Ciclo de investigação e marco jurídico · Aula 1 de 5
O que é a perícia forense em criptoativos
8 min de leitura
Toda investigação de criptoativos produz vínculos e números, mas apenas alguns deles podem ter peso em um tribunal, em um pedido de congelamento ou em uma reivindicação em processo de insolvência. A perícia forense em criptoativos é a disciplina de chegar a conclusões sobre fluxos, ativos e controle de ativos digitais de uma maneira que outra pessoa qualificada possa verificar, repetir e contestar. Esta aula apresenta o que torna um trabalho forense, em vez de meramente analítico, quais casos ele atende e quem o realiza.
Trabalho analítico e trabalho forense
Os mesmos dados de blockchain dão suporte a dois tipos de trabalho. O trabalho analítico responde a perguntas com rapidez suficiente para permitir uma ação: qual exchange recebeu um depósito, até que ponto um cliente está exposto a um mixer, se uma carteira ainda está ativa. Ele tolera pressupostos de trabalho, usa a ferramenta mais rápida disponível e é avaliado pela sua utilidade.
O trabalho forense responde a perguntas segundo um padrão probatório. A conclusão se baseia em dados de origem preservados, é alcançada por um método declarado, é registrada de modo que possa ser reproduzida e é apresentada com suas limitações. É avaliada pela capacidade de resistir ao escrutínio de um perito da parte contrária e do tribunal.
| Trabalho analítico | Trabalho forense | |
|---|---|---|
| Objetivo | Pistas, pontuações de risco, inteligência | Evidências para uma decisão de um tribunal ou autoridade competente |
| Padrão | Útil e oportuno | Reproduzível, documentado, defensável |
| Fontes | Resultados de ferramentas, rótulos, painéis | Dados brutos preservados; resultados de ferramentas apenas como indicação |
| Método | Muitas vezes, o padrão da ferramenta | Declarado, justificado, validado |
| Incerteza | Muitas vezes omitida | Avaliada por grau e relatada para cada conclusão |
| Registros | Anotações opcionais | Anotações contemporâneas, hashes, registro de cadeia de custódia |
| Público | Colegas e gestores | Promotores, defesa, tribunal, outra parte |
A maioria dos casos começa como trabalho analítico e se torna forense quando uma decisão com consequências jurídicas depende dele. O risco está em levar atalhos analíticos, como um rótulo não verificado ou uma regra de rastreamento não documentada, para uma declaração que será usada como evidência. Unidades competentes tratam cada caso como potencialmente forense desde o recebimento, porque reconstruir a proveniência depois é demorado e, às vezes, impossível.
Reproduzível, documentado, defensável
Três critérios distinguem uma conclusão forense de uma opinião.
Reproduzível. Outro examinador, com as mesmas fontes e o mesmo método, chega ao mesmo resultado. Em uma blockchain pública, isso é particularmente viável: cada txid, bloco e valor pode ser obtido novamente de um nó independente. O que não é automaticamente reproduzível é a interpretação construída sobre esses dados: uma heurística de agrupamento, um rótulo de terceiros, um método de rastreamento. A ISO/IEC 27037 identifica a repetibilidade (mesmo método, mesmo ambiente, mesmo resultado) e a reprodutibilidade (mesmo método, ferramentas ou condições diferentes, mesmo resultado), além da auditabilidade e da justificabilidade, como qualidades que o tratamento de evidências digitais deve ter.
Documentado. Cada etapa é registrada à medida que acontece: o que foi consultado, de qual fonte, com qual versão de ferramenta, em que horário UTC e qual foi o resultado. Se o registro não mostrar uma etapa, o revisor deve presumir que ela não ocorreu da maneira descrita. A aula Hashing, registro e cadeia de custódia aborda os aspectos práticos.
Defensável. O método é adequado à pergunta, suas limitações conhecidas são declaradas, alternativas foram consideradas e a conclusão não vai além das evidências. Uma conclusão defensável antecipa as perguntas que um perito da defesa fará (veja a aula Divulgação e escrutínio da defesa).
Um hábito útil é separar três camadas em cada declaração:
- observação: o que a blockchain ou um registro mostra;
- inferência: o que o examinador conclui a partir disso e por qual método;
- pressuposto: o que é considerado verdadeiro, como a exatidão de um rótulo.
O que a perícia forense em criptoativos investiga
As técnicas são compartilhadas, mas cada tipo de caso tem pontos de partida, perguntas e desfechos típicos.
| Tipo de caso | Indício inicial típico | Perguntas típicas | Desfecho usual |
|---|---|---|---|
| Fraudes e golpes | Txids de pagamentos da vítima | Para onde foram os fundos; quem controla as carteiras que os receberam | Contas em exchanges, congelamentos, recuperação para a vítima |
| Ransomware | Endereço de resgate indicado na nota ou na negociação | Quem recebeu o pagamento; divisões entre afiliados; conversão em dinheiro | Apreensão de fundos não gastos, atribuição da infraestrutura |
| Roubos e ataques cibernéticos | Transação do exploit, endereços esvaziados | Dispersão por bridges e mixers; caminho da lavagem | Congelamentos por emissores e exchanges, recuperação |
| Mercados da darknet | Carteiras do mercado encontradas em servidores apreendidos | Fluxos de vendedores, compradores e operadores | Identificação de operadores e usuários |
| Evasão de sanções | Endereços ou entidades designados | Quem negocia com eles; serviços aninhados | Bloqueio, aplicação da lei, novas designações |
| Financiamento do terrorismo | Endereços de doação de campanhas | Arrecadadores, intermediários, usuários finais | Interrupção, frequentemente de pequenos valores |
| Insolvência e rastreamento civil de ativos | Carteiras da empresa, reivindicações de clientes | O que existia, para onde foi, quem detém os ativos agora | Recuperação para credores, ordens civis |
Casos públicos mostram essa variedade. Após o ataque de ransomware à Colonial Pipeline em 2021, os investigadores rastrearam o resgate de 75 BTC por vários endereços e recuperaram cerca de 63,7 BTC mantidos em um deles. No ataque à Bitfinex em 2016, os investigadores acompanharam cerca de 119.754 BTC roubados durante vários anos e, em 2022, recuperaram mais de 94.000 BTC após descriptografarem um arquivo em uma conta de armazenamento on-line que continha chaves privadas. Em ambos os casos, o rastreamento na blockchain era apenas parte da investigação: o restante envolveu procedimentos jurídicos, evidências de dispositivos e da nuvem, e documentação que tornou as conclusões utilizáveis.
Funções em uma investigação de criptoativos
| Função | Pergunta principal | Produto típico | Dever principal |
|---|---|---|---|
| Investigador | O que aconteceu, quem é responsável, o que pode ser recuperado | Estratégia do caso, solicitações jurídicas, entrevistas | Condução lícita e justa do caso |
| Examinador forense | O que os dados preservados mostram | Anotações do exame, conclusões, pacotes de evidências | Método sólido e integridade das evidências |
| Analista | Que padrões e pistas existem | Produtos de inteligência, diagramas de vínculos, pistas | Precisão e classificação das fontes |
| Testemunha pericial | Que opinião pode ser apresentada dentro da sua área de especialização | Laudo pericial, depoimento | Independência e dever para com o tribunal |
Respondentes a incidentes em exchanges e protocolos costumam realizar as primeiras horas de trabalho após um roubo. Suas anotações e exportações tornam-se evidências mais tarde, por isso precisam seguir a mesma disciplina. Um perito nomeado pelo tribunal trabalha para o tribunal, e não para nenhuma das partes.
Em unidades pequenas, uma pessoa pode exercer várias funções. Isso é viável se cada produto registrar qual função o elaborou. O produto de inteligência de um analista pode se basear em fontes sensíveis e não é escrito para o tribunal; a conclusão de um examinador é. Misturar os dois, por exemplo, copiando uma avaliação de inteligência para uma declaração probatória, é um motivo comum para que conclusões sejam excluídas ou recebam pouco peso.
Exemplo prático: a mesma pergunta, duas respostas
Uma vítima relata um pagamento de 3,0 ETH para uma falsa plataforma de investimento. Um analista abre uma ferramenta de rastreamento e escreve: "Os fundos foram para a Exchange K." Isso é uma pista. A versão forense diz:
Conclusão F-03
- Observação: o txid
0x9c1e…44ab(bloco 19.204.117, 2024-02-11 08:42:19 UTC) transferiu 3,0 ETH do endereço da vítima0x5D0f…a1C2para0xA1b2…9F. - Observação:
0xA1b2…9Fenviou 2,98 ETH para0x77cd…e310no txid0x41b0…7d2e(bloco 19.204.160). Mais tarde,0x77cd…e310transferiu todo o seu saldo para0xE3f9…08B1. - Inferência:
0x77cd…e310é um endereço de depósito da Exchange K. Fundamento: a transferência para0xE3f9…08B1, que duas fontes independentes identificam como uma carteira quente da Exchange K (capturas S-07 e S-08). - Pressuposto: os rótulos em S-07 e S-08 são exatos.
- Grau de confiança: observações certas (verificadas novamente em nó próprio, 2024-03-02); atribuição provável até ser confirmada pelos registros da Exchange K.
Qualquer pessoa pode verificar novamente cada observação na blockchain. A inferência indica seu fundamento e as referências às evidências que a sustentam. O pressuposto é declarado, em vez de ficar oculto, e a linha sobre o grau de confiança informa ao leitor o que poderia alterar a conclusão: registros da exchange. A avaliação do grau de confiança é desenvolvida na aula Rastreamento segundo um padrão probatório.
Como CF se relaciona com IDFE-BA e IDFE-CC
CF se baseia em dois outros cursos do IDFE e não repete seu conteúdo. O agrupamento e suas taxas de erro são abordados nas aulas de IDFE-BA A heurística de propriedade por entrada comum e Avaliação da qualidade de agrupamentos; regras de alocação como FIFO e haircut são abordadas em Rastreamento de fundos para a frente e para trás; a proveniência dos rótulos é abordada em Atribuição e rotulagem. A forma como as exchanges monitoram, comunicam e respondem às autoridades é abordada nas aulas de IDFE-CC Obrigações de comunicação de transações suspeitas e Congelamentos, solicitações de autoridades policiais e recuperação de ativos.
CF acrescenta a camada forense: o ciclo de vida da investigação e a autoridade jurídica (este módulo), o rastreamento e a atribuição segundo um padrão probatório, dispositivos e recuperação de carteiras sob autoridade legal, integridade das evidências, laudos periciais e depoimentos, além da proteção e devolução de ativos.
Foco no exame: a diferença entre trabalho analítico e forense; o padrão probatório como reproduzível, documentado e defensável; as qualidades da ISO/IEC 27037 de repetibilidade, reprodutibilidade, auditabilidade e justificabilidade; a separação entre observação, inferência e pressuposto em uma conclusão; os tipos de caso investigados e seus indícios iniciais e desfechos típicos; as funções de investigador, examinador, analista, testemunha pericial, respondente a incidentes e perito nomeado pelo tribunal; por que produtos de inteligência e conclusões probatórias devem ser mantidos separados.