A rastreabilidade do Tornado Cash é possível, e duas investigações documentadas mostram exatamente como. No ataque à Li.Fi de 2024, mais de 99 por cento dos 11,6 milhões de dólares roubados foram movidos para o Tornado Cash em 114 transações ao longo de três meses, e os investigadores mapearam todo o caminho. No incidente da Nomad Bridge, 190 milhões de dólares se espalharam pelo mixer em uma exploração do tipo "cada um por si", e o rastreamento ainda assim se manteve. É isso que as evidências desses casos ensinam sobre como a perícia forense de mixers realmente funciona.
O Que É o Tornado Cash e Por Que Ele Importa
O Tornado Cash é um mixer não custodial na Ethereum: os usuários depositam a partir de um endereço e sacam para um endereço diferente. O design do pool torna a vinculação direta entre um depósito específico e um saque específico computacionalmente difícil. Ele se tornou o caso de referência para lavagem assistida por mixer, tanto que em 2022 o OFAC do Tesouro dos EUA sancionou o próprio protocolo, uma primeira vez para um contrato inteligente, segundo o comunicado de imprensa do Tesouro sobre a designação do Tornado Cash. Um tribunal federal de apelações desfez essa designação no final de 2024, o OFAC formalmente removeu o protocolo da lista em março de 2025, e as sanções ao cofundador Roman Semenov e seus endereços associados permanecem em vigor, agora sob o programa da Coreia do Norte (DPRK) do OFAC. A história regulatória importa para as equipes de compliance, mas a história do rastreamento é a operacional. Os padrões do FATF para ativos virtuais e VASPs enquadram a obrigação de triagem que a exposição a mixers envolve, independentemente de como o status de designação de um protocolo específico se altere.
O motivo pelo qual o Tornado Cash importa para a perícia forense é seu volume. Quando a maioria dos fundos roubados em grandes incidentes passa por um mixer, a fronteira do mixer é onde as investigações se concentram. E como os dois casos abaixo mostram, essa fronteira é difícil, mas não impenetrável.
Caso Um: Li.Fi, US$ 11,6M Através de 114 Transações
O ataque à Li.Fi de julho de 2024 oferece um retrato incomumente completo da disciplina em torno de mixers. Os atacantes roubaram aproximadamente 11,6 milhões de dólares em cripto e trocaram as stablecoins roubadas por ETH por meio de exchanges descentralizadas. O produto então foi para o Tornado Cash em uma campanha sustentada, uma série de depósitos ao longo de meses que carregou quase todo o montante roubado para dentro do mixer.
O rastreamento, documentado pela BlockSec usando o MetaSleuth no estudo de caso de fluxo de fundos ilícitos da Li.Fi, mapeou a estrutura em torno do mixer mesmo onde o interior permaneceu opaco. A jusante dos endereços iniciais do ataque, 32 endereços receptores dividiram os fundos: 15 deles receberam quantias simbólicas de aproximadamente 0,1 ETH cada, enquanto 17 endereços lidaram com quase todo o valor. O caminho mais longo observado teve 20 saltos. O padrão dentro da disciplina do mixer foi consistente: os atacantes usaram endereços novos e mais profundos para cada operação no Tornado Cash. Grandes quantias passaram por até 12 saltos antes de entrar no mixer; apenas o pequeno restante foi para a exchange eXch para conversão direta em dinheiro. Esse registro de fronteira é evidência, e no caso da Li.Fi os números do lado de entrada — 114 transações, três meses, 99 por cento — são a espinha dorsal da análise pública.
A lição está na forma, não no interior. O mixer esconde os pares depósito-saque, mas tudo antes da entrada e depois da saída permanece público, e a disciplina do operador é a variável real.
Caso Dois: Nomad Bridge, US$ 190M em um "Cada um por Si"
O incidente da Nomad Bridge de agosto de 2022 teve uma anatomia diferente: um erro de configuração permitiu que centenas de imitadores independentes drenassem aproximadamente 190 milhões de dólares em uma exploração do tipo "cada um por si", sem uma única equipe profissional de lavagem. O Tornado Cash apareceu novamente como destino, desta vez através de dezenas de agentes independentes com habilidades variadas. A falha de configuração por trás do incidente está documentada na análise da causa raiz da Nomad Bridge.
Para a perícia forense, o caso demonstra o mixer em escala populacional. Agentes sem treinamento cometeram erros operacionais que equipes treinadas evitam: reutilização de endereços, tempo apressado, saídas para serviços rastreáveis. O rastreamento ao longo do episódio explorou a camada humana em torno da criptografia, não a criptografia em si. A investigação da Li.Fi está documentada com um painel de análise público, de modo que os caminhos, saltos e pontos de saída podem ser inspecionados em vez de aceitos apenas na confiança.
Os dois casos lado a lado mostram o que muda com a disciplina do operador e o que não muda:
| Dimensão | Li.Fi 2024 | Nomad Bridge 2022 | Conclusão para Compliance |
|---|---|---|---|
| Tamanho da perda | US$ 11,6M | US$ 190M | A relevância do mixer se mantém em todas as escalas |
| Agentes | Uma equipe disciplinada | Centenas de imitadores independentes | A disciplina, não a habilidade, decide a rastreabilidade |
| Uso do mixer | 114 transações ao longo de 3 meses, mais de 99% dos fundos | Dezenas de agentes, padrões variados | Os registros de fronteira escalam com o volume |
| Caminho mais longo | 20 saltos | Varia conforme o agente | O rastreamento com múltiplos saltos é a exigência padrão |
| O que o rastreamento preservou | Estrutura completa desde a entrada até a fronteira do mixer | Erros do lado da saída, reutilização de endereços | A entrada e a saída permanecem evidências públicas |
Como o Rastreamento de Mixers Realmente Funciona
O método nos dois casos é consistente, e ele se generaliza. Rastreie até a fronteira do mixer e documente-a com precisão: quais endereços depositaram, quanto, quando, em quantas transações. Depois trabalhe as saídas: os endereços do lado do saque são agrupados, cronometrados em relação aos depósitos, e cruzados com listagens de exchanges e movimentações subsequentes. O pareamento direto depósito-saque continua difícil dentro do pool, mas as saídas herdam comportamento, endereços novos ainda tocam serviços, e serviços são identificáveis por rótulos.
Por fim, observe em vez de adivinhar. Fundos roubados ficam parados e se movem em linhas do tempo; o saque em dinheiro da Li.Fi ocorreu meses depois do roubo. O monitoramento contínuo dos endereços de fronteira, com alertas sobre movimentação, é o que transforma um caso adormecido em um caso rastreado. Segundo a BlockSec, o MetaSleuth fornece exatamente esse ciclo: rastreamento com múltiplos saltos com painéis de análise salvos, e monitoramento em tempo real da movimentação de fundos roubados entre cadeias. Para a metodologia mais ampla de trabalhar as fronteiras de mixers, veja How to Trace Stolen Crypto Through a Mixer. Agende uma demonstração do Phalcon Compliance para triar endereços de contrapartes em busca de exposição vinculada a mixers, ou abra o MetaSleuth e rastreie um caso você mesmo.
Perguntas Frequentes: Rastreamento do Tornado Cash
É possível rastrear fundos enviados através do Tornado Cash? O mixer esconde pares diretos de depósito-saque. Tudo antes da entrada e depois da saída permanece público, e o agrupamento somado à inteligência do lado da saída rotineiramente reconstrói trilhas, como ambos os casos documentados mostram.
O Tornado Cash ainda está sancionado? Um tribunal federal de apelações derrubou a designação em nível de protocolo em novembro de 2024, e o OFAC formalmente removeu o Tornado Cash da lista em março de 2025. As sanções ligadas ao cofundador Roman Semenov e seus endereços associados permanecem, agora sob o programa da Coreia do Norte (DPRK) do OFAC; a triagem em relação às listas atuais é a prática vigente.
Por que os atacantes ainda usam mixers se o rastreamento funciona? Os mixers elevam o custo e o atraso em vez de proporcionar invisibilidade. A equipe da Li.Fi manteve três meses de disciplina e ainda assim foi mapeada desde a entrada até a fronteira do mixer.
O que uma equipe de compliance deve fazer diante da exposição a mixers? Faça a triagem em busca de risco de interação com mixers, trate a exposição vinculada a mixers como elevada e documente os fatos de fronteira. Motores de risco que sinalizam rótulos de mixer em contrapartes tornam isso sistemático.
