O período imediatamente a seguir à descoberta de um roubo é a janela mais valiosa que tem. Parte daquilo de que uma investigação depende, o estado dos dispositivos, os carimbos de tempo exatos, os registos de sessão, pode desaparecer rapidamente se não for capturado desde cedo. A maior parte do que determina se um caso é viável fica decidida nestas primeiras horas, não semanas mais tarde quando uma investigação formal começa.
O que capturar de imediato
- O identificador de transação (hash) de cada transferência não autorizada.
- O endereço da carteira de origem e de destino de cada transação.
- Uma captura de ecrã da transação num explorador de blockchain, com o carimbo de tempo visível.
- A hora exata em que reparou pela primeira vez que os fundos tinham desaparecido, mesmo que aproximada.
Isto não precisa de estar impecável. Uma pasta de capturas de ecrã reunida à pressa dentro da primeira hora vale mais do que um resumo cuidado escrito uma semana depois de memória, já que os carimbos de tempo exatos e os detalhes da transação são fáceis de recordar mal assim que o choque inicial passa.
Proteja o que resta antes de mais nada
Se alguma parte da carteira afetada, conta de exchange, ou aplicação ligada ainda estiver acessível, deixe de interagir com ela além do estritamente necessário para a proteger. Não tente mover os fundos restantes usando o mesmo dispositivo ou sessão de navegador que possa ter sido comprometida, e não assine mais nenhuma transação até compreender como o acesso foi perdido em primeiro lugar.
Se um dispositivo puder ter sido o ponto de comprometimento, resista ao instinto de o repor de fábrica de imediato. Essa reposição destrói muitas vezes exatamente as provas, ficheiros maliciosos, registos de extensões do navegador, atividade de início de sessão invulgar, que de outra forma explicariam como o roubo aconteceu.
A segunda burla a que deve estar atento
Evite continuar a interagir com a carteira comprometida, e desconfie de quem o contacte a oferecer recuperar os seus fundos instantaneamente, especialmente se pedir que envie mais criptomoeda primeiro. Essa é uma segunda burla comum, e surge muitas vezes dias depois do roubo original, por vezes vinda de alguém que já parece conhecer os detalhes do seu caso.
O trabalho de investigação legítimo nunca começa com um resultado garantido ou um pagamento exigido antes de qualquer análise ter sido feita. Trate qualquer oferta não solicitada nesse sentido como um sinal de alerta, não como uma pista.
Preserve qualquer comunicação relacionada, incluindo emails de phishing, mensagens suspeitas ou notificações de recuperação de conta, exatamente como chegou, em vez de a resumir de memória. Este registo torna-se muitas vezes o ponto de partida para perceber como o acesso foi originalmente perdido.
O que acontece depois de tudo estar protegido
Uma vez protegida a conta e capturado o registo, o passo seguinte razoável é decidir quem deve rever tudo, um investigador, um advogado, ou ambos, consoante o montante envolvido e se está em causa uma empresa ou um particular. Não precisa de ter todos os detalhes perfeitamente organizados antes de entrar em contacto. Um registo precoce e honesto vale muito mais do que um registo polido montado depois de o rasto já ter arrefecido.