O ciclo de vida da investigação: da pergunta à hipótese

Uma investigação de criptoativos é um projeto com consequências jurídicas e falha de maneiras previsíveis: perdem-se os prazos de preservação, o escopo se desvia, os achados não são revisados e ninguém consegue explicar depois por que uma pista foi abandonada. Ela também falha silenciosamente: os dados on-chain são tão interconectados que um investigador que parte de uma explicação preferida quase sempre consegue encontrar transações que parecem confirmá-la. Um ciclo de vida definido dá a cada etapa um propósito, um resultado e um registro nos autos do caso; uma pergunta bem formulada e hipóteses concorrentes mantêm a análise imparcial dentro dele.

Visão geral das etapas

A ISO/IEC 27043 agrupa as investigações em processos de prontidão, inicialização, aquisição e investigação, com processos concomitantes, como autorização, documentação e cadeia de custódia, presentes durante todo o trabalho: atividades contínuas do recebimento ao encerramento, não etapas. As etapas tampouco são lineares. A análise revela novos pontos de partida, como uma segunda vítima ou uma bridge para outra blockchain, fazendo o caso retornar à definição do escopo e à coleta; uma revisão que encontra uma lacuna o faz retornar ao planejamento. Cada retorno deixa um registro datado que explica a mudança.

Recebimento e triagem

O recebimento registra o relato tal como foi recebido: quem relatou, o que é alegado, todos os identificadores fornecidos (txids, endereços, IDs de contas, capturas de tela, exportações de conversas), horários dos eventos em UTC, a perda alegada e o que o relator já fez, pois uma vítima que publicou o endereço do golpista ou contatou a exchange pode já ter alertado o investigado.

A triagem define a prioridade. A rapidez frequentemente determina o resultado, por isso os fatores avaliam se agir agora ainda pode mudar a situação.

Fundos que passaram por um mixer há dois anos são registrados, mas não recebem atenção primeiro. Registre a decisão de triagem e seus motivos: uma decisão de não agir também pode precisar ser explicada depois.

Da solicitação a uma pergunta que possa ser respondida

As solicitações raramente chegam em uma forma utilizável. "Encontre os golpistas" ou "Quem está por trás desta carteira?" descrevem uma preocupação, não uma pergunta que os dados possam responder. Uma boa pergunta é específica (identifica os ativos, endereços ou eventos), delimitada (em tempo, saltos ou esforço), respondível a partir de dados que possam ser obtidos legalmente, relevante para a decisão (a resposta muda o que alguém fará: congelar, solicitar registros, encerrar o caso) e neutra (não pressupõe a resposta).

A primeira reformulação elimina o "quem": a identidade de uma pessoa física geralmente não pode ser determinada apenas com dados da blockchain, e o que o caso precisa é do tipo de entidade e dos serviços onde existem registros off-chain (Aula 3.4). As perguntas também são descritivas (o que aconteceu), explicativas (por quê ou que tipo de agente) ou estimativas (algo não observável ou que ainda não aconteceu, como se os fundos restantes chegarão a uma exchange); cada uma exige um tipo diferente de resposta e de declaração de confiança (Aula 9.2).

Definição do escopo

A declaração de escopo estabelece as perguntas e os limites de cada achado.

Os pontos de partida, os identificadores dos quais o caso parte, são verificados on-chain antes do uso: vítimas interpretam capturas de tela incorretamente, copiam endereços truncados e confundem redes, e o mesmo formato de endereço EVM é válido em muitas blockchains; portanto, informe quais foram verificadas. Expresse o período tanto em alturas de bloco quanto em datas UTC, com uma margem anterior ao primeiro evento conhecido; os intervalos de blocos são exatos, enquanto os registros de data e hora têm ressalvas (Aula 2.1).

Os limites de profundidade importam porque o rastreamento cresce exponencialmente: se cada endereço envia para outros três, em média, cinco saltos geram 3^5 = 243 caminhos e dez saltos, 59.049. Uma regra de parada em serviços de custódia não é preguiça: além de uma carteira quente, as movimentações já não pertencem ao proprietário original. Uma consulta rápida de dimensionamento que conte as contrapartes distintas dos pontos de partida no intervalo de blocos testa o escopo: 40 é viável; 40.000 sugere que um ponto de partida é um serviço e que a pergunta precisa ser repensada.

A ampliação do escopo não é errada por si só, mas a ampliação não registrada é. Quando o escopo mudar, registre o que mudou, por quê, quem aprovou e em que data.

Planejamento e hipóteses concorrentes

O plano de investigação lista as tarefas, os dados de que cada uma precisa, a autorização legal exigida por cada fonte (Aula 1.3), os responsáveis, os prazos e as dependências; solicitações ao exterior podem levar meses, por isso são iniciadas cedo, em paralelo ao trabalho on-chain.

Uma hipótese é uma explicação testável do que os dados mostram. Registre várias antes de avaliar qualquer uma, inclua a hipótese benigna, torne-as tão mutuamente exclusivas quanto possível e pergunte "o que mais poderia produzir esse padrão?" até que deixem de surgir novas respostas. Para um golpe de investimento relatado: os operadores se apropriaram dos fundos; um terceiro comprometeu a carteira da vítima; ou a plataforma era um negócio real, embora em dificuldades. Os autos do caso devem mostrar quais hipóteses foram testadas e quais evidências as eliminaram.

A estrutura importa porque, como afirmou Richards Heuer, ex-analista da CIA, os vieses se comportam como ilusões de ótica: conhecê-los não faz com que desapareçam. A Aula 1.5 aborda controles de vieses em geral; as formas on-chain são:

Teste de hipóteses: ACH

A análise de hipóteses concorrentes (ACH) é a técnica que Heuer descreveu em Psicologia da análise de inteligência (1999); ela vem da prática de inteligência, não do direito. Suas oito etapas: (1) identificar as hipóteses, idealmente com colegas que vejam o caso de maneira diferente; (2) listar as evidências significativas, incluindo premissas e evidências esperadas que estão ausentes; (3) construir uma matriz marcando cada célula como consistente, inconsistente ou não aplicável; (4) refiná-la, descartando evidências que não discriminam; (5) tentar refutar hipóteses, de modo que sobreviva aquela com menos inconsistências; (6) testar o quanto a conclusão é sensível a alguns itens críticos; (7) relatar a probabilidade relativa de todas as hipóteses; (8) estabelecer marcos, observações futuras que indicariam que os eventos estão tomando um rumo diferente.

A ideia central é a capacidade diagnóstica: evidências consistentes com todas as hipóteses nada dizem sobre qual é verdadeira, por mais que sejam coletadas, enquanto um único item inconsistente com duas hipóteses pode resolver a questão.

Uma matriz resolvida

O endereço Bitcoin bc1q…m4x2 recebe 38 pequenos pagamentos de 38 endereços ao longo de seis dias e depois gasta todos em uma única transação com duas saídas. Três hipóteses se encaixam: H1, é um endereço de depósito de exchange cujos fundos estão sendo transferidos por varredura para uma carteira quente; H2, um proprietário está consolidando suas próprias moedas enquanto as taxas estão baixas; H3, um ladrão está reunindo saídas de peel chains anteriores.

E1 e E5 não têm capacidade diagnóstica; E2 se encaixa em H1 porque exchanges recebem de qualquer pessoa. H1 não tem inconsistências, H2 tem três e H3 tem duas. Sensibilidade: E3 e E4 sustentam a conclusão, e ambas dependem de uma única fonte de rótulos (E3 pela lógica de entradas comuns da Aula 4.1). Se essa fonte estiver errada, H1 cai por terra; portanto, o rótulo é verificado de forma independente, por exemplo, confirmando que o padrão de varredura se repete em muitos endereços de depósito. Marco: se bc1q…m4x2 algum dia enviar fundos para qualquer destino que não seja a carteira quente conhecida da exchange, H1 merece ser reavaliada. Os fundos muito provavelmente chegaram a um serviço de custódia, portanto a próxima etapa é uma solicitação de registros pela via legal, não mais rastreamento.

Da coleta ao encerramento

A coleta obtém dados sob a autorização adequada e os preserva para verificação posterior (Aula 8.2). A análise os transforma em achados com método, fundamentação e grau de confiança (Módulo 3). A revisão é uma etapa separada, não uma cortesia: um revisor que não executou o trabalho refaz os saltos principais a partir dos dados brutos e questiona cada inferência, e as divergências e sua resolução são registradas nos autos (Aula 8.3). Seguem-se a elaboração do relatório (Aula 9.2) e a disponibilização às partes, incluindo material não utilizado e a proveniência de ferramentas e rótulos (Aula 8.4). O encerramento é fácil de negligenciar: o memorando registra o resultado, as pistas em aberto, os ativos ainda retidos e quem os controla, os prazos de retenção de evidências e dados pessoais e os aprendizados obtidos. Casos de criptoativos frequentemente são reabertos quando fundos inativos se movimentam anos depois; por isso, os autos devem permitir que outro perito retome o trabalho de onde o anterior parou.

Um exemplo resolvido de recebimento

Os autos do caso são o local único, com acesso restrito, que reúne o caso: recebimento, escopo e alterações, plano, autorização legal, solicitações e respostas, registro de evidências, notas, achados, revisões, relatórios, disponibilização às partes e encerramento.

Uma vítima relata ter perdido 48.500 USDT na Tron em cinco pagamentos ao longo de três semanas para uma plataforma de negociação que parou de responder.

1. Verificar os pontos de partida. Quatro txids são confirmados na Tron. O quinto, proveniente de uma captura de tela, não está na Tron, mas na Ethereum, onde a vítima havia enviado um pagamento de teste; ambos os fatos são registrados.
2. Examinar as movimentações posteriores e fazer a triagem. O último pagamento, de 9.800 USDT, chegou a um endereço que transferiu os fundos por varredura para uma carteira quente rotulada como Exchange K há duas horas: fundos em um serviço de custódia, movimentados recentemente, prioridade alta.
3. Agir. Solicitações de preservação e de congelamento voluntário são enviadas à Exchange K na mesma manhã (Aula 1.4); a possibilidade de o emissor da stablecoin congelar o endereço receptor entra no plano.
4. Definir o escopo. São registrados os pontos de partida, duas blockchains, um período que começa uma semana antes do primeiro pagamento, três perguntas e hipóteses concorrentes.

{
  "case_id": "CF-2026-0147",
  "received_utc": "2026-03-04T09:15:00Z",
  "allegation": "investment scam; funds sent to an unresponsive trading platform",
  "seeds": [
    {"chain": "tron", "type": "txid", "value": "7b2f…d9e0", "verified": true},
    {"chain": "ethereum", "type": "txid", "value": "0x3a8c…f71b", "verified": true,
     "note": "screenshot labeled Tron; found on Ethereum"}
  ],
  "reported_loss": {"asset": "USDT", "amount": "48500.00"},
  "priority": "high",
  "priority_reason": "9,800 USDT reached a suspected Exchange K deposit address 2 hours before intake",
  "immediate_actions": ["preservation request P-01", "voluntary freeze request F-01"],
  "assigned_to": "examiner-07",
  "authority_status": "production order requested"
}

O registro mostra os pontos de partida verificados, a divergência e sua resolução, o motivo da prioridade e cada ação com uma referência à solicitação nos autos. São mostrados dois dos cinco pontos de partida; a lista completa entra na declaração de escopo. Os valores são strings para evitar arredondamento.

Foco no exame: espere perguntas sobre as nove etapas e seus resultados nos autos do caso, os processos concomitantes da ISO/IEC 27043 e os fatores de triagem. Saiba reformular uma solicitação vaga em uma pergunta específica, delimitada, respondível, relevante para a decisão e neutra; listar os elementos do escopo (pontos de partida verificados, períodos em alturas de bloco, limites de saltos, regras de parada em serviços de custódia); e explicar por que a profundidade cresce exponencialmente (3^5 = 243). Conheça hipóteses concorrentes, incluindo uma benigna, vieses on-chain e ACH: classificação por inconsistência, capacidade diagnóstica, sensibilidade e marcos. Reconheça um registro de recebimento e um memorando de encerramento adequados.