Recuperação de vítimas e vias cíveis

Apreender fundos é metade da recuperação de ativos; a outra metade é devolvê-los às pessoas que os perderam. Em casos de fraude e roubo, as vítimas podem chegar aos milhares, viver em dezenas de países e ter registros precários do que enviaram, enquanto os fraudadores as visam uma segunda vez com falsas ofertas de recuperação. Esta aula aborda como os investigadores identificam as vítimas, verificam reivindicações, apoiam vias cíveis e de insolvência, protegem as vítimas contra golpes de recuperação e devolvem ativos além das fronteiras.

Identificação de vítimas

As vítimas nem sempre se manifestam, e aquelas que o fazem podem não ser as únicas. Os investigadores combinam quatro fontes.

A fonte on-chain é a mais completa. Depois que os endereços de depósito do esquema forem estabelecidos (consulte a aula Do endereço à entidade e à pessoa), cada transferência recebida é um possível pagamento de uma vítima.

-- Possíveis pagamentos de vítimas para os endereços de depósito do esquema
SELECT t.from_address,
       COUNT(*)            AS payments,
       SUM(t.amount)       AS total_sent,
       MIN(t.block_time)   AS first_payment,
       MAX(t.block_time)   AS last_payment,
       l.entity_type       AS sender_label   -- por exemplo: exchange, desconhecido
FROM token_transfers t
JOIN scheme_addresses s ON s.address = t.to_address
LEFT JOIN labels l      ON l.address = t.from_address
WHERE t.from_address NOT IN (SELECT address FROM scheme_addresses)
GROUP BY t.from_address, l.entity_type
ORDER BY total_sent DESC;

A consulta lista cada remetente para o esquema, excluindo os endereços do próprio esquema para que as transferências internas não sejam contabilizadas como pagamentos de vítimas. Remetentes identificados como exchanges apontam para clientes que a exchange pode identificar mediante processo legal; remetentes sem identificação provavelmente usam carteiras autocustodiadas, cujos proprietários podem se manifestar. O resultado é uma lista de endereços e valores, não de pessoas: cada linha ainda precisa de um requerente e de provas. Registre a fonte e a versão dos rótulos, pois eles mudam (consulte a aula Fontes de atribuição e sua confiabilidade).

Verificação de reivindicações

Uma reivindicação é a afirmação de que uma pessoa controlava um endereço ou uma conta de envio e perdeu um valor declarado. A verificação examina cada parte.

1. A transação existe com o txid, o valor, o token e o horário declarados, e chegou a um endereço do esquema.
2. O requerente controlava o remetente. A prova pode ser um extrato da exchange que mostre o saque para o endereço do esquema ou uma mensagem assinada com a chave do endereço de envio. Uma captura de tela de um aplicativo de carteira, por si só, é uma prova fraca.
3. A reivindicação não está duplicada. Verificar as reivindicações entre si permite detectar o mesmo txid reivindicado duas vezes, por uma ou duas pessoas.
4. O requerente não faz parte do esquema. Endereços que também receberam pagamentos do esquema ou financiaram sua infraestrutura precisam de análise mais cuidadosa: às vezes, pessoas envolvidas no esquema se fazem passar por vítimas, e os participantes iniciais de um esquema do tipo Ponzi podem ter recebido mais do que investiram.
5. A perda líquida é calculada. Pagamentos efetuados menos quaisquer pagamentos recebidos do esquema.

Cada reivindicação termina com um status registrado (verificada, parcialmente verificada, rejeitada) e os respectivos motivos, para que a distribuição possa ser defendida e contestada. O perito que rastreou o esquema está em boa posição para realizar as verificações on-chain, mas cabe ao tribunal ou ao administrador decidir quem tem direito aos ativos.

Distribuição quando os recursos não são suficientes

Os ativos recuperados raramente cobrem todas as perdas. Suponha que uma autoridade recupere 1.200.000 USDT e que as perdas líquidas verificadas totalizem 3.000.000 USDT. Uma distribuição proporcional dá a cada vítima 40% de sua perda: uma vítima que perdeu 50.000 USDT recebe 20.000. A distribuição proporcional é comum quando os fundos das vítimas foram agrupados nos mesmos endereços, pois o rastreamento não permite afirmar com segurança de quem são as moedas restantes. Quando é possível rastrear separadamente os fundos de uma vítima até um saldo apreendido específico, alguns sistemas permitem que ela tenha uma reivindicação mais forte sobre esse saldo. A regra aplicável é uma questão jurídica; o perito apresenta os fatos rastreados segundo o método de rastreamento indicado (consulte a aula Métodos de rastreamento e suas consequências) para que qualquer uma das regras possa ser aplicada. Os custos de custódia e distribuição, e se serão deduzidos, devem estar claros nos valores apresentados.

Vias cíveis e de insolvência

O confisco criminal não é a única via. As vítimas e seus advogados, assim como os administradores de plataformas falidas, buscam ativos por meio dos tribunais cíveis, muitas vezes em paralelo a um processo criminal. Os instrumentos variam de país para país, mas a maioria dos sistemas oferece alguma versão de:

• Ordens de congelamento dos ativos de um réu, em alguns sistemas até mesmo contra pessoas ainda não identificadas, utilizadas contra criptoativos roubados mantidos em exchanges.
• Ordens de divulgação dirigidas a terceiros, como uma exchange que recebeu os fundos, para obter os dados dos titulares das contas.
• Reivindicações de propriedade sobre ativos específicos rastreados, que podem ter prioridade sobre outros credores se o réu for insolvente.
• Processos de insolvência, nos quais um liquidante ou administrador judicial de uma plataforma falida rastreia e reúne ativos para todos os credores, geralmente avaliando as reivindicações relativas a criptoativos em moeda fiduciária em uma data de corte.

Alguns tribunais permitiram que documentos fossem enviados por meio do envio de um token ao endereço do réu, quando não havia outro meio de contato. Para o perito forense, o trabalho cível exige o mesmo padrão do trabalho criminal: o mesmo rastreamento documentado, a mesma classificação de confiança e o mesmo rigor na elaboração de relatórios (consulte a aula Elaboração do relatório forense). Aplicam-se duas ressalvas. A ação cível não deve alertar os suspeitos em uma investigação criminal em andamento, por isso é importante coordenar com os promotores. Além disso, as provas obtidas em um processo geralmente só podem ser usadas em outro de acordo com as regras que o regem.

Cooperação com exchanges e emissores

Exchanges e emissores de stablecoins são parceiros frequentes na recuperação de vítimas, conforme descrito na aula IDFE-CC Congelamentos, solicitações das autoridades policiais e recuperação de ativos. Para os investigadores, três práticas são úteis: fazer solicitações precisas e verificáveis aos provedores, vinculadas aos valores rastreados; informá-los sobre quando os bloqueios podem ser liberados, para que clientes inocentes não permaneçam congelados indefinidamente; e acordar como os saldos congelados serão transferidos quando houver uma ordem, incluindo a queima e reemissão pelo emissor no caso de stablecoins. Algumas exchanges também mantêm as contas das próprias vítimas, o que simplifica a comprovação de titularidade e o pagamento.

Golpes de recuperação

Vítimas de fraude com criptoativos são alvos preferenciais de golpes de recuperação: fraudadores que se fazem passar por investigadores, advogados, reguladores ou "especialistas em recuperação de blockchain" e prometem recuperar os fundos perdidos mediante o pagamento antecipado de uma taxa. Eles encontram vítimas por meio de publicações em redes sociais, fóruns de reclamações e listas vazadas de clientes do esquema original, e alguns são operados pelos mesmos grupos. Sinais comuns:

• garantia de recuperação ou alegação de que os fundos já foram "encontrados";
• cobrança antecipada de uma taxa, um "imposto" ou uma "taxa de liberação" antes que os fundos possam ser devolvidos;
• solicitação da frase-semente da vítima ou de acesso remoto ao dispositivo dela;
• alegação de poderes especiais para "hackear de volta" ou reverter transações na blockchain;
• ordens judiciais, cartas policiais ou logotipos com aparência oficial falsificados;
• contato por uma conta pessoal de mensagens, em vez de um canal oficial.

Os investigadores alertam as vítimas por escrito no primeiro contato: a autoridade nunca cobrará uma taxa nem pedirá uma frase-semente, e todo contato será feito por um agente identificado ou por um portal oficial. Eles fornecem às vítimas um ponto de contato verificável. Relatos de golpes de recuperação representam novos crimes, e os endereços usados para receber os pagamentos são novas pistas.

Devolução de ativos além das fronteiras

Quando as vítimas estão no exterior ou os ativos foram confiscados em outro país, a devolução segue canais de cooperação internacional. A Recomendação 38 prevê que os países tenham mecanismos para coordenar apreensões e confiscos e compartilhar os ativos confiscados. A Convenção das Nações Unidas contra a Corrupção estabelece a devolução de ativos no Artigo 57, e a Convenção das Nações Unidas contra o Cibercrime trata da devolução e destinação dos produtos confiscados no Artigo 52, incluindo a devolução de bens aos seus legítimos proprietários e a compensação das vítimas. Os tratados definem a estrutura; o trabalho prático está no pagamento:

Foco no exame: as quatro fontes para identificar vítimas e suas limitações; listar as transferências recebidas por um esquema, excluindo seus próprios endereços; as cinco verificações de uma reivindicação, incluindo a prova de controle e pessoas envolvidas no esquema que se fazem passar por vítimas; calcular uma distribuição proporcional e entender por que fundos agrupados costumam ser distribuídos proporcionalmente; vias cíveis de congelamento, divulgação, reivindicação de propriedade e insolvência em termos gerais, e como coordená-las com um processo criminal; os sinais de golpes de recuperação e como os investigadores alertam as vítimas; a devolução transfronteiriça conforme a Recomendação 38 e as convenções da ONU, e a verificação dos endereços de pagamento.