Princípios de evidência digital

Um resultado de rastreamento só é tão sólido quanto o tratamento que o sustenta. Peritos da defesa e tribunais raramente questionam a aritmética de um rastreamento; eles questionam como os dados foram obtidos, se outra pessoa conseguiria chegar ao mesmo resultado e se o perito consegue demonstrar o que foi feito em cada etapa. Esta aula apresenta os princípios que fundamentam todas as aulas posteriores deste módulo e explica por que a evidência de blockchain se ajusta bem a eles em alguns aspectos e mal em outros.

A família de normas forenses ISO/IEC

Quatro normas ISO/IEC do comitê de segurança da informação abrangem a evidência digital, e uma norma de avaliação da conformidade abrange o laboratório que a trata. Você conhecerá as cinco neste curso.

A ISO/IEC 27037 é o tema desta aula. Seu resumo informa que ela também visa facilitar "o intercâmbio de potenciais evidências digitais entre jurisdições", o que importa quando um caso depende de assistência jurídica mútua. As normas ISO/IEC 27041, 27042 e 17025 voltam a ser abordadas na aula Hashing, registros, cadeia de custódia e gestão da qualidade. A ISO/IEC 27043 corresponde às etapas ensinadas na aula O ciclo de vida da investigação: da pergunta à hipótese.

Os quatro processos de tratamento

A ISO/IEC 27037 divide o tratamento da evidência em quatro processos. Ela foi elaborada tendo em vista computadores, telefones, mídias de armazenamento e redes, e apresenta esses dispositivos como exemplos indicativos, não como uma lista exaustiva. Os processos se aplicam sem dificuldade aos casos envolvendo criptoativos.

1. Identificação: reconhecer o que pode conter evidências relevantes. Em um local de busca, isso significa carteiras de hardware, cópias de segurança da seed em papel ou metal, telefones com aplicativos de carteira e anotações contendo endereços (consulte a aula Carteiras em dispositivos apreendidos). Em um caso on-line, significa os IDs de transação, endereços, contas em exchanges e páginas da web relacionados às questões investigadas.
2. Coleta: colocar itens físicos sob custódia, como um laptop, uma carteira de hardware ou um caderno com palavras da seed.
3. Aquisição: fazer uma cópia dos dados, como uma imagem forense de uma unidade de armazenamento, uma exportação de uma conta em uma exchange ou transações brutas obtidas de um nó.
4. Preservação: proteger a integridade do que foi coletado ou adquirido, desde o momento da captura até o encerramento do caso. Hashing, lacração, armazenamento controlado e registros de custódia fazem parte deste processo.

A norma também define duas funções. Um Primeiro Respondente de Evidências Digitais (DEFR) é autorizado e treinado para atuar primeiro no local. Um Especialista em Evidências Digitais (DES) possui competências técnicas mais aprofundadas e realiza o trabalho mais complexo. Um policial de patrulha que acondiciona uma carteira de hardware e um cartão com a seed atua como DEFR. O perito que posteriormente cria uma imagem do laptop do proprietário e reconstrói os caminhos das transações a partir de um nó atua como DES. Cada função deve atuar dentro de sua competência e registrar o que fez.

Relevância, confiabilidade e suficiência

A ISO/IEC 27037 considera três qualidades fundamentais para a evidência digital.

• Relevância: o material está relacionado a uma questão do caso. Obter todas as transações que uma grande carteira de exchange já realizou não é uma coleta relevante. Obter os 14 depósitos que correspondem aos pagamentos da vítima é.
• Confiabilidade: o material é o que afirma ser, e o processo que o produziu pode ser verificado. Uma transação bruta obtida de um nó, com o hash de seu bloco registrado, é confiável nesse sentido. Uma captura de tela de uma página de explorador sem URL ou horário é frágil.
• Suficiência: foi reunido material suficiente para sustentar ou testar a conclusão. Suficiência não significa "o máximo possível". Significa que você procurou tanto o que poderia contradizer sua hipótese quanto o que a sustenta.

A norma estabelece, então, quatro requisitos para o próprio processo de tratamento:

Observe a diferença entre as duas linhas intermediárias: a repetibilidade mantém tudo igual, enquanto a reprodutibilidade mantém o método, mas altera deliberadamente as ferramentas, as condições e, em geral, a pessoa. Os dados de blockchain tornam a reprodutibilidade excepcionalmente viável, como explica a última seção.

As anotações do perito

Todos os requisitos acima dependem de um hábito: anotações contemporâneas, feitas no momento do trabalho, e não reconstruídas posteriormente. Boas anotações permitem que um segundo perito dê continuidade ao caso e obtenha os mesmos resultados. Elas também permitem que você responda, meses depois, a uma pergunta que não esperava.

Uma anotação deve registrar:

• a data e a hora em UTC e quem fez o registro;
• o que foi feito, em qual item de evidência ou fonte de dados, e com qual ferramenta e versão;
• as entradas (endereços iniciais, txids, intervalo de blocos) e onde as saídas foram salvas, com seus hashes;
• decisões e seus motivos, incluindo caminhos que você optou por não seguir;
• resultados negativos ("nenhuma saída adicional deste endereço após o bloco 966.410") e anomalias;
• qualquer desvio do procedimento da unidade e o motivo.

2026-10-14T09:42Z  A. Examiner  Caso CF-2026-041
Fonte: nó Bitcoin próprio, cliente v30.x, totalmente sincronizado até a altura 971,031
Ação: obtida tx 4f3a…c21e (bloco 966,204, hash 0000…3b9e), 6 saídas
Saída salva: raw/4f3a_c21e.json  SHA-256 registrado no registro de evidências
Decisão: saída 2 tratada como troco (mesmo tipo de script das entradas, valor não redondo);
         saída 4 (0.30 BTC) é o pagamento de interesse. Saídas 1, 3, 5, 6 reservadas
         para revisão posterior: valores e horários não correspondem ao pagamento da vítima (anotação 17)

A anotação registra a fonte, o bloco exato, o arquivo de saída e por que algumas saídas foram deixadas de lado. A decisão é identificada como um julgamento, não como um fato, para que o revisor saiba que ela precisa ser testada. As anotações fazem parte dos autos do caso e geralmente estão sujeitas à divulgação, portanto escreva-as como se a defesa fosse lê-las (consulte a aula Divulgação e escrutínio da defesa).

O que torna a evidência de blockchain diferente

A maior parte das evidências digitais reside em um dispositivo que precisa ser apreendido e ter sua imagem criada antes que alguém possa examiná-lo. Os dados de blockchains públicas se comportam de maneira diferente em três aspectos.

São públicos. Não é necessário um mandado para ler o livro-razão, e nenhuma cópia isolada é "a original". Todos os nós completos mantêm o mesmo histórico. Isso não torna todos os fatos públicos: a pessoa por trás de um endereço, o livro-razão interno de uma exchange e o dispositivo que assinou uma transação estão todos fora da blockchain, e esses elementos ainda são obtidos por apreensão ou por meios legais.

São replicáveis. Um ID de transação é, por si só, um hash dos dados da transação, e cada cabeçalho de bloco vincula-se criptograficamente às suas transações e ao bloco anterior. Qualquer pessoa com um nó pode recuperar a mesma transação e verificar se ela corresponde ao seu ID e ao seu bloco. Dois peritos em continentes diferentes, com softwares diferentes, podem confirmar os mesmos fatos brutos. Isso torna a reprodutibilidade, o mais difícil dos quatro requisitos para a maioria das evidências de dispositivos, quase automática para dados brutos da blockchain, desde que o perito registre os hashes dos blocos e aguarde a finalização (consulte a aula Preservação de evidências on-chain).

São interpretados. Os dados brutos indicam que um valor se moveu entre endereços. Eles não dizem quem os controla, qual saída é troco ou se um depósito pertence a um suspeito. Essas afirmações vêm de heurísticas, rótulos e inferências, e é aí que os erros ocorrem. A ISO/IEC 27042 aborda exatamente essa camada.

Um relatório sólido mantém essas camadas visivelmente separadas. A aula Qualidade, normalização e proveniência dos dados aborda o registro da camada bruta. A aula Rastreamento segundo um padrão probatório aborda a classificação dos vínculos construídos sobre ela.

Foco no exame: o escopo das normas ISO/IEC 27037, 27041, 27042, 27043 e 17025 conforme declarado em seus resumos; os quatro processos da 27037 (identificação, coleta, aquisição, preservação) e a diferença entre coleta e aquisição; as funções de DEFR e DES; relevância, confiabilidade e suficiência, incluindo suficiência como teste de uma hipótese, não como volume; auditabilidade, repetibilidade, reprodutibilidade e justificabilidade, e repetibilidade versus reprodutibilidade; o que as anotações contemporâneas devem registrar, incluindo decisões e resultados negativos; por que os dados de blockchain são públicos e replicáveis, mas seu significado é interpretado; manter separadas as camadas de dados brutos, dados decodificados, heurísticas, rótulos e conclusões.