Estudo de caso integrador: do primeiro vestígio à recuperação

Casos reais exigem todas as habilidades deste curso ao mesmo tempo, sob pressão de tempo e com dados incompletos. Este estudo de caso integrador acompanha um furto fictício desde o primeiro alerta até a devolução dos fundos. Em cada etapa, faça três perguntas: de qual aula vem a ação, que registro ela deixa e até que ponto se pode confiar no resultado? Todos os nomes, endereços e valores são inventados, e os valores fecham, de modo que o caso também serve como exercício de conciliação (as taxas de rede, exceto os custos de swap na Chain B, são desconsideradas).

Visão geral do caso

Às 02:10 UTC de 14 de março de 2026, um atacante que havia comprometido um notebook usado para assinatura na Nordhaven Exchange (País A) esvaziou três carteiras quentes. Os preços naquele momento eram de USD 2.500 por ETH e USD 80.000 por BTC.

Outras partes: Brightwater OTC, uma corretora registrada no País B; Lumen Exchange, no País C; um emissor de stablecoin; um mixer de contrato inteligente com pools fixos de 100 ETH; e uma ponte de bloqueio e emissão para a Chain B, um rollup EVM.

Primeira hora: a pergunta, a preservação e o primeiro bloqueio

O monitoramento da Nordhaven emitiu um alerta às 02:31, e o responsável pelo incidente acionou a unidade policial de crimes cibernéticos às 02:40. O investigador de plantão abriu os autos do caso e registrou os pontos de partida: três txids do furto, os endereços do atacante em duas blockchains e os valores por ativo (Aula 1.2). Antes da primeira consulta, o pedido "encontre o dinheiro" foi reformulado como uma pergunta de escopo delimitado: para onde foram os ativos furtados nestas três transações, até os blocos de corte registrados em cada blockchain; quais serviços de custódia receberam algum deles; e qual é o nosso grau de confiança em cada vínculo? O escopo definiu as blockchains (Ethereum, Chain B, Bitcoin), um limite de saltos para cadeias de descascamento e uma regra de parada em qualquer serviço de custódia. Pediu-se aos engenheiros da Nordhaven que não apagassem o notebook comprometido; foi criada uma imagem forense, e o hash da imagem foi registrado antes da análise (Aula 8.3).

As duas transações do furto na Ethereum foram lidas a partir de seus recibos, não de um resumo de explorador: status 1 (sucesso) e, para o furto de USDT, o log Transfer decodificado (Aulas 2.4 e 2.9), com as unidades normalizadas de imediato: o USDT tem 6 casas decimais, portanto um valor bruto de 4.000.000.000.000 corresponde a 4.000.000 USDT (Aula 2.6). O endereço principal do atacante na Ethereum havia recebido, dois dias antes, 1,0 ETH retirado de um pool de 1 ETH de um mixer de contrato inteligente, antes de enviar qualquer transação; esse é o dinheiro do próprio atacante para gas, não valor furtado, por isso fica fora da conciliação. Esse financiamento diz quase nada sobre quem está por trás do endereço, portanto foi registrado como um beco sem saída, não como uma pista (Aula 6.3).

Os ativos passíveis de bloqueio vieram primeiro. Às 02:48, o atacante trocou 1.500.000 USDT por 600 ETH em uma exchange descentralizada, a uma taxa de 2.500 USDT por ETH, compatível com o mercado (Aula 5.2). Os 2.500.000 USDT restantes estavam em um único endereço, então o investigador enviou um pedido urgente de bloqueio ao emissor, que bloqueou o endereço às 03:05 (Aula 10.1). Até as 03:30, os indicadores haviam sido divulgados por canais de cooperação policial e por uma rede de alertas do setor.

A proposta da Nordhaven de enviar ao atacante uma mensagem on-chain oferecendo uma recompensa foi suspensa até que a equipe do caso aprovasse uma redação que não revelasse o que os investigadores sabiam (Aula 1.5).

Dias 1–12: rastreamento da divisão

O atacante agora detinha 3.000 ETH (2.400 furtados mais 600 provenientes do swap) e 50 BTC, e os dividiu. Cada vínculo foi classificado na escala A–D (Aula 3.2).

A etapa da ponte aplicou a correspondência de sete verificações da Aula 5.4: ambos os txids, o ID da mensagem, o destinatário e o valor correspondente foram incluídos na trilha. A etapa do mixer seguiu a Aula 6.3: o padrão de financiamento de gas foi registrado como uma inferência, com sua fundamentação e seus limites, e os 600 ETH foram registrados como não rastreados, em vez de "provavelmente do atacante".

A cadeia de descascamento foi acompanhada com uma consulta recursiva às tabelas de entradas e saídas (Aula 2.9) que, em cada salto, associa a saída de troco à transação que a gasta e mantém a maior saída dessa transação. "Maior saída" é apenas uma regra prática, portanto cada salto foi verificado em relação aos sinais de detecção de troco da Aula 4.2: o troco sempre ia para um endereço novo do mesmo tipo de script da entrada, os pagamentos tinham valores redondos, enquanto o troco não, e todas as transações compartilhavam a mesma versão, taxa por unidade de tamanho e padrão de locktime, uma impressão digital consistente de carteira. A concordância torna cada identificação de troco mais robusta, mas todos esses são sinais de detecção de troco lidos das mesmas transações, não evidências independentes; assim, o controle do troco permanece no grau C (Aula 3.2), independentemente de quantos sinais concordem.

O rótulo Lumen se baseou no que ocorreu depois: cada endereço de depósito teve seus fundos posteriormente consolidados, junto com os de mais de 100 outros endereços, em uma única carteira quente (Aulas 4.1 e 3.4), e essa carteira quente tinha uma única etiqueta de terceiros. Um segundo perito refez cada rastreamento a partir dos dados de nós, com registro das versões das ferramentas e dos instantâneos dos rótulos (Aulas 3.6 e 8.2).

Testando uma hipótese: quem controla bc1q…9tm4?

O saldo restante de 18 BTC não havia sido movimentado. O analista formulou três hipóteses: a carteira do próprio atacante (H1), um endereço de um serviço de custódia (H2) ou um terceiro pago pelo atacante (H3). O fluxo é compatível com as três: ele prova para onde os fundos foram, não quem controla o endereço. Os elementos diagnósticos eram os sinais de troco em cada salto, que apontam para a mesma carteira dos saltos anteriores (contra H3); a ausência de qualquer histórico do endereço antes da cadeia de descascamento e a ausência de consolidação em uma carteira quente (contra H2). H1 se manteve; H3 foi mantida como uma interpretação minoritária, porque os argumentos contra ela se apoiavam apenas em sinais heurísticos (Aula 1.2). O juízo provisório, expresso com probabilidade e confiança separadas, como exige a Aula 9.2, foi: É provável que o atacante controle bc1q…9tm4. A confiança é moderada, porque o vínculo se baseia em heurísticas de troco que concordam entre si, mas não são registros independentes.

Do serviço de conversão em moeda fiduciária ao suspeito

A atribuição à Brightwater se apoiava em dois indicadores independentes: suas próprias instruções de depósito publicadas, uma fonte autoidentificada que não lista endereços de depósito de clientes individuais, e um rótulo em dois conjuntos de dados independentes, verificados e datados (Aula 4.6). É por isso que o rótulo Brightwater começou no grau B e o rótulo Lumen apenas no C: uma fonte que fala em nome da entidade pode, por si só, sustentar o grau B, enquanto uma única etiqueta de terceiros é um indicador com modos de falha conhecidos (Aula 4.5). Como prestadora registrada no País B, a Brightwater poderia receber de imediato um pedido de preservação de registros por canais policiais e da unidade de inteligência financeira (UIF), seguido por um pedido de assistência jurídica mútua do País A (Aulas 1.3 e 1.4). Os Países A e B criaram uma equipe conjunta de investigação.

Os registros da Brightwater mostraram que todos os 4.980.000 USDC e as quatro retiradas do mixer (400 ETH, ou USD 1.000.000 a USD 2.500) foram creditados em uma única conta empresarial cujo diretor chamamos de Suspeito 1. A Brightwater já havia pago USD 2.980.000 (1.980.000 referentes a USDC e 1.000.000 referentes a ETH) a uma conta bancária no País B; 3.000.000 USDC ainda estavam na conta. Os registros, autenticados conforme descrito na Aula 7.5, corroboraram de forma independente a inferência sobre o mixer, que passou do grau D para B, mantendo-se o histórico de graus.

Os registros da Lumen mostraram que os seis depósitos foram para contas abertas por três laranjas financeiros, elevando o rótulo Lumen ao grau B. Os identificadores dos dispositivos usados para acessar essas contas correspondiam a um dispositivo que havia acessado a conta do Suspeito 1 na Brightwater (Aula 4.7). A cadeia de atribuição seguia endereço → agrupamento → serviço → conta → pessoa, cada camada com suas próprias evidências (Aula 4.5).

Evidências em dispositivos

Em 4 de abril, policiais do País B realizaram uma busca na residência do Suspeito 1 mediante mandado (Aula 7.2). Os peritos criaram uma imagem forense do telefone e encontraram uma foto de uma frase-semente em um backup de aplicativo de notas (Aulas 7.1 e 7.3). Restaurada em um dispositivo isolado do perito, sob autorização legal, ela derivou bc1q…9tm4 (Aula 7.4). Os 18 BTC foram transferidos integralmente naquela mesma manhã para uma carteira multisig 2-de-3 controlada pelo órgão (Aula 10.2). As palavras da frase-semente não aparecem em nenhuma anotação, log, relatório ou fotografia do caso; os autos registram o endereço derivado como identificador não secreto, duas pessoas identificadas nominalmente estiveram presentes e foram registradas sempre que o item de evidência contendo a frase-semente foi aberto, visualizado ou restaurado, e ele foi novamente lacrado com um novo número de lacre (controle duplo), e o txid da transferência integral permite que qualquer pessoa confirme quando os fundos foram movimentados (Aula 8.3).

O achado no dispositivo fez o que nenhuma heurística poderia fazer: o juízo provisório sobre bc1q…9tm4 foi substituído por um registro, uma frase-semente no telefone do Suspeito 1 da qual se deriva o endereço, grau A para o controle do endereço (Aula 4.5). Quem usou essa frase-semente continua sendo uma questão da camada individual, respondida com o restante das evidências dos dispositivos e das contas. A análise heurística permanece nos autos como o raciocínio que apontou para aquele endereço.

Bloqueios e apreensões

A conta bancária havia sido aberta duas semanas antes do furto e não recebeu nenhum outro dinheiro, portanto não foi necessário um método de alocação; o relatório afirmou isso explicitamente, em vez de deixar a questão em aberto (Aula 3.3). Cada apreensão foi avaliada no momento da transferência, com indicação da fonte do preço (Aula 10.3). A Nordhaven pediu a devolução dos bitcoins no próprio ativo, portanto não foi solicitada uma venda provisória.

Notificação, relatório e depoimento

A Lumen e a Brightwater foram notificadas, cada uma por seus canais de conformidade, apenas com seus próprios endereços de depósito, txids, valores e o grau de cada vínculo. Um endereço no histórico anterior do atacante na Ethereum, fora da trilha dos fundos furtados, foi resolvido por um serviço de nomes para algo que parecia ser o nome de uma pessoa física; ele ficou fora de todos os documentos compartilhados e foi incluído apenas em um anexo restrito para os trâmites legais (Aula 1.5).

O relatório do perito responsável seguiu a Aula 9.2: instruções, materiais com valores de hash de cada resposta de prestador e de cada imagem, métodos, constatações por vínculo com graus, limitações e apêndices com tabelas de txids geradas por consulta. Seguindo a Aula 9.3, ele continha um diagrama de Sankey por ativo, em vez de um único diagrama misturando unidades; um fluxograma mostrando os valores rastreados, inferidos e não rastreados com estilos de linha diferentes; e uma linha do tempo com uma faixa por blockchain. Antes do julgamento, o material não utilizado, incluindo fontes de rótulos e pesquisas publicadas sobre as taxas de erro da heurística do mixer, foi disponibilizado à defesa (Aula 8.4).

No contrainterrogatório, o advogado de defesa alegou ao perito que as heurísticas de mixer não são confiáveis. O perito concordou que o padrão de financiamento de gas, isoladamente, é apenas uma inferência (grau D), apontou a corroboração independente nos registros da Brightwater que o elevou ao grau B e observou que o vínculo dizia respeito a USD 1.000.000 dos USD 14.000.000 e que nenhuma outra constatação dependia dele (Aula 9.4). Reconhecer o limite tornou o restante das evidências mais crível.

Devolução dos fundos e conciliação

A Nordhaven havia ressarcido seus clientes com suas reservas, portanto figurava como requerente. Os Países B e C devolveram o que detinham ao País A sob acordos de devolução de ativos do tipo previsto na Recomendação 38 do FATF, com cada endereço de pagamento verificado por mensagem assinada antes da transferência (Aula 10.4). Enquanto isso, clientes da Nordhaven foram contatados por falsos "agentes de recuperação"; a polícia publicou um aviso de que jamais cobraria taxas.

A recuperação foi de 72,9% da perda aos preços no momento do furto, e o bitcoin, devolvido no próprio ativo, foi integralmente restituído. As perdas em ETH e USDT (USD 6.000.000 + 4.000.000 = 10.000.000) foram cobertas em 62% pelas recuperações rastreáveis a esses ativos: os USDT reemitidos, os USDC apreendidos e os fundos bancários bloqueados (2.500.000 + 3.000.000 + 700.000 = USD 6.200.000). Cada unidade de valor furtado tem um destino na tabela, a verificação final de que o rastreamento está completo.

Foco no exame: prioridades da primeira hora (pontos de partida, uma pergunta de escopo delimitado, preservação, ativos passíveis de bloqueio primeiro, divulgação de indicadores, comunicação controlada com o atacante); leitura de recibos e normalização de unidades de tokens; por que um endereço de atacante financiado por mixer é um beco sem saída; classificação de cada vínculo na escala A–D e manutenção do histórico de graus quando registros elevam uma inferência; correspondência entre depósitos e liberações de uma ponte; acompanhamento de uma cadeia de descascamento e confirmação do troco com várias heurísticas; atribuição de endereços de depósito por meio de consolidações e por que um rótulo autoidentificado tem mais peso que uma única etiqueta de terceiros; teste de hipóteses de controle e declaração separada de probabilidade e confiança; como evidências em dispositivos transformam uma inferência de controle em um registro, e o manuseio de frases-semente sem registrá-las; atribuição camada por camada, do agrupamento à pessoa; escolha do instrumento para cada ativo (emissor, prestador, banco, chaves); divulgação mínima a serviços e um anexo restrito para dados pessoais; reconhecimento de limites no contrainterrogatório; conciliação dos valores recuperados e perdidos com a perda total.