Tornado Cash: La Tempesta Legale che Sconvolge il Mondo delle Criptovalute

Il 3 Giugno scorso Vitalik Buterin ha donato 30 ETH (113.000 dollari) a Juicebox, il fondo per l’assistenza legale dei fondatori di Tornado Cash: Alexey Pertsev e Roman Storm. I due informatici sono stati accusati di riciclaggio di denaro, il primo dall’autorità olandesi, l’altro da quelle americane. Cerchiamo di ripercorrere la vicenda per comprendere il senso più profondo di questo strumento tecnico e le sue implicazioni politiche e legali.

Negli ultimi anni è diventato centrale il dibattito sul trattamento dei dati e su come questi possano essere tutelati nel rispetto della privacy. Le criptovalute sono state viste in questo contesto come un mezzo per mantenere l’anonimato. In realtà la maggior parte delle blockchain, tra cui Ethereum e Bitcoin, possono essere definite come un registro di transazioni pubblico e trasparente, dove ogni transazione non può essere modificata. Questo significa che, in realtà, su queste blockchain gli utenti non sono propriamente anonimi in quanto identificati dal loro indirizzo pubblico.

Quindi se si riesce a collegare quell’indirizzo a una persona fisica o a una azienda, è possibile avere a disposizione l’intera storia finanziaria di quel soggetto. In un certo senso in nome della trasparenza si è sacrificato qualcosa di molto importante: la privacy. Ovviamente ci sono dei metodi per evitare che l’indirizzo pubblico – ovvero il contenitore di criptovalute di un soggetto – sia collegato ad un determinato indirizzo IP, ad esempio molti informatici utilizzano Tor, browser che permette la navigazione anonima sul web. Tornado Cash risponde quindi ad una esigenza, quella di tutelare la propria privacy.

Cos’è Tornado Cash?

Tornado Cash è un crypto mixer o, meglio, una serie di smart contract, ovvero un programma open source che vive sulla blockchain di Ethereum. Tornado Cash dà agli utenti la possibilità di mettere le proprie criptovalute all’interno di un pool centrale – ovvero una specie di cassaforte – e di ritirarle in seguito usando un meccanismo che sfrutta la zero-knowledge proof, attraverso cui viene garantito l’anonimato.

Eventi che Hanno Portato alle Sanzioni nei Confronti di Tornado Cash

Nel mese di Giugno 2022, cento milioni di dollari sono stati rubati dalla Harmony Blockchain, una settimana dopo, questo attacco è stato collegato al gruppo di hacker nordcoreano Lazarus. Sembrerebbe che gli aggressori di Lazarus siano stati quindi in grado di utilizzare Tornado Cash per riciclare i proventi di quegli hack. Ed è proprio per questo che il Treasury Department’s Office of Foreign Asset Control (OFAC) ha deciso di sanzionare Tornado Cash e vari Ethereum e USDC wallet associati a questo crypto mixer. Infatti, Circle, emittente di USDC, ha congelato settantacinquemila dollari di fondi collegati agli indirizzi di Tornado Cash. Secondo l’OFAC, Tornado Cash è stato utilizzato per il riciclaggio di denaro da parte di varie associazioni criminali.

L’OFAC sostiene che sono stati riciclati circa sette miliardi di dollari; tuttavia, va precisato che sette miliardi è l’intero ammontare dei soldi che sono passati attraverso Tornado Cash e che quindi non si può dare per scontato che siano tutti provenienti da attività criminali.

Dopo qualche giorno, precisamente il 10 agosto 2022 viene interrogato il giovane informatico russo Alexey Pertsev. Quest’ultimo è stato accusato dalla FIOD – Dipartimento olandese per le investigazioni fiscali – di aver favorito il riciclaggio di denaro. Alexey negli anni ha partecipato a vari hackaton di Ethereum e ha pubblicato codice open source a suo nome. Nel 2018 ha fondato un’azienda chiamata PepperSec a fianco di altri due sviluppatori: Roman Semenov e Roman Storm. Gran parte del codice di Tornado Cash è stato realizzato proprio da questi informatici. Semenov, dopo l’arresto del suo collega, ha dichiarato che è stato chiuso il suo account su GitHub, sito dove viene pubblicato codice open source.

Precedentemente erano stati sanzionati altri cypto mixer centralizzati come Blender; tuttavia, va precisato che il caso di Tornado Cash è differente, proprio perché decentralizzato e quindi quasi impossibile da censurare definitivamente.

Indipendente dal controllo di qualsiasi sviluppatore o autorità centrale non può essere fermato, per farlo bisognerebbe “spegnere” l’intera blockchain di Ethereum.

Precisiamo che, anche se Tornado Cash fosse eliminato, essendo il codice pubblico, potrebbe essere copiato per la creazione di un crypto mixer identico. Ovviamente ci sono dei modi per prevenire, o quanto meno rendere più complicato, l’accesso a Tornado Cash, infatti Alchemy e Infura, due importanti node provider – ovvero nodi che servono per interfacciarsi con la blockchain di Ethereum – hanno bloccato l’accesso al crypto mixer in questione.

L’arresto di Pertsev ha suscitato lo sdegno di molti tanto che c’è stata anche una protesta al centro di Amsterdam a sostegno del giovane informatico. Tuttavia, alcuni giorni dopo sono state mosse altre accuse a Pertsev. Infatti, secondo la società di intelligence Kharon, Pertsev ha lavorato per la Digital Security OOO con sede in Russia nel 2017. Il Tesoro degli Stati Uniti ha sanzionato l’azienda nel 2018, sostenendo che questa aveva intrapreso rapporti il Servizio di sicurezza federale (FSB) della Russia dal 2015.

Tuttavia, per il momento, non è stata fornita alcuna prova di un presunto collegamento diretto tra PepperSEC – azienda fondata da Pertsev – e Digital Security OOO, né tra PepperSec e le agenzie di intelligence russe. La moglie dell’informatico russo, Ksenia Malik, ha negato che il marito abbia avuto questo legame e in una intervista a CoinDesk ha affermato che Pertsev: «Non è mai stato associato all’FSB in Russia o ad organizzazioni simili».

Roman Storm invece, è stato arrestato il 23 agosto 2023 nello stato di Washington. L'arresto è avvenuto in seguito alle accuse di cospirazione per commettere riciclaggio di denaro, violazioni delle sanzioni e gestione di un'attività di trasmissione di denaro non autorizzata. In un video pubblicato sulla sua pagina X Roman chiede aiuto:

"2024 is the year that will define the rest of my life. Honestly, I’m scared. But also hopeful that this community cares with a passion. Please donate towards my legal defense (https://wewantjusticedao.org)"

Inoltre Roman ringrazia Vitalik per il contributo finanziario ricevuto:

Sulla vicenda di Tornado Cash si è espresso anche il parlamentare europeo
Patrick Breyer, che in un intervento parlamentare ha dichiarato:

"The anonimity we enjoy when using cash, which protects our financial freedom, must not be criminalised when applied to digital currencies"

Sia Breyer che Snowden hanno ripetuto più volte: "Privacy is not a crime". Snowden ha anche ripostato il video di Roman, chiedendo aiuto per il collega.

Va ricordato che Tornado Cash può essere utilizzato da chiunque al fine di rimanere anonimi, anche per scopi che vanno contro l’interesse russo. Vitalik Buterin, ha infatti dichiarato di aver utilizzato questo programma proprio per inviare anonimamente denaro al governo ucraino. Quindi le accuse di aver collaborato con il governo di Putin non sembrano essere logicamente plausibili, anche se non possono essere escluse a priori.

Edward Snowden ha definito la scelta di censurare Tornado Cash fortemente illiberale e autoritaria. Effettivamente bisogna chiedersi se possa essere considerato illegale scrivere del codice informatico. E soprattutto che senso ha, dal momento che si vuole svolgere una attività illegale, pubblicare quel codice sotto il proprio nome, cosa che ha fatto Pertsev. Da questo punto di vista la legge olandese sembrerebbe avere tutele minori nei confronti degli informatici rispetto a quella statunitense.

Legislazione Americana sul Codice Open Source

Negli USA il codice open source è protetto dal primo emendamento. Queste tutele sono state rese possibili da Daniel J. Bernstein, professore alla Illinois University, che negli anni Novanta ha promosso un processo contro gli Stati Uniti per la protezione del software criptato. Il giudice emanò una sentenza in cui veniva stabilito che le restrizioni normative sulla capacità di un individuo di pubblicare il codice open source costituivano una violazione del First Emendament.

Ciò significa dire che persino pubblicare un codice in grado di produrre attraverso una stampante 3D armi d’assalto, non può essere considerato reato, a meno che non ci siano prove che il soggetto in questione voglia commettere un crimine, ad esempio condividendo quel codice con gruppi terroristici. Un giovane texano, Cody Wilson, ha effettivamente creato un codice open source per produrre, attraverso stampanti 3D, pistole. Dopo aver ricevuto pressioni per eliminare il codice in questione, ha citato in giudizio il Dipartimento di Giustizia americano e ha vinto la causa. Negli Stati Uniti il codice informatico, infatti, è considerato come una forma di libertà d’espressione.

Alexey dopo essere stato arrestato, nell'aprile 2023, è stato posto agli arresti domiciliari in attesa del processo. Durante il processo, la corte olandese ha stabilito che Tornado Cash è stato effettivamente utilizzato per attività di riciclaggio di denaro, condannando il giovane informatico a cinque anni e quattro mesi di reclusione a maggio 2024​.  Questa decisione ha suscitato lo sdegno di molti nel settore, tanto che il fondo per l’assistenza legale dei due informatici ha raccolto oltre 2 milioni di dollari.