Monitoramento de transações e triagem de alertas · Aula 2 de 5
Análise de blockchain para conformidade
9 min de leitura
A análise de blockchain é o que diferencia o monitoramento de criptoativos do monitoramento bancário: a equipe de conformidade consegue ver de onde vieram e para onde foram os fundos de um cliente, muito além da contraparte imediata. Mas o resultado de uma ferramenta de análise é uma inferência, não um fato. Um profissional de conformidade precisa saber em que se baseia uma pontuação de risco, como a exposição é medida e onde as ferramentas falham, pois toda decisão de reter fundos, encerrar um relacionamento ou comunicar uma operação se apoia nesse julgamento.
De endereços a entidades
Blockchains públicas registram endereços e transferências, não nomes. Os provedores de análise transformam isso em algo utilizável em duas etapas:
- Agrupamento reúne endereços que se acredita serem controlados pela mesma entidade, usando heurísticas como a de propriedade comum das entradas para redes UTXO e a reutilização de endereços de depósito para redes baseadas em contas.
- Atribuição associa a um agrupamento um rótulo do mundo real, a partir de fontes como transações de teste do próprio provedor com serviços, endereços publicados pelas próprias entidades, pesquisa em fontes abertas e comunicados públicos de autoridades policiais ou de sanções.
Ambas as etapas produzem hipóteses com taxas de erro. O curso IDFE-CF explica como elas funcionam e como testá-las (consulte as aulas Agrupamento e a heurística de propriedade comum das entradas, Do endereço à entidade e à pessoa: atribuição e rotulagem e Avaliação da qualidade dos agrupamentos). Para fins de conformidade, três pontos bastam: um agrupamento pode unir incorretamente duas entidades, um rótulo pode estar errado ou desatualizado, e um agrupamento pertencente a um serviço de custódia indica quem controla as chaves, não quem são os clientes do serviço.
Categorias de risco
Os provedores associam entidades rotuladas a categorias de risco. Os nomes variam, mas a maioria das taxonomias inclui as categorias a seguir, e cada empresa deve relacioná-las ao seu próprio apetite a risco:
| Grupo de categorias | Exemplos | Tratamento típico |
|---|---|---|
| Severo | Entidades sancionadas, financiamento do terrorismo, material de abuso sexual infantil, ransomware, fundos roubados | Bloquear ou reter antes da transação; encaminhar para análise superior; considerar a comunicação |
| Alto | Mercados da darknet, golpes e lojas de produtos e serviços para fraude, mixers, jogos de azar ilícitos | Gerar alerta acima de um limiar baixo de exposição; investigar |
| Elevado | Exchanges de alto risco ou sem licença, plataformas P2P com controles fracos, serviços voltados à privacidade | Gerar alerta acima de um limiar mais alto ou com base em padrões |
| Padrão | Exchanges reguladas, processadores de pagamentos, serviços para comerciantes, protocolos DeFi | Geralmente, não gerar alerta apenas pela exposição |
| Desconhecido | Agrupamentos sem atribuição | Não é de baixo risco por padrão; o contexto determina |
"Desconhecido" merece atenção. A maioria dos endereços no mundo não tem atribuição; portanto, tratar o desconhecido como isento de risco ocultaria a maior parte do risco, enquanto tratá-lo como alto risco sinalizaria quase tudo. As empresas geralmente consideram a exposição desconhecida apenas em conjunto com outros sinais.
As categorias relacionadas a sanções e o tratamento de endereços designados são abordados na aula Verificação de carteiras e transações; esta aula trata da análise como insumo para o monitoramento.
Exposição direta e indireta
Exposição direta significa que a própria contraparte da transferência pertence a uma categoria de risco: o depósito do cliente veio diretamente de um agrupamento de mercado da darknet, ou um saque foi diretamente para um mixer. Exposição indireta significa que a origem ou o destino de risco está a um ou mais saltos de distância, com endereços sem atribuição ou outros endereços no meio.
A exposição indireta precisa ser medida, e o resultado depende do método de rastreamento (proporcional ou "haircut", primeiro a entrar, primeiro a sair, e outros, explicados na aula do IDFE-CF Métodos de rastreamento e suas consequências) e do limite de saltos. Mais saltos significam mais cobertura e mais ruído: quase toda moeda está a poucos saltos de algo indesejável.
Um exemplo resolvido. Um cliente deposita 2,00 BTC a partir de um endereço sem atribuição. Ao rastrear para trás com um método proporcional e um limite de cinco saltos, a ferramenta atribui 1,40 BTC (70%) a uma exchange regulada um salto atrás, 0,30 BTC (15%) a um mercado da darknet dois saltos atrás e 0,30 BTC (15%) a origens sem atribuição além do limite. O analista então pergunta:
- 15% a dois saltos está acima do limiar da empresa para essa categoria e esse segmento?
- Os fundos passaram por um serviço intermediário (uma exchange que interrompeu o rastro) ou apenas por endereços sem custódia?
- Há quanto tempo o rótulo de darknet foi atribuído e qual é sua origem?
Um exemplo de registro que um sistema de monitoramento poderia armazenar para esse depósito:
{
"txid": "4f3a…c21e",
"direction": "IN",
"asset": "BTC",
"amount": "2.00000000",
"customer_id": "C-10482",
"counterparty": { "cluster_id": "cl-88…1d", "entity": null, "category": "unknown" },
"exposure": [
{ "category": "exchange", "type": "indirect", "hops": 1, "share": 0.70 },
{ "category": "darknet_market", "type": "indirect", "hops": 2, "share": 0.15,
"label_source": "public law-enforcement release", "label_date": "2025-11-03" },
{ "category": "unknown", "type": "beyond_limit", "share": 0.15 }
],
"method": { "tracing": "proportional", "max_hops": 5 },
"dataset_version": "2026-10-20",
"risk_score": 62
}O registro mantém os dados de entrada por trás da pontuação, não apenas a pontuação: cada linha de exposição tem sua categoria, tipo, distância em saltos e proporção, e o rótulo de risco mantém sua origem e data. Ele também armazena o método de rastreamento, o limite de saltos e a versão do conjunto de dados, para que um revisor possa posteriormente reproduzir por que o alerta foi acionado, mesmo depois de o provedor atualizar seus rótulos.
Percentuais de exposição da contraparte
A mesma técnica aplicada a um agrupamento inteiro fornece um perfil de exposição da contraparte: qual proporção de tudo o que uma contraparte recebeu (ou enviou) veio de cada categoria de risco. Ele é usado em duas situações:
- Diligência devida da VASP contraparte. Se 4% dos fundos recebidos por uma exchange estrangeira no último ano têm origem direta rastreável em golpes e mixers, em comparação com bem menos de 1% em exchanges comparáveis, isso é uma evidência sobre seus controles (consulte a aula Identificação e avaliação da contraparte).
- Detecção de serviços aninhados. Um "cliente" cujos depósitos apresentam o perfil de entradas de uma pequena exchange (muitos remetentes sem relação entre si, valores pequenos frequentes, transferências de varredura para outros endereços) pode estar operando um serviço por meio da conta na empresa.
Os percentuais precisam de contexto. Uma grande exchange sempre apresentará alguma entrada ilícita em termos absolutos; as comparações úteis são com seus pares, com o histórico da própria contraparte e na direção que importa (a exposição de recebimento mostra o que um serviço aceita; a exposição de envio mostra para onde vai o dinheiro de seus clientes).
Limitações
Os resultados da análise têm modos de falha conhecidos, e um programa deve ser concebido levando-os em conta, em vez de presumir que não existem.
| Limitação | O que acontece | Consequência |
|---|---|---|
| Atribuição falsa | A união de agrupamentos ou um rótulo incorreto marca um endereço inocente como ilícito | Falsos positivos, encerramentos de relacionamento injustificados, comunicações de baixa qualidade |
| Ausência de atribuição | Um serviço criminoso ainda não foi rotulado | Falsos negativos; fundos passam como "desconhecidos" |
| Rótulos desatualizados | O rótulo de um serviço apreendido ou de um endereço reutilizado persiste, ou um novo serviço não tem rótulo | Pontuações incorretas em ambas as direções |
| Divergência entre provedores | Dois provedores rotulam o mesmo agrupamento de maneiras diferentes ou medem a exposição de forma diferente | Decisões inconsistentes entre empresas |
| Lacunas de cobertura | Algumas redes, tokens, soluções de Camada 2 ou pontes têm suporte insuficiente | Fundos desaparecem do campo de visão em uma ponte ou nova rede |
| Opacidade da custódia | Carteiras omnibus ocultam qual cliente de um serviço enviou os fundos | Exposição a um serviço, não a uma pessoa |
| Sensibilidade ao método | O limite de saltos e o método de rastreamento alteram o percentual | Os limiares só fazem sentido em conjunto com o método |
Moedas de privacidade, mixers e trocas entre redes também prejudicam o rastreamento. Sua presença é, por si só, um sinal de risco segundo os Indicadores de Sinais de Alerta da FATF (consulte a aula Sinais de alerta e tipologias), mas também significa que os números de exposição são menos completos.
Validação dos resultados da análise
Como a empresa, e não seu provedor, é responsável por suas decisões, ela deve testar o que compra e registrar aquilo em que se baseou.
- Conheça o método. Obtenha documentação sobre a abordagem de agrupamento do provedor, as fontes dos rótulos, a classificação dos rótulos, o método de rastreamento e a frequência de atualização.
- Teste com casos conhecidos. Submeta à análise os próprios endereços de depósito e saque da empresa, endereços de VASPs contrapartes confirmados por meio de trocas de informações da Travel Rule e endereços de comunicados públicos de autoridades policiais, e verifique como são classificados.
- Analise manualmente uma amostra de alertas. Para uma amostra de alertas, um analista rastreia o fluxo de forma independente e verifica se a exposição indicada é plausível.
- Compare fontes. Quando houver um segundo provedor ou um conjunto de dados interno, meça a divergência em uma amostra e investigue grandes diferenças.
- Registre as versões. Armazene a versão do conjunto de dados, o método e as datas dos rótulos com cada decisão, para que ela possa ser explicada posteriormente.
- Dê retorno. Informe ao provedor os rótulos incorretos encontrados durante as investigações e acompanhe se são corrigidos.
Os resultados da validação devem integrar a governança de modelos (consulte a aula Ajuste, métricas e governança de modelos) e os critérios de seleção abordados na aula A pilha de tecnologia de conformidade.
Foco no exame: agrupamento e atribuição como hipóteses, e agrupamentos de custódia representando o serviço, e não seus clientes; categorias de risco comuns e por que "desconhecido" não é de baixo risco; exposição direta versus indireta e como limites de saltos e métodos de rastreamento alteram o resultado; cálculo de uma proporção de exposição a partir de um rastreamento resolvido; perfis de exposição da contraparte para diligência devida de VASPs e detecção de serviços aninhados; as principais limitações (atribuição falsa e ausente, rótulos desatualizados, divergência entre provedores, lacunas de cobertura); as etapas de validação e o registro do método e da versão do conjunto de dados com cada decisão.