O rastreamento numa única blockchain, seguir Bitcoin roubado de endereço em endereço na própria blockchain Bitcoin, já é suficientemente difícil por si só, como abordado no nosso guia sobre como rastrear Bitcoin roubado. Os casos modernos de roubo acrescentam mais uma camada de complexidade, porque os fundos roubados hoje em dia raramente permanecem numa única blockchain. São transpostos para outra rede, trocados por um ativo diferente, e movidos de novo, por vezes minutos após o roubo original. Este guia explica como esse movimento entre blockchains é realmente acompanhado.
Por Que os Ladrões Movem Fundos Entre Blockchains
Mover fundos roubados entre blockchains não tem a ver, sobretudo, com se esconder de um ponto de vista técnico, já que cada blockchain envolvida continua pública. Tem a ver com quebrar a visão contínua e única do livro-razão que torna o rastreamento numa única blockchain simples. Quando os fundos saem da Ethereum e chegam a uma rede diferente como um token diferente, uma ferramenta construída apenas para observar a Ethereum simplesmente perde o rasto nesse ponto, mesmo que os fundos não tenham de facto desaparecido.
Serve também fins práticos para um ladrão: alcançar plataformas de liquidez, exchanges descentralizadas ou serviços disponíveis numa rede diferente, e em muitos casos visando especificamente blockchains ou pontes conhecidas por terem controlos de conformidade mais fracos ou cooperação mais lenta com investigadores.
Como Funciona Realmente uma Ponte Entre Blockchains
Uma ponte é um protocolo que permite a um utilizador mover valor de uma blockchain para outra. Mecanicamente, isto acontece geralmente de duas formas. Num modelo de bloqueio e cunhagem, o ativo original é bloqueado num contrato inteligente na blockchain de origem, e um token embrulhado equivalente é cunhado na blockchain de destino. Num modelo de fundo de liquidez, o utilizador deposita um ativo num fundo na blockchain de origem e um montante correspondente é pago a partir de um fundo equivalente na blockchain de destino, sem que os tokens originais sejam bloqueados da mesma forma.
De qualquer forma, uma transação de ponte deixa registos em ambos os lados, um evento de depósito ou bloqueio na blockchain de origem, e um evento de cunhagem ou pagamento na blockchain de destino, geralmente dentro de uma janela de tempo curta e identificável e frequentemente por um montante muito próximo. Essa correspondência, de tempo e montante, é o principal gancho que os investigadores usam para reconectar as duas metades do rasto.
Pontes custodiadas versus pontes sem confiança
Uma distinção que importa mais para a ação legal do que para a matemática do rastreamento em si é se uma ponte é custodiada, ou seja, uma empresa ou fundação controla os fundos bloqueados e opera o processo de cunhagem, ou sem confiança, ou seja, o processo é governado inteiramente por contratos inteligentes e um conjunto descentralizado de validadores sem qualquer operador único a controlar. Uma ponte custodiada é um ponto de estrangulamento por direito próprio, já que a entidade operadora pode, em princípio, ser alcançada com uma intimação ou pedido legal da mesma forma que uma exchange. Uma ponte totalmente sem confiança não oferece um alvo legal equivalente, o que significa que o rasto tem de ser seguido até chegar a qualquer ponto de estrangulamento que os fundos eventualmente alcancem na blockchain de destino, já que o próprio protocolo da ponte não oferece ninguém a quem exigir.
O Método Real: Correlacionar Ambos os Lados do Rasto
O rastreamento entre blockchains funciona tratando cada ponte ou troca como um evento de ligação, e não como um ponto final. O processo geralmente segue estes passos:
- Confirmar a transação exata em que os fundos roubados entram num contrato de ponte ou protocolo de troca conhecido na blockchain de origem, juntamente com o montante e o carimbo de tempo precisos
- Consultar a blockchain de destino, ou, no caso de uma ponte que suporte vários destinos, cada blockchain candidata, à procura de um evento correspondente de cunhagem, pagamento ou depósito dentro de uma janela de tempo plausível
- Corresponder montantes, tendo em conta taxas de ponte, conversões de taxa de câmbio, e atrasos típicos de processamento, para restringir qual a transação da blockchain de destino que corresponde ao evento de origem
- Retomar o clustering de endereços padrão, usando as heurísticas descritas no nosso guia de rastreamento de Bitcoin adaptadas ao modelo de conta ou UTXO da nova blockchain, a partir do endereço de destino recém identificado
- Repetir este processo para cada ponte ou troca subsequente pela qual os fundos passem, construindo um mapa multi blockchain conectado, em vez de vários fragmentos desconectados de uma única blockchain
As plataformas modernas de inteligência de blockchain automatizam grande parte desta correlação, mantendo bases de dados de endereços conhecidos de contratos de pontes e de mistura, e aplicando correspondência de padrões em dezenas de blockchains simultaneamente, o que é o que transforma o que de outra forma seriam semanas de cruzamento manual de referências numa investigação estruturada e oportuna.
Equívoco Comum: os Tokens Embrulhados Quebram a Cadeia de Propriedade
Um mal-entendido frequente é que, assim que um ativo é transposto por uma ponte e se torna um token embrulhado, ou seja, uma representação do ativo original emitida numa nova blockchain, como Bitcoin embrulhado na Ethereum, de alguma forma corta a ligação de volta aos fundos originalmente roubados. Não corta. Todo o propósito de um token embrulhado é representar um montante específico e bloqueado do ativo original numa base de um para um, e o evento de cunhagem que o cria é em si uma transação registada na blockchain de destino, ligada por tempo e montante ao evento de bloqueio na blockchain de origem. Os investigadores não precisam de tratar um ativo embrulhado como um ativo novo e desconectado. Tratam o próprio embrulho como mais uma ligação na mesma cadeia contínua de custódia, não diferente em princípio de um salto de cadeia de descasque numa única blockchain.
Um Exemplo Prático: Seguindo Fundos Através de Duas Blockchains
Considere fundos roubados de uma carteira Ethereum num ataque de phishing. O ladrão move imediatamente os fundos para um contrato de ponte, bloqueando o ETH roubado e recebendo um ativo embrulhado equivalente numa blockchain separada, mais rápida e mais barata, especificamente para alcançar exchanges descentralizadas aí disponíveis. Um investigador a rastrear o caso confirma primeiro o montante e o carimbo de tempo exatos do evento de bloqueio na Ethereum, depois consulta a blockchain de destino à procura de um evento de cunhagem correspondente dentro da janela típica de processamento da ponte, geralmente minutos para a maioria das pontes modernas.
Depois de fazer corresponder os dois eventos, o investigador retoma o clustering na blockchain de destino, onde o ladrão troca o ativo embrulhado por uma stablecoin através de uma exchange descentralizada, e depois envia essa stablecoin para uma exchange centralizada para converter em dinheiro. Mesmo que os fundos tenham passado da Ethereum para uma blockchain separada e sido convertidos duas vezes ao longo do caminho, o rasto permanece contínuo: evento de bloqueio, evento de cunhagem correspondente, troca descentralizada, e finalmente um depósito numa exchange identificável e regulada, que se torna o ponto de estrangulamento para um encaminhamento legal exatamente da mesma forma que um caso Bitcoin numa única blockchain se resolveria.
Serviços de Mistura e o Problema do Salto Entre Blockchains
Os serviços de mistura acrescentam um passo deliberado de obscurecimento, juntando fundos de muitos depositantes diferentes e pagando a partir desse fundo comum em vez de uma transação direta de um para um, o que enfraquece a correlação de tempo e montante de que o rastreamento entre blockchains normalmente depende. Na sequência de ações de sanções e desmantelamentos das forças da lei contra vários grandes serviços de mistura nos últimos anos, uma parte da atividade ilícita mudou-se para encadear várias pontes entre blockchains em vez disso, já que saltos rápidos e de alto volume entre pontes produzem um efeito de obscurecimento semelhante com menor risco operacional.
Isto não derrota o rastreamento por completo. Os investigadores constroem cada vez mais impressões digitais comportamentais, padrões no tempo das transações, na estruturação dos montantes, e nas fontes de pagamento de taxas de rede, que conseguem sobreviver mesmo quando não está disponível uma única correspondência limpa de tempo e montante. Mas aumenta significativamente o esforço exigido e pode, em alguns casos, quebrar o rasto por completo num ponto de estrangulamento que não oferece cooperação.
- Correlação de tempo, correspondendo um evento de bloqueio ou depósito na blockchain de origem a um evento de cunhagem ou pagamento na blockchain de destino dentro da janela típica de processamento da ponte
- Correlação de montante, tendo em conta taxas de ponte conhecidas e derrapagem para confirmar que um evento de destino corresponde a um evento de origem específico
- Análise de financiamento de taxas de rede, já que a carteira usada para pagar taxas de rede numa nova blockchain muitas vezes tem de ser financiada de algum lugar, revelando ocasionalmente um endereço separado controlado pelo mesmo agente
- Rotulagem de contratos conhecidos, mantendo bases de dados de endereços de contratos de pontes, mistura e exchanges descentralizadas, para que ferramentas automatizadas reconheçam um salto de branqueamento no momento em que ocorre
Um rasto que arrefece numa blockchain raramente significa que os fundos desapareceram. Na maioria dos casos modernos de roubo, significa que os fundos atravessaram uma ponte para outra rede, e a investigação precisa de seguir esse mesmo valor até à nova blockchain, em vez de tratar a blockchain original como o fim da história.
Onde o Rasto Leva: Os Mesmos Pontos de Estrangulamento, Mais Passos
Apesar da complexidade acrescentada, o destino de um rastreamento entre blockchains é geralmente o mesmo tipo de ponto de estrangulamento descrito no rastreamento numa única blockchain, uma exchange centralizada ou outro serviço regulado onde os fundos são eventualmente convertidos em valor gastável. O movimento multi blockchain acrescenta saltos à viagem, mas raramente remove a necessidade eventual de o ladrão converter em dinheiro em algum lugar que, em princípio, possa ser alcançado com o processo legal certo. É por isso que os casos entre blockchains ainda se resolvem, quando se resolvem, através da mesma combinação de rastreamento, cooperação de exchanges e ação legal descrita no nosso guia sobre se a criptomoeda roubada pode ser recuperada.
Uma Nota Sobre Expectativas Realistas para Casos Complexos
Os casos de branqueamento entre blockchains e multi saltos demoram significativamente mais tempo a investigar do que um roubo direto numa única blockchain, e a complexidade acrescentada reduz de facto as hipóteses de chegar a um ponto de estrangulamento limpo e acionável em todos os casos. A equipa de casos da Coin Trace constrói mapas de fluxo de fundos multi blockchain exatamente para estas situações, documentando cada ponte, troca e transição de blockchain, mas é honesto dizer que quanto mais saltos um rasto atravessa, mais esse rasto depende da cooperação de serviços ao longo do caminho, e essa cooperação não é algo que nenhum investigador possa garantir antecipadamente.
Perguntas frequentes
Não. Cada lado de uma transação de ponte continua registado na respetiva blockchain pública. As pontes acrescentam complexidade ao quebrar a visão contínua e única do livro-razão, mas os investigadores correlacionam as transações de origem e destino usando tempo, montante e endereços conhecidos de contratos de ponte para reconectar o rasto.
Uma ponte move valor entre duas blockchains diferentes e geralmente preserva uma ligação bastante direta e correspondível entre a transação de origem e a de destino. Um serviço de mistura junta fundos de muitos depositantes não relacionados na mesma blockchain e paga a partir desse fundo comum, o que é especificamente concebido para quebrar a correlação de um para um de que o rastreamento depende, tornando-o um obstáculo mais difícil do que uma ponte típica.
Não existe um número fixo. Cada ponte, troca ou passo de mistura adicional acrescenta custo e esforço à investigação e reduz as hipóteses de uma correspondência limpa, mas já se conseguiram rastrear fundos com sucesso através de muitos saltos e várias blockchains diferentes em casos documentados. O rasto tipicamente termina não por um limite técnico mas porque chega a um serviço que não vai cooperar ou a uma ferramenta de privacidade que quebra a correlação por completo.
Não é necessária qualquer autorização especial para analisar os próprios dados públicos da blockchain, já que cada blockchain envolvida é um livro-razão público. O que exige processo legal é obrigar uma empresa privada, como uma exchange ou operador de ponte, a divulgar informação de identidade da conta ou a congelar fundos assim que um rasto chega à sua plataforma.
Não significativamente. Um token embrulhado é criado através de um evento de cunhagem ligado por tempo e montante a um evento de bloqueio na blockchain original, portanto o próprio embrulho é apenas mais uma ligação documentada na cadeia de custódia, e não uma quebra nela. Os obstáculos mais difíceis são os serviços de mistura e as moedas de privacidade, não os mecanismos de embrulho usados por pontes comuns.
Fontes e leituras adicionais
- Cross-Chain Tracing in Crypto: How It Works and Why It Matters · TRM Labs
- Crypto mixers and crosschain bridges: How hackers launder stolen assets · Cointelegraph
- How to investigate emerging risks related to cross chain crime · Crystal Intelligence