Princípios da evidência digital

Um resultado de rastreamento é tão sólido quanto o cuidado com que foi conduzido. Especialistas da defesa e tribunais raramente contestam os cálculos de um rastreamento; contestam como os dados foram obtidos, se outra pessoa poderia chegar ao mesmo resultado e se o examinador consegue demonstrar o que foi feito em cada etapa. Esta aula apresenta os princípios em que todas as aulas posteriores deste módulo se baseiam e explica por que a evidência em blockchain se ajusta bem a eles em alguns aspectos e mal em outros.

A família forense ISO/IEC

Quatro normas ISO/IEC do comitê de segurança da informação abrangem evidências digitais, e uma norma de avaliação da conformidade abrange o laboratório que as manipula. Você conhecerá as cinco neste módulo.

A ISO/IEC 27037 é o tema desta aula. Seu resumo também diz que ela busca facilitar “o intercâmbio de potenciais evidências digitais entre jurisdições”, o que é importante quando um caso depende de assistência jurídica mútua. A ISO/IEC 27041, a 27042 e a 17025 voltam na aula Gestão da qualidade na unidade forense. A ISO/IEC 27043 corresponde às etapas ensinadas na aula O ciclo de vida da investigação.

Os quatro processos de manipulação

A ISO/IEC 27037 divide a manipulação de evidências em quatro processos. Ela foi escrita tendo em mente computadores, celulares, mídias de armazenamento e redes, e cita esses dispositivos como exemplos indicativos, não exaustivos. Os processos se aplicam a casos de criptoativos sem dificuldade.

1. Identificação: reconhecer o que pode conter evidências relevantes. Em uma cena de busca, isso significa carteiras de hardware, cópias de segurança de frases-semente em papel ou metal, celulares com aplicativos de carteira e anotações com endereços (consulte a aula Carteiras em dispositivos apreendidos). Em um caso on-line, significa os IDs de transação, endereços, contas em exchanges e páginas da Web pertinentes às questões.
2. Coleta: tomar posse de itens físicos, como um laptop, uma carteira de hardware ou um caderno com palavras-semente.
3. Aquisição: fazer uma cópia dos dados, como uma imagem forense de uma unidade, uma exportação de uma conta em uma exchange ou transações brutas obtidas de um nó.
4. Preservação: proteger a integridade do que foi coletado ou adquirido, desde o momento da captura até o encerramento do caso. Hashing, lacração, armazenamento controlado e registros de custódia fazem parte deste processo.

A norma também define duas funções. Um Primeiro Respondente a Evidências Digitais (DEFR) tem autorização e treinamento para atuar primeiro na cena. Um Especialista em Evidências Digitais (DES) tem habilidades técnicas mais aprofundadas e realiza o trabalho mais complexo. Um policial de patrulha que acondiciona uma carteira de hardware e um cartão com a frase-semente está atuando como DEFR. O examinador que mais tarde cria uma imagem do laptop do proprietário e reconstrói os caminhos das transações a partir de um nó está atuando como DES. Cada função deve atuar dentro de sua competência e registrar o que fez.

Relevância, confiabilidade e suficiência

A ISO/IEC 27037 considera três qualidades fundamentais para as evidências digitais.

• Relevância: o material é pertinente a uma questão do caso. Extrair todas as transações já feitas por uma carteira grande de exchange não é uma coleta relevante. Extrair os 14 depósitos que correspondem aos pagamentos da vítima é.
• Confiabilidade: o material é o que afirma ser, e o processo que o produziu pode ser verificado. Uma transação bruta obtida de um nó, com o hash de seu bloco registrado, é confiável nesse sentido. Uma captura de tela de uma página de explorador sem URL ou horário é fraca.
• Suficiência: foi reunido material suficiente para sustentar ou testar a conclusão. Suficiência não significa “o máximo possível”. Significa que você procurou o que poderia contradizer sua hipótese, além do que a sustenta.

A norma então estabelece quatro requisitos para o próprio processo de manipulação:

Observe a diferença entre as duas linhas do meio: a repetibilidade mantém tudo igual, enquanto a reprodutibilidade mantém o método, mas muda deliberadamente as ferramentas, as condições e, em geral, a pessoa. Como explica a última seção, os dados de blockchain tornam a reprodutibilidade especialmente viável.

As anotações do examinador

Todos os requisitos acima dependem de um hábito: anotações contemporâneas, feitas no momento do trabalho, e não reconstruídas posteriormente. Boas anotações permitem que um segundo examinador assuma o caso e obtenha os mesmos resultados. Também permitem que você responda, meses depois, a uma pergunta que não esperava.

Uma anotação deve registrar:

• a data e o horário em UTC e quem fez a anotação;
• o que foi feito, com qual item de evidência ou fonte de dados e com qual ferramenta e versão;
• as entradas (endereços-semente, txids, intervalo de blocos) e onde as saídas foram salvas, com seus hashes;
• decisões e seus motivos, inclusive os caminhos que você decidiu não seguir;
• resultados negativos (“nenhuma saída adicional deste endereço após o bloco 966.410”) e anomalias;
• qualquer desvio do procedimento da unidade e o motivo.

2026-10-14T09:42Z  A. Examiner  Case CF-2026-041
Source: own Bitcoin node, client v30.x, fully synced to height 971,031
Action: retrieved tx 4f3a…c21e (block 966,204, hash 0000…3b9e), 6 outputs
Output saved: raw/4f3a_c21e.json  SHA-256 recorded in evidence log
Decision: output 2 treated as change (same script type as inputs, non-round);
          output 4 (0,30 BTC) is the payment of interest. Outputs 1, 3, 5, 6 left
          for later review: amounts and timing do not match the victim's payment (note 17)

A anotação registra a fonte, o bloco exato, o arquivo de saída e por que algumas saídas foram deixadas de lado. A decisão é identificada como um julgamento, não como um fato, para que o revisor saiba que ela precisa ser testada. As anotações fazem parte do dossiê do caso e geralmente podem ser divulgadas, então escreva-as como se a defesa fosse lê-las (consulte a aula Divulgação e escrutínio da defesa).

O que torna a evidência em blockchain diferente

A maior parte das evidências digitais está em um único dispositivo que precisa ser apreendido e submetido à criação de uma imagem antes que alguém possa examiná-lo. Os dados de blockchains públicas se comportam de maneira diferente em três aspectos.

São públicos. Não é necessário mandado para ler o livro-razão, e nenhuma cópia única é “a original”. Todos os nós completos contêm o mesmo histórico. Isso não torna público todo fato: a pessoa por trás de um endereço, o livro-razão interno de uma exchange e o dispositivo que assinou uma transação ficam fora da cadeia, e ainda dependem de apreensão ou de um processo legal.

São replicáveis. O ID de uma transação é, por si só, um hash dos dados da transação, e cada cabeçalho de bloco confirma suas transações e o bloco anterior. Qualquer pessoa com um nó pode obter a mesma transação e verificar se ela corresponde ao seu ID e ao seu bloco. Dois examinadores em continentes diferentes, com softwares diferentes, podem confirmar os mesmos fatos brutos. Isso torna a reprodutibilidade, o requisito mais difícil de cumprir para a maioria das evidências de dispositivos, quase automática para dados brutos da cadeia, desde que o examinador registre os hashes dos blocos e aguarde a finalização (consulte a aula Preservação de evidências on-chain).

São interpretados. Os dados brutos indicam que um valor foi transferido entre endereços. Não indicam quem os controla, qual saída é troco nem se um depósito pertence a um suspeito. Essas afirmações decorrem de heurísticas, rótulos e inferências — e é aí que ocorrem os erros. A ISO/IEC 27042 trata exatamente dessa camada.

Um relatório sólido mantém essas camadas claramente separadas. A aula IDFE-BA Qualidade, normalização e proveniência dos dados aborda o registro da camada bruta. A aula Rastreamento segundo um padrão probatório aborda a avaliação dos vínculos construídos sobre ela.

Foco no exame: o escopo das normas ISO/IEC 27037, 27041, 27042, 27043 e 17025 conforme declarado em seus resumos; os quatro processos da 27037 (identificação, coleta, aquisição, preservação) e a diferença entre coleta e aquisição; as funções de DEFR e DES; relevância, confiabilidade e suficiência, incluindo a suficiência como teste de uma hipótese, não como volume; auditabilidade, repetibilidade, reprodutibilidade e justificabilidade, e a diferença entre repetibilidade e reprodutibilidade; o que as anotações contemporâneas devem registrar, incluindo decisões e resultados negativos; por que os dados de blockchain são públicos e replicáveis, mas seu significado é interpretado; manter separadas as camadas bruta, decodificada, heurística, de rótulos e de conclusão.