Do endereço à entidade à pessoa

A maioria das investigações é iniciada para responder a uma pergunta sobre pessoas: quem recebeu o resgate, quem aplicou o golpe, quem está com os fundos roubados agora. Uma blockchain responde a perguntas sobre endereços. Entre essas duas coisas há uma cadeia de inferências distintas, cada uma com suas próprias evidências e suas próprias formas de falhar; um examinador que reduz essa cadeia a uma única afirmação oferece à outra parte um alvo fácil. Esta aula apresenta as camadas de atribuição, as evidências que sustentam cada uma e como avaliar e registrar a cadeia para que ela possa ser verificada.

Cinco camadas de atribuição

A atribuição percorre cinco camadas. Cada camada apresenta uma alegação diferente, e cada alegação precisa de sua própria fundamentação.

As duas primeiras camadas pertencem à análise on-chain e são abordadas nas aulas IDFE-BA O que é agrupamento e por que ele importa e Avaliação da qualidade de clusters. A terceira é a rotulagem, abordada na aula IDFE-BA Atribuição e rotulagem. A camada forense que este curso acrescenta é a disciplina de manter separadas as cinco alegações, declarar até que camada cada constatação chega e nunca permitir que uma camada inferior forte empreste sua força a uma camada superior fraca.

Observe que a própria camada do endereço contém duas alegações. O fato de que aquele valor chegou a um endereço é um fato determinístico que qualquer pessoa pode verificar. O fato de que uma pessoa específica controla o endereço não é visível on-chain. O controle pode ser demonstrado por uma mensagem válida assinada, pela recuperação da chave de um dispositivo apreendido sob autoridade legal ou por um registro autenticado do serviço que declare que o serviço detém a chave.

Cada camada pode falhar de maneira diferente

Pensar em camadas ajuda porque os modos de falha não se sobrepõem.

• Erros de cluster. Uma heurística mescla duas carteiras sem relação entre si, ou uma transação CoinJoin é interpretada como se tivesse um único proprietário. O resultado é um supercluster que faz um rótulo se estender a endereços aos quais não pertence.
• Erros de serviço. Um rótulo está desatualizado (a exchange alternou suas carteiras quentes), foi copiado de uma origem desconhecida ou foi associado a uma categoria sem uma entidade específica.
• Erros de titular da conta. O serviço atribui incorretamente um depósito, reutiliza um endereço de depósito após o encerramento da conta ou fornece registros referentes ao período errado.
• Erros de identidade. O titular da conta não é quem agiu: um laranja financeiro abriu a conta para outra pessoa, os documentos de identidade foram roubados ou comprados, a conta foi tomada por terceiros ou várias pessoas compartilharam o acesso.

O último ponto merece destaque. Os registros KYC informam de quem eram os documentos apresentados na abertura da conta. Sozinhos, não informam quem digitou a solicitação de saque. Os investigadores corroboram a passagem de titular da conta para indivíduo com evidências independentes: endereços IP de acesso e identificadores de dispositivos compatíveis com as conexões do suspeito, o aplicativo da exchange encontrado em um telefone apreendido, transferências bancárias da própria conta do suspeito ou mensagens que discutem a transação.

Por que a identidade normalmente vem por meio de processo legal

Os dados públicos geralmente chegam apenas à camada do serviço. Quando o valor entra em um serviço custodial, a ligação entre um endereço de depósito e um cliente existe somente no banco de dados do serviço (consulte a aula Rastreamento por meio de serviços custodiais). O caminho até esse banco de dados é o processo legal: uma ordem de apresentação de documentos, uma ordem judicial ou uma solicitação de uma autoridade competente, muitas vezes em âmbito internacional. A Convenção de Budapeste exige que seus Estados Partes prevejam ordens de apresentação de dados, incluindo informações de assinantes, mantidos por prestadores de serviços (Artigo 18); seu Segundo Protocolo Adicional acrescenta procedimentos para a divulgação direta de informações de assinantes por prestadores de serviços em outro Estado Parte (Artigo 7) e de informações de registro de nomes de domínio (Artigo 6). As aulas Autoridade legal e cooperação internacional e Trabalho com prestadores de serviços abordam como redigir e enviar solicitações.

A pesquisa de fontes abertas pode fornecer pistas nas camadas superiores, por exemplo, um nome de usuário que reutilizou um endereço em uma publicação de fórum (consulte a aula Vinculação de identificadores on-chain e off-chain). Mas uma pista de fontes abertas não é uma identificação. Na maioria dos casos, o caminho defensável é: rastreamento on-chain até um serviço, solicitação ao serviço, registros que identifiquem um titular da conta e, em seguida, corroboração de que esse titular da conta é o indivíduo.

Casos públicos ilustram esse padrão. Na investigação Welcome to Video, anunciada em outubro de 2019, os investigadores rastrearam pagamentos em bitcoin na blockchain até o site e seus usuários; a localização do servidor do site veio à tona por meio de um endereço IP exposto no código-fonte da própria página do site. Prisões foram realizadas em muitos países. O rastreamento informou aos investigadores onde procurar; a identificação veio de registros, servidores apreendidos e evidências coletadas pelas autoridades locais.

Avaliação da cadeia

Avalie cada elo de uma cadeia de atribuição, não apenas a conclusão. A escala usada na aula Rastreamento até um padrão probatório (grau A: registrado on-chain; B: corroborado; C: heurística única; D: inferência) pode ser ampliada para alegações de controle e identidade:

A regra do elo mais fraco se aplica a todas as camadas. Um fluxo de grau A para um rótulo de serviço de grau B, um registro autenticado de conta (A) e um elo de grau D entre o titular da conta e o suspeito resultam em uma alegação de grau D de que o suspeito recebeu os fundos. A resposta adequada não é redigir a alegação com mais cautela, mas coletar evidências que possam elevar o grau do elo mais fraco: evidências de dispositivos, registros de IP, registros financeiros.

A avaliação também exige precisão na linguagem. "Os fundos chegaram a um endereço de depósito da Exchange K" (camada do serviço), "Os registros da Exchange K atribuem o endereço a uma conta em nome do Sujeito 2" (camada da conta) e "O Sujeito 2 controlava a conta" (camada do indivíduo) são três constatações. A redação de relatórios é abordada na aula IDFE-BA Confiança, incerteza e linguagem e na aula Redação do relatório forense.

Registro da cadeia de atribuição

Mantenha cada atribuição como um registro estruturado que identifique a camada, a fundamentação e o grau de cada elo, para que um revisor possa contestar ou confirmar cada elo separadamente.

{
  "attribution_id": "ATTR-11",
  "case_id": "CF-2026-0142",
  "subject": {"chain": "bitcoin-mainnet", "address": "bc1q…dx7e"},
  "valid_at": "2026-03-02T14:07:51Z",
  "links": [
    {"layer": "cluster", "claim": "consolidado junto com 1.412 depósitos na carteira quente HW-3",
     "basis": "entrada comum, filtro CoinJoin ativado", "grade": "C"},
    {"layer": "service", "claim": "HW-3 é a Exchange K",
     "basis": "lista de reservas publicada pelo próprio serviço, arquivada em 2026-03-04, sha256 9e1c…b07a", "grade": "A"},
    {"layer": "account", "claim": "atribuído à conta K-778213",
     "basis": "ordem de apresentação à Exchange K, item EV-0031", "grade": "A"},
    {"layer": "individual", "claim": "a conta era controlada pelo Sujeito 2",
     "basis": "somente KYC; registros de IP e dispositivos solicitados", "grade": "D"}
  ],
  "overall_grade": "D",
  "examiner": "EX-07"
}

O registro informa o momento ao qual a atribuição se aplica, porque endereços de depósito são reatribuídos e os rótulos ficam desatualizados. Cada elo traz sua própria fundamentação e uma referência ao item preservado, para que o rótulo do serviço possa ser verificado em relação à lista de reservas arquivada e o elo da conta, em relação à ordem de apresentação. O grau geral corresponde ao elo mais fraco, e a fundamentação da camada do indivíduo mostra exatamente o que está faltando. Quando os registros de IP e dispositivos da exchange chegarem e forem compatíveis com a conexão residencial do suspeito, esse elo e o grau geral poderão ser revisados, mantendo-se a versão anterior. Observe também que o elo do cluster tem grau C, enquanto o rótulo de serviço da carteira quente tem grau A: o endereço de depósito herda o rótulo somente por meio do elo do cluster, razão pela qual a ordem de apresentação da exchange é importante.

Erros comuns a evitar

• Colapsar camadas: escrever "o endereço pertence ao Sujeito 2" quando as evidências chegam apenas à camada do serviço.
• Tratar o titular da conta como o autor da ação sem corroboração, em casos nos quais o uso de laranjas e identidades compradas é comum.
• Ignorar o tempo: uma atribuição válida em março pode estar errada em junho, após a reatribuição de um endereço.
• Permitir que um rótulo vá além do seu cluster: um rótulo confirmado que foi herdado por meio de um elo fraco é um rótulo fraco.
• Fixação em uma hipótese: depois que um suspeito é identificado, todo fato novo passa a ser interpretado como confirmação. Registre as explicações alternativas em cada camada e teste-as (consulte a aula Ética, privacidade e segurança do investigador).
• Expor pessoas: um elo não confirmado de camada superior que leva a um indivíduo privado deve permanecer em um anexo de acesso restrito, nunca em documentos compartilhados (consulte a aula IDFE-BA Proteção de dados, ética e divulgação responsável).

Foco no exame: as cinco camadas (endereço, cluster, serviço, titular da conta, indivíduo) e a alegação que cada uma apresenta; as evidências típicas de cada camada; o fato de que o controle de um endereço não é visível on-chain e como pode ser demonstrado (mensagem assinada, chave recuperada, registro autenticado); por que o KYC identifica o titular da conta, mas não necessariamente quem agiu (laranjas, identidades roubadas, tomada de conta); por que a identidade normalmente vem de registros do serviço obtidos por meio de processo legal (Artigo 18 da Convenção de Budapeste, Artigos 6 e 7 do Segundo Protocolo Adicional); a avaliação de cada elo e a regra do elo mais fraco entre camadas; um registro estruturado de atribuição com o período de validade, a fundamentação e o grau de cada elo.