O que é análise de contaminação em criptomoedas? A análise de contaminação é a prática de atribuir "sujeira" — proventos de roubo, exposição a sanções ou fluxo de fraude — a unidades específicas de saldo on-chain à medida que elas se movem por transações e swaps. Os investigadores utilizam uma das três regras padrão (Poison, Haircut, FIFO) para decidir, quando uma carteira contém fundos mistos limpos e contaminados, quais unidades são consideradas contaminadas após cada transferência de saída. A escolha da regra determina a conclusão do rastreamento.
Quando fundos são roubados em uma fraude com criptomoedas, o dinheiro raramente fica parado. Em minutos, ele se move por carteiras intermediárias, se divide entre endereços e chega a uma exchange. Os investigadores que desejam rastreá-lo enfrentam uma questão central a cada salto: quando fundos roubados se misturam com fundos legítimos na mesma carteira, quanto do que sai ainda é "sujo"?
A análise de contaminação é a resposta a essa pergunta. É uma das técnicas fundamentais por trás do rastreamento de fundos em blockchain, e compreendê-la explica tanto o que as ferramentas modernas de investigação conseguem fazer quanto onde elas encontram limitações.
Este guia explica o que é a análise de contaminação, os três métodos utilizados pelos investigadores e um exemplo prático no Ethereum para que você possa ver exatamente como cada método se comporta.
O que é análise de contaminação?
A análise de contaminação estima qual parcela do saldo de uma carteira se originou de uma fonte ilícita conhecida e, em seguida, acompanha essa parcela à medida que os fundos se movimentam.
A ideia se baseia em um rótulo simples. Moedas conectadas a um roubo, fraude ou endereço sancionado são contaminadas; moedas sem essa conexão são limpas. Como uma única carteira quase sempre contém uma mistura de ambas, a técnica precisa de uma regra para dividir as transferências de saída em suas parcelas contaminadas e limpas.
Fundos contaminados vs. fundos limpos
Imagine um endereço que recebe 3.000 USDT roubados de uma vítima de fraude e, separadamente, 7.000 USDT provenientes de negociações comuns. A carteira agora detém 10.000 USDT, dos quais 3.000 são contaminados. Quando esse endereço posteriormente envia 9.000 USDT para uma exchange, o investigador precisa decidir quanto dos 9.000 de saída é considerado contaminado. Regras diferentes dão respostas diferentes, e essa escolha é o que separa os três métodos abaixo.
Por que isso importa
Os investigadores utilizam isso para priorizar. Eles não podem congelar toda uma cadeia de transações, por isso precisam de uma estimativa defensável de quais endereços downstream detêm valor roubado e em que quantidade. Essa estimativa é o que é compartilhado com a equipe de conformidade de uma exchange ou incluído em um relatório para as autoridades policiais.
Por que a análise de contaminação existe
A dificuldade vem de como os blockchains combinam fundos. Em uma cadeia baseada em conta como o Ethereum, o saldo de uma carteira é um único número consolidado, de modo que, uma vez que fundos contaminados e limpos chegam ao mesmo endereço, eles se tornam financeiramente indistinguíveis. Nada no registro bruto de transações indica "esta transferência de 9.000 USDT gastou o dinheiro sujo, não o dinheiro limpo".
A análise de contaminação preenche essa lacuna com uma regra contábil explícita. Pesquisadores catalogaram três métodos padrão de contaminação chamados Poison, Haircut e FIFO. As regras se aplicam a qualquer blockchain público que registre transações de forma aberta, incluindo cadeias baseadas em conta como o Ethereum e as outras redes EVM onde ocorre a maior parte dos roubos de tokens.
Os três métodos, com um exemplo prático
Os três métodos são Poison, Haircut e FIFO. O Poison marca cada saída de uma transação contaminada como totalmente suja; o Haircut divide a contaminação proporcionalmente entre as saídas; o FIFO atribui a contaminação pela ordem cronológica dos depósitos.
Considere a carteira do exemplo anterior: ela detém 10.000 USDT no Ethereum, dos quais 3.000 são contaminados (provenientes de uma vítima) e 7.000 são limpos. Ela envia 9.000 USDT para um endereço de depósito de uma exchange. Veja como cada método classifica esses 9.000 de saída.
Poison: contaminar tudo que toca
O método Poison trata cada saída de uma transação que envolve qualquer entrada contaminada como totalmente contaminada. Não importa quão pequena seja a parcela suja.
No nosso exemplo, toda a transferência de 9.000 USDT é marcada como contaminada, e o endereço de depósito da exchange é sinalizado como tendo recebido fundos roubados. O problema é evidente: fundos limpos são reclassificados como sujos, e o pool de moedas "contaminadas" cresce toda vez que toca uma nova carteira. O Poison é o método menos preciso, e os investigadores o utilizam principalmente como uma linha de base grosseira, em vez de uma estimativa operacional.
Haircut: contaminar proporcionalmente
O método Haircut também trata cada saída como portadora de contaminação, mas atribui a cada uma uma parcela proporcional, em vez do valor total. A parcela contaminada da carteira era 3.000 de 10.000, ou 30%, portanto, 30% da transferência de saída é considerada contaminada.
Isso significa que 2.700 USDT dos 9.000 são classificados como contaminados e 6.300 são limpos. O Haircut é mais realista que o Poison porque preserva o valor total do dinheiro sujo em vez de inflá-lo. Sua fraqueza é que ele espalha um pouco de contaminação por um número muito grande de endereços, o que torna os rastreamentos longos mais imprecisos.
FIFO: contaminar em ordem
O método FIFO (primeiro a entrar, primeiro a sair) ignora proporções e observa a ordem. Os fundos saem da carteira na mesma sequência em que chegaram: o primeiro depósito que entra é o primeiro a sair.
No nosso exemplo, os 7.000 USDT limpos chegaram antes dos 3.000 contaminados. Sob o FIFO, os primeiros 7.000 USDT da transferência de saída são limpos, e apenas os 2.000 seguintes são contaminados. Os 1.000 restantes de fundos contaminados permanecem na carteira. O FIFO produz o rastreamento mais preciso e menos impreciso, razão pela qual é o método mais utilizado quando o objetivo é uma lista negra defensável ou um relatório com valor probatório.
| Método | Regra | 9.000 USDT de saída | Precisão |
|---|---|---|---|
| Poison | Qualquer contaminação torna toda a saída contaminada | 9.000 contaminados | Mais baixa — infla o pool sujo |
| Haircut | Parcela proporcional de contaminação | 2.700 contaminados | Média — impreciso em rastreamentos longos |
| FIFO | Primeiro a entrar, primeiro a sair por ordem | 2.000 contaminados | Mais alta — rastreamento mais limpo |
Os três métodos de análise de contaminação classificando a mesma transferência de saída de 9.000 USDT. O FIFO (destacado) produz o rastreamento menos impreciso.
O que a análise de contaminação pode e não pode fazer
A análise de contaminação é poderosa, mas é uma estimativa, não uma certeza, e relatórios honestos dependem do conhecimento de suas limitações.
Ela funciona bem quando os fundos se movem por transferências e swaps comuns. Ela enfrenta dificuldades em três situações. Os mixers deliberadamente quebram a ligação entre depósitos e saques, de modo que a contaminação precisa ser reestabelecida com métodos estatísticos em vez de rastreamento direto. Um alto volume de transações espalha a contaminação por tantos endereços que as estimativas no estilo Haircut perdem significado. E as bridges entre cadeias movem valor entre ledgers, de modo que o rastreamento precisa ser reconstituído do outro lado.
Como a análise de contaminação se comporta em três cenários comuns. Transferências comuns são rastreadas de forma limpa; mixers e bridges exigem, cada um, uma técnica adicional além da análise de contaminação.
Nenhum desses fatores derrota completamente o rastreamento, mas cada um é um ponto onde o método utilizado por uma ferramenta — e o cuidado com que é aplicado — muda a resposta.
Análise de contaminação vs. rastreamento completo de fundos
A análise de contaminação e o rastreamento completo de fundos são relacionados, mas não idênticos. A análise de contaminação é a regra contábil; o rastreamento completo de fundos é a investigação de ponta a ponta.
A análise de contaminação responde a uma pergunta específica a cada salto: dada uma carteira que recebeu fundos contaminados, quanto da transferência de saída é sujo? É uma regra aplicada repetidamente.
O rastreamento completo de fundos é toda a investigação: identificar a transação de roubo, aplicar uma regra de repartição a cada salto (que pode ou não ser uma regra textual de Poison / Haircut / FIFO), percorrer o grafo, atribuir endereços a entidades reais (exchanges, mixers, bridges) e produzir um relatório que alguém possa utilizar. A análise de contaminação é uma lente conceitual dentro desse trabalho, ao lado da rotulagem de endereços, da análise de clusters e do matching entre cadeias.
Quando um analista aplica explicitamente um método de contaminação, o FIFO é preferido para relatórios com valor probatório, o Haircut para análises exploratórias em muitos endereços, e o Poison raramente.
Como esse raciocínio aparece nas ferramentas modernas
Aplicar manualmente qualquer regra contábil salto a salto em milhares de transações e várias cadeias não é realista, por isso os investigadores dependem de ferramentas de rastreamento de fundos.
O MetaSleuth da BlockSec é a ferramenta voltada para analistas nesse trabalho: ele reconstrói os fluxos de fundos para que um investigador possa percorrer o grafo salto a salto, agrupar endereços e atribuí-los a entidades reais — como em seu estudo de caso do ataque ao LI.FI. O Trace AI automatiza o mesmo trabalho investigativo com um agente de IA: o usuário descreve um roubo e fornece um endereço de carteira ou hash de transação, e o agente rastreia os fundos pelas cadeias que suporta e produz um relatório de fluxo de fundos com as entidades que o dinheiro alcançou.
Estas são ferramentas de rastreamento de fundos, não implementações de análise de contaminação. As regras de contaminação descritas acima compartilham a mesma questão subjacente — qual parcela do que saiu ainda é suja? — mas as ferramentas de rastreamento em produção normalmente utilizam seus próprios métodos de grafo, agrupamento e atribuição, em vez de uma regra textual de Poison / Haircut / FIFO. Entender a análise de contaminação ainda é útil, pois esclarece o tipo de decisão que toda ferramenta de rastreamento precisa tomar a cada salto.
Perguntas frequentes
A análise de contaminação é precisa? A análise de contaminação produz uma estimativa defensável, não uma certeza. Sua precisão depende do método utilizado e da complexidade do rastreamento. O FIFO fornece os resultados mais limpos para transferências comuns, enquanto mixers e volumes muito altos de transações reduzem a confiança e exigem técnicas adicionais.
Qual é a diferença entre os métodos Poison e Haircut? Ambos tratam cada saída de uma transação contaminada como portadora de contaminação, mas o Poison marca cada saída como totalmente contaminada, enquanto o Haircut atribui a cada uma uma parcela proporcional. O Poison infla o pool total de fundos sujos; o Haircut o preserva, o que torna o Haircut mais prático.
A análise de contaminação pode rastrear fundos por meio de um mixer? Não diretamente. Os mixers são projetados para quebrar a ligação entre depósitos e saques, portanto, regras simples de contaminação não conseguem seguir os fundos diretamente. Os investigadores reestabelecem a conexão utilizando análises estatísticas e comportamentais, o que é mais difícil e menos seguro do que rastrear uma transferência comum.
É ilegal possuir criptomoedas contaminadas? Possuir fundos que uma ferramenta classifica como contaminados não é automaticamente ilegal, e os rótulos de contaminação são estimativas, não julgamentos legais. Dito isso, as exchanges podem congelar depósitos vinculados a roubos, e lidar conscientemente com fundos roubados acarreta risco legal. A análise de contaminação sinaliza onde investigar; ela não determina culpa.
Em quais blockchains a análise de contaminação funciona? Os princípios se aplicam a qualquer blockchain público que registre transações de forma aberta, incluindo cadeias baseadas em conta como o Ethereum e as outras redes EVM onde ocorre a maior parte dos roubos de tokens. A mecânica exata difere entre os modelos de transação, mas a lógica de contaminado versus limpo é a mesma.
Leituras relacionadas
- Estudo de caso de fluxo de fundos ilícitos: o ataque ao LI.FI
- Como usar o MetaSleuth para rastrear fundos roubados
- Trace AI: rastreie criptomoedas roubadas com um agente de IA
Veja como a investigação orientada por IA aplica isso entre cadeias. Veja como o Trace AI funciona →
Sobre o autor. Andy é pesquisador de segurança na BlockSec, onde se concentra no rastreamento de fundos on-chain e nos mecanismos por trás do MetaSleuth. Este artigo se baseia nos padrões investigativos que sua equipe aplica a casos reais de roubo em cadeias EVM.
Referências
- Tironsakkul, Maarek, Eross, Just — Probing the Mystery of Cryptocurrency Theft: An Investigation into Methods for Taint Analysis, arXiv:1906.05754 (2019). https://arxiv.org/abs/1906.05754
