Heurísticas de agrupamento e seus limites · Aula 5 de 6
Atribuição e rotulagem
9 min de leitura
Um agrupamento informa que os endereços pertencem juntos; um rótulo informa a quem ou a que eles pertencem. Os rótulos transformam grafos em constatações ("os fundos chegaram à Exchange K", "o endereço pertence a um contrato de bridge") e também são onde os erros mais prejudiciais entram em um relatório. Esta aula aborda de onde vêm os rótulos, como atribuir graus de confiança e versioná-los, e os limites éticos que mantêm a atribuição voltada a serviços e organizações, em vez de pessoas físicas.
O que é um rótulo
Um rótulo é uma afirmação: que um endereço ou agrupamento é controlado por uma entidade identificada pelo nome, ou pertence a uma categoria de atividade. Ele tem três partes:
- Objeto: um endereço, um contrato ou um agrupamento em uma determinada altura de bloco.
- Afirmação: o nome de uma entidade ("Exchange K"), uma categoria ("depósito em exchange", "bridge", "mixador", "exploração de vulnerabilidade", "golpe") ou ambos.
- Fundamentação: a fonte e as evidências, a data de observação e um grau de confiança.
Mantenha os rótulos de entidade distintos dos rótulos de categoria. Muitas vezes, é possível ter certeza de que um endereço é um endereço de depósito de uma exchange (ele encaminha tudo para uma carteira quente) sem saber qual exchange, e é possível saber qual exchange sem saber quem é o cliente. Mantenha os rótulos separados dos agrupamentos também. Um rótulo associado a um endereço-semente se propaga para todos os endereços do agrupamento, um processo chamado herança de rótulo; portanto, um rótulo nunca é mais confiável do que os vínculos entre agrupamentos que o propagaram.
Fontes de rótulos
| Fonte | Exemplos | Grau de confiança típico | O que observar |
|---|---|---|---|
| Autodeclaração | Endereços de reserva publicados por uma exchange; endereços de contrato documentados por um protocolo; endereço de doação de uma organização | Alto para os endereços listados | As listas ficam desatualizadas; impostores publicam listas falsas |
| Identificação de serviços por transação de teste | Depositar uma pequena quantia em um serviço e observar o endereço de depósito e a varredura dos fundos | Alto, em primeira mão | Abrange apenas os endereços com os quais você interagiu, até que o agrupamento amplie o alcance |
| Comunicados de autoridades públicas | Denúncias formais, anúncios de apreensão, listagens de sanções e alertas que incluem endereços | Alto para os endereços específicos mencionados | A atribuição é da autoridade; cite-a como tal |
| Divulgações de vítimas e incidentes | Análises pós-incidente de protocolos explorados que listam endereços de atacantes | Alto para os endereços do incidente | As listas iniciais podem conter erros corrigidos posteriormente |
| OSINT sobre organizações | Documentação do próprio serviço, contas oficiais, fóruns de governança, código-fonte verificado de contratos | Moderado; depende da verificação | Contas falsas e páginas copiadas |
| Conjuntos de rótulos de terceiros | Etiquetas públicas de exploradores de blocos, conjuntos de dados comunitários abertos, dados de fornecedores | Variável, muitas vezes sem explicação | Cópias circulares; método e data desconhecidos |
As transações de teste são o método clássico de pesquisa. Meiklejohn et al. (2013, "A Fistful of Bitcoins") fizeram 344 transações com exchanges, carteiras, sites de apostas e outros serviços, rotularam manualmente 1.070 endereços e, por meio do agrupamento, conseguiram identificar 2.197 agrupamentos que abrangiam mais de 1,8 milhão de endereços. O exemplo demonstra o alcance da herança de rótulos nos dois sentidos: algumas observações em primeira mão podem rotular milhões de endereços, e um único vínculo incorreto entre agrupamentos pode rotular milhões de forma errada.
Os comunicados públicos são importantes em casos de grande repercussão. Após o roubo da bridge Ronin (2022) e o roubo da Bybit (2025), autoridades atribuíram publicamente os ataques a um grupo ligado a um Estado e divulgaram os endereços envolvidos. Um analista pode se basear nesses comunicados para os endereços que eles mencionam, deixando claro no relatório que a atribuição vem da autoridade, e deve tratar qualquer extensão a outros endereços como uma inferência do próprio analista.
Dois rótulos de terceiros que coincidem não são necessariamente duas fontes. Exploradores de blocos e conjuntos de dados copiam uns dos outros; portanto, um rótulo incorreto pode aparecer em cinco lugares com uma única origem. Isso é reporte circular; rastreie cada rótulo até sua origem antes de contabilizá-lo como corroboração.
Atribuição de graus de confiança
Uma escala de classificação simples e explícita mantém os rótulos comparáveis entre analistas:
| Grau | Critérios |
|---|---|
| Confirmado | Evidência em primeira mão (transação de teste própria), publicação da própria entidade ou comunicado de uma autoridade que nomeie o endereço |
| Alto | Dois indicadores independentes coincidem; por exemplo, um padrão de varredura dos fundos para uma carteira quente identificada pela própria entidade |
| Moderado | Um indicador forte ou um rótulo de terceiro confiável com método conhecido |
| Baixo | Um único indicador fraco ou um rótulo sem explicação; use apenas como pista, nunca como constatação |
Duas ressalvas são importantes na prática. Primeiro, atribua graus de confiança ao vínculo do agrupamento e ao rótulo separadamente: um rótulo confirmado em um endereço-semente, herdado por meio de um vínculo de troco de baixa confiança, resulta em um rótulo de baixa confiança no endereço que o herda. Segundo, atribua graus de confiança à entidade e à categoria separadamente, conforme descrito acima. A aula Confiança, incerteza e linguagem mostra como incorporar esses graus à redação do relatório.
A herança também exige regras sobre quais vínculos podem propagar um rótulo. Uma política comum é propagar rótulos de entidade somente por vínculos de alta confiança, normalmente vínculos de entrada comum, excluindo CoinJoins, e interromper a propagação em qualquer vínculo que colocaria um segundo rótulo de entidade diferente no mesmo agrupamento. Vínculos de troco e vínculos entre contas ainda podem ser exibidos em um grafo, mas o rótulo que propagariam é marcado como inferido e tem seu grau de confiança reduzido. Considere um caso trabalhado: um rótulo confirmado de uma exchange está associado a uma carteira quente; 4.000 endereços de depósito se juntam a ela por meio de varreduras (entrada comum, alta confiança); mais um endereço se junta por meio de um único vínculo de troco de confiança moderada. Os 4.000 endereços de depósito herdam "Exchange K, alto"; o último endereço herda, no máximo, "Exchange K, moderado", e um relatório que contabilize seus fundos como fundos da exchange deve deixar isso claro.
Versionamento e proveniência
Os rótulos perdem validade com o tempo. As exchanges trocam carteiras quentes e reatribuem endereços de depósito; serviços se fundem, encerram atividades ou mudam de mãos; contratos proxy são atualizados para novas implementações; nomes de serviços de nomenclatura expiram e são registrados novamente; atacantes transferem fundos para endereços novos. Um rótulo sem data e período de validade não pode ser verificado nem corrigido. Armazene cada rótulo como um registro versionado:
{
"label_id": "lbl-000482",
"version": 3,
"subject": {"chain_id": 1, "address": "0xA1b2…9F"},
"entity": "Exchange K",
"category": "exchange_deposit",
"source_type": "test_transaction",
"evidence": ["deposit tx 0x4f3a…c21e", "sweep tx 0x9b7d…e014"],
"observed_at_block": 21000000,
"valid_from": "2024-11-02",
"valid_to": null,
"confidence": "confirmed",
"analyst": "analyst-17",
"supersedes": "lbl-000482-v2"
}O registro identifica o objeto com um identificador de cadeia, separa a entidade da categoria, aponta para as transações que o fundamentam e informa quando foi observado e a partir de quando se aplica. valid_to permanece vazio até que as evidências mostrem que o rótulo deixou de se aplicar; supersedes preserva o histórico, para que um relatório escrito no ano passado possa ser reproduzido com os rótulos que estavam vigentes na época. O campo de analista possibilita revisão e responsabilização sem incluir dados pessoais no registro.
Boas práticas de manutenção de rótulos incluem:
- Reverificação dos rótulos de alto impacto antes de cada relatório.
- Alertas de conflito quando um agrupamento adquire dois rótulos de entidade incompatíveis, muitas vezes o primeiro sinal de uma mesclagem incorreta (consulte a aula Avaliação da qualidade dos agrupamentos).
- Retirada em vez de exclusão, para que constatações anteriores continuem explicáveis.
Privacidade e ética
A atribuição na análise de blockchain tem como foco serviços, organizações e categorias de atividade: exchanges, bridges, protocolos, mixadores, contratos de exploração de vulnerabilidade e operações de golpe identificadas por autoridades ou vítimas. Não é uma técnica para identificar pessoas físicas, e os analistas devem respeitar esse limite mesmo quando os dados parecem convidar a ultrapassá-lo.
- Rotule entidades, não pessoas. Um endereço que pareça pertencer a uma pessoa física é rotulado por categoria ("carteira privada não atribuída") ou fica sem rótulo.
- Não combine fontes para desmascarar alguém. Agregar padrões on-chain a rastros de fontes abertas para identificar uma pessoa física cria exatamente o tipo de perfil contra o qual as práticas de proteção de dados alertam, e uma associação incorreta pode expor uma pessoa inocente a assédio ou algo pior.
- A identidade é obtida por meio de processo legal. Quando um caso realmente exige saber quem controla uma conta, o caminho é uma solicitação de uma autoridade competente ao serviço que mantém os registros dos clientes, não uma inferência pública.
- Trate autodeclarações sobre pessoas como pistas. Um registro de serviço de nomenclatura ou perfil que pareça ser o nome de uma pessoa pode ser genuíno, uma falsificação ou ter sido revendido. Ele não deve constar em documentos compartilhados, a menos que o leitor precise dele para agir e o receba por um canal restrito.
- Publique apenas o que já foi tornado público por terceiros ou o que o leitor precisa saber. Endereços publicados por autoridades, tribunais ou pela organização vítima, bem como nomes de serviços, geralmente são aceitáveis em um relatório; vínculos inferidos com pessoas físicas não são.
A aula Proteção de dados, ética e divulgação responsável aborda detalhadamente a minimização de dados, a redação e os canais de divulgação.
Foco no exame: o rótulo como afirmação com objeto, afirmação e fundamentação; rótulos de entidade versus rótulos de categoria; herança de rótulos por meio de agrupamentos e por que um rótulo não é mais confiável do que os vínculos que o propagam; as principais fontes de rótulos (autodeclaração, transações de teste, comunicados de autoridades, divulgações de vítimas, OSINT sobre organizações, conjuntos de terceiros) e seus pontos fracos; reporte circular; uma escala de graus de confiança e a atribuição de graus de confiança ao vínculo e ao rótulo separadamente; por que os rótulos perdem validade e como registros versionados com períodos de validade e evidências mantêm as constatações reproduzíveis; atribuição voltada a serviços e organizações, nunca à exposição de pessoas físicas, cuja identidade só deve ser obtida por meio de processo legal.