Mixers custodiais

Os mixers são projetados para romper exatamente os vínculos dos quais o rastreamento depende. Investigadores os encontram em casos de furto, ransomware e golpes, e também nas carteiras de pessoas comuns que valorizam a privacidade financeira. Um mixer custodial é o modelo mais direto: ele recebe as moedas de um cliente e, posteriormente, paga com outras moedas, de modo que o vínculo on-chain entre depósito e pagamento simplesmente não existe. Apenas com os dados da blockchain, o melhor que um perito pode produzir é um conjunto de candidatos baseado em premissas declaradas; quando um mixer é desmantelado, seus servidores podem transformar esses candidatos em registros. Saber com qual dessas duas situações você está trabalhando, e deixar isso claro, é a habilidade que esta aula desenvolve. Ela também abre o módulo apresentando o que todos os modelos de mistura têm em comum; as Aulas 6.2 a 6.5 abordam em profundidade CoinJoin, mixers de contratos inteligentes, moedas de privacidade e outras técnicas.

Três famílias de mistura

Toda técnica de mistura substitui uma aresta determinística (esta saída foi gasta por aquela transação) por um conjunto de candidatos igualmente plausíveis. O tamanho desse conjunto é o conjunto de anonimato: o número de participantes, depósitos ou saídas entre os quais uma determinada moeda poderia estar.

O que a blockchain sempre mostra é quem depositou, quanto e quando, quem recebeu um pagamento, quanto e quando, e que houve mistura. O que ela oculta é o vínculo entre essas partes, a menos que os usuários ou o software o revelem.

Como funciona um mixer custodial

O cliente solicita um pedido, recebe um endereço de depósito novo e informa um ou mais endereços de pagamento, um prazo de espera e, às vezes, um nível de taxa. Após o prazo de espera, o operador paga o valor depositado menos sua taxa a partir de sua reserva, formada pelas moedas de clientes anteriores, frequentemente dividido entre vários endereços e momentos. Wu e colegas (Para compreender e desmistificar os serviços de mistura de Bitcoin, 2021), que estudaram vários serviços com seus próprios depósitos de teste, descreveram dois mecanismos:

Duas características são importantes para a prova. Muitos serviços emitem uma carta de garantia, uma mensagem assinada pelo serviço que informa o endereço de depósito e os termos do pedido, que os clientes guardam para comprovar um pedido. Muitos também fornecem aos clientes recorrentes um código para que nunca recebam suas próprias moedas de volta. Ambos os artefatos podem estar no dispositivo de um suspeito ou em um banco de dados apreendido, e ambos vinculam uma pessoa a um pedido de uma forma que a blockchain jamais consegue fazer (Aula 7.1). Alguns serviços foram além: o operador do Helix, que processou cerca de 354.468 BTC de 2014 a 2017, criou uma interface que permitia a mercados da darknet enviar os saques dos clientes diretamente para o mixer.

Qualquer serviço custodial com funções de depósito e saque pode ser usado indevidamente da mesma forma. No caso Bitfinex de 2016, analistas relataram que um mercado da darknet serviu como mixer improvisado.

O cenário on-chain de cada lado

No lado do depósito, o rastro é determinístico até o endereço de depósito e, em geral, por mais um salto, quando o operador consolida os depósitos em seu próprio cluster. A forma como esse cluster foi identificado importa: um rótulo obtido de um depósito de teste que você mesmo fez, um rótulo obtido de dados apreendidos ou um rótulo comercial têm, cada um, uma confiabilidade diferente (Aula 4.6). Registre qual deles foi usado, com a data do snapshot. A partir daí, trate o depósito como trataria um depósito em uma exchange: a blockchain termina no limite do serviço (Aula 3.4).

No lado do saque, os pagamentos saem da reserva por cadeias de descascamento ou em lotes, e seu formato pode, por si só, tornar-se evidência da origem. Zavřel e colegas (Caindo pela escada, apresentado na DFRWS EU 2025 e publicado em Forensic Science International: Digital Investigation) construíram uma impressão digital de carteira para um mixer a partir de cerca de 40 de suas próprias transações, usando combinações raras de versão da transação, sinalização de replace-by-fee e locktime que seu software definia de forma aparentemente aleatória. Seguindo as transações correspondentes para frente e para trás, eles separaram 344 endereços do serviço de 461 endereços de clientes. Também alertaram que uma correspondência de impressão digital é probabilística e não relataram uma taxa de erro validada. Uma impressão digital pode, portanto, atribuir um pagamento ao mixer com grau C; ela não pode informar para qual cliente o pagamento foi feito.

Análise de tempo e valor

Sem registros, o perito só pode perguntar quais pagamentos são compatíveis com um depósito conhecido. Os parâmetros são o valor do depósito, a faixa de taxas anunciada pelo serviço, a taxa de rede e o prazo máximo de espera.

-- Pagamentos candidatos para um depósito de 0,50000000 BTC confirmado no bloco 850.100
WITH payouts AS (                      -- transações que gastam moedas do cluster do mixer
  SELECT DISTINCT i.transaction_hash AS tx
  FROM inputs i
  JOIN mixer_cluster m ON m.address = i.address
)
SELECT o.transaction_hash, o.output_index, o.value, o.block_number
FROM outputs o
JOIN payouts p ON p.tx = o.transaction_hash
WHERE o.block_number BETWEEN 850100 AND 850244           -- espera de até 144 blocos
  AND o.value BETWEEN 47480000 AND 49500000              -- sat: taxa de 1-5%, taxa de rede de até 0,0002 BTC
  AND o.address NOT IN (SELECT address FROM mixer_cluster)  -- excluir troco interno
ORDER BY o.block_number;

A CTE encontra transações que gastam moedas do cluster do mixer. A consulta externa mantém as saídas dessas transações dentro da janela de espera cujo valor equivale ao depósito menos uma taxa de 1–5% e menos até 0,0002 BTC de taxa de rede (0,5 × 0,95 − 0,0002 = 0,4748 BTC; 0,5 × 0,99 = 0,4950 BTC; em satoshis, 47.480.000 e 49.500.000), e descarta as saídas que retornam ao cluster. Cada número na cláusula WHERE é uma premissa, e o resultado só é tão confiável quanto o cluster.

O tamanho do conjunto de candidatos é muito sensível a essas premissas. Em transações de teste publicadas por Tippe e Deckers (Desfazendo a mistura, DFRWS EU 2025, no mesmo periódico), uma busca em uma janela de 24 horas pelo valor exato do depósito menos a taxa do mixer deixou dois pagamentos candidatos, sendo um deles o verdadeiro. A busca em toda a faixa de taxas anunciada produziu 4.453 candidatos, e uma faixa aberta de zero até aquele valor, 461.140. Quando o cliente dividiu o pagamento entre dois endereços, nenhuma saída individual correspondeu ao valor combinado. Portanto, o achado é o conjunto de candidatos acompanhado de seus parâmetros, nunca "o" pagamento. Um registro defensável contém:

1. o txid, o valor e o bloco do depósito;
2. como o cluster do mixer foi identificado e a data de seu snapshot;
3. cada parâmetro e sua origem (as taxas e os prazos de espera anunciados pelo serviço, arquivados);
4. o número de candidatos para cada conjunto de parâmetros, com a busca executada pelo menos duas vezes com amplitudes diferentes;
5. o grau: uma correspondência de tempo e valor tem grau D, aumentando apenas com corroboração independente, como registros (Aula 3.2).

Servidores apreendidos como prova

Os desmantelamentos mudam o cenário porque os registros do operador contêm o vínculo que a blockchain oculta.

Tippe e Deckers, ao revisar os casos ChipMixer, Helix e Bitcoin Fog, observaram que, nos três, os operadores foram identificados por informações off-chain, e não apenas por rastreamento da blockchain.

Um banco de dados apreendido é poderoso e perigoso. Antes de se apoiar nele, verifique:

• Proveniência: a cadeia de custódia e os hashes da imagem da autoridade responsável pela apreensão, e o canal pelo qual os dados chegaram (Aulas 1.3 e 8.3).
• Esquema e tempo: o significado de cada tabela e coluna, o fuso horário dos timestamps, pedidos de teste ou cancelados.
• Completude: períodos de retenção ou exclusão; um serviço que prometia excluir logs após alguns dias pode conter apenas pedidos recentes.
• Conciliação: cada depósito registrado deve corresponder a uma transação on-chain para seu endereço de depósito, e cada pagamento registrado, a uma saída on-chain. Informe a taxa de correspondência de toda a tabela, não apenas de uma amostra.
• Integridade: se o operador poderia ter alterado registros e se os totais internos conferem com os saldos da reserva na blockchain.

Um pedido conciliado, registrado de modo que um segundo perito possa repetir a verificação:

{
  "source": "seized_image_03/orders.db, SHA-256 da imagem 9c1e…44ab",
  "order_id": "A7F3…",
  "deposit": {"address": "bc1q…7k3f", "txid": "9b1e…47d0", "onchain_match": true},
  "payouts": [
    {"address": "bc1q…m2pz", "txid": "9b0d…e7a2", "onchain_match": true},
    {"address": "bc1q…r81d", "txid": "c4e1…0f9b", "onchain_match": true}
  ],
  "db_time": "2022-11-04T13:22:07", "db_timezone": "UTC+1 (da configuração do servidor)",
  "block_time_utc": "2022-11-04T12:31:55Z",
  "grade": "B (registro corroborado pela blockchain)",
  "examiner": "EX-14", "verified_utc": "2026-10-20T09:12:00Z"
}

O registro cita o arquivo do banco de dados e o hash de sua imagem, declara para cada endereço se a blockchain o confirma e mantém a hora e o fuso horário do banco de dados separados da hora do bloco. A diferença bruta de cerca de 50 minutos desaparece quando o fuso horário do servidor é aplicado: o pedido foi registrado às 12:22:07 UTC, cerca de dez minutos antes da confirmação do depósito, como esperado. Somente após essa verificação o vínculo entre depósito e pagamentos passa de "sem vínculo" para grau B.

Limites da inferência

Tenha em vista três limites. Primeiro, usar um mixer não é, por si só, evidência da origem dos fundos; muitos usuários buscam privacidade por razões lícitas. Segundo, em termos da blockchain, a "origem" de um pagamento são os depósitos de outros clientes; portanto, considerar contaminado todo pagamento de um mixer, ou todo cliente, atribui crime a pessoas sem vínculo com o caso. Terceiro, um registro apreendido comprova o que o sistema do operador registrou, e um registro conciliado comprova que o valor foi movimentado conforme registrado; nenhum dos dois comprova quem digitou o pedido. Isso ainda exige evidências de conta, dispositivo ou rede.

A mistura frequentemente se combina com saltos entre blockchains, por exemplo, uma troca por uma moeda de privacidade como Monero, na qual o rastro visível termina na troca e pode reaparecer quando os fundos são trocados de volta (Aulas 5.3 e 6.4).

Ao elaborar o relatório, informe o serviço, os valores e horários de entrada e saída, o tamanho do conjunto de candidatos e seus parâmetros, e o que, se houver algo, sustenta um vínculo.

Foco no exame: o conjunto de anonimato e as três famílias de mistura, e quem pode deter o vínculo em cada uma; os mecanismos de troca e ofuscação e seus formatos on-chain; cartas de garantia e códigos de clientes como artefatos que vinculam uma pessoa a um pedido; o limite do serviço no lado do depósito e a identificação por impressão digital de carteira no lado do pagamento, com sua natureza probabilística; a construção de um conjunto de candidatos por tempo e valor a partir de parâmetros declarados e o relato de sua sensibilidade (dois candidatos versus 461.140); grau D para essas correspondências; Bestmixer, ChipMixer, Helix e Bitcoin Fog, e o fato de que os operadores foram identificados por informações off-chain; a validação de um banco de dados apreendido (proveniência, esquema e fuso horário, completude, conciliação integral, integridade); por que não há suporte para considerar contaminado todo pagamento ou usuário de um mixer.