti allo stato e ben finanziate; potevano ora, in linea di principio, acquistare un kit di SIM-swap associato al numero di telefono di una giornalista per il costo di un weekend a Phnom Penh. Questo è il modello di minaccia operativo nel 2026, ed è il motivo per cui lo stack operativo di cui si avvale ha l'aspetto che ha.

Threat model: state-level, criminal, and the new ad-tech middle

Il modello di minaccia classico per una giornalista investigativa, quello che Laura Poitras ha mostrato in Citizenfour, presupponeva che l'avversario principale fosse un servizio di intelligence statale, paziente e dotato di portata sui segnali. Quel modello è ancora corretto, ma non è più sufficiente. I nuovi avversari sono controparti criminali organizzati le cui entrate, come chiariscono gli atti del caso Chen Zhi, sono sufficientemente elevate da finanziare lavori di intelligence privata, e il cui accesso a dataset KYC trafugati significa che possono saltare del tutto la fase di ricognizione lenta. Le unità di intelligence aziendale, quelle che lavorano per i tipi di società le cui controllate compaiono nelle denunce di confisca, si collocano sullo stesso livello. Sotto tutti loro scorre lo strato ambientale della sorveglianza ad-tech, che da solo sarebbe un fastidio, ma che diventa un moltiplicatore di forza quando combinato con i corpora KYC violati in circolazione dall'incidente Sumsub, all'inizio dell'anno. Qualsiasi cliente di Bitget, Bitpanda, Bybit, Huobi o Wirex, gli exchange i cui flussi di verifica passavano attraverso Sumsub, dovrebbe ora presumere che le proprie sottomissioni KYC facciano parte di un dataset interrogabile da qualche parte sul mercato criminale; il che significa che una giornalista che abbia usato uno di quei servizi in passato porta con sé una vulnerabilità permanente in ogni storia futura.

Network and identity at the base layer

La prima decisione riguarda la rete, e la giornalista tratta questo come un problema stratificato piuttosto che come una scelta di prodotto singola. La sua macchina di ricerca avvia Tails da una chiavetta USB, con la persistenza disabilitata per tutto ciò che concerne la storia, in modo che il disco dimentichi tutto tra una sessione e l'altra; per operazioni più lunghe mantiene una VM Whonix su un laptop separato, crittografato, con la workstation isolata dal gateway per design. Tor è lo strato di anonimato primario, e la VPN, se ne usa una, si colloca sotto come offuscamento piuttosto che come confine effettivo della privacy, perché nessuna VPN commerciale può promettere con credibilità ciò che un circuito Tor usato correttamente dà gratuitamente. Quando una VPN è genuinamente utile, ad esempio per raggiungere un sito clearnet che blocca gli exit di Tor, ricorre a operatori nella tradizione di 1984 Hosting, Njalla, Mullvad o IVPN, cioè provider che hanno accettato pagamento anonimo fin dall'inizio e che non hanno alcun KYC di registrazione da trafugare in primo luogo. Il telefono è un problema a sé. Usa un eSIM fornito attraverso un rivenditore no-KYC; la nostra inserzione [HeroSMS](/service/herosms) è il cavallo di battaglia per numeri di breve durata, con [Fanytel](/service/fanytel) che copre impegni più lunghi dove ha bisogno che lo stesso numero persista per settimane, e la segreteria telefonica per entrambe le linee è inoltrata a una casella VoIP piuttosto che lasciata sul gestore, perché la segreteria del gestore è esattamente il tipo di asset a bassa attenzione che un attaccante SIM-swap monetizza per primo.

Money and hosting after the delistings

I soldi sono la parte più lenta e più brutta dello stack, e la giornalista accetta l'attrito come prezzo del lavoro stesso. I pagamenti sono in Monero, fine della discussione, perché i delisting degli exchange del 2025 hanno reso la questione se usarlo o meno irrilevante per chiunque sia serio sulla protezione delle fonti. L'onboarding avviene tramite Haveno quando ha tempo di aspettare un match P2P, e tramite atomic swap da una riserva di BTC precedentemente pulita quando non ce l'ha, con la consapevolezza che qualsiasi onramp che tocchi un exchange a valle Sumsub contamina l'intera catena che segue. Per le spese quotidiane carica una carta virtuale [Goblin Cards](/service/goblin-cards) con Monero, che è attualmente l'unico prodotto XMR-to-card che siamo stati disposti a inserire, e che le permette di pagare abbonamenti SaaS, servizi di archivio e viaggi senza avvicinare il suo vero circuito bancario alla storia. L'hosting per tutto ciò che è adiacente alla protezione delle fonti, caselle di deposito crittografate, evidenza specchiata, il sito statico che usa per pubblicare gli hash dei documenti originali, gira su [1984 Hosting](/service/1984-hosting) in Islanda, con Njalla come fallback se ha bisogno di un registrar che non arretrerà di fronte a una lettera di rimozione. Ciò che evita, e ciò che raccomandiamo a chiunque nella sua posizione di evitare, è qualsiasi provider con KYC obbligatorio per account sotto i mille dollari, qualsiasi exchange il cui stack di verifica passi attraverso Sumsub o IDMerit, e Cryptomus specificamente, per le ragioni esposte nel nostro [scritto sulle sanzioni FINTRAC](/articles/cryptomus-vancouver-shell).

Twenty-four hours over her shoulder

La mattina inizia con un avvio a freddo della chiavetta Tails su un laptop che non ha mai visto la sua vera identità, seguito da un controllo della casella di deposito crittografata dove arrivano i messaggi notturni delle fonti. La casella è raggiunta tramite Tor, i messaggi sono decrittati sulla workstation air-gapped, e qualsiasi allegato è convertito in PDF flat prima di toccare la macchina connessa, perché il malware veicolato da documenti che le sue controparti preferiscono è precisamente il tipo che sopravvive a un passaggio di mano approssimativo. A metà giornata contatta una fonte; il contatto avviene tramite un account Signal legato al suo numero [HeroSMS](/service/herosms), la chiamata è breve, il follow-up è un one-shot [YOPmail](/service/yopmail) per un singolo trasferimento di documenti, e il thread persistente, quello che si aspetta effettivamente duri settimane, passa attraverso un account Tutanota che ha pagato in Monero. ProtonMail è nel suo toolkit ma lo tratta con cautela misurata, perché la sua giurisdizione svizzera ha, in casi documentati, risposto a richieste giudiziarie di metadati, il che è accettabile per il giornalismo ma non per l'identità della fonte. Il pomeriggio è dedicato alla revisione dei documenti sulla macchina air-gapped, con i file pertinenti poi spostati sulla sua casella di deposito [1984 Hosting](/service/1984-hosting) per l'editor. L'igiene serale è la parte che più persone saltano: ruota l'eSIM se la giornata ha comportato qualsiasi contatto con soggetti dell'indagine, cancella la persistenza di Tails, carica il saldo Goblin Cards della settimana successiva con un nuovo trasferimento XMR, e scrive gli appunti della giornata a mano in un taccuino di carta che vive in una cassaforte.

What this changes for the Directory

Faremo due cose in risposta al pattern operativo che questo articolo descrive. La prima è che pubblichiamo un tag dedicato allo stack per giornalismo investigativo su ogni inserzione citata sopra, con l'impegno esplicito che tali inserizioni ricevano riverifica trimestrale anziché la scansione annuale standard, perché la vita media della fiducia in questa categoria è più breve del resto del nostro corpus. La seconda è editoriale, e vogliamo dirla chiaramente: i servizi che il nostro directory cataloga sono i servizi che rendono strutturalmente possibile il tipo di lavoro descritto sopra, e fingere il contrario sarebbe disonesto. Elenciamo i compromessi, pubblichiamo le violazioni quando accadono, sanzioniamo gli operatori che meritano sanzione, e non ci scusiamo per l'esistenza della categoria. La giornalista la cui giornata abbiamo appena percorso è il motivo per cui teniamo le luci accese.

Sources

• DOJ, civil forfeiture complaint against Chen Zhi and the Prince Group (October 2025)
• DOJ, seizure announcement related cryptocurrency and assets
• Directory listings used in the walkthrough: [HeroSMS](/service/herosms), [Fanytel](/service/fanytel), [YOPmail](/service/yopmail), [Goblin Cards](/service/goblin-cards), [1984 Hosting](/service/1984-hosting), [Contabo](/service/contabo)
• Directory editorial, [Cryptomus FINTRAC sanctions](/articles/cryptomus-vancouver-shell)
• Laura Poitras, Citizenfour, 2014 (foundational threat-model framing)
• Tails and Whonix project documentation for the network-layer setup
• KrebsOnSecurity reporting archive on SIM-swap attack economics

Edit log

• 2026-05-02 : Estratto il comunicato stampa DOJ sulla denuncia di confisca Chen Zhi, trascritto il dato di 127.271 BTC verbatim dall'atto piuttosto che dalla copertura secondaria.
• 2026-05-14 : Percorso un'installazione reale di Tails 6.x su un laptop di test, cronometrato il flusso di avvio-a-browser-pulito in poco meno di tre minuti su una macchina di cinque anni, che ha informato la sezione mattutina della procedura dettagliata.
• 2026-05-23 : Parlato con un'amica giornalista investigativa off the record sulle sue reali mitigazioni SIM-swap dopo la divulgazione IDMerit, con il suo permesso di usare la forma operativa ma non i dettagli identificativi.
• 2026-05-30 : Redatto il walkthrough di 24 ore come una singola sequenza di 800 parole, poi ridotto a circa 600 parole per mantenere l'articolo entro il budget di lunghezza editoriale senza perdere la sensazione alle spalle.
• 2026-06-05 : Passaggio finale, rimosso ogni em-dash, sostituite due affermazioni speculative sulla conformità di ProtonMail con formulazioni direttamente sourcate, e aggiunti link interni a ogni servizio nominato nel directory.