O Que Acontece Depois de um Roubo de Carteira de Cripto

Descobrir que uma carteira de cripto foi hackeada desencadeia um tipo específico de pânico, agravado pelo facto de que, ao contrário de um cartão de crédito roubado, uma transação de blockchain confirmada não pode simplesmente ser revertida com uma chamada telefónica. O que acontece nos minutos e horas a seguir à descoberta determina genuinamente quanto ainda pode ser contido, e vale a pena ter em mente uma sequência clara e ordenada antes de alguma vez precisar dela.

Contenção imediata, por ordem

Corte primeiro qualquer acesso adicional

Se o comprometimento ainda estiver ativo, ou seja, se os fundos continuarem a mover-se ou o atacante ainda parecer ter alguma forma de acesso, a primeira prioridade é cortar esse acesso, e não avaliar o alcance total do que aconteceu. Desligue o dispositivo afetado da internet, feche quaisquer sessões ativas de navegador da carteira, e desligue a carteira de todas as aplicações descentralizadas às quais tenha acesso de aprovação.

Mova os fundos restantes para uma nova carteira

Quaisquer ativos que restem na carteira comprometida devem ser movidos imediatamente para uma carteira totalmente nova, gerada com uma frase semente recém-criada num dispositivo separado e de confiança. Nunca reutilize a frase ou a chave privada da carteira comprometida de forma alguma, mesmo que apenas parte das participações da carteira tenha sido afetada, já que não há forma fiável de confirmar que o resto da frase também não foi exposto.

Revogue as aprovações permanentes

Assim que os fundos restantes estejam garantidos, reveja e revogue quaisquer aprovações de token que a carteira comprometida tenha concedido, já que alguns ataques dependem de uma aprovação permanente que pode ser exercida de novo mais tarde, em vez de uma transferência imediata e única. O nosso guia sobre revogar aprovações de token percorre este processo em detalhe.

Se mais do que uma pessoa tinha acesso à carteira

Quando uma carteira comprometida era partilhada entre cofundadores, uma equipa empresarial, ou familiares, a contenção inclui um passo adicional além de proteger o acesso técnico: notificar imediatamente todas as outras pessoas com acesso legítimo, já que podem deter uma parte de uma configuração multisig, uma frase de reserva, ou uma aprovação numa conta ligada que também precisa de ser revogada ou rodada. Um comprometimento que começou com o dispositivo de uma pessoa pode, de outra forma, alastrar-se silenciosamente a todas as outras pessoas que ainda confiam na mesma infraestrutura de carteira partilhada. As empresas a lidar com um comprometimento deste tipo devem também preservar registos adequados para uma investigação empresarial formal, já que o padrão probatório para uma perda corporativa é muitas vezes mais elevado do que para uma perda individual.

Uma linha temporal realista de uma resposta bem gerida

• Minuto zero a cinco: o comprometimento é notado, seja através de um alerta de transação inesperada ou de um saldo de carteira que já não corresponde ao esperado, e o dispositivo afetado é imediatamente desligado da internet.
• Minuto cinco a vinte: os fundos restantes são movidos para uma nova carteira gerada num dispositivo separado e de confiança, priorizando primeiro os ativos mais valiosos se o tempo ou os custos de gás tornarem impraticável mover tudo de uma vez.
• Minuto vinte a sessenta: todas as ligações a aplicações descentralizadas e aprovações de token associadas à carteira comprometida são revistas e revogadas usando uma ferramenta de verificação de aprovações de boa reputação.
• Hora um a três: o incidente é documentado em detalhe, incluindo identificadores de transação, endereços de destino, carimbos de tempo, e capturas de ecrã, enquanto a sequência dos acontecimentos ainda está fresca e fácil de recordar com precisão.
• Hora três a vinte e quatro: são apresentadas denúncias a qualquer exchange associada ao endereço recetor e ao organismo nacional de denúncia de cibercrime apropriado, e é tomada uma decisão sobre se uma investigação profissional de rastreamento vale a pena, dado o montante envolvido.

Nem todos os casos avançarão exatamente a este ritmo ao longo desta linha temporal, e um comprometimento descoberto dias depois de ter ocorrido obviamente não pode recriar retroativamente a primeira hora. O valor de pensar em termos de uma linha temporal é que estabelece uma ordem de operações por defeito, para que uma vítima no meio de um acontecimento stressante e confuso não tenha de inventar um plano de resposta do zero em tempo real.

Como a situação muda à medida que o tempo passa

Na primeira hora depois de um roubo, a prioridade é quase inteiramente contenção, travar mais perdas e proteger o que resta. No primeiro dia, a prioridade muda para documentação e denúncia, já que as exchanges e plataformas que ainda possam conseguir congelar fundos geralmente agem mais depressa, se é que agem, quanto mais cedo forem notificadas. Na primeira semana, se os fundos roubados ainda não tiverem sido congelados numa exchange, o foco realista volta a mudar para o rastreamento e para a construção de um registo documentado para as forças da lei ou uma ação civil, já que a essa altura os fundos tipicamente já passaram por carteiras intermédias suficientes para que qualquer oportunidade de congelamento no destino original já tenha provavelmente passado. Compreender qual a fase aplicável a um determinado caso ajuda a definir expectativas realistas. Uma vítima que denuncia um roubo um mês depois de ter ocorrido não está na mesma posição de quem o denuncia dentro da primeira hora, e os próximos passos apropriados diferem em conformidade, ainda que a perda subjacente e o seu impacto emocional sejam os mesmos.

Documentação, antes de a memória desvanecer

• Todos os identificadores de transação não autorizados e os endereços de carteira em ambas as extremidades de cada transferência.
• Carimbos de tempo exatos de quando ocorreu cada transação e de quando o comprometimento foi notado pela primeira vez.
• Capturas de ecrã das transações, de qualquer mensagem de phishing ou site falso envolvido, e de quaisquer notificações de atividade de conta relacionadas.
• Um relato escrito do que aconteceu imediatamente antes do comprometimento, incluindo qualquer site visitado, mensagem recebida, ou software instalado nos dias anteriores.

Esta documentação importa mais do que a maioria das vítimas inicialmente percebe. É a base para uma denúncia às forças da lei, para qualquer pedido a uma exchange para assinalar um endereço recetor, e para um esforço de rastreamento de blockchain a tentar estabelecer onde os fundos acabaram por se fixar. Provas como estas tornam-se significativamente mais difíceis de reconstruir mesmo apenas alguns dias depois, assim que a memória da sequência exata começa a desvanecer.

Denunciar o incidente

Denuncie o roubo à exchange associada ao endereço de carteira recetor, se este puder ser identificado, já que as exchanges por vezes conseguem assinalar ou congelar fundos ainda não levantados ou convertidos. Separadamente, apresente uma denúncia junto da autoridade nacional de cibercrime apropriada, como o Internet Crime Complaint Center do FBI nos Estados Unidos, ainda que a recuperação através apenas das forças da lei seja incerta. Uma denúncia documentada também importa para qualquer efeito posterior de seguro, fiscal, ou jurídico associado à perda.

• A data, hora, e fuso horário exatos em que a transação não autorizada ocorreu, juntamente com a rede de blockchain envolvida.
• O hash ou identificador de transação completo de cada transferência não autorizada, não apenas a primeira, caso tenham ocorrido várias.
• O endereço de carteira que enviou os fundos e todos os endereços de destino para onde se moveram, se conhecidos.
• Qualquer ficheiro, mensagem, email, ou site que se acredite estar ligado à forma como o comprometimento aconteceu, anexado ou descrito com o máximo detalhe possível.

Vale a pena definir expectativas realistas sobre o que uma denúncia às forças da lei alcança a curto prazo. Agências como o IC3 do FBI agregam sobretudo denúncias para identificar padrões e operações criminosas maiores, e um caso individual, particularmente um mais pequeno, pode não receber um investigador dedicado de imediato. Isso não torna a denúncia inútil. Os dados agregados de muitas denúncias individuais são muitas vezes o que acaba por apoiar uma apreensão ou acusação maior, e uma denúncia documentada continua a ser necessária para qualquer futura reclamação de seguro, fiscal, ou civil associada à perda, independentemente de um investigador ser ou não atribuído de imediato.

Rastrear para onde foram os fundos

Como a atividade de blockchain fica permanentemente registada, é muitas vezes possível rastrear exatamente para onde os fundos roubados se moveram depois do roubo inicial, mesmo através de múltiplos saltos ou em diferentes redes de blockchain. Esse rastreamento não garante que os fundos serão recuperados, mas produz um relato documentado do fluxo de fundos que pode apoiar um encaminhamento às forças da lei ou um pedido de congelamento a uma exchange. Uma explicação geral de como este processo funciona é abordada em o nosso guia sobre como os investigadores de blockchain rastreiam fundos roubados, e um percurso mais específico para rastrear bitcoin em particular está disponível em o nosso guia sobre rastrear bitcoin roubado.

Erros comuns que pioram a situação

• Publicar publicamente sobre o roubo, incluindo o identificador de transação ou o endereço de carteira, nas redes sociais antes de o denunciar a uma exchange ou investigador, já que isto pode alertar o atacante para acelerar a lavagem dos fundos.
• Tentar contactar ou negociar diretamente com o atacante, seja através de uma mensagem on chain ou de um endereço de email deixado num site de phishing, o que raramente produz a devolução de fundos e por vezes expõe a vítima a mais visadas.
• Pagar uma taxa antecipada a um estranho que contacta a vítima a oferecer recuperação garantida de fundos pouco depois de o roubo se tornar visível on chain, um padrão abordado em profundidade em o nosso guia sobre burlas de recuperação.
• Continuar a usar as mesmas palavras-passe, frases de recuperação, ou dispositivos envolvidos no comprometimento original para qualquer nova carteira ou conta, na presunção de que a vulnerabilidade específica já foi corrigida.
• Esperar para reunir todos os detalhes na perfeição antes de apresentar qualquer denúncia, quando uma denúncia inicial pode tipicamente ser alterada ou complementada mais tarde à medida que mais informação se torna disponível.

Evitar a segunda burla

As vítimas de um roubo de carteira são frequentemente visadas de novo pouco depois por alguém que alega conseguir recuperar os fundos roubados por uma taxa antecipada, por vezes contactando a vítima diretamente com detalhes que tornam a oferta credível. Nenhum investigador legítimo consegue garantir um resultado de recuperação específico, já que uma transação de blockchain não pode ser revertida por ninguém, incluindo as forças da lei. O nosso guia sobre burlas de recuperação aborda os padrões específicos a que deve estar atento. As empresas que investigam este tipo de roubo, incluindo a Coin Trace, trabalham numa base documentada e por caso, e são diretas sobre o facto de a recuperação depender de para onde os fundos se moveram e se existe um caminho viável, não de qualquer garantia feita antecipadamente.

Perguntas frequentes

Fontes e leituras adicionais

• What To Know About Cryptocurrency and Scams · Federal Trade Commission
• New crypto payment scam alert · Federal Trade Commission
• Internet Crime Complaint Center · FBI Internet Crime Complaint Center (IC3)

Leituras relacionadas