Comunicação de atividades suspeitas · Aula 2 de 5
Redação de uma comunicação eficaz
9 min de leitura
Uma comunicação de operação suspeita só é útil na medida em que um analista da FIU consegue compreendê-la em poucos minutos. Muitas comunicações são enviadas e nunca resultam em providências porque a narrativa copia o texto do alerta, deixa o motivo da suspeita escondido no texto ou lista centenas de hashes de transações sem dizer o que eles demonstram. Redigir uma comunicação clara e fundamentada em evidências é uma competência essencial para qualquer pessoa que encaminhe casos a instâncias superiores ou aprove o envio de comunicações.
Quem lê a comunicação e do que precisa
O primeiro leitor costuma ser um analista da FIU, muitas vezes auxiliado por uma triagem automatizada que atribui pontuações às comunicações recebidas. Posteriormente, as comunicações podem ser disseminadas para a polícia, o Ministério Público, autoridades tributárias ou responsáveis por sanções, ou uma FIU estrangeira, e partes delas podem ser lidas anos depois em processos judiciais. Nenhum desses leitores pode acessar o sistema de gestão de casos ou a ferramenta de análise da empresa. A comunicação deve ser autossuficiente.
A maioria das FIUs recebe comunicações por meio de um formulário estruturado ou formato de arquivo, com campos para pessoas envolvidas, contas, transações e indicadores, além de uma narrativa em texto livre. Muitas usam sistemas de comunicação baseados em XML, como o goAML, desenvolvido pelo UNODC. Os campos estruturados permitem que a FIU correlacione comunicações de diferentes empresas; a narrativa explica por que os fatos são suspeitos. Ambos devem ser coerentes: um endereço presente na narrativa, mas ausente dos campos de transações, não pode ser correlacionado automaticamente.
Os formulários e as definições dos campos são nacionais; por isso, o método abaixo se concentra no conteúdo de que toda FIU precisa.
Estrutura: quem, o quê, quando, onde, por quê e como
Uma narrativa confiável responde a seis perguntas, normalmente nesta ordem, após um breve resumo inicial.
| Pergunta | Conteúdo para um caso envolvendo criptoativos |
|---|---|
| Quem | Pessoas envolvidas com os identificadores disponíveis: nomes, datas de nascimento, IDs de cliente, contas vinculadas, dispositivos, endereços IP; contrapartes, na medida em que forem conhecidas (outro VASP, uma carteira não hospedada, um serviço identificado por atribuição) |
| O quê | Ativos, valores em unidades nativas e em moeda fiduciária no momento da transação, tipos de transação (depósito, swap, saque, pagamento em moeda fiduciária) |
| Quando | Período abrangido e registros de data e hora relevantes, em UTC |
| Onde | Blockchains e redes, VASPs das contrapartes e seus países, contas em moeda fiduciária, localizações do cliente e dos acessos |
| Por quê | O motivo da suspeita: quais fatos, em conjunto, não têm explicação e a quais sinais de alerta correspondem |
| Como | O mecanismo: como os recursos entraram, foram movimentados e saíram; o percurso on-chain; o que o cliente disse quando questionado |
Comece com duas ou três frases que apresentem primeiro a conclusão: quem fez o quê, qual foi o valor, em que período e por que a empresa suspeita da atividade. Um leitor que pare nesse ponto ainda deve saber se o caso é relevante para ele.
Em seguida, escreva em ordem cronológica ou seguindo o fluxo, não na ordem em que o investigador descobriu os fatos. Termine com o que a empresa fez (restringiu operações, encerrou o relacionamento, continuou o monitoramento) e com eventuais comunicações anteriores relacionadas, citadas pelos respectivos números de referência da FIU.
Apresentação de evidências on-chain
Os fatos on-chain podem ser verificados por qualquer pessoa, o que os torna evidências robustas, desde que apresentados com precisão.
- Identificadores completos. Forneça txids e endereços completos nos campos estruturados ou em um anexo, identificando a blockchain. Um hash truncado não pode ser verificado. (Este curso trunca identificadores apenas porque são fictícios.)
- Altura do bloco e horário. Registre a altura do bloco e a data e hora em UTC das transações relevantes, para que o leitor possa localizá-las.
- Valores. Informe o valor em unidades nativas e o valor em moeda fiduciária, com a respectiva fonte e o horário. Para tokens, informe o contrato do token: "USDT" existe em várias blockchains.
- Exposição, com o método. Informe se a exposição é direta ou indireta, o número de saltos, o percentual, a categoria atribuída e a data em que o resultado da análise foi produzido. Os rótulos mudam, e o leitor precisa saber em qual versão você se baseou (consulte a aula Análise de blockchain para conformidade).
- Resumos, não despejos de dados. Coloque a lista completa de transações em um anexo; na narrativa, agregue os dados ("41 depósitos totalizando 186.400 USDT de 29 endereços") e selecione as poucas transações que comprovam o padrão.
- Um diagrama de fluxo. Quando anexos forem aceitos, um diagrama simples do fluxo de recursos, com valores e datas em cada aresta, poupa horas de trabalho do analista. A aula Visualização de fluxos e evidências visuais para tribunais, do IDFE-CF, explica como desenhar um sem usar disposições visuais enganosas.
Um anexo curto em colunas simples funciona com praticamente qualquer sistema de comunicação:
seq hora_utc rede direção valor contraparte txid
01 2026-09-02 14:07:51 TRON ENTRADA 9,800 USDT T9xQ…4hRk (não hospedada) 7c1e…a90b
02 2026-09-02 15:31:09 TRON ENTRADA 12,500 USDT TLm2…Vw8P (não hospedada) e44d…0f17
03 2026-09-02 16:02:44 - SAÍDA FIDUCIÁRIA 21,950 USD conta bancária final 3301 pagamento P-55120
04 2026-09-04 09:12:30 TRON ENTRADA 14,000 USDT TQa7…r2Nd (não hospedada) 19b0…cc5eCada linha representa uma movimentação, em ordem cronológica, com a contraparte conforme conhecida pela empresa e o identificador de que a FIU precisa para recuperá-la. Os pagamentos em moeda fiduciária apresentam a referência interna da empresa em vez de um txid. A narrativa então explica o que as linhas demonstram, em vez de repeti-las.
Linguagem de confiança
As comunicações combinam três tipos de afirmação, e a narrativa deve distingui-los claramente:
- Fatos: o que os registros mostram. "Em 2 de setembro de 2026, a conta recebeu 9.800 USDT do endereço T9xQ…4hRk na transação 7c1e…a90b."
- Inferências: conclusões obtidas por um método. "A análise de blockchain atribui o endereço remetente, dois saltos antes, a um cluster associado a uma operação de fraude de investimento; a atribuição foi produzida em 20 de setembro de 2026."
- Avaliações: o julgamento da empresa. "Suspeitamos que o cliente esteja recebendo recursos provenientes de fraude em nome de terceiros."
Use palavras claras e consistentes: "observado" para fatos, "atribuído" ou "indica", acompanhados do método, para inferências, e "suspeitamos" ou "avaliamos" para julgamentos. Evite apresentar um rótulo como fato ("o endereço pertence a um golpista") e evite acusações que as evidências não sustentam ("o cliente é um fraudador"). Declare as limitações: um rastreamento que termina em outra exchange, uma atribuição de fonte única, uma explicação do cliente que não pôde ser verificada. A aula Redação do laudo pericial: confiança e linguagem, do IDFE-CF, explica como vincular palavras que expressam probabilidade a uma escala definida.
Deficiências comuns
| Deficiência | Por que prejudica | Correção |
|---|---|---|
| A narrativa repete o nome do alerta ("entrada e saída rápidas acionadas") | Diz o que o sistema detectou, não por que é suspeito | Explique os fatos e por que não têm explicação |
| Ausência de conclusão no início | O analista precisa ler tudo para avaliar a relevância | Comece com um resumo de duas ou três frases |
| Jargão e pontuações internos ("risco 87, encaminhado pelo L2") | Não têm significado fora da empresa | Use descrições claras dos fatos e dos sinais de alerta |
| Identificadores ausentes, truncados ou blockchain não identificada | As transações não podem ser recuperadas nem correlacionadas | Txids e endereços completos, blockchain e contrato do token |
| Exposição sem método ou data | O leitor não consegue avaliar seu peso | Direta ou indireta, saltos, percentual, data |
| Explicação do cliente omitida | Oculta o fato essencial de que ela não foi satisfatória | Cite o que foi perguntado, respondido e verificado |
| Comunicação defensiva sem suspeita real | Acrescenta ruído e desperdiça o tempo da FIU | Comunique com base em suspeita fundamentada e documentada |
| Especulação além das evidências | Compromete a credibilidade | Separe fatos, inferências e avaliações |
Um exemplo fictício de narrativa
A narrativa a seguir, de um caso inventado, demonstra a estrutura na prática.
Resumo. Entre 2 e 18 de setembro de 2026, nosso cliente M-4471, pessoa física cadastrada como tradutor autônomo, recebeu 186.400 USDT na rede TRON de 29 endereços não hospedados sem relação entre si e converteu quase todo o valor em USD, pagos a uma conta bancária em nome do cliente. Suspeitamos que o cliente esteja recebendo e repassando recursos provenientes de fraude de investimento em nome de terceiros.
Pessoa envolvida. M-4471 foi cadastrado em março de 2026 e declarou atividade esperada de cerca de USD 2.000 por mês em compras ocasionais de criptoativos. Os dados de identificação, os identificadores de dispositivos e os endereços IP de login estão nos campos estruturados. A conta não teve atividade relevante antes de setembro de 2026.
Atividade. Os 41 depósitos variaram de 3.100 a 14.000 USDT e chegaram em sequências concentradas; cada sequência foi convertida e paga em até duas horas (consulte o anexo 1). O total de pagamentos em moeda fiduciária foi de USD 183.950.
Motivo da suspeita. A análise de blockchain indica que 23 dos 29 endereços remetentes receberam recursos, diretamente ou em até dois saltos, de clusters atribuídos a operações de fraude de investimento (análise datada de 20 de setembro de 2026; o anexo 2 apresenta o diagrama de fluxo). O volume é cerca de 90 vezes a atividade declarada. Em agosto de 2026, dois outros clientes nos informaram que haviam feito pagamentos a uma plataforma de negociação fraudulenta; seus pagamentos chegaram a três dos mesmos endereços remetentes.
Contato com o cliente. Em 10 de setembro, pedimos ao cliente que explicasse os depósitos. O cliente afirmou que os recursos eram "lucros de operações de amigos" e não forneceu registros comprobatórios. Novos depósitos chegaram após a solicitação.
Providências tomadas. Os saques em moeda fiduciária foram restringidos em 19 de setembro de 2026, até a conclusão da análise. Nenhuma comunicação anterior foi enviada sobre esse cliente.
A narrativa apresenta primeiro a conclusão, mantém fatos, inferências e a avaliação separados, informa a data da análise e deixa o detalhamento completo das transações nos anexos.
Foco no exame: as necessidades do leitor (um analista da FIU que não pode acessar os sistemas internos, e os destinatários posteriores); os campos estruturados e a narrativa devem ser coerentes; a estrutura quem-o quê-quando-onde-por quê-como, com a conclusão primeiro; a apresentação de evidências on-chain (txids e endereços completos, blockchain e contrato do token, altura do bloco e horário UTC, valores em unidades nativas e em moeda fiduciária, exposição com método e data, resumos acompanhados de anexos, um diagrama de fluxo); a separação entre fatos, inferências e avaliações em linguagem clara; as deficiências comuns e suas correções; a inclusão da explicação do cliente e das providências tomadas.