Atribuição e OSINT · Aula 5 de 5
Atribuição na prática: ransomware, golpes e roubos atribuídos à RPDC
9 min de leitura
Três tipos de caso dominam o trabalho de atribuição: ransomware, golpes executados em escala industrial e grandes roubos que as autoridades atribuem a grupos ligados a Estados, como os da República Popular Democrática da Coreia (RPDC). Cada tipo tem um padrão reconhecível on-chain, uma infraestrutura típica de conversão em dinheiro e uma forma típica de a atribuição chegar ao público. Conhecer esses padrões acelera uma investigação; confiar demais neles leva à atribuição excessiva, o erro de atribuição mais comum na prática. Esta aula aplica as camadas, as fontes e os testes de vínculo das aulas anteriores a essas três tipologias e termina com um exemplo fictício resolvido.
Três tipologias em resumo
| Ransomware | Golpes de investimento e romance | Roubos atribuídos à RPDC | |
|---|---|---|---|
| Entrada dos fundos | A vítima paga a um endereço de resgate indicado em uma nota ou portal de negociação | As vítimas compram cripto em uma exchange e enviam os fundos para um endereço de uma "plataforma" | Roubo de uma exchange, bridge ou protocolo |
| Padrão on-chain típico | Divisão entre afiliado e desenvolvedor, seguida de cadeias peel e swaps | Muitos depósitos pequenos de vítimas consolidados em alguns endereços coletores | Grandes quantias dispersas rapidamente por muitos endereços e blockchains |
| Conversão em dinheiro | Exchanges, serviços de exchange instantânea, mixers, corretores OTC | Stablecoins (geralmente USDT na Tron), contas de mulas, corretores OTC | Swaps, bridges, mixers, corretores OTC |
| Origem da atribuição pública | Comunicados de apreensão, acusações formais, listas de sanções, sites de vazamento | Relatos de vítimas, processos, congelamentos por emissores | Comunicados de autoridades e listas de sanções, relatórios multilaterais |
| Origem dos dados de identidade | Registros de serviços, infraestrutura apreendida | Registros de exchanges e bancos sobre mulas e controladores | Raramente disponíveis; a atribuição é feita a um grupo |
A última linha é a mais importante. Em casos de ransomware e golpes, muitas vezes é possível chegar à identidade por meio de registros nos pontos de conversão em dinheiro. Em roubos atribuídos à RPDC, o trabalho do investigador geralmente é rastrear, congelar e recuperar os fundos, enquanto a atribuição do agente é obtida das autoridades.
Ransomware
A maior parte do ransomware é operada como serviço: os desenvolvedores fornecem o malware e a infraestrutura de pagamento, os afiliados invadem as vítimas e implantam o malware, e cada pagamento é dividido. No caso do grupo DarkSide, analistas relataram em 2021 que os afiliados ficavam com 75% a 90%, dependendo do valor do resgate, e que a divisão era visível on-chain como duas saídas em proporções previsíveis. Após o ataque à Colonial Pipeline (maio de 2021), os investigadores rastrearam o resgate de cerca de 75 BTC e apreenderam 63,7 BTC de um endereço (consulte a aula Rastrear até um padrão probatório). Análises públicas observaram que a quantia apreendida correspondia a cerca de 85% do pagamento, compatível com a parcela do afiliado; o comunicado oficial não afirmou isso, e um relatório cuidadoso descreveria essa leitura como uma inferência.
Características úteis para atribuição:
- Endereços de pagamento geralmente são exclusivos para cada vítima, portanto o registro de pagamento da vítima e a transcrição da negociação fixam a origem com certeza.
- Carteiras de desenvolvedores recebem parcelas de muitas vítimas. Quando um desses pagamentos é mencionado em um comunicado de autoridade, a carteira do desenvolvedor pode ser vinculada ao grupo, como inferência própria a partir do comunicado.
- Sites de vazamento nos quais os grupos publicam dados roubados são fontes abertas que permitem datar incidentes e identificar vítimas. Eles contêm dados pessoais das vítimas: colete apenas o que o caso exige, seguindo as precauções da aula Metodologia OSINT.
Golpes e redes de mulas financeiras
Os golpes de investimento e romance, às vezes chamados de "abate do porco", atraem as vítimas para plataformas de negociação falsas. On-chain, eles mostram muitos depósitos de vítimas provenientes de exchanges regulamentadas que convergem para endereços coletores, seguidos pela movimentação para stablecoins e daí para pontos de conversão em dinheiro. As tipologias são abordadas na aula IDFE-CC Sinais de alerta e tipologias; o interesse forense aqui está na camada de conversão em dinheiro.
A conversão em dinheiro costuma passar por mulas financeiras: pessoas que abrem contas em exchanges ou bancos em seu próprio nome, ou vendem suas identidades, e repassam os fundos mediante pagamento. Portanto, o titular da conta nos registros muitas vezes não é o controlador (consulte a aula Do endereço à entidade e à pessoa). Os sinais de uma rede de mulas aparecem nos registros do serviço, e não on-chain:
- Muitas contas abertas em um curto período, com nomes diferentes, mas os mesmos identificadores de dispositivo, faixas de IP ou números de telefone.
- Depósitos retirados rapidamente para os mesmos poucos endereços ou contas bancárias.
- Logins de locais que não correspondem aos endereços declarados pelos titulares das contas.
Portanto, as solicitações aos serviços devem pedir dados de dispositivos e logins, contas vinculadas e destinos de saques, e não apenas KYC (consulte a aula Trabalhando com prestadores de serviços). Os emissores de stablecoins podem congelar endereços no nível do contrato, o que torna decisiva a rapidez (consulte a aula Opções de congelamento e apreensão).
Roubos atribuídos à RPDC
Grandes roubos atribuídos pelas autoridades a grupos ligados à RPDC seguem um padrão reconhecível: dispersão rápida, swaps para sair de tokens congeláveis, movimentação entre blockchains (muitas vezes terminando em bitcoin), mixers e corretores de balcão. Dois casos públicos mostram como a atribuição foi divulgada:
- Bridge Ronin (março de 2022): foram roubados cerca de USD 620 milhões em ETH e USDC. Em abril de 2022, o endereço do atacante foi incluído em uma lista de sanções, e o roubo foi atribuído publicamente a um grupo ligado à RPDC.
- Bybit (21 de fevereiro de 2025): foram roubados cerca de USD 1,5 bilhão em ativos virtuais. Cinco dias depois, uma agência nacional de aplicação da lei emitiu um comunicado público atribuindo o roubo a um agente da RPDC que chama de TraderTraitor, listando 51 endereços Ethereum, descrevendo a conversão para bitcoin e a dispersão por milhares de endereços em várias blockchains, e pedindo a operadores de nós, exchanges e bridges que bloqueassem transações relacionadas.
Organismos multilaterais também publicam relatórios. O Painel de Peritos do Conselho de Segurança da ONU sobre a RPDC publicou relatórios sobre roubos cibernéticos até o fim de seu mandato, em abril de 2024; uma Equipe Multilateral de Monitoramento de Sanções formada por onze Estados publicou um relatório em outubro de 2025, estimando cerca de USD 2,84 bilhões em criptoativos roubados entre janeiro de 2024 e setembro de 2025 e descrevendo a conversão em dinheiro por meio de corretores no exterior e redes (números datados, para fins ilustrativos).
A atribuição do agente nesses casos se baseia em inteligência, análise de malware e evidências de infraestrutura que vão além do trabalho on-chain. O examinador cita a atribuição da autoridade e acrescenta o rastreamento.
Como as atribuições do setor público são divulgadas e como citá-las
| Formato | O que costuma conter | Como usar |
|---|---|---|
| Acusações formais e denúncias | Endereços, txids, narrativa do rastreamento | Cite para endereços identificados; a narrativa é uma alegação até que seja comprovada |
| Comunicados de apreensão e confisco | Endereços e quantias apreendidas | Evidência forte para os endereços apreendidos |
| Listas de sanções | Endereços como identificadores de partes designadas | Fonte oficial para os endereços listados (consulte a aula IDFE-CC Riscos de sanções específicos de cripto) |
| Comunicados e avisos de serviço público | Endereços, indicadores, padrões de lavagem de dinheiro | Evidência forte para os endereços listados; os padrões são contexto |
| Comunicados de operações da Europol e da INTERPOL | Serviços desmantelados, quantias, países | Contexto; raramente listam endereços |
| Relatórios da ONU e multilaterais | Incidentes, totais, métodos | Contexto e corroboração |
Cite cada fonte com seu título, emissor, data e, sempre que possível, uma cópia arquivada e um hash. Indique quais endereços foram identificados pela autoridade e marque toda extensão (membros de cluster, endereços subsequentes) como inferência própria, com seu grau.
Como evitar atribuição excessiva
- Agente versus endereço: "o roubo foi atribuído pela autoridade competente ao Grupo X" é uma citação; "o endereço Y pertence ao Grupo X" é uma atribuição que exige base própria.
- O que vem depois não é o agente: uma carteira quente de exchange, um contrato de bridge ou um pool de mixer que recebeu fundos roubados não faz parte da infraestrutura do agente. Interrompa a propagação do rótulo nos serviços.
- Padrão não é identidade: uma sequência de lavagem de dinheiro que se parece com o estilo de um grupo conhecido é um motivo para investigar, não uma atribuição. Imitadores e serviços compartilhados produzem padrões semelhantes.
- Um grupo, muitos nomes: a mesma atividade aparece com nomes diferentes em relatórios diferentes. Registre os nomes usados por cada fonte em vez de fundi-los.
- Corrija prontamente: se uma atribuição pública for revisada, atualize o arquivo do caso e quaisquer alertas compartilhados.
Exemplo resolvido (fictício)
Uma empresa pagou 12,00000000 BTC a bc1q…r4n5, o endereço indicado em seu portal de negociação. O examinador registra:
| Etapa | Observação | Afirmação | Grau |
|---|---|---|---|
| 1 | O registro de pagamento da vítima e a transcrição do portal correspondem a bc1q…r4n5 | Endereço de resgate controlado pelos extorsionários | A |
| 2 | A transação 7e02…b1c9 divide o pagamento: 9,60000000 BTC para bc1q…af01, 2,39990000 BTC para bc1q…dv02 | Divisão 80/20 compatível com as parcelas do afiliado e do desenvolvedor | Fluxo A; papéis D |
| 3 | bc1q…dv02 é gasto junto com pagamentos de outras três vítimas; um deles é de um endereço mencionado em um comunicado de apreensão atribuído ao Grupo R | Carteira do desenvolvedor vinculada ao Grupo R | A da autoridade para o endereço identificado; extensão C |
| 4 | A parcela do afiliado passa por uma cadeia peel de seis etapas até três endereços de depósito, que transferem os fundos para a carteira quente autodeclarada da Exchange K | Os fundos chegaram à Exchange K | B |
| 5 | Registros da Exchange K: três contas abertas em uma semana, nomes diferentes, mesmo ID de dispositivo e faixa de IP; saques para uma conta bancária | Contas de mulas com um controlador comum | A para os registros; controlador D, pendente de registros bancários |
O relatório afirma que os fundos chegaram à Exchange K (grau B), que os registros da Exchange K mostram três contas com dados de dispositivo compartilhados (grau A como registros) e que a carteira do desenvolvedor está vinculada ao Grupo R por meio de um gasto comum com um endereço identificado pela autoridade (grau C). Não afirma que os titulares das contas são os afiliados. As próximas etapas decorrem dos vínculos mais fracos: registros bancários da conta comum, evidências dos dispositivos e uma solicitação à Exchange K do histórico de IPs de login.
Foco no exame: o padrão on-chain típico, a conversão em dinheiro e a fonte de atribuição para ransomware, golpes e roubos atribuídos à RPDC; a divisão do ransomware como serviço e por que interpretar uma divisão como indicação de papéis é uma inferência; endereços de resgate exclusivos como origens certas; sinais de mulas financeiras nos registros de serviços e o que solicitar; como as atribuições dos casos Ronin (2022) e Bybit (2025) foram divulgadas; formatos de atribuição do setor público e como citá-los, separando os endereços identificados das extensões próprias; os principais erros de atribuição excessiva (agente versus endereço, serviços subsequentes, padrão versus identidade); classificação de uma cadeia mista em um exemplo resolvido.