EPO ed EPOC: i nuovi strumenti europei per le indagini su truffe e crimini crypto

Una persona riceve un messaggio su Telegram da un presunto consulente finanziario. La comunicazione è convincente, il profilo appare professionale e le prime interazioni sembrano legittime. L'interlocutore illustra un'opportunità di investimento in criptovalute con rendimenti garantiti, fornisce link a una piattaforma dall'aspetto credibile e accompagna la vittima passo dopo passo nel primo versamento. Vengono trasferiti trentamila euro in criptovalute verso un wallet indicato dal falso broker. Pochi giorni dopo gli account spariscono, la piattaforma non risponde, i numeri telefonici risultano irraggiungibili.

In casi come questo, il problema investigativo non si esaurisce nel tentativo di seguire le criptovalute sulla blockchain. La domanda fondamentale diventa un'altra: chi controllava quegli account, quegli indirizzi e-mail, quei numeri di telefono e quelle infrastrutture digitali? E queste informazioni — log di accesso, indirizzi IP, dati di registrazione — si trovano spesso presso provider e piattaforme stabilite in altri Paesi dell'Unione europea.

Il nuovo sistema europeo dell'e-evidence, fondato sul Regolamento (UE) 2023/1543 e sulla Direttiva (UE) 2023/1544, con le rispettive norme di attuazione italiane, nasce proprio per rispondere a questa esigenza: consentire alle autorità giudiziarie degli Stati membri di acquisire o conservare prove elettroniche detenute da prestatori di servizi operanti nell'Unione, in tempi più rapidi rispetto ai tradizionali strumenti di cooperazione giudiziaria internazionale.

1Il quadro normativo: Regolamento, Direttiva e decreti attuativi italiani

Il sistema dell'e-evidence si articola su quattro provvedimenti principali che il difensore e la persona offesa devono conoscere per orientarsi correttamente:

Il Regolamento (UE) 2023/1543 si applicherà a partire dal 18 agosto 2026. I decreti legislativi italiani sono già in vigore e costituiscono la cornice procedurale nazionale all'interno della quale opereranno gli strumenti europei una volta che il Regolamento diverrà applicabile. È pertanto corretto presentare questo sistema come una riforma già definita nei suoi tratti essenziali e in fase di entrata a regime, non come una proposta ancora incerta.

2EPO, EPOC e ordine di conservazione: terminologia e distinzioni

Una delle prime difficoltà che si incontrano leggendo la letteratura sul tema è l'uso non sempre preciso delle sigle. È opportuno chiarire la terminologia prima di procedere.

L'EPO — European Production Order è l'ordine europeo di produzione: il provvedimento con cui l'autorità competente ordina a un prestatore di servizi di produrre determinate prove elettroniche. Si tratta di un ordine vincolante, emesso secondo i presupposti e le forme stabiliti dal Regolamento.

L'EPOC — European Production Order Certificate è il certificato attraverso cui l'ordine europeo di produzione viene trasmesso al destinatario. Tecnicamente, EPO e EPOC non sono sinonimi assoluti: l'EPOC è lo strumento formale di comunicazione dell'EPO al prestatore di servizi. Nella prassi comunicativa i due termini sono spesso usati insieme o in modo intercambiabile, ma la distinzione mantiene rilevanza giuridica.

Accanto all'ordine di produzione, il Regolamento disciplina separatamente l'ordine europeo di conservazione (a volte indicato con la sigla European Preservation Order). Questo strumento non mira a ottenere immediatamente i dati, ma a impedirne la cancellazione o la modifica in attesa della successiva acquisizione. Nei crimini informatici, e nelle truffe crypto in particolare, l'ordine di conservazione può avere un'importanza pratica persino superiore a quella dell'ordine di produzione: se i dati vengono cancellati prima che sia possibile acquisirli formalmente, ogni successiva indagine risulta compromessa.

3Perché questi strumenti sono rilevanti nelle indagini su truffe crypto

Per comprendere l'importanza di EPO, EPOC e ordine di conservazione nelle frodi con criptovalute è necessario partire da un dato tecnico: la blockchain consente spesso di ricostruire il percorso dei fondi digitali, ma non necessariamente di identificare la persona fisica che controlla un wallet.

Un indirizzo su blockchain è una stringa alfanumerica. Può essere creato in modo anonimo, può essere sostituito frequentemente, può essere associato a wallet non custodial che non richiedono identificazione. La blockchain analysis — l'analisi sistematica delle transazioni registrate sulla catena — permette di seguire i movimenti delle criptovalute e di individuare pattern, cluster di indirizzi e confluenze verso exchange o altri intermediari. Tuttavia, il passaggio dall'indirizzo di blockchain all'identità della persona fisica che lo controlla richiede quasi sempre informazioni aggiuntive di natura extracatena.

È proprio su queste informazioni aggiuntive che il sistema dell'e-evidence può incidere in modo significativo. Le prove elettroniche rilevanti in un'indagine per truffa crypto sono tipicamente:

• indirizzi IP utilizzati per accedere agli account e ai wallet;
• dati di registrazione degli account sulle piattaforme di comunicazione (Telegram, WhatsApp, e-mail);
• numeri telefonici associati agli account;
• log di accesso alle piattaforme;
• informazioni sugli abbonati presso provider di connettività o di telefonia;
• dati di traffico utili alla geolocalizzazione approssimativa degli accessi;
• informazioni conservate presso exchange centralizzati (KYC, documentazione di verifica dell'identità, storico delle transazioni);
• dati conservati presso le piattaforme di falso investimento utilizzate per la frode.

Molti di questi dati sono detenuti da prestatori di servizi stabiliti in altri Paesi dell'Unione europea. Prima del nuovo sistema dell'e-evidence, l'acquisizione di tali informazioni richiedeva il ricorso agli strumenti tradizionali di cooperazione giudiziaria internazionale — rogatorie, richieste di assistenza giudiziaria reciproca — con tempistiche spesso incompatibili con l'urgenza delle indagini su reati informatici. Il Regolamento (UE) 2023/1543 mira precisamente a ridurre questi tempi, prevedendo termini più stringenti per la risposta dei destinatari degli ordini.

4Un esempio concreto: dalla blockchain analysis all'identificazione dell'autore

Il seguente scenario è costruito a scopo divulgativo e non si riferisce a nessun caso reale specifico. Serve a illustrare come i diversi strumenti investigativi possano integrarsi.

Una persona offesa denuncia di aver trasferito trentamila euro in criptovalute verso un wallet indicato da un presunto consulente finanziario conosciuto su Telegram. I contatti erano avvenuti anche tramite una piattaforma web con grafica professionale, poi diventata irraggiungibile.

Prima fase — blockchain analysis: l'analisi delle transazioni sulla blockchain permette di identificare il wallet destinatario e tracciare i successivi movimenti dei fondi. Le criptovalute risultano trasferite verso un exchange centralizzato attraverso una serie di passaggi intermedi.

Seconda fase — individuazione dei provider rilevanti: parallelamente, l'indagine cerca di identificare chi abbia gestito l'account Telegram, l'indirizzo e-mail utilizzato per i contatti, il numero telefonico di registrazione e gli IP da cui sono stati effettuati gli accessi. Queste informazioni si trovano presso il provider della piattaforma di messaggistica, presso il provider di posta elettronica e presso l'exchange verso cui sono confluiti i fondi. Alcuni di questi soggetti potrebbero essere stabiliti in altri Stati dell'Unione europea.

Terza fase — conservazione urgente dei dati: il difensore, in sede di presentazione della querela, segnala specificamente all'autorità giudiziaria i provider individuati e i dati di cui si chiede la conservazione urgente, formulando un'istanza affinché l'autorità valuti l'adozione di un ordine europeo di conservazione. I log e gli IP, se non conservati tempestivamente, potrebbero essere cancellati nel rispetto delle politiche di retention del provider.

Quarta fase — ordine di produzione: una volta accertati i presupposti, l'autorità competente può emettere un EPO corredato dal relativo EPOC, richiedendo al provider la trasmissione dei dati. Incrociando le informazioni ottenute con i risultati della blockchain analysis, diventa possibile — non certo, ma possibile — risalire all'identità della persona fisica che controllava account, wallet e infrastrutture utilizzate per la frode.

Questo schema mostra come blockchain analysis e acquisizione di prove elettroniche siano complementari: la prima segue il denaro sulla catena; la seconda può contribuire a individuare le persone che si trovano dietro gli account utilizzati per movimentarlo. Si tratta di una semplificazione divulgativa: non ogni indagine produce risultati e l'esito dipende da numerosi fattori, tra cui la disponibilità di intermediari, l'effettiva localizzazione dei provider nell'Unione europea e i dati concretamente conservati al momento della richiesta.

5Chi può attivare EPO ed EPOC: il ruolo dell'avvocato e della persona offesa

Uno degli aspetti che più interessa la persona offesa da una truffa crypto è capire se e come possa intervenire concretamente nella fase investigativa. È necessario essere chiari su un punto: il cittadino privato e il suo avvocato non possono inviare autonomamente un EPO a un provider. L'emissione dell'ordine europeo di produzione appartiene esclusivamente alle autorità competenti individuate dal Regolamento e, per l'Italia, dal d.lgs. n. 215/2025.

Tuttavia, il ruolo del difensore non è passivo. Il d.lgs. n. 215/2025 riconosce alla persona offesa e al suo difensore un ruolo di impulso: il difensore può presentare all'autorità giudiziaria un'istanza motivata finalizzata all'attivazione degli strumenti previsti, indicando i provider rilevanti, i dati da conservare o acquisire e le ragioni di urgenza. 

Questo rende determinante la qualità della querela o della denuncia. Una segnalazione all'autorità giudiziaria che si limiti a descrivere il danno economico subito, senza indicare account, provider, wallet, indirizzi e-mail, numeri telefonici e piattaforme coinvolte, non fornisce all'autorità gli elementi tecnici necessari per attivare tempestivamente i meccanismi di conservazione.

Al contrario, una querela tecnicamente strutturata — che individui i provider, alleghi screenshot e metadati disponibili, specifichi i dati di cui si chiede la conservazione e formuli espressamente l'istanza di attivazione degli strumenti dell'e-evidence — consente all'autorità giudiziaria di valutare immediatamente se ricorrano i presupposti per procedere.

6Conservare prima che sia troppo tardi: l'ordine europeo di conservazione

Nei reati informatici il tempo è una variabile critica della prova. I log di accesso, gli indirizzi IP, i dati di traffico e le informazioni sugli abbonati non sono conservati indefinitamente: i provider applicano politiche di retention che, a seconda del tipo di dato e della normativa applicabile, possono comportare la cancellazione automatica dei dati entro settimane o mesi.

Nelle truffe con criptovalute questo problema si aggrava ulteriormente: l'autore della frode ha quasi sempre pianificato la propria sparizione. Account, numeri telefonici e piattaforme vengono abbandonati o cancellati nel più breve tempo possibile dopo l'appropriazione dei fondi. Se l'autorità giudiziaria non interviene rapidamente con un ordine di conservazione, i dati potrebbero non essere più disponibili al momento in cui si giunga formalmente alla richiesta di produzione.

L'ordine europeo di conservazione opera come un "congelamento" delle informazioni: impone al prestatore di servizi di mantenere determinati dati nella loro integrità, senza modificarli o cancellarli, in attesa della successiva acquisizione formale. Non comporta, di per sé, la trasmissione immediata dei dati all'autorità, ma ne garantisce la disponibilità futura.

Il messaggio pratico che emerge da questo quadro è chiaro: nelle truffe crypto, denunciare tempestivamente non serve soltanto a tentare di recuperare il denaro. Può essere determinante per preservare le prove necessarie a identificare gli autori. Ogni ora di ritardo aumenta il rischio che informazioni fondamentali vengano perse definitivamente.

7Blockchain analysis e prove elettroniche: due strumenti complementari

Nel dibattito pubblico sulle truffe crypto si sente spesso parlare di blockchain analysis come di uno strumento quasi onnipotente: se i fondi sono sulla blockchain, si dice, si può sempre tracciarli. Questa affermazione è parzialmente vera ma incompleta, e vale la pena chiarire perché.

La blockchain analysis è l'analisi sistematica delle transazioni registrate su una rete blockchain. Poiché molte blockchain pubbliche — come Bitcoin ed Ethereum — sono registri trasparenti e immutabili, le transazioni sono visibili a chiunque, senza necessità di autorizzazione. Software specializzati permettono di seguire i flussi di criptovalute tra indirizzi diversi, raggruppare indirizzi probabilmente controllati dallo stesso soggetto (clustering), identificare indirizzi associati a exchange noti e ricostruire il percorso dei fondi.

Tuttavia, la blockchain analysis ha limiti strutturali rilevanti:

• molti wallet sono non custodial e non richiedono identificazione per essere creati;
• tecniche di offuscamento come i mixer o i servizi di coinjoin possono rendere più difficile il tracciamento;
• l'identificazione del wallet non equivale all'identificazione della persona fisica che lo controlla;
• quando i fondi transitano verso exchange che operano in giurisdizioni con scarsa cooperazione internazionale, il tracciamento può interrompersi.

È qui che l'acquisizione di prove elettroniche diventa fondamentale. Se la blockchain analysis individua che i fondi sono confluiti verso un exchange centralizzato stabilito in un Paese dell'Unione europea, quell'exchange potrebbe detenere informazioni di KYC (Know Your Customer) sull'utente che ha depositato le criptovalute. Se il truffatore ha utilizzato un account Telegram registrato con un numero telefonico reale e ha effettuato accessi da un IP geolocalizzabile, quelle informazioni si trovano presso i server del provider.

La sinergia tra i due strumenti è quindi la seguente: la blockchain analysis segue il percorso del denaro sulla catena; l'acquisizione di prove elettroniche attraverso EPO, EPOC e ordine di conservazione può contribuire a collegare quel percorso alle identità delle persone fisiche che si trovano dietro gli account e le infrastrutture utilizzate per commettere la frode.

È necessario ribadire che questa sinergia non garantisce l'identificazione degli autori in ogni caso. L'esito dell'indagine dipende da una pluralità di fattori: la localizzazione effettiva dei provider nell'Unione europea (condizione necessaria per l'applicazione del Regolamento), i dati concretamente conservati al momento della richiesta, la cooperazione degli intermediari interessati e le specifiche circostanze di ciascun caso.

8EPO non significa recupero automatico delle criptovalute

Una precisazione è indispensabile, e va formulata con la massima chiarezza. Il sistema dell'e-evidence — EPO, EPOC, ordine di conservazione — è uno strumento probatorio, non una procedura di recupero del denaro o delle criptovalute.

Attraverso questi strumenti l'autorità giudiziaria può acquisire informazioni utili a identificare gli autori della frode, ricostruire account e collegamenti, individuare le infrastrutture digitali utilizzate nel reato e ottenere elementi fondanti per successive richieste investigative o cautelari. Ma il recupero concreto delle criptovalute è un percorso distinto, che richiede ulteriori condizioni:

• individuazione e localizzazione dei fondi al momento del tentativo di recupero;
• disponibilità effettiva dei fondi (non già convertiti, trasferiti o dispersi);
• possibilità giuridica di sequestro, con i presupposti previsti dalla normativa italiana e, ove necessario, con il ricorso a strumenti di cooperazione internazionale;
• collaborazione degli intermediari — exchange o piattaforme — presso cui i fondi si trovano;
• adozione di misure cautelari reali nel procedimento penale o civile.

L'identificazione dell'autore grazie alle prove elettroniche acquisite tramite EPO può certamente aprire la strada a richieste di sequestro e, in prospettiva, a forme di restituzione o risarcimento. Ma si tratta di fasi successive, distinte e non automatiche. Lo Studio Legale Giammatteo non garantisce, né potrebbe farlo, alcun esito specifico in nessun procedimento.

9L'importanza di agire rapidamente: dalla denuncia all'istanza tecnica

Se è vero che nelle truffe crypto la velocità con cui vengono trasferiti i fondi è parte integrante del modus operandi dei truffatori, è altrettanto vero che la risposta investigativa deve muoversi con la stessa celerità. Il nuovo sistema europeo dell'e-evidence offre strumenti più rapidi — rispetto alle tradizionali rogatorie internazionali — per acquisire o conservare informazioni detenute dai prestatori di servizi operanti nell'Unione europea. Ma questi strumenti possono essere attivati soltanto se le autorità giudiziarie dispongono delle informazioni necessarie per individuare i provider, i dati e i presupposti richiesti.

Per la persona offesa, questo si traduce in un'indicazione operativa molto concreta: predisporre tempestivamente una denuncia o querela completa, che non si limiti alla descrizione del danno subito, ma contenga tutti i dati tecnici disponibili — account utilizzati dal truffatore, indirizzi e-mail, numeri telefonici, URL delle piattaforme, indirizzi wallet, screenshot delle conversazioni con i relativi metadati — e formuli specifiche richieste di conservazione e acquisizione delle prove elettroniche.

Una querela tecnicamente strutturata, redatta con l'assistenza di un difensore che conosca gli strumenti dell'e-evidence e le dinamiche delle indagini su crimini informatici, può fare la differenza tra un'indagine che dispone dei dati necessari e un'indagine che parte senza elementi sufficienti per procedere.