Quando fundos são roubados em um golpe de criptomoedas, o dinheiro raramente fica parado. Em minutos, ele passa por carteiras intermediárias, se divide entre endereços e chega a uma exchange. Os investigadores que querem rastreá-lo enfrentam uma questão central a cada salto: quando fundos roubados se misturam com fundos legítimos na mesma carteira, quanto do que sai ainda é "sujo"?
A análise de contaminação é a resposta para essa pergunta. É uma das técnicas fundamentais por trás do rastreamento de fundos em blockchain, e compreendê-la explica tanto o que as ferramentas modernas de investigação conseguem fazer quanto onde elas encontram seus limites.
Este guia explica o que é análise de contaminação, os três métodos que os investigadores utilizam e um exemplo prático no Ethereum para que você possa ver exatamente como cada método se comporta.
O que é análise de contaminação?
A análise de contaminação estima qual parcela do saldo de uma carteira se originou de uma fonte ilícita conhecida e, em seguida, acompanha essa parcela conforme os fundos seguem adiante.
A ideia se baseia em um rótulo simples. Moedas conectadas a um roubo, golpe ou endereço sancionado são contaminadas; moedas sem essa conexão são limpas. Como uma única carteira quase sempre contém uma mistura de ambas, a técnica precisa de uma regra para dividir as transferências de saída em suas porções contaminadas e limpas.
Fundos contaminados vs. fundos limpos
Imagine um endereço que recebe 3.000 USDT roubados de uma vítima de golpe e, separadamente, 7.000 USDT provenientes de negociações comuns. A carteira agora possui 10.000 USDT, dos quais 3.000 são contaminados. Quando esse endereço envia posteriormente 9.000 USDT para uma exchange, o investigador precisa decidir quanto dos 9.000 de saída conta como contaminado. Regras diferentes produzem respostas diferentes, e essa escolha é o que distingue os três métodos abaixo.
Por que isso importa
Os investigadores usam isso para priorizar. Eles não podem congelar toda uma cadeia de transações, então precisam de uma estimativa defensável de quais endereços posteriores contêm valor roubado e quanto. Essa estimativa é o que é compartilhado com a equipe de conformidade de uma exchange ou incluído em um relatório para as autoridades policiais.
Por que a análise de contaminação existe
A dificuldade vem da forma como as blockchains combinam fundos. Em uma rede baseada em contas como o Ethereum, o saldo de uma carteira é um único número agrupado, então, uma vez que fundos contaminados e limpos chegam ao mesmo endereço, eles se tornam financeiramente indistinguíveis. Nada no registro bruto de transações diz "esta transferência de 9.000 USDT gastou o dinheiro sujo, não o dinheiro limpo."
A análise de contaminação preenche essa lacuna com uma regra contábil explícita. Pesquisadores catalogaram três métodos padrão de contaminação chamados Poison, Haircut e FIFO. As regras se aplicam a qualquer blockchain pública que registre transações abertamente, incluindo redes baseadas em contas como Ethereum e as demais redes EVM onde ocorre a maior parte dos roubos de tokens.
Os três métodos, com um exemplo prático
Os três métodos são Poison, Haircut e FIFO. O Poison marca cada saída de uma transação contaminada como totalmente suja; o Haircut divide a contaminação proporcionalmente entre as saídas; o FIFO atribui a contaminação pela ordem cronológica dos depósitos.
Considere a carteira do exemplo anterior: ela possui 10.000 USDT no Ethereum, dos quais 3.000 são contaminados (provenientes de uma vítima) e 7.000 são limpos. Ela envia 9.000 USDT para um endereço de depósito em uma exchange. Veja como cada método rotula esses 9.000 de saída.
Poison: contamina tudo que toca
O método Poison trata cada saída de uma transação que envolva qualquer entrada contaminada como totalmente contaminada. Não importa quão pequena seja a parcela suja.
Em nosso exemplo, toda a transferência de 9.000 USDT é marcada como contaminada, e o endereço de depósito da exchange é sinalizado como tendo recebido fundos roubados. O problema é evidente: fundos limpos são reclassificados como sujos, e o conjunto de moedas "contaminadas" cresce cada vez que toca uma nova carteira. O Poison é o método menos preciso, e os investigadores o utilizam principalmente como uma linha de base grosseira, em vez de uma estimativa funcional.
Haircut: contaminação proporcional
O método Haircut também trata cada saída como carregando contaminação, mas atribui a cada uma uma parcela proporcional em vez do valor total. A parcela contaminada da carteira era 3.000 de 10.000, ou 30%, portanto 30% da transferência de saída é contabilizado como contaminado.
Isso significa que 2.700 USDT dos 9.000 são rotulados como contaminados e 6.300 como limpos. O Haircut é mais realista do que o Poison porque preserva o valor total do dinheiro sujo em vez de inflá-lo. Sua fraqueza é que ele espalha um pouco de contaminação por um número muito grande de endereços, o que torna rastros longos ruidosos.
FIFO: contaminação em ordem
O método FIFO (first-in, first-out, ou primeiro a entrar, primeiro a sair) ignora proporções e considera a ordem. Os fundos saem da carteira na mesma sequência em que chegaram: o primeiro depósito que entrou é o primeiro a sair.
Em nosso exemplo, os 7.000 USDT limpos chegaram antes dos 3.000 contaminados. Pelo FIFO, os primeiros 7.000 USDT da transferência de saída são limpos, e apenas os próximos 2.000 são contaminados. Os 1.000 restantes de fundos contaminados permanecem na carteira. O FIFO produz o rastreamento mais preciso e menos ruidoso, razão pela qual é o método mais utilizado quando o objetivo é uma lista negra defensável ou um relatório com valor probatório.
| Método | Regra | 9.000 USDT de saída | Precisão |
|---|---|---|---|
| Poison | Qualquer contaminação torna toda a saída contaminada | 9.000 contaminados | Mais baixa — infla o conjunto sujo |
| Haircut | Parcela proporcional da contaminação | 2.700 contaminados | Média — ruidoso em rastros longos |
| FIFO | Primeiro a entrar, primeiro a sair por ordem | 2.000 contaminados | Mais alta — rastro mais limpo |
Os três métodos de análise de contaminação rotulando a mesma transferência de saída de 9.000 USDT. O FIFO (destacado) produz o rastro menos ruidoso.
O que a análise de contaminação pode e não pode fazer
A análise de contaminação é poderosa, mas é uma estimativa, não uma certeza, e um relato honesto depende de conhecer seus limites.
Ela funciona bem quando os fundos se movem por meio de transferências e trocas comuns. Ela encontra dificuldades em três situações. Mixers deliberadamente quebram o vínculo entre depósitos e retiradas, então a contaminação precisa ser reestabelecida com métodos estatísticos em vez de rastreamento direto. Alto volume de transações espalha a contaminação por tantos endereços que as estimativas do estilo Haircut perdem significado. E pontes cross-chain movem valor entre ledgers, então um rastro precisa ser reconstituído do outro lado.
Como a análise de contaminação se comporta em três cenários comuns. Transferências comuns são rastreadas de forma limpa; mixers e pontes cada um requer uma técnica adicional além da análise de contaminação.
Nenhum desses casos derrota completamente o rastreamento, mas cada um é um ponto onde o método que uma ferramenta utiliza, e com que cuidado é aplicado, muda a resposta.
Análise de contaminação vs. rastreamento completo de fundos
Análise de contaminação e rastreamento completo de fundos são relacionados, mas não idênticos. A análise de contaminação é a regra contábil; o rastreamento completo de fundos é a investigação de ponta a ponta.
A análise de contaminação responde a uma pergunta específica a cada salto: dada uma carteira que recebeu fundos contaminados, quanto da transferência de saída é sujo? É uma regra aplicada repetidamente.
O rastreamento completo de fundos é toda a investigação: identificar a transação do roubo, aplicar uma regra de rateio em cada salto (que pode ou não ser uma regra textual de Poison / Haircut / FIFO), percorrer o grafo, atribuir endereços a entidades reais (exchanges, mixers, pontes) e produzir um relatório sobre o qual alguém possa agir. A análise de contaminação é uma perspectiva conceitual dentro desse trabalho, ao lado de rotulagem de endereços, análise de clusters e correspondência cross-chain.
Quando um analista aplica explicitamente um método de contaminação, o FIFO é preferido para relatórios com valor probatório, o Haircut para análise exploratória em muitos endereços, e o Poison raramente.
Como esse raciocínio aparece nas ferramentas modernas
Aplicar manualmente qualquer regra contábil salto a salto em milhares de transações e várias cadeias não é realista, então os investigadores dependem de ferramentas de rastreamento de fundos.
O MetaSleuth da BlockSec é a ferramenta voltada para analistas nesse trabalho: ele reconstrói fluxos de fundos para que um investigador possa percorrer o grafo salto a salto, agrupar endereços e atribuí-los a entidades reais — como em seu estudo de caso do ataque à LI.FI. O Trace AI automatiza o mesmo trabalho investigativo com um agente de IA: um usuário descreve um roubo e fornece um endereço de carteira ou hash de transação, e o agente rastreia os fundos pelas cadeias que suporta e produz um relatório de fluxo de fundos com as entidades que o dinheiro alcançou.
Estas são ferramentas de rastreamento de fundos, não implementações de análise de contaminação. As regras de contaminação descritas acima compartilham a mesma pergunta subjacente — qual parcela do que saiu ainda é suja? — mas as ferramentas de rastreamento em produção tipicamente usam seus próprios métodos de grafo, agrupamento e atribuição em vez de uma regra textual de Poison / Haircut / FIFO. Compreender a análise de contaminação ainda é útil, pois esclarece o tipo de decisão que toda ferramenta de rastreamento precisa tomar a cada salto.
Perguntas frequentes
A análise de contaminação é precisa? A análise de contaminação produz uma estimativa defensável, não uma certeza. Sua precisão depende do método utilizado e da complexidade do rastro. O FIFO fornece os resultados mais limpos para transferências comuns, enquanto mixers e volumes de transações muito altos reduzem a confiança e exigem técnicas adicionais.
Qual é a diferença entre os métodos Poison e Haircut? Ambos tratam cada saída de uma transação contaminada como carregando contaminação, mas o Poison marca cada saída como totalmente contaminada, enquanto o Haircut atribui a cada uma uma parcela proporcional. O Poison infla o conjunto total de fundos sujos; o Haircut o preserva, o que torna o Haircut mais prático.
A análise de contaminação pode rastrear fundos através de um mixer? Não diretamente. Os mixers são projetados para quebrar o vínculo entre depósitos e retiradas, portanto regras simples de contaminação não conseguem seguir os fundos diretamente. Os investigadores reestabelecem a conexão usando análise estatística e comportamental, que é mais difícil e menos precisa do que rastrear uma transferência comum.
É ilegal possuir criptomoedas contaminadas? Possuir fundos que uma ferramenta rotula como contaminados não é automaticamente ilegal, e os rótulos de contaminação são estimativas, não julgamentos legais. Dito isso, as exchanges podem congelar depósitos vinculados a roubos, e lidar conscientemente com fundos roubados acarreta risco legal. A análise de contaminação indica onde procurar; ela não determina culpa.
Em quais blockchains a análise de contaminação funciona? Os princípios se aplicam a qualquer blockchain pública que registre transações abertamente, incluindo redes baseadas em contas como Ethereum e as demais redes EVM onde ocorre a maior parte dos roubos de tokens. A mecânica exata difere entre os modelos de transação, mas a lógica de contaminado versus limpo é a mesma.
Leituras relacionadas
- Estudo de caso de fluxo de fundos ilícitos: o ataque à LI.FI
- Como usar o MetaSleuth para rastrear fundos roubados
- Trace AI: rastreie criptomoedas roubadas com um agente de IA
Veja como a investigação baseada em IA aplica isso entre cadeias. Veja como o Trace AI funciona →
Sobre o autor. Andy é pesquisador de segurança na BlockSec, onde se concentra no rastreamento de fundos on-chain e na mecânica por trás do MetaSleuth. Este artigo se baseia nos padrões investigativos que sua equipe aplica a casos reais de roubo em redes EVM.
Referências
- Tironsakkul, Maarek, Eross, Just — Probing the Mystery of Cryptocurrency Theft: An Investigation into Methods for Taint Analysis, arXiv:1906.05754 (2019). https://arxiv.org/abs/1906.05754
