Em uma investigação envolvendo ativos digitais, a pergunta “a quem pertence determinado endereço?” raramente é respondida pela blockchain isoladamente.
Dependendo da rede e do tipo de dado, o ledger pode registrar transações, endereços, valores, contratos, eventos, identificadores de bloco e um timestamp associado ao bloco. Esses elementos podem ajudar a reconstruir movimentações e verificar a inclusão de uma operação conforme o estado observado da rede. Não demonstram, por si sós, a identidade civil do controlador, a autoria humana da operação, a completude da exportação ou a autenticidade da fonte consultada.
Um endereço é pseudônimo: isoladamente, não contém nome, documento ou identidade civil. A atribuição exige separar observação, inferência e corroboração externa.
Quatro camadas da atribuição
1. Dados observáveis on-chain
A primeira camada reúne os dados diretamente observados em uma rede específica: transações, endereços, blocos, valores, contratos e eventos, conforme o modelo técnico da rede e a questão examinada.
O material preservado deve ser identificado de acordo com o objetivo da análise. Pode incluir dados de transação, identificadores de bloco, informações de estado ou outros elementos necessários para reconstruir uma observação. Não existe uma lista universal de artefatos suficiente para todas as blockchains ou todos os exames.
É importante distinguir:
- inclusão ou confirmação da transação segundo o mecanismo da rede;
- timestamp registrado e seu significado técnico;
- dados obtidos por explorador, nó, cliente, RPC ou outra fonte;
- integridade do arquivo depois da aquisição;
- proveniência, autenticidade, completude e confiabilidade temporal do material; e
- identidade ou controle do endereço.
Hashes podem ajudar a verificar se um arquivo preservado foi alterado depois de determinado momento. Timestamps podem documentar quando uma atividade de aquisição ou registro ocorreu, desde que sua fonte e confiabilidade sejam consideradas. Nem hashes, nem timestamps, nem a imutabilidade do ledger provam isoladamente a origem, a autenticidade, a completude, a autoria ou a titularidade do conteúdo.
O valor da documentação depende também da fonte consultada, do método de aquisição, dos controles utilizados, dos registros contemporâneos e da possibilidade de explicar ou reproduzir a análise.
2. Inferências on-chain
A segunda camada envolve padrões derivados dos dados, como agrupamento por common-input ou co-spend, identificação de troco, reutilização de endereços e padrões de consolidação. Essas técnicas podem formular hipóteses sobre controle relacionado, mas são inferências dependentes de método, parâmetros e contexto.
O resultado deve ser descrito como resultado de uma técnica — e não como identidade civil. A formulação precisa indicar método, parâmetros, exclusões, limitações e nível de confiança adotado. O material disponível identifica como lacuna a ausência de um padrão público, replicável e internacionalmente aceito para validar uniformemente ferramentas de blockchain analytics com datasets amplos de ground truth e métricas padronizadas de erro. Isso deve ser tratado como limitação do conhecimento disponível, não como uma medida universal de desempenho.
CoinJoin, PayJoin, mixers e privacy coins podem alterar a interpretação dos fluxos ou reduzir a confiabilidade de determinadas inferências, dependendo da rede, da técnica, da implementação e do método empregado. Sem métricas específicas, não se deve quantificar essa redução nem presumir o mesmo efeito em todos os casos.
3. Evidência off-chain
A terceira camada pode conter elementos de identidade nominal: registros de KYC de VASPs, logs de depósitos e transferências internas, registros de custódia, apreensões, confirmações públicas, contratos ou outras fontes externas.
A FATF formula padrões e orientações internacionais sobre VASPs, identificação de clientes e informações de originador e beneficiário. Essas orientações não equivalem, por si sós, a uma obrigação jurídica brasileira aplicável indistintamente a toda entidade, operação ou data.
As referências do Banco Central às Resoluções BCB 519, 520 e 521 devem ser examinadas nos textos normativos primários e no contexto aplicável. O material disponível não autoriza transformar um comunicado ou resumo em conclusão geral sobre todos os requisitos de identificação, custódia ou carteiras autocustodiadas.
Em qualquer jurisdição, um requisito regulatório ou a existência potencial de registros não transforma automaticamente um endereço em identidade. A fonte externa deve ser analisada quanto ao seu escopo, origem, autenticidade, completude, correspondência técnica e limitações.
4. Conclusão técnica
A conclusão combina observações, inferências e fontes externas. Deve deixar claro:
- o que foi efetivamente observado;
- qual rede, fonte, ferramenta e versão foram utilizadas;
- quais métodos, parâmetros e exclusões foram aplicados;
- qual fonte externa sustenta eventual associação;
- quais explicações alternativas permanecem; e
- quais limites impedem uma conclusão mais forte.
Uma conclusão técnica documentada pode contribuir para avaliação jurídica e contraditório. Ela não determina, por si só, admissibilidade, valor probatório ou titularidade.
Clusterização, labels e identificação
A clusterização pode reunir endereços segundo padrões de utilização. Em determinados contextos, common-input e change-address podem oferecer indícios de controle relacionado. O resultado, contudo, continua sujeito a erros e a explicações alternativas. Uma única heurística, sem corroboração externa, não deve ser convertida automaticamente em afirmação de que um endereço pertence a uma pessoa identificada.
Labels de vendors ou exploradores podem ser pontos de partida. Uma etiqueta de exchange pode representar hot wallet, carteira de consolidação ou outra infraestrutura operacional. Ela pode refletir o controle do operador sobre a infraestrutura, não o beneficiário final de cada ativo.
Para relacionar um depósito a um cliente, seria necessário examinar a correspondência técnica entre endereço, operação, conta ou subconta, eventual estrutura omnibus, registros internos e respectivos períodos. Também seria necessário considerar a origem, a integridade, a completude e a forma de obtenção dos registros, além de explicações alternativas. A existência de KYC e de um log não prova automaticamente controle, autoria, beneficiário ou autenticidade do registro.
Custódia, armazenamento e autorização
Custódia, armazenamento, gestão de chaves e autorização são dimensões distintas. Uma arquitetura pode combinar essas dimensões de diferentes formas.
MPC, multisig e HSM descrevem aspectos de geração, gestão ou autorização de chaves; cold storage descreve uma forma de armazenamento; e “custodial” ou “non-custodial” descreve uma relação de controle e responsabilidade que depende da implementação. Esses rótulos não permitem, isoladamente, inferir quem controla ou se beneficia dos ativos.
Uma estrutura multisig pode envolver vários signatários. Uma arquitetura MPC pode distribuir capacidades de autorização. Uma cold wallet pode indicar armazenamento offline. Nenhum desses elementos, isoladamente, identifica uma pessoa, entidade ou beneficiário. A análise deve perguntar o que o endereço ou cluster representa: uma pessoa, uma entidade, um custodiante, uma infraestrutura, um conjunto de signatários ou apenas uma relação técnica inferida.
Preservação e documentação da análise
A robustez do exame depende do processo documentado, não apenas do resultado apresentado.
Integridade, proveniência e manuseio
Os arquivos utilizados podem ser identificados, preservados e submetidos a hashes para permitir a verificação de alterações posteriores à aquisição. A documentação deve registrar, conforme o caso, a fonte consultada, o método de acesso, a data e hora, a pessoa ou sistema responsável, o armazenamento e os controles aplicados.
Isso não demonstra sozinho que a coleta foi correta, que a fonte era autêntica, que o conjunto estava completo ou que o timestamp era confiável. A cadeia de custódia deve ser distinguida da análise técnica e da conclusão sobre o significado dos dados.
A ISO/IEC 27037 pode ser mencionada como orientação técnica não vinculante para identificação, coleta, aquisição e preservação de evidência digital. Não é apresentada aqui como requisito jurídico brasileiro, garantia de admissibilidade ou prova de suficiência da cadeia de custódia.
Ferramentas e parâmetros
Devem ser preservados, quando relevantes, versões de nós, clientes, RPCs, parsers, bibliotecas e ferramentas, além de parâmetros de consulta, regras de inclusão ou exclusão e registros necessários para compreender o resultado.
Uma etiqueta de software comercial é uma conclusão metodológica que precisa ser compreendida e, quando necessário, corroborada. Vendor, preprint, blog ou material comunitário não deve ser tratado automaticamente como autoridade primária para conclusões abrangentes sobre desempenho ou erro.
Três situações investigativas
Depósito em uma exchange
Um registro on-chain pode mostrar que um endereço enviou ativos a uma carteira associada a uma exchange. Registros da VASP podem oferecer uma correlação potencialmente relevante com uma conta ou cliente, mas a força da conclusão dependerá da correspondência técnica demonstrada, do processo de associação, da autenticidade e completude dos registros, da preservação, da ausência de explicações alternativas e, quando necessário, de validação independente.
A identidade não vem do endereço isoladamente. Resulta, se for o caso, da combinação documentada entre o fato on-chain e fontes externas cujo alcance deve ser explicitado.
Cluster baseado em uma heurística
Se endereços forem associados apenas por co-spend ou outra heurística, o resultado deve ser apresentado como um agrupamento produzido por determinado método. A ausência de fonte primária de identidade permanece uma limitação material.
Mixer ou CoinJoin
A passagem por mixer ou CoinJoin pode dificultar a interpretação do fluxo, dependendo da estrutura e do método de análise. O evento deve ser descrito como fator contextual, sem afirmar uma magnitude universal de redução da confiabilidade. A atribuição exigirá examinar pontos de entrada e saída, limitações técnicas e eventual corroboração externa.
Fontes externas e listas de sanções
Uma lista oficial de sanções, como uma lista que publique endereços digitais, possui finalidade, jurisdição e escopo próprios. Pode ser utilizada como elemento de screening ou correlação dentro desses limites. Não substitui a análise de controle, titularidade, autoria, beneficiário, autenticidade ou contexto, nem constitui, por si só, prova geral dessas relações no Brasil.
Checklist para advogados e investigadores
Antes de transformar um mapa de transações em uma conclusão, vale separar o que foi efetivamente observado daquilo que depende de interpretação.
Comece pela observação. O que a blockchain e a fonte consultada demonstram diretamente, sem inferências adicionais?
Verifique a integridade. O material analisado pode ser comparado com o que foi preservado após a aquisição? Existe um ponto de controle confiável para essa comparação?
Examine a proveniência. Como, quando e por quem os dados foram obtidos? O caminho entre a fonte original e o material analisado está documentado?
Separe fato de inferência. Se houve agrupamento de endereços, atribuição ou associação entre entidades, qual método produziu essa conclusão? Quais premissas ele utiliza?
Teste as fontes externas. Se um endereço foi relacionado a uma pessoa ou organização, qual registro sustenta essa ligação — e o que esse registro realmente permite afirmar?
Mapeie as limitações. Existem lacunas de completude, explicações alternativas, ambiguidades ou pontos que não podem ser confirmados com os dados disponíveis?
Só então formule a conclusão. A redação deixa claro o que é fato observado, o que é inferência técnica e o que é interpretação? Ela evita transmitir um grau de certeza maior do que a base disponível permite?
No contexto brasileiro, permanece uma limitação importante: o Research Pack não identificou um levantamento jurisprudencial público e abrangente sobre o tratamento probatório de laudos baseados em analytics vendors e evidência on-chain. Por isso, este conteúdo não pretende estabelecer conclusões sobre admissibilidade, validade ou valor probatório em um caso concreto.
Conclusão
A blockchain pode oferecer uma trilha pública e verificável de movimentação, conforme a rede, a fonte e o estado observado. Uma trilha de transações, porém, não é uma identidade civil.
A atribuição tecnicamente responsável combina dados on-chain, inferências qualificadas, fontes off-chain e documentação de aquisição, preservação e análise. Hashes, timestamps, imutabilidade, labels, clusters ou registros de KYC não devem ser tratados isoladamente como prova de origem, autenticidade, completude, controle, autoria ou titularidade.
A pergunta mais útil não é apenas “qual pessoa está por trás deste endereço?”, mas: quais elementos demonstram a relação, qual é o alcance de cada elemento e quais explicações alternativas permanecem?
Fontes
- Updated Guidance: A Risk‑Based Approach to Virtual Assets and Virtual Asset Service Providers — FATF / OECD.
- Banco Central detalha regras sobre ativos virtuais — Resoluções BCB 519/520/521 — Banco Central do Brasil.
- ISO/IEC 27037:2012 — Guidelines for identification, collection, acquisition and preservation of digital evidence — International Organization for Standardization.
- OFAC — Consolidated Frequently Asked Questions: digital currency addresses / SDN — U.S. Department of the Treasury — OFAC.
- A Fistful of Bitcoins: Characterizing Payments Among Men with No Names — Meiklejohn et al., USENIX / IMC Conference.
- Assessing the Efficacy of Heuristic‑Based Address Clustering for Bitcoin — ResearchGate / academic preprint.
- What is wallet attribution? — Chainalysis.
- What is address clustering? — Chainalysis.
- Crypto Wallet Risk Score: How Clustering Works — ChainScreen.
- CoinJoin / Wasabi / privacy techniques — technical notes — Wasabi / Bitcoin community / technical sources.
- BitGo S‑1 / public filings and custody descriptions — BitGo / SEC filing summary.
- ENFSI — Best Practice Manual and guidance on chain of custody / digital forensics — European Network of Forensic Science Institutes.
