Fontes de atribuição e sua confiabilidade

Toda atribuição em um relatório forense se baseia em uma fonte, e a defesa perguntará sobre cada uma: de onde veio esse rótulo, quando era válido, quem o verificou e se ele poderia ter sido copiado de outro lugar? As fontes vão desde registros que um serviço produziu mediante processo legal até uma tag sem explicação em um explorador público. Esta aula apresenta as principais famílias de fontes de atribuição, sua confiabilidade típica e um método para classificá-las, datá-las e conciliá-las, com base nas fontes de rótulos descritas na aula IDFE-BA Atribuição e rotulagem.

Visão geral das famílias de fontes

A tabela é um ponto de partida. Uma lista publicada pela própria entidade em um domínio de impostores não tem valor; um rótulo da comunidade que você rastreia até um documento judicial é sólido. Classifique o item específico, não a família.

Registros de serviços e emissores

Exchanges, custodiantes e emissores de stablecoins mantêm os registros que conectam as camadas do serviço e do titular da conta (veja a aula Do endereço à entidade e à pessoa). Os registros produzidos em resposta a um processo legal costumam ser a fonte de atribuição mais forte em um caso, mas ainda precisam ser examinados:

• Autentique a produção: quem a produziu, por qual canal, com qual declaração de acompanhamento e qual é o hash de cada arquivo no momento do recebimento (veja a aula Hashing, registro e cadeia de custódia).
• Confira o escopo: o período, a conta e o ativo correspondem à solicitação?
• Concilie com a blockchain: cada depósito e saque nos registros deve corresponder a uma transação que você consiga verificar em um nó, com o mesmo valor e um horário plausível. Divergências revelam transferências internas, movimentações no livro-razão fora da blockchain ou erros (veja a aula Contas de exchange e de nuvem como evidência).
• Lembre-se do que é KYC: os documentos que um cliente apresentou, verificados segundo os padrões do serviço na época.

Um emissor de stablecoin também pode confirmar que congelou um endereço e quando; seus registros do congelamento são fontes primárias.

Bancos de dados apreendidos

Operações contra mercados da darknet, mixers custodiais e exchanges ilícitas geralmente resultam em imagens de servidores que contêm contas de usuários, endereços de depósito e registros de transferências internas. Esses dados podem atribuir milhares de endereços de uma só vez e costumam ser compartilhados entre autoridades por canais de cooperação policial (veja a aula Mixers custodiais).

Trate um banco de dados apreendido como evidência com sua própria proveniência. O examinador que se baseia nele precisa da cadeia de custódia da autoridade que realizou a apreensão, do hash da imagem e de entender o esquema: qual coluna contém o endereço de depósito, qual fuso horário os registros de data e hora usam, se as linhas incluem contas de teste, ordens canceladas ou endereços gerados, mas nunca utilizados. Um endereço de depósito gerado para um usuário, mas nunca financiado, não prova nada sobre movimentação de valor. Valide uma amostra de linhas com a blockchain antes de se basear nas demais.

Dados vazados: limites legais e éticos

Bancos de dados de clientes violados e outros dumps circulam em fóruns e, às vezes, são oferecidos a investigadores. São tentadores porque podem vincular endereços ou e-mails a nomes. Também são arriscados:

• Legalidade: possuir ou processar dados pessoais roubados pode ser ilegal, e as regras variam bastante entre jurisdições. O uso exige uma base legal clara e uma política organizacional por escrito, decididas por consultores jurídicos, não pelo examinador.
• Autenticidade: dumps muitas vezes são recompilados, combinados com violações mais antigas ou parcialmente fabricados.
• Proteção de dados: os dados dizem respeito a muitas pessoas não envolvidas. Aplicam-se os princípios da proporcionalidade e da minimização (veja a aula IDFE-BA Proteção de dados, ética e divulgação responsável).
• Divulgação e equidade: materiais que não podem ser divulgados ou autenticados podem comprometer um caso.

Quando o uso é permitido, um registro vazado é, no máximo, uma pista de inteligência, classificada na parte inferior da escala, e o fato precisa ser restabelecido por meio de uma fonte lícita, normalmente uma solicitação ao serviço cujos dados vazaram.

Rótulos comerciais e da comunidade

As ferramentas de análise contêm grandes conjuntos proprietários de rótulos. Muitas vezes são bem pesquisados, mas raramente é possível ver o método por trás de um rótulo específico, e os rótulos mudam entre versões sem aviso. Para uso forense:

1. Registre a ferramenta, a versão, o texto do rótulo, a categoria e a data e hora em que foi consultado, e capture a tela ou exporte os dados (veja a aula Ferramentas, reprodutibilidade e validação).
2. Pergunte qual é a base de qualquer rótulo do qual uma conclusão dependa: transação de teste, publicação pública, registros, extensão heurística.
3. Corrobore de forma independente os rótulos decisivos para a conclusão, por exemplo, com um depósito de teste próprio, uma lista publicada pela própria entidade ou uma confirmação do serviço.

Os rótulos da comunidade, como tags públicas de exploradores, conjuntos de dados abertos e denúncias de golpes enviadas por usuários, não oferecem garantia alguma. Denúncias de golpes podem ser feitas maliciosamente contra endereços inocentes. Use-as para formular hipóteses e, em seguida, rastreie cada uma até sua origem; cópias da mesma origem contam uma única vez (a aula IDFE-BA Atribuição e rotulagem chama isso de relatos circulares).

Classificação separada da fonte e da informação

A prática de inteligência classifica duas coisas de forma independente: a confiabilidade da fonte e a credibilidade do item de informação específico. O sistema da OTAN "Admiralty" usa letras de A a F para a confiabilidade da fonte (de completamente confiável a impossível de avaliar) e números de 1 a 6 para a credibilidade da informação (de confirmada por outras fontes a impossível de avaliar). Muitos órgãos de aplicação da lei, entre eles a Europol, usam uma versão quatro por quatro: fontes A, B, C ou X (impossível de avaliar) e informações de 1 a 4, de informações cuja exatidão não deixa dúvidas a informações que a fonte não conhece pessoalmente e que não podem ser corroboradas.

A abordagem de dois eixos é adequada à atribuição. Uma fonte confiável pode repassar um item que não conhece em primeira mão; um usuário desconhecido de um fórum pode publicar um endereço que a blockchain corrobora em seguida. Um exemplo de classificação 6x6:

Registre ambos os códigos junto a cada rótulo no registro de atribuição do caso, ao lado da classificação de confiança do vínculo (veja a aula Do endereço à entidade e à pessoa).

Verificação, datação e conciliação de rótulos

Todo rótulo é válido por um período. Uma rotina prática de verificação:

1. Rastreie até a origem. Encontre a primeira publicação ou registro, não a cópia que você viu.
2. Preserve e date. Arquive a página ou o registro com a URL, o horário de captura em UTC e o hash (veja a aula Metodologia OSINT).
3. Confira a janela de atividade. A atividade on-chain do endereço é compatível com a função alegada naquele período? Um endereço rotulado como carteira quente de uma exchange que parou de movimentar fundos em 2021 não diz nada sobre depósitos de 2026.
4. Confira o comportamento. O endereço se comporta de acordo com a categoria: consolidação de depósitos, ampla dispersão de fundos de carteiras quentes, código de contrato para uma ponte?
5. Busque uma segunda fonte independente para qualquer rótulo do qual uma conclusão dependa.

Quando as fontes divergem, não faça uma média entre elas:

Mantenha no registro o rótulo descartado, junto com o motivo pelo qual foi deixado de lado. Divergências entre fontes são exatamente o que especialistas da defesa procuram, e demonstrar que você as encontrou e resolveu é melhor do que dar a impressão de que nem sequer as percebeu (veja a aula Divulgação e escrutínio da defesa).

Foco no exame: principais famílias de fontes, seus pontos fortes e riscos e como cada uma é verificada; autenticação, delimitação de escopo e conciliação de registros de serviços; validação de bancos de dados apreendidos (proveniência, esquema, fusos horários, endereços sem fundos); limites legais, de autenticidade e de proteção de dados para dados vazados, e restabelecimento de fatos por meio de fontes lícitas; registro de rótulos comerciais e questionamento de sua base; relatos circulares; classificação de fonte e informação em dois eixos (as versões 6x6 do sistema NATO Admiralty e 4x4 da aplicação da lei); datação de rótulos em relação às janelas de atividade; resolução de conflitos entre fontes e registro dos motivos.