Siga o Dinheiro: Como Criptomoedas Roubadas Desaparecem On-Chain

A ligação é feita às quatro da manhã e a pessoa do outro lado respira como se não soltasse o ar há nove horas. Seis horas antes, uma carteira multisig pertencente a uma exchange de médio porte teve cerca de quatro milhões de dólares em USDT sacados, e o indivíduo que assinou as transações fraudulentas — vamos chamá-lo de M — está atualmente em um apartamento alugado com as janelas fechadas, assistindo ao seu próprio crime ser reproduzido em um blockchain explorer. Qualquer pessoa com um navegador pode ver cada transação, cada transferência e cada casa decimal. Sua namorada poderia fazer uma auditoria nele, seu barbeiro poderia fazer o mesmo e, de forma ainda mais alarmante, um detetive anônimo da internet que já derrubou equipes muito mais profissionais que a dele também poderia.

M não é burro, veja bem. Ele entendeu o contrato inteligente do qual se aproveitou, sabia qual hot wallet tinha autoridade excessiva e cronometrou o saque para coincidir com um período em que a equipe de monitoramento da exchange provavelmente estava trabalhando com uma equipe reduzida. O que ele não previu — algo que quase todos os ladrões de primeira viagem não percebem — é que o ato de roubar o dinheiro em si foi a parte fácil. Entre os sete endereços que ele usou e levar uma vida normal, existe um sistema criado unicamente para garantir que pessoas como ele nunca consigam passar.

A primeira menção ao incidente aparece nas redes sociais dentro de noventa minutos; ela não vem da exchange — já que eles ainda estão preparando o pedido de desculpas —, mas sim é publicada por um investigador on-chain que tem um grande número de seguidores e, ao que parece, não precisa dormir. Essa pessoa fornece as etiquetas dos endereços, realiza uma análise temporal e propõe uma explicação plausível do ataque. M lê isso duas vezes e calcula por si mesmo o que aconteceria em seu próprio futuro. Ele não tem contatos entre os banqueiros e não conseguiria voar para Dubai com um telefone que contém hot wallets. Tudo o que ele precisa é de um especialista, e ao amanhecer ele já entrou em contato com um.

O aspecto daquela publicação que perturba M mais do que a análise em si é que o investigador não apenas marcou a exchange, mas também incluiu os próprios endereços como um adendo. Antigamente, um assalto a banco levava semanas para gerar o retrato falado de um suspeito. Neste caso, porém, o esboço foi publicado antes mesmo de o cofre ter terminado de fechar. Como a exchange estava em pânico e consciente de sua imagem pública, é muito provável que anuncie uma recompensa — uma fatia de tudo o que for recuperado, a ser paga a qualquer pessoa que forneça informações que levem ao congelamento dos fundos. Após sua invasão de um bilhão de dólares, a Bybit fez exatamente isso, oferecendo uma recompensa de dez por cento que fez com que toda a internet se transformasse em uma vigília delegada. Agora, todo caçador de recompensas com um laptop tem um incentivo financeiro para reconhecer o dinheiro de M antes que M consiga gastá-lo. Seus milhões roubados não apenas o tornaram um fugitivo, mas também o transformaram no alvo de uma caçada aberta e autofinanciada, na qual o cartaz de procurado é atualizado em tempo real.

O especialista — isto é, o facilitador — não realiza nenhum hack, e é exatamente esse fato que o torna tão valioso. O que ele produz não é o roubo, mas sim o esquecimento. Ele se compromete a tirar o dinheiro da economia visível da blockchain e depois fazê-lo reaparecer sob uma forma simples: como moeda fiduciária em uma jurisdição que ninguém vigia, como uma fatura de consultoria ou como um negócio com rendimentos aparentemente legítimos. Sua comissão começa em dez por cento e aumenta à medida que a situação se torna mais complicada. E embora M tivesse pensado que dez por cento era uma extorsão, ele logo perceberá que isso é, na verdade, apenas a taxa mais baixa do que está prestes a ser feito com ele.

Blockchain de Vidro

O paradoxo que faz com que a noite de M seja tão longa é o seguinte: a cripto foi apresentada ao mundo como uma tecnologia de privacidade, quando na verdade é a forma de dinheiro menos privada já inventada. O dinheiro em espécie deixa quase nenhum rastro — quando uma cédula muda de mãos, ela esquece todas as pessoas com quem entrou em contato. Uma blockchain, por outro lado, lembra de tudo e mantém o registro de todos que encontra, junto com carimbos de data/hora, para sempre. Pseudonimato não é o mesmo que anonimato; é o anonimato com um cronômetro regressivo, esperando por um momento de descuido para expor alguém.

Os investigadores utilizam um pequeno número de falhas estruturais inerentes, e é importante compreendê-las, pois essas falhas explicam por que a lavagem de dinheiro precisa ser tão complicada. Se dois endereços são financiados como parte da mesma transação, é muito provável que pertençam ao mesmo controlador — isso é conhecido como a heurística de gasto conjunto (co-spend) e é de longe a regra mais eficaz na computação forense on-chain. Os padrões vistos em endereços de troco revelam hábitos: uma carteira que divide consistentemente suas saídas nas mesmas proporções incomuns está, na prática, assinando seu próprio comportamento. O fato de os depósitos serem feitos em uma exchange às 3h da manhã no horário local revela o fuso horário de uma pessoa, assim como as pegadas mostram o tipo de calçado. Tudo isso pode ser feito sem a necessidade de um mandado judicial; tudo o que é necessário é paciência, já que o livro-razão registra cada transação.

Essa é a razão pela qual o facilitador não pode apenas transferir o dinheiro para uma nova carteira e dar-se por satisfeito. Um novo endereço é como um disfarce, e não uma nova identidade. Os fundos precisam quebrar todos os vínculos inferenciais — aqueles que conectam o roubo ao primeiro salto, os elos que interligam os saltos entre si e as conexões entre os saltos e as pessoas. Cada uma dessas rupturas envolve dinheiro, tempo ou ambos, e toda a habilidade do intermediário reside em saber quais dessas rupturas são estruturais.

M também ignora o lado humano da questão. A blockchain não é monitorada apenas pela polícia, mas também por entusiastas, jornalistas, grupos de vítimas e caçadores de recompensas, todos com padrões éticos distintos. De fato, os mais famosos desses indivíduos construíram uma carreira e conquistaram uma reputação avaliada em milhões de dólares de credibilidade ao expor exatamente o tipo de esquema que M está atualmente tentando comprar. O facilitador tem consciência disso; parte de sua comissão se deve ao fato de que ele também está sendo vigiado e de que sua própria segurança operacional precisa resistir ao escrutínio de pessoas que, para ser sincero, são melhores nisso do que seu cliente.

Primeiras Setenta e Duas Horas

O timing é fundamental neste jogo, já que o relógio não perdoa. O dia seguinte a um grande roubo é o momento mais perigoso para o dinheiro, pois ele tem de entrar em contato com o mundo real em algum ponto. As exchanges são os principais pontos de vulnerabilidade: quando moedas roubadas são depositadas em uma plataforma sob custódia, elas vão parar em um prédio onde existem oficiais de compliance, a ameaça de intimações e uma forte motivação para cooperar, já que sai mais barato ajudar a vítima do que terminar associado ao crime. Os emissores de stablecoins também têm uma opção ainda mais direta: um recurso de congelamento embutido diretamente no contrato do token. A Tether congelou centenas de milhões de dólares em USDT suspeito ao longo dos anos, às vezes congelando os fundos poucas horas após o reporte de um hack.

Desde o início, o objetivo do lavador é sair da área controlada antes que as ordens de congelamento sejam emitidas. O primeiro passo deve focar em qualquer endereço que contenha dólares tokenizados, já que o emissor possui um mecanismo remoto capaz de fazê-los desaparecer — sem necessidade de ordem judicial ou de qualquer negociação, apenas uma transação que inutiliza o saldo, onde quer que ele esteja. A prioridade seguinte é sair das redes mais monitoradas por analistas, indo para aquelas com alto volume de negociação, e depois migrar para jurisdições nas quais as contrapartes locais consideram a burocracia uma religião para outras pessoas. Quanto maior a demora, menores serão as possibilidades de saída.

É nesse contexto que a abordagem industrial do setor entra em cena, sendo o estudo de caso mais recente o maior roubo de cripto da história. Em fevereiro de 2025, invasores associados ao Lazarus Group da Coreia do Norte sacaram aproximadamente um bilhão e meio de dólares da exchange Bybit — uma quantia que, assim que foi subtraída, deixou de ser um simples roubo para se tornar uma operação logística. O dinheiro foi dividido entre milhares de novos endereços em questão de horas, convertido de Ethereum para Bitcoin por meio de serviços cross-chain, roteado através de plataformas de troca instantânea sem KYC cujos proprietários mais tarde afirmaram categoricamente que haviam processado apenas uma pequena fração, e depois encaminhado para corretores de balcão (OTC) cujo modelo de negócios se baseia em não fazer perguntas. Os investigadores, inclusive aqueles que permanecem sob pseudônimos, rastrearam o dinheiro em tempo real, tuíte por tuíte, e a estratégia ainda assim funcionou — em grande parte. O mecanismo de congelamento da Tether bloqueou um montante considerável dos fundos, várias exchanges apreenderam pequenas quantias aqui e ali, uma das plataformas intermediárias de swap entrou em colapso devido a danos reputacionais e encerrou as atividades, mas a maior parte do dinheiro desapareceu na oferta monetária global tradicional, confirmando uma dura verdade: quando o grupo dispõe de muitos recursos, tem paciência e é indiferente a taxas, a velocidade importa mais do que o escrutínio. Vale destacar que a operação não desacelerou para lidar com formalidades burocráticas; prosseguiu continuamente, inclusive nos fins de semana e feriados — porque o aparato estatal que tentava driblar só funciona em horário comercial.

Se você observar o que os amadores fizeram, uma lição moral fica evidente. O casal acusado de lavar o dinheiro roubado no hack da Bitfinex em 2016 guardou boa parte do Bitcoin roubado por muitos anos, movimentando-o através de mixers e contas na darknet, mas sem nunca se desvencilhar totalmente dele — por outro lado, quando os agentes federais finalmente invadiram suas instalações em 2022, o Estado conseguiu confiscar bilhões de dólares em criptomoedas simplesmente emitindo algumas petições judiciais. É a mesma blockchain e o mesmo grau de transparência, mas os desfechos foram opostos. O problema não estava nas ferramentas; estava na disciplina deles e, sinceramente, na sua paciência. O Lazarus enxerga a lavagem como uma cadeia de suprimentos; as pessoas envolvidas no caso da Bitfinex a veem meramente como armazenamento. Armazenamento é o caminho que leva você à cadeia.

A estratégia que o facilitador executa para M é uma versão em menor escala dessa mesma sequência, e vale a pena descrevê-la com clareza, pois cada etapa existe para neutralizar um método investigativo específico:

1. Dividir o dinheiro roubado entre dezenas de endereços, garantindo que não haja qualquer conexão de financiamento entre eles, de modo a burlar o co-spend e as heurísticas de agrupamento. 2. Introduzir um mixer tradicional ou baseado em CoinJoin, ou então recorrer a uma alternativa moderna com swaps cross-chain projetados deliberadamente para mascarar a trilha. 3. Transferir os ativos de blockchain por meio de pontes e plataformas de conversão instantânea, o que obriga o investigador a reiniciar a busca e reconstruir o contexto dentro de um novo ambiente que fornece métricas analíticas distintas. 4. Usar Bitcoin por sua liquidez e stablecoins por sua agilidade, mantendo o valor parado durante o período correspondente à duração do ciclo de notícias. 5. Recorrer aos canais com baixas exigências de conformidade — como mesas de balcão (OTC), corretores privados e o método de liquidação em espécie em países onde as contrapartes locais não integram nenhum grupo regulatório.

Todas as etapas envolvem um custo, um intervalo de espera e o perigo de vazamento, razão pela qual o intermediário cobra o valor que cobra. As peel chains — o método mais tradicional de enviar dinheiro por meio de centenas de endereços em sequência, em que cada um retém uma pequena fatia — têm custo quase nulo, mas geram os esquemas forenses mais evidentes do setor. Embora os mixers forneçam um nível expressivo de ofuscação, agora se tornaram áreas proibidas sob a ótica legal; os desenvolvedores de um conhecido mixer de Bitcoin foram presos em 2024, e o Tornado Cash permaneceu sob sanções norte-americanas por anos antes que os tribunais impusessem uma revogação parcial em 2025. As ferramentas podem mudar de denominação; os fatores econômicos continuam os mesmos. Anonimato é uma mercadoria sujeita a precificação, e esse valor se eleva toda vez que um governo estabelece sanções sobre alguém.

Os Investigadores e o Ônus da Prova

Paralelamente, do outro lado do vidro, percebe-se a intensa movimentação de uma indústria inteira. Empresas fornecedoras de software de rastreamento conseguem reconstruir esses encadeamentos de forma automática, reunindo milhões de endereços sob entidades identificadas. Essas companhias atendem a uma diversidade de clientes, tais como exchanges que pretendem barrar recursos ilícitos; órgãos reguladores que exigem relatórios estatísticos; e corporações policiais que procuram por culpados. Há também figuras que atuam de forma independente — a exemplo de ZachXBT, que já revelou esquemas criminosos de centenas de milhões de dólares trabalhando sem remuneração direta na maioria das vezes, tornando-se uma espécie de investigador particular e esteio moral para a comunidade. Sua ferramenta de intervenção não reside em mandados legais, mas na força da narrativa: uma trilha documentada com precisão pode provocar o congelamento da conta de um intermediário em uma exchange antes mesmo de qualquer promotor iniciar uma ação.

Essa discrepância repercute em cada detalhe do cenário. Enquanto os analistas conseguem acompanhar as transações financeiras quase que instantaneamente, o Estado só toma conhecimento dos fatos mais adiante, por vias indiretas. Para que as autoridades de segurança possam agir concretamente — por exemplo, bloqueando contas bancárias, confiscando imóveis ou restringindo a liberdade individual —, um laudo de rastreamento puramente técnico não basta. Faz-se necessário obter provas complementares: dados de identificação civil (KYC) que associem um determinado endereço a um documento de viagem, registros de conexões em servidores que liguem esse documento a um equipamento de informática, além de depoimentos que atribuam o uso desse computador a uma decisão deliberada. O enquadramento penal precisa respeitar os rigores exigidos pelas cortes de justiça, e o percurso entre mapear movimentações na blockchain e produzir evidências aceitas em juízo costuma ser moroso, sujeito às variações de cada país e burocrático. Um técnico em análise de redes pode decifrar toda a estrutura montada pelo facilitador em questão de dias; por sua vez, um promotor público pode levar meses ou até um ano para formalizar medidas com base nesse diagrama — período em que os operadores intermediários já terão trocado de aparelho telefônico.

O intermediário conhece a dinâmica do calendário burocrático tão a fundo quanto qualquer profissional do direito. A tramitação de acordos de cooperação jurídica entre nações caminha num ritmo que lembra eras geológicas. Decretos judiciais de indisponibilidade só conseguem atingir aquilo que está ao alcance imediato, e tais ativos resumem-se àqueles custodiados por exchanges submetidas às normas locais no momento exato em que a notificação é entregue. Desse modo, o objetivo dele não é ser mais rápido do que a própria rede — façanha que ninguém alcança —, mas sobrepujar a máquina pública, mantendo o montante sob custódia nas brechas regulatórias existentes entre os países até que o foco geral se volte para outro acontecimento. Sob esse ângulo, a conduta ilícita deixa de ser uma mera afronta aos regulamentos para se transformar na exploração deliberada de suas engrenagens mais arrastadas.

Determinadas nuances de ordem psicológica raramente constam em relatórios oficiais. Aqueles dedicados ao rastreamento encontram-se motivados por impulsos mais intensos do que o simples recebimento de seus vencimentos — agem guiados por um fascínio genuíno, originado não raro na aversão a criminosos virtuais após episódios traumáticos, e muitas vezes no estímulo competitivo de ser o pioneiro a desnudar o golpe. Já os responsáveis pela lavagem de capitais movem-se por incentivos menos profundos do que a simples cobiça: limitam-se a cumprir o fluxo de suas tarefas rotineiras de trabalho. A maioria desses facilitadores não enxerga a si própria como criminosa, assim como a maioria das pessoas não se vê como gestora de fundos de previdência; compreendem seu trabalho como a condução de valores, cabendo o peso moral a terceiros. Esse modo de autointerpretação — julgando-se neutros, focados no aspecto puramente técnico e respeitáveis — constitui o esteio de todo o ecossistema de lavagem, postura que a acusação judicial começa agora a enfrentar de frente, responsabilizando autores de ferramentas de anonimização e diretores de exchanges em vez de mirar apenas os indivíduos invisíveis detentores das chaves privadas.

Por Que a Máquina Nunca Para

Ao analisar a trajetória de M em perspectiva mais ampla, ela se assemelha menos a um roteiro de contravenção e mais ao funcionamento contínuo do metabolismo de um organismo complexo. Cada barreira adicional introduzida na segurança dificulta os desvios, o que termina elevando a qualificação exigida dos transgressores, requerendo padrões de operação mais sofisticados por parte dos intermediários, demandando sistemas de auditoria mais refinados, exigindo procedimentos de camuflagem ainda mais elaborados, em um ciclo que não cessa. A Coreia do Norte incorporou essa dinâmica e a converteu em estratégia governamental direta, custeando a administração de seu território com os mesmos instrumentos transacionais preferidos pelo mercado internacional. Grupos de menor preparo continuam confirmando que a fraqueza humana — manifestada no imediatismo, na ambição e no impulso de consumo — permanece como o alvo mais acessível. Simultaneamente, instrumentos de proteção de dados aceitos em determinada época passam a figurar na lista de vetos regulatórios do período seguinte.

A rede TRON assume uma posição bastante particular dentro dessa engrenagem, por custodiar uma quantidade de USDT superior à de qualquer outro ecossistema, o que a torna o destino das operações comerciais legítimas mais volumosas e também palco de alguns dos processos de ocultação de recursos mais complexos globalmente. Pelo fato de que efetuar centenas de repasses em USDT nessa blockchain torna-se financeiramente custoso caso haja a queima direta de TRX a cada envio, os operadores envolvidos em remessas expressivas — entre eles plataformas de negociação, provedores de soluções em cobrança e também agentes dedicados a estruturar peel chains — adotaram um procedimento idêntico: recorrem ao aluguel de TRON Energy. Uma vez que contratar TRON Energy demanda uma fração do gasto exigido pela queima de TRX, ou por meio do acesso a cotas delegadas de TRON Energy válidas por sessenta minutos enquanto centenas de transações são confirmadas, trata-se de planejamento operacional inteligente para o segmento regular do setor — e é justamente esse custo reduzido de TRON Energy que viabiliza esquemas de movimentação fracionada por dezenas de carteiras no outro extremo, motivo que leva plataformas consolidadas de Energy a fiscalizarem rigorosamente o destino de seus serviços. É sob essa premissa que a Netts impõe um padrão que o segmento concorrente não segue: valendo-se de seus sistemas de monitoramento na rede TRON, estruturou uma barreira de controle que engloba mais de 28 milhões de carteiras catalogadas — alvos de embargos oficiais, registros ligados a golpes virtuais e contas conectadas a desvios ilícitos —, de forma que qualquer pedido de alocação de Energy passe por verificação em tempo real, sustentado por uma checagem independente via Elliptic integrada à sua própria estrutura. A lógica por trás disso é transparente: a base tecnológica que sustenta a lavagem de ativos não deve partir de prestadores que alegam desconhecer a forma como esses esquemas operam.

Para aqueles situados no lado ético dessa dinâmica — como investidores, operadoras de câmbio e integradores de pagamento —, o reflexo prático é imediato: caso pretenda transacionar USDT na rede TRON sem despender TRX diretamente, o Netts TRON Energy Market concentra o setor de locação de ponta a ponta em tempo real, informando constantemente os valores mais vantajosos disponíveis, permitindo alugar Energy pela cotação mais em conta oferecida pelo mercado naquele instante — contando com uma infraestrutura capaz de identificar claramente as movimentações de um comerciante de alta frequência frente à atuação de um operador de peel chains.