O ciclo de vida de uma investigação

Uma investigação de criptoativos é um projeto com consequências jurídicas e pode fracassar de maneiras previsíveis: prazos de preservação são perdidos, o escopo se amplia, as constatações não são revisadas e ninguém consegue explicar depois por que uma pista foi descartada. Um ciclo de vida definido dá a cada etapa um propósito, um resultado e um registro no arquivo do caso. Esta aula percorre as etapas, o arquivo do caso que as conecta e um exemplo prático de recebimento.

As etapas em resumo

A ISO/IEC 27043 descreve investigações de modo semelhante, agrupando o trabalho em processos de preparação, inicialização, aquisição e investigação, com processos concomitantes, como obter autorização, documentar e preservar a cadeia de custódia, ocorrendo ao longo de todo o processo. A ideia se aplica diretamente: algumas atividades não são etapas, mas fios condutores que vão do recebimento ao encerramento.

As etapas também não são estritamente lineares. A análise revela regularmente novas seeds, como uma segunda vítima ou uma ponte para outra rede. Isso faz o caso voltar à definição do escopo e à coleta, e cada ciclo desse tipo deve deixar um registro datado que explique a mudança.

Recebimento e triagem

O recebimento registra o relato tal como foi recebido: quem relatou, o que é alegado, todos os identificadores fornecidos (txids, endereços, IDs de conta, capturas de tela, exportações de conversas), quando os eventos ocorreram em UTC, a perda alegada e o que a pessoa que relatou já fez. Esse último item é importante. Uma vítima que publicou o endereço do golpista nas redes sociais ou entrou em contato diretamente com o exchange pode já ter alertado o suspeito.

A triagem define a prioridade. Em casos de criptoativos, a rapidez costuma determinar o resultado; por isso, os principais fatores dizem respeito à possibilidade de uma ação imediata ainda mudar a situação.

Um caso em que os fundos passaram por um mixer há dois anos ainda é registrado, mas não é o primeiro a ser investigado. Registre a decisão de triagem e seus motivos; a decisão de não agir também pode precisar ser explicada mais tarde.

Definição do escopo

Uma declaração de escopo tem quatro elementos.

• Seeds: os identificadores que dão início ao caso. Verifique cada um na blockchain antes de se basear nele. Vítimas interpretam capturas de tela incorretamente, copiam endereços truncados e confundem redes; é comum que um txid não exista ou esteja em outra rede.
• Redes e ativos: quais redes e tokens fazem parte do escopo. O mesmo formato de endereço EVM é válido em muitas redes, então especifique quais foram verificadas.
• Período: horários de início e término em UTC, com uma margem anterior ao primeiro evento conhecido.
• Perguntas: específicas e passíveis de resposta. “Onde estão agora os fundos da vítima e quais contas de serviços os receberam?” pode ser respondida; “Encontre os golpistas” não pode, pelo menos não por um examinador.

A ampliação do escopo não é necessariamente errada, mas ampliá-lo sem registrar a mudança é. Quando o escopo mudar, registre o que mudou, por quê, quem aprovou e em que data.

Planejamento e hipóteses

O plano de investigação lista as tarefas, as fontes de dados necessárias para cada tarefa, a autorização jurídica exigida para cada fonte (consulte a aula Autoridade jurídica e cooperação internacional), quem é responsável por cada tarefa, os prazos e as dependências. Solicitações a provedores no exterior podem levar meses, então são iniciadas cedo e em paralelo ao trabalho na blockchain.

As hipóteses mantêm a investigação imparcial. Anote pelo menos duas explicações compatíveis com os fatos relatados no recebimento e identifique as evidências que permitiriam distingui-las. Em um caso de fraude de investimento relatada, poderiam ser: os operadores da plataforma ficaram com os fundos; a carteira da própria vítima foi comprometida por terceiros; ou a plataforma era um negócio real, embora em dificuldades. A aula IDFE-BA Da pergunta à hipótese aborda a análise de hipóteses concorrentes; o acréscimo forense é que o arquivo do caso deve mostrar quais hipóteses foram testadas e quais evidências as eliminaram.

Coleta, análise e revisão

A coleta consiste em obter dados com a autorização adequada e preservá-los para que possam ser verificados posteriormente: dados da blockchain com referências a blocos, respostas de provedores, imagens de dispositivos, capturas da web. A aula Preservação de evidências on-chain aborda as técnicas.

A análise transforma dados preservados em constatações, cada uma acompanhada de seu método, fundamento e grau de confiança, conforme ensinado no Módulo 2.

A revisão é uma etapa separada, não uma cortesia. Um revisor que não realizou o trabalho verifica o método, reproduz os principais saltos a partir dos dados brutos e questiona cada inferência. Divergências e a forma como foram resolvidas são registradas no arquivo. Uma revisão que encontra uma lacuna devolve o trabalho ao planejamento: mais dados, outro método ou uma alegação mais restrita. A aula Gestão da qualidade na unidade forense descreve a revisão por pares e a validação com mais detalhes.

Relatório, divulgação e encerramento

O relatório produz a declaração ou o laudo pericial e seus apêndices (consulte a aula Elaboração do relatório forense). A divulgação disponibiliza materiais à outra parte conforme exigido pelo processo, incluindo materiais não utilizados e a procedência das ferramentas e dos rótulos (consulte a aula Divulgação e análise crítica pela defesa).

É fácil negligenciar o encerramento. Um memorando de encerramento registra o resultado, quaisquer pistas em aberto, os ativos ainda retidos e quem os controla, os períodos de retenção das evidências e dos dados pessoais e as lições aprendidas. Casos de criptoativos costumam ser reabertos quando fundos inativos são movimentados anos depois, então o arquivo deve permitir que outro examinador retome o trabalho de onde o anterior parou.

Gestão do caso e exemplo prático de recebimento

O arquivo do caso é o lugar único onde o caso é mantido: recebimento, escopo e alterações, plano, cópias das autorizações jurídicas, solicitações e respostas, registro de evidências, anotações contemporâneas, constatações, registros de revisão, relatórios, divulgação e encerramento. O acesso é restrito e registrado.

Uma vítima relata ter perdido 48.500 USDT na rede Tron em cinco pagamentos ao longo de três semanas para uma plataforma de negociação que deixou de responder. O examinador percorre as etapas do recebimento:

1. Verificar as seeds. Quatro txids são confirmados na Tron. O quinto, obtido de uma captura de tela, não existe na Tron; ele é encontrado na Ethereum, onde a vítima havia enviado um pagamento de teste. Ambos são registrados, com a divergência anotada.
2. Verificação rápida do fluxo subsequente. O último pagamento, de 9.800 USDT, chegou a um endereço que transferiu os fundos para uma carteira quente identificada como pertencente ao Exchange K há duas horas.
3. Triagem. Fundos em um serviço custodial e movimentados recentemente: prioridade alta.
4. Ações imediatas. Uma solicitação de preservação e uma solicitação voluntária de congelamento são enviadas ao Exchange K na mesma manhã (consulte a aula Trabalho com provedores de serviços). A possibilidade de o emissor da stablecoin congelar o endereço recebedor é anotada para o plano.
5. Escopo e hipóteses. São registradas as seeds, duas redes, um período que começa uma semana antes do primeiro pagamento, três perguntas e duas hipóteses concorrentes.

O registro de recebimento ao final da manhã:

{
  "case_id": "CF-2026-0147",
  "received_utc": "2026-03-04T09:15:00Z",
  "allegation": "fraude de investimento; fundos enviados a uma plataforma de negociação que não responde",
  "seeds": [
    {"chain": "tron", "type": "txid", "value": "7b2f…d9e0", "verified": true},
    {"chain": "ethereum", "type": "txid", "value": "0x3a8c…f71b", "verified": true,
     "note": "captura de tela identificada como Tron; encontrada na Ethereum"}
  ],
  "reported_loss": {"asset": "USDT", "amount": "48500.00"},
  "priority": "high",
  "priority_reason": "9.800 USDT chegaram a um endereço de depósito do Exchange K 2 horas antes do recebimento",
  "immediate_actions": ["solicitação de preservação P-01", "solicitação voluntária de congelamento F-01"],
  "assigned_to": "examiner-07",
  "authority_status": "ordem de produção solicitada"
}

O registro mostra as seeds verificadas, a divergência e sua resolução, o motivo da prioridade e as ações realizadas, cada qual com uma referência à solicitação correspondente no arquivo do caso. Apenas duas das cinco seeds aparecem aqui; a lista completa é incluída na declaração de escopo. Os valores são armazenados como strings para evitar arredondamentos durante o processamento do registro.

Foco no exame: as nove etapas do ciclo de vida e o resultado que cada uma deixa no arquivo do caso; a ISO/IEC 27043 e a ideia de processos concomitantes, como autorização, documentação e cadeia de custódia; fatores de triagem que aumentam a prioridade em casos de criptoativos; os quatro elementos de uma declaração de escopo e por que as seeds precisam ser verificadas na blockchain; o registro de alterações no escopo; a elaboração de hipóteses concorrentes e as evidências que permitem distingui-las; a revisão como reprodução independente da análise; o que um memorando de encerramento deve registrar; o que um registro de recebimento adequado contém.