Operazione TorNado: 354 arresti sul darknet e 234 milioni di dollari sequestrati, ma la polizia non dice quanto fosse crypto

L’operazione TorNado, una retata contro venditori e acquirenti di droga sul darknet condotta dalle polizie di 14 paesi, ha portato a 354 arresti: lo hanno annunciato giovedì 12 novembre blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il Dipartimento di Giustizia degli Stati Uniti e Europol. Il comunicato americano, pubblicato dalla DEA per conto del team JCODE del Dipartimento di Giustizia, stima i sequestri in oltre 234 milioni di dollari «in contanti e valute virtuali», insieme a circa 5,7 tonnellate di droga, 38 presse per pillole e 209 armi da fuoco. Europol indica lo stesso bottino come oltre 210 milioni di euro di beni di origine criminale.

Nessuno dei due comunicati dice quanta parte di quel denaro fosse criptovaluta. Non c’è alcuna divisione tra contanti e bitcoin, monero o altre monete, né un importo per singolo asset. Per una retata costruita sul tracciamento dei pagamenti, è il dato che i lettori crypto vorrebbero vedere di più, e non è pubblico.

L’operazione si è svolta da maggio 2025 a ottobre 2026. I funzionari americani la definiscono la più grande della storia di JCODE, la Joint Criminal Opioid and Darknet Enforcement, squadra creata nel 2018, e la sesta azione internazionale di questo tipo. Il direttore dell’FBI Kash Patel l’ha descritta come «la più grande operazione interagenzia contro venditori e acquirenti di droga del Dark Web finora». I superlativi sono dei funzionari stessi.

354 arresti sul darknet: gli Stati Uniti ne hanno fatti 132, il Regno Unito 59

L’annuncio di Europol e il comunicato della DEA riportano lo stesso totale e la stessa cifra per ogni paese tranne uno. La DEA conta due arresti in Australia, la tabella di Europol uno. Solo i numeri della DEA sommano a 354 (quelli di Europol arrivano a 353), quindi la tabella usa questi. Il Montenegro non ha fatto arresti: la sua polizia ha condotto un «knock and talk», una visita a un’abitazione per interrogare chi ci vive.

Europol spiega che i bersagli erano venditori e acquirenti, attivi sui grandi mercati ma anche su forum, negozi di un singolo venditore e servizi di messaggistica cifrata. Secondo la DEA hanno fatto decine di migliaia di vendite in Stati Uniti, Europa, Australia e Nuova Zelanda.

Oltre 60 milioni di euro in Europa, 166 milioni di dollari negli Stati Uniti

Europol divide i sequestri per area, e questo aiuta a leggere i due totali dei titoli. In Europa la polizia ha sottratto 950 chilogrammi di droga, 57 armi da fuoco e «oltre 60 milioni di euro in contanti e criptovalute». I maggiori sequestri di droga sono stati 150 chilogrammi di anfetamine in Germania, 150 chilogrammi di ketamina nel Regno Unito, 40 chilogrammi di MDMA nei Paesi Bassi e 50 chilogrammi di cannabis in Francia, oltre a più di un milione di compresse di farmaci su prescrizione.

Negli Stati Uniti l’agenzia conta oltre 4,8 tonnellate di droga, 152 armi da fuoco e oltre 150 milioni di euro, che converte in 166 milioni di dollari, sempre tra contanti e criptovalute. Sommando le due aree si ottengono le 209 armi da fuoco, le circa 5,7 tonnellate di droga e i 210 milioni di euro dei titoli. I 234 milioni di dollari del comunicato della DEA sembrano gli stessi sequestri contati in dollari e arrotondati in modo diverso, non un secondo gruzzolo.

Quanto dei 234 milioni di dollari è in crypto?

I comunicati non lo dicono, e la loro formulazione non lascia modo di ricavarlo. La DEA scrive «contanti e valute virtuali». Europol scrive «contanti e criptovalute», area per area. Anche la dichiarazione di Patel parla di «234 milioni di dollari in criptovalute e contanti», in quest’ordine, senza alcuna divisione.

Non è una novità. Anche i comunicati di Europol su Dark HunTor (2021), SpecTor (2023) e RapTor (2025) danno una cifra unica per contanti e valute virtuali insieme. Cifre separate per le crypto compaiono in quelle pagine solo per le chiusure di singoli mercati: 3,6 milioni di euro in criptovalute quando la polizia italiana ha chiuso i mercati DeepSea e Berlusconi nel 2021, e 23 milioni di euro in criptovalute sequestrati dalle autorità tedesche alla chiusura di Hydra nell’aprile 2022.

I comunicati non dicono neppure quali monete siano state prese, se sia stato sequestrato del monero, o quanta parte delle crypto sia stata convertita o sia ancora custodita in wallet governativi. Cambiano anche le regole per sequestrare crypto detenute all’estero: a ottobre l’UE e otto Stati hanno firmato un trattato del Consiglio d’Europa per sequestrare oltre confine le crypto di origine criminale. Finché gli atti giudiziari dei singoli casi non saranno letti uno per uno, la quota crypto di TorNado resta una questione aperta.

Cinque mercati erano già chiusi: TorNado ha puntato sui loro utenti

TorNado non ha annunciato la chiusura di un nuovo mercato. È il seguito dei sequestri precedenti di cinque di essi: Archetyp, Bohemia, Nemesis, Kingdom e Tor2Door. Quando la polizia sequestra l’infrastruttura di un mercato, ne ottiene i dati. Nelle retate precedenti Europol ha trasformato quei dati in quelli che chiama pacchetti di intelligence, che le polizie nazionali hanno poi usato per aprire inchieste proprie.

Il modello è esplicito nel materiale di Europol. Il suo comunicato su RapTor del maggio 2025 descriveva la chiusura di un mercato come «l’inizio di indagini di follow-up» e non come la fine della storia. Per TorNado, Europol dice che le sue squadre di analisi forense e blockchain hanno «tracciato transazioni illecite», mentre le autorità nazionali conducevano le proprie indagini e incrociavano i dati tramite SIENA, la rete sicura di scambio di informazioni dell’agenzia.

Sul fronte americano, gli account dei venditori sono stati «identificati e attribuiti a persone reali» su mercati tra cui DrugHub e Archetyp, afferma la DEA. Il nome di un venditore sul darknet non serve a un pubblico ministero finché non è legato a una persona con un indirizzo.

Come è stato seguito il denaro nel caso BarbaraWhite

L’esempio pubblico più chiaro del metodo viene da uno dei casi che la DEA ora elenca sotto TorNado. Il 28 agosto il Dipartimento di Giustizia ha annunciato l’arresto in Florida di due fratelli, Stanislav Chernyshov, 30 anni, cittadino russo, e Vladislav Chernyshov, 35 anni, cittadino americano naturalizzato. L’accusa sostiene che gestissero «BarbaraWhite», un venditore di pillole contraffatte di ossicodone M30 adulterate con nitazeni, oppioidi sintetici che possono essere forti quanto il fentanil o più. Sono imputati nel Distretto Orientale della Virginia e ciascuno rischia fino a 20 anni di carcere in caso di condanna.

L’8 settembre la società di analisi blockchain Chainalysis ha pubblicato come sono state tracciate le crypto, sulla base della dichiarazione giurata dell’FBI. Gli investigatori hanno prima trovato, nei dati di un’altra indagine, gli indirizzi bitcoin che BarbaraWhite avrebbe usato per prelevare i guadagni dal mercato. L’atto include un grafico realizzato con Chainalysis Reactor, il software di tracciamento della società, che mostra fondi in movimento tra quei wallet e indirizzi collegati a probabili acquirenti e ad altri venditori.

Il collegamento a una persona è venuto dai margini del grafico. Secondo Chainalysis, i wallet del venditore avevano «interazioni comuni» con wallet riconducibili al conto di pagamento mobile di Stanislav. Gli investigatori lo hanno combinato con dati dei mercati, registri postali, sorveglianza e acquisti sotto copertura.

Le cifre dell’atto, come le riporta Chainalysis, sono piccole rispetto al totale di TorNado. Il gruppo di wallet ha ricevuto circa 220.000 dollari dai mercati darknet e ne ha inviati circa 230.000, tra cui pagamenti a un servizio postale, a un altro venditore di droga e circa 7.210 dollari a un fornitore cinese di sostanze chimiche per ricerca che, secondo gli investigatori, avrebbe fornito i nitazeni. I registri di tre mercati, Nemesis, Bohemia e Abacus, mostrano oltre 95.000 pillole contraffatte vendute, e il venditore è collegato ad almeno 12 overdose, tra cui tre decessi. Sono accuse: nulla è stato provato in tribunale.

Il bitcoin lascia una traccia pubblica, i mercati solo Monero no

Il caso mostra perché il bitcoin è uno strumento scadente per restare nascosti. Ogni transazione bitcoin è scritta su un registro pubblico che chiunque può leggere per sempre. Gli indirizzi non hanno nomi, ma il percorso tra di essi è aperto, e basta un indirizzo legato a un account identificato, su un exchange o un’app di pagamento che verifica l’identità, per dare un nome a un intero gruppo. La nostra voce del glossario sul KYC (Know Your Customer) spiega perché questi controlli di identità contano tanto per gli investigatori.

Alcuni mercati hanno risposto rifiutando il bitcoin. La DEA descrive DrugHub come un mercato «solo Monero». Monero (XMR) nasconde mittenti, destinatari e importi per impostazione predefinita, quindi l’analisi da wallet a wallet usata contro BarbaraWhite non funziona allo stesso modo. Un caso di TorNado riguarda proprio quel mercato: Alexander Green, 32 anni, arrestato a giugno e imputato nel Distretto Meridionale dell’Ohio, è accusato di vendere fentanil e altre droghe su DrugHub con il nome STARLABS, un’attività che l’accusa collega a due morti per overdose.

Come sia stato identificato Green non è scritto nel comunicato, e sarebbe una congettura dire che la traccia Monero sia stata violata. Quello che il caso mostra è che le privacy coin proteggono la catena, non tutto il resto. Quando un servizio di scambio Monero ha perso i propri registri il mese scorso, la catena è rimasta privata ma il database no. Etichette di spedizione, server sequestrati e il momento in cui le monete vengono convertite in denaro spendibile restano punti deboli.

Quattro retate dal 2021, da 150 a 354 arresti

Europol presenta TorNado come l’ultima di una serie iniziata con DisrupTor nel 2020 (179 arresti). Le cifre qui sotto vengono dai comunicati di Europol su Dark HunTor, SpecTor, RapTor e TorNado. Ogni riga dei sequestri mescola contanti e valute virtuali.

Gli arresti sono più che raddoppiati tra il 2021 e il 2026, e il denaro sequestrato è cresciuto di circa otto volte in euro. Il confronto ha dei limiti. Ogni retata ha seguito chiusure di mercati diverse, si è svolta in un periodo diverso e ha coinvolto un insieme diverso di paesi, quindi la tendenza dice tanto sulle dimensioni dei database sequestrati quanto su quelle del commercio.

SpecTor ha lasciato anche un dettaglio su come gli operatori dei mercati ripuliscono le crypto. Europol ha riferito che il presunto operatore di Monopoly Market, estradato dall’Austria negli Stati Uniti nel giugno 2023, avrebbe usato almeno due servizi di scambio crypto per spostare i proventi tra blockchain prima di vendere le monete a trader in Serbia in cambio di contanti.

L’Italia non ha partecipato a TorNado, la Francia ha fatto 23 arresti

L’Italia non è tra i 14 paesi di TorNado, e nessuna agenzia italiana compare in uno dei due elenchi dei partecipanti. Aveva invece preso parte a Dark HunTor nel 2021, con quattro arresti e le chiusure di DeepSea e Berlusconi. In Europa, i contingenti più numerosi questa volta sono venuti da Regno Unito (59), Ungheria (45) e Germania (41).

In Francia ha partecipato la Gendarmerie nationale, che ha fatto 23 arresti, con 50 chilogrammi di cannabis tra i sequestri europei. Sono meno dei 29 arresti francesi di RapTor nel 2025 ma molti più dei cinque di SpecTor nel 2023. Europol non fornisce alcuna cifra francese per le crypto.

Cosa devono ricavare i lettori dall’operazione TorNado

Per chi pensa che un acquisto sul darknet pagato in bitcoin sia anonimo, la storia di queste retate dice il contrario. Gli acquirenti sono stati colpiti insieme ai venditori, e dopo SpecTor Europol aveva avvertito che l’accesso agli elenchi di clienti dei venditori metteva a rischio di azione penale migliaia di acquirenti. L’avvertimento di Europol del 2021 resta valido: usare il dark web per attività criminali può portare in carcere in diversi paesi. Le pillole hanno un rischio proprio: secondo Chainalysis, le pillole «FENT FREE» di BarbaraWhite contenevano spesso nitazeni.

Per i normali detentori di crypto, TorNado è soprattutto un promemoria di quanto siano tracciabili le blockchain pubbliche. La stessa analisi che mappa i wallet di un venditore di droga può mappare quelli di chiunque, una volta che un indirizzo è legato a un nome. Il capo di IRS Criminal Investigation, Jarod Koopman, ha riassunto la logica degli investigatori: le reti criminali «non possono operare senza denaro».

Indagini in corso in oltre 20 distretti americani

La DEA afferma che TorNado ha portato a decine di procedimenti federali, condotti in oltre 20 distretti, dal Distretto Centrale della California al Distretto Occidentale del Wisconsin, e che diverse indagini cercano ancora di identificare le persone dietro gli account darknet. Gli imputati nominati sono accusati, non condannati, e si presumono innocenti.

Europol si aspetta che il commercio si sposti anziché fermarsi. La sua valutazione della minaccia della criminalità organizzata su internet del 2026, citata nel comunicato su TorNado, indica mercati che si frammentano in piattaforme specializzate, forum mescolati a messaggistica cifrata e la rapida sostituzione di qualsiasi mercato chiuso. La DEA collega dal suo comunicato i documenti giudiziari dei casi americani; qualsiasi dettaglio a livello di wallet sulle crypto di TorNado dovrebbe venire da atti come quelli.