Rastreando fundos por serviços custodiais

A maioria dos rastros termina, ao menos por algum tempo, em um serviço custodial: um exchange, uma corretora, uma carteira custodial, um processador de pagamentos ou um site de jogos de azar. Esse limite é onde a investigação muitas vezes se torna viável, porque o serviço mantém registros e pode congelar fundos, e também onde relatórios frágeis extrapolam as evidências. Esta aula aborda como comprovar que os fundos entraram em um serviço, o que se pode e o que não se pode afirmar sobre o que ocorre internamente, quando parar de rastrear e solicitar registros e como retomar o rastreamento a partir do lado do saque.

Comprovação do limite do serviço

A aula IDFE-BA Acompanhando o fluxo de valor por exchanges e serviços explica endereços de depósito, consolidações, carteiras quentes e endereços omnibus. A questão forense é mais específica: com base em quê você afirma que um endereço é um endereço de depósito de determinado serviço, e quão sólida é essa base?

Registre a base da atribuição em uma entrada própria, com a fonte e a data em que foi obtida, para que o registro do salto possa citá-la (consulte a aula Fontes de atribuição e sua confiabilidade). Usando os graus da aula Rastreando segundo um padrão probatório, o fluxo para o endereço costuma ser de grau A, enquanto a alegação de que o endereço pertence a um serviço é de grau C até que o serviço a confirme.

Dentro da caixa-preta

Depois que os fundos são consolidados nas carteiras agrupadas de um serviço, o dinheiro do cliente se torna um lançamento em um registro contábil privado. Nesse registro, o cliente pode negociar por outros ativos, transferir fundos para a conta de outro cliente sem nenhuma transação on-chain, sacar para uma conta bancária ou sacar criptoativos que vieram do depósito de outra pessoa. Nada disso fica visível na blockchain. Aplicar FIFO ou um haircut por meio de uma carteira quente produz números, mas eles descrevem a regra, não os registros contábeis do serviço.

A coluna da esquerda contém o que um relatório forense afirma. A coluna da direita exige registros.

Quando parar e solicitar registros

Parar o trabalho on-chain em um serviço é uma decisão, e as anotações do caso devem registrar quando e por que ela foi tomada. Pare e solicite registros quando:

1. os fundos tiverem entrado em um serviço custodial com base declarada, idealmente de grau B ou C;
2. o trabalho on-chain adicional só puder produzir inferências sobre o que ocorre internamente;
3. os fundos ainda puderem estar na conta, de modo que a demora prejudique a recuperação;
4. o pacote da solicitação estiver pronto: endereços ou tags de depósito, txids com referências a outputs ou logs, valores em unidades-base, horários UTC, o percurso, o método e os graus.

As solicitações de preservação e congelamento vêm primeiro, pois um saldo em uma carteira quente pode sair em poucos minutos; a análise continua em paralelo. A elaboração da solicitação é abordada na aula Trabalhando com provedores de serviços. Do ponto de vista do rastreamento, solicite o que for necessário para retomá-lo: o registro contábil interno completo da conta para o período (depósitos, negociações e conversões, transferências internas para outras contas, saques em moeda fiduciária e criptoativos) e, para cada saque de criptoativos, o ativo, a blockchain, o valor, a taxa, o endereço de destino, o txid e o horário com seu fuso horário. Solicite também outros endereços de depósito atribuídos à conta, endereços de saque salvos e contas vinculadas por dispositivo, endereço IP ou instrumento de pagamento. Solicite exportações legíveis por máquina.

Análise do lado do saque

Quando os registros chegam, o rastreamento é retomado a partir dos saques. Dando continuidade ao caso: o Exchange K informa que o depósito de 1,2 BTC foi creditado, que a conta também mantinha outros fundos e que foram feitos os seguintes saques:

Cada saque informado é primeiro conferido na blockchain antes de qualquer análise baseada nele:

-- Conferir saques de Bitcoin informados em relação aos outputs on-chain
SELECT r.record_id, r.txid, r.dest_address,
       r.amount_sat                AS reported_sat,
       o.value_sat                 AS onchain_sat,
       r.amount_sat - o.value_sat  AS difference_sat,
       b.block_time
FROM provider_withdrawals r
LEFT JOIN outputs o ON o.txid = r.txid AND o.address = r.dest_address
LEFT JOIN blocks  b ON b.block_hash = o.block_hash
WHERE r.chain = 'bitcoin'
ORDER BY r.requested_at;

As junções à esquerda mantêm todos os registros, mesmo quando não há um output correspondente. Suponha que W-1 retorne um valor on-chain de 49.990.000 satoshis, uma diferença de 10.000 que corresponde à taxa de saque publicada pelo exchange: o registro informa o valor antes da taxa. Suponha que W-3 não retorne nenhum output: o txid existe, mas paga para um endereço diferente. Essa é uma discrepância que deve ser levada de volta ao serviço, não corrigida silenciosamente. W-2 é conferido da mesma forma em relação às transferências de tokens na Tron. A autenticação mais completa dos registros do provedor é abordada na aula Contas de exchanges e de serviços em nuvem como evidências.

Seguem-se três pontos. Primeiro, um saque confirmado tanto pelo registro quanto pela blockchain é um vínculo de grau B entre a conta e o destino. Segundo, a conversão para USDT na Tron só é visível nos registros; dentro da caixa-preta, o rastreamento mudou de ativo e de blockchain. Terceiro, o próprio registro contábil interno corresponde a uma conta com fundos misturados: 1,2 BTC foi creditado em uma conta que mantinha outros fundos, então quanto de cada saque corresponde ao valor da vítima volta a ser uma questão de alocação, calculada sobre os lançamentos do registro contábil com um método declarado (consulte a aula Métodos de rastreamento e suas consequências).

Correlação de horário e valor

Sem registros, ou enquanto aguarda por eles, os examinadores muitas vezes procuram um saque que se pareça com o depósito. Trata-se de uma inferência, de grau D, cujo valor depende de quantas alternativas existem. No caso acima, a carteira quente do serviço realizou 212 saques na hora após o depósito, nove deles entre 1,15 e 1,20 BTC. Um conjunto candidato de nove saques é uma pista a priorizar, não um vínculo.

A correlação também falha justamente nos casos mais importantes. Os registros mostram saques de 0,5 e 0,3 BTC e uma conversão para uma stablecoin sacada em outra blockchain; uma busca por valor e horário em torno de 1,2 BTC teria apontado com segurança para um cliente sem relação com o caso. Use a correlação para formular perguntas ao serviço ("confirme, por favor, a conta associada ao depósito bc1q…dx7e e os saques feitos entre 14:00 e 16:00 UTC") e, se for mencioná-la, informe o tamanho do conjunto candidato e a janela utilizada. A aula IDFE-BA Confiança, incerteza e linguagem mostra como contar candidatos.

Serviços agrupados e processadores de pagamentos

Nem todo serviço custodial é um exchange, e alguns exigem mais de uma solicitação.

• Serviços aninhados: uma corretora, mesa de swap ou exchange menor que mantém uma conta em um grande exchange. Os registros do grande exchange identificam o serviço aninhado, e é necessária uma segunda solicitação a ele, muitas vezes em outra jurisdição (consulte a aula Autoridade legal e cooperação internacional).
• Processadores de pagamentos: muitos geram um novo endereço para cada fatura e consolidam os fundos em suas próprias carteiras. Seus registros identificam o comerciante e o pedido; o comerciante pode então manter os dados do comprador, o que significa que será necessária uma segunda solicitação.
• Carteiras custodiais, sites de jogos de azar e mesas OTC: agrupados como os exchanges, com registros que variam de detalhados a limitados. Mesmo um serviço sem verificações de identidade pode manter endereços IP, dados de dispositivos, endereços de e-mail e destinos de saque.

Para cada um deles, documente o limite da mesma forma: a base para atribuir os fundos ao serviço, os depósitos exatos, as solicitações urgentes enviadas e o que os registros acrescentaram posteriormente. O rastro se interrompe na blockchain, mas não no arquivo do caso.

Foco no exame: classificação da alegação de que um endereço é um endereço de depósito de um serviço (registros, listas publicadas pelo próprio serviço, encaminhamento para uma carteira quente com atribuição bem estabelecida, rótulos com e sem procedência); quais afirmações sobre fundos dentro de um serviço são ou não respaldadas por dados on-chain; critérios para interromper o trabalho on-chain e solicitar registros, priorizando preservação e congelamento; os campos do registro contábil e dos saques necessários para retomar o rastreamento; conferência dos saques informados em relação à blockchain e tratamento de diferenças de taxas e discrepâncias; tratamento do registro contábil interno como uma conta com fundos misturados; correlação por valor e horário como pista de grau D, com indicação do conjunto candidato; serviços aninhados e processadores de pagamentos que exigem uma segunda solicitação.