Uma transação blockchain pode ser incluída em um bloco ou estado observável e validada segundo as regras do protocolo aplicável. Isso não significa que o registro seja absoluto ou imune a reorganizações, alterações de estado ou diferenças de finalidade previstas pela rede. Também não resolve, por si só, uma pergunta central em investigação e litígio: quem controlava a chave privada no momento em que a autorização foi produzida?
Esse é o ponto de separação entre integridade do registro e autenticidade da autorização. Um eventual computador quântico de escala suficiente poderia, em princípio, comprometer determinados mecanismos criptográficos, recuperar chaves privadas a partir de chaves públicas conhecidas e produzir transações aceitas pela rede. O histórico ou estado on-chain analisado poderia permanecer sem alteração retroativa, enquanto a legitimidade atribuída à assinatura se tornaria objeto de análise.
A conclusão forense não deve ser que uma transação é quântica apenas porque utiliza um algoritmo teoricamente vulnerável. A questão exige reconstrução temporal, análise da assinatura, preservação de artefatos e correlação com evidências operacionais. Também exige reconhecer uma limitação relevante: as ferramentas e os critérios forenses específicos para demonstrar, em tribunal, que uma assinatura foi produzida por um ataque quântico ainda não estão padronizados.
A distinção essencial: integridade do histórico não é autoria
A cadeia registra bytes, transações, blocos e relações entre entradas e saídas ou entre contas. Quando uma transação é incluída e confirmada segundo as regras aplicáveis, o registro correspondente pode ser analisado quanto à sua presença e integridade no bloco, estado ou histórico observado. O peso dessa confirmação depende do protocolo, da rede e do nível de finalidade disponível.
Isso não equivale, por si só, a provar a identidade humana ou organizacional que autorizou a operação, a intenção comercial, a legitimidade da operação ou o controle legítimo da chave no instante da assinatura. A validade criptográfica informa que a transação satisfaz as regras de verificação aplicáveis e que uma assinatura corresponde à chave pública ou ao mecanismo de recuperação previsto pelo protocolo. Ela não estabelece automaticamente quem controlava a chave privada nem se a operação refletia a vontade do titular anteriormente associado àquela chave.
Em um cenário de possível comprometimento quântico, essa diferença ganha importância. Se uma chave privada puder ser recuperada depois da exposição da chave pública, um terceiro poderá produzir uma nova transação tecnicamente válida. A cadeia poderá registrar essa transação sem alteração retroativa nos blocos anteriores, embora a interpretação do registro dependa do protocolo e da finalidade aplicáveis. O problema investigativo passa a ser reconstruir o controle da chave e a sequência dos eventos.
Por que Shor e Grover importam para blockchains
O algoritmo de Shor demonstrou, em termos teóricos, que um computador quântico suficientemente capaz poderia resolver de forma eficiente problemas de fatoração e logaritmo discreto. A consequência potencial é relevante para RSA e para esquemas baseados em curvas elípticas, incluindo ECDSA, Schnorr e BLS, caso exista um computador quântico de escala suficiente para executar o ataque.
O algoritmo de Grover trata de outra classe de risco. Ele descreve uma aceleração de busca que pode afetar a segurança de determinadas funções hash e primitivas simétricas. O impacto não é uma regra uniforme: depende da propriedade analisada — como preimagem ou colisão —, do tamanho da saída, do modo de uso e do modelo de ameaça. Isso não significa que qualquer hash possa ser imediatamente quebrado nem que uma colisão ocorrerá automaticamente.
Esses resultados são fundamentos criptográficos. Eles não provam que um incidente específico foi causado por computação quântica. A passagem da vulnerabilidade teórica para um evento concreto depende de recursos, arquitetura, correção de erros, latência e outras condições técnicas que devem ser avaliadas por especialista. Estimativas numéricas sobre esses requisitos não devem ser apresentadas em material pericial sem validação D2.
A janela de exposição varia entre Bitcoin e Ethereum
A forma como uma rede revela ou permite recuperar a chave pública influencia a janela de vulnerabilidade.
No Bitcoin, muitos tipos de endereço, como P2PKH, mantêm a chave pública ocultada até o primeiro gasto. Outros formatos, como P2PK, apresentam características diferentes. Consequentemente, a exposição da chave pública pode ocorrer em momentos operacionais distintos, e a análise deve considerar o tipo de script e o histórico específico do UTXO.
No Ethereum, a recuperação de chave pública a partir de componentes como r, s e v é aplicável a determinados tipos de transação e esquemas de assinatura, especialmente transações convencionais que utilizam o mecanismo correspondente. Não se deve generalizar essa característica para todo o ecossistema Ethereum, todas as contas ou todos os mecanismos de assinatura. Antes de inferir exposição, é necessário confirmar o tipo de conta, a transação, o esquema e a regra de recuperação efetivamente aplicável.
Essa diferença não permite concluir que uma transação é ilegítima. Ela ajuda a definir a cronologia possível de exposição e, portanto, quais eventos devem ser preservados: a criação e propagação da transação, o momento em que a chave pública se tornou observável, transações concorrentes e os registros operacionais relacionados.
Dois cenários forenses distintos
1. Ataque durante a exposição de uma transação
No cenário frequentemente descrito como “on-spend”, um atacante observa uma transação ainda não confirmada, obtém acesso à chave pública revelada e tenta produzir uma transação concorrente. Em um modelo UTXO, isso pode envolver uma tentativa de gastar o mesmo UTXO ou substituir uma transação observada.
A investigação precisaria estabelecer, entre outros pontos:
- quando a transação original foi criada, registrada e observada;
- quando a chave pública se tornou disponível;
- quais transações concorrentes foram transmitidas;
- a ordem e a latência observadas de propagação entre nós;
- quais transações foram aceitas e incluídas segundo as regras da rede;
- se havia registros operacionais compatíveis com a autorização original.
A transação bruta em hexadecimal, capturas de mempool, registros de nós e dados de rede podem documentar fontes e observações parciais úteis para reconstruir uma sequência. Eles não demonstram necessariamente o estado global da rede nem o momento original de criação. Mempools, logs e pacotes podem ter cobertura parcial, retenção incompleta, relógios divergentes ou origem não independente. Sem preservação contemporânea desses elementos, a análise posterior pode depender de fontes incompletas ou de terceiros.
2. Comprometimento retrospectivo da chave
Um segundo cenário surge quando uma chave privada é supostamente recuperada depois da publicação de uma transação ou de uma chave pública. Nesse caso, um terceiro poderia produzir posteriormente uma transação válida usando aquela chave.
A existência de uma assinatura correspondente não resolve sozinha a questão temporal. É necessário investigar se o titular ainda controlava a chave, se houve uma operação de assinatura registrada, se a chave estava armazenada em carteira, HSM ou KMS e se os artefatos operacionais são compatíveis com a transação contestada.
Também pode haver disputa sobre a própria interpretação dos eventos. A recuperação posterior da chave não demonstra automaticamente que uma transação anterior foi forjada, assim como a ausência de um registro em determinado sistema não prova, isoladamente, que a chave foi usada externamente. A força da conclusão dependerá da cobertura dos registros, da cadeia de custódia, da integridade dos artefatos e da correlação temporal.
O que preservar, conforme o caso
A preservação deve abranger tanto a cadeia quanto o ambiente que controlava ou utilizava as chaves. Uma coleta limitada ao explorador de blocos pode não ser suficiente para responder a uma questão de autorização. As medidas abaixo são uma estrutura investigativa recomendada, não um protocolo universal nem uma obrigação jurídica aplicável a todos os casos; sua adoção depende do escopo, do procedimento aplicável e da disponibilidade dos artefatos.
Evidências on-chain e de rede
Devem ser considerados, conforme o caso e quando disponíveis:
- bytes brutos da transação e o bloco ou estado em que ela foi incluída;
- cópias preservadas em armazenamento protegido contra alteração, com hashes de verificação do arquivo coletado;
- componentes da assinatura, como
r,s,vou equivalentes; - tipo de script, formato de endereço e curva ou esquema utilizado;
- preimages e campos adicionais relevantes;
- capturas de mempool e, quando disponíveis, pacotes de rede do nó;
- logs dos nós, timestamps locais e evidência de sincronização temporal;
- visões de mais de um nó e hashes de blocos anteriores.
O hash de um arquivo coletado pode ajudar a demonstrar que aquele arquivo não foi alterado depois da coleta; não prova, sozinho, a autenticidade, a proveniência ou a completude do evento que o arquivo pretende registrar. O JSON parseado pode ser útil para análise, mas não deve substituir o hexadecimal original. O artefato bruto permite repetir o parsing e verificar se a interpretação apresentada corresponde ao objeto efetivamente coletado.
Evidências off-chain
A análise de controle de chave depende frequentemente de artefatos que não estão na blockchain. Entre eles estão arquivos de keystore, backups de carteira, seeds e caminhos de derivação, versões de firmware e software, além de imagens forenses de dispositivos relevantes, quando a coleta for aplicável e autorizada pelo procedimento do caso.
Também podem ser preservados, quando existentes e disponíveis:
- registros de uso de HSM e KMS;
- eventos de assinatura e operações de chave;
- registros de acesso administrativo;
- logs de custodiante, depósitos e retiradas;
- políticas e registros de rotação de chaves;
- commits, atualizações de bibliotecas e mudanças de configuração;
- e-mails, chats, tickets e procedimentos operacionais relacionados à autorização.
A ausência de logs não deve ser tratada automaticamente como prova de ausência de assinatura. É necessário compreender a arquitetura operacional, os sistemas que efetivamente participavam do fluxo, as rotas alternativas, o período de retenção e as limitações de telemetria.
Um método de análise defensável
Uma perícia pode organizar a análise em etapas, mantendo separadas a aquisição, a interpretação e a avaliação de hipóteses. A estrutura abaixo é orientação investigativa condicionada ao caso, não padrão jurídico ou forense universal.
1. Preservar antes de interpretar
Capturar, conforme o caso, a transação bruta, o bloco ou estado relevante, os dados disponíveis de mempool, os logs dos nós e os dispositivos pertinentes. Registrar a fonte de cada artefato, o momento da coleta, os hashes de integridade e a cadeia de custódia segundo o procedimento aplicável.
É importante distinguir pelo menos três referências temporais: o timestamp do evento que o artefato pretende registrar, o timestamp atribuído pelo sistema ao registro e o timestamp da coleta. Nenhum deles deve ser tratado automaticamente como o momento original de criação ou transmissão da transação. A origem, a sincronização dos relógios, a cobertura, a retenção, a possibilidade de alteração e a independência da fonte devem ser avaliadas.
Quando houver suspeita de um evento em andamento, a coleta pode considerar também a volatilidade da mempool e dos registros de rede, quando disponíveis. Dados obtidos posteriormente podem não reproduzir a visão que um nó tinha no momento relevante e não representam necessariamente o estado global da rede.
2. Fazer o parsing sem perder o original
Extrair os componentes da assinatura, recuperar a chave pública quando o protocolo e o tipo de transação permitirem e calcular os identificadores correspondentes. A análise deve conservar tanto os dados estruturados quanto os bytes originais.
Nessa fase, é importante identificar a curva, o esquema de assinatura, o tipo de script e qualquer mecanismo adicional de validação. A mera presença de um algoritmo clássico vulnerável em teoria não constitui evidência de que houve comprometimento quântico.
3. Reconstruir a temporalidade
Correlacionar a observação da transação, a exposição da chave pública, a propagação entre nós e a inclusão ou confirmação com os registros off-chain. A pergunta não é apenas se a assinatura é matematicamente válida, mas qual sequência de eventos é compatível com os dados preservados.
Timestamps devem ser avaliados quanto à sua origem, sincronização, cobertura e possibilidade de alteração. Um timestamp de uma aplicação, por exemplo, não deve ser tratado como equivalente a uma observação independente da rede sem análise de sua confiabilidade.
4. Comparar com outras utilizações da chave
Verificar se a mesma chave ou seed foi utilizada em outros ecossistemas, cadeias ou caminhos de derivação, quando isso for tecnicamente possível e pertinente ao caso. A reutilização pode ampliar a superfície de exposição, mas também pode introduzir ambiguidades de atribuição. Qualquer inferência deve indicar sua base e seu nível de confiança.
5. Avaliar a coerência operacional
Comparar a transação com os registros de HSM, KMS, custodiante, carteira e dispositivos do operador. Uma transação assinada sem evento correspondente em um sistema que deveria registrar a operação pode ser um indicador investigativo. Não é, por si só, uma prova conclusiva: o fluxo pode ter rotas alternativas, retenção limitada ou lacunas de telemetria.
6. Escalar a hipótese quântica
Se houver elementos compatíveis com comprometimento de chave, a hipótese quântica deve ser submetida a especialista com competência criptográfica e quântica. A avaliação deve considerar a plausibilidade técnica do ataque, os recursos necessários e as alternativas clássicas, como uso indevido da chave, comprometimento de dispositivo ou falha de custódia.
A afirmação de que uma transação específica foi produzida por um computador quântico requer validação D2. Não deve ser apresentada como conclusão apenas com base em uma assinatura válida, em um padrão de gasto incomum ou na exposição de uma chave pública.
Indicadores que podem orientar a investigação
Alguns padrões podem justificar aprofundamento, mas devem ser tratados como hipóteses, não como provas isoladas. Entre eles estão gastos imediatos após a exposição da chave pública, transações concorrentes, uma assinatura válida proveniente de endereço anteriormente inativo e divergências entre transações on-chain e logs de HSM ou KMS.
Mudanças no formato da assinatura ou o uso de componentes híbridos também podem exigir exame específico. A análise deve verificar qual componente foi validado, em que ordem e segundo quais regras da rede. Propostas de migração e assinaturas híbridas estão em desenvolvimento, mas o material analisado não demonstra um padrão universal de assinatura pós-quântica amplamente implementado e testado em produção nas principais redes, com métricas públicas consolidadas de custo e desempenho.
Por essa razão, comportamentos on-chain devem receber níveis de confiança explícitos. Uma heurística de gasto pode ser útil para formular uma hipótese, mas não deve ser convertida em atribuição categórica sem corroborar a inferência com evidências independentes.
O papel da migração pós-quântica
A possibilidade de migração para mecanismos pós-quânticos é objeto de padronização e desenvolvimento. O NIST selecionou algoritmos como CRYSTALS-Dilithium, FALCON e SPHINCS+ como base para a padronização inicial de assinaturas pós-quânticas. Iniciativas específicas de ecossistemas, incluindo o trabalho de pós-quântico do Ethereum, também exploram caminhos de transição.
Uma estratégia frequentemente discutida é a assinatura híbrida, que combina um mecanismo clássico com um mecanismo pós-quântico. Ela pode reduzir riscos de transição, mas não é uma solução sem custos. Assinaturas maiores, alterações de clientes, mudanças de consenso, aumento de estado e impactos em taxas ou desempenho são questões de engenharia e governança que exigem validação específica para cada rede.
Para organizações que custodiam ativos, a preparação pode incluir um inventário de materiais criptográficos, políticas de rotação, preservação sistemática de logs de assinatura e testes controlados, conforme o ambiente e o procedimento aplicável. Essas medidas podem ser relevantes não apenas para segurança futura, mas também para a capacidade de explicar, em uma investigação, quem autorizou uma operação e por qual caminho técnico.
Permanecem limitações no material analisado: não foi identificado um padrão de assinatura pós-quântica de nível de consenso amplamente implementado e testado em mainnets como Bitcoin e Ethereum, com métricas públicas consolidadas de desempenho e custo; ferramentas forenses padronizadas para demonstrar ataques quânticos em contexto legal são incipientes; e os padrões mínimos de retenção de telemetria de HSM e KMS não são universais entre custodiante e provedor. Essas formulações descrevem o escopo e as limitações da base analisada, não uma conclusão universal sobre todas as redes, jurisdições ou sistemas.
Da mesma forma, este material não identifica jurisprudência específica e consolidada sobre a demonstração judicial de que uma assinatura foi produzida por um ataque quântico. Essa ausência no conjunto analisado não deve ser convertida em afirmação global sobre todas as jurisdições.
O que advogados e investigadores devem evitar
Há quatro conclusões que exigem cautela especial.
Primeiro, uma transação incluída e confirmada segundo as regras aplicáveis não deve ser tratada automaticamente como prova de autoria, intenção comercial ou controle legítimo da chave no momento da assinatura. Ela demonstra a inclusão e a validação conforme o protocolo e o nível de confirmação ou finalidade disponível, dentro dos limites desses elementos.
Segundo, a exposição da chave pública não demonstra que uma chave privada foi recuperada. Ela define uma condição relevante para a análise de risco, não o resultado de um ataque.
Terceiro, a ausência de uma operação registrada no HSM ou no KMS não demonstra sozinha que a transação foi criada externamente. É preciso verificar a cobertura do sistema, suas rotas alternativas, o período de retenção e a integridade dos logs.
Quarto, não se deve atribuir um incidente concreto à computação quântica sem avaliação técnica dedicada. A mesma aparência on-chain pode ser compatível com outras hipóteses de comprometimento clássico, uso indevido de credenciais, falhas de custódia ou problemas de processo.
Uma conclusão útil para a perícia
Em um possível cenário de comprometimento quântico, a pergunta central não é apenas se a transação está na blockchain. É necessário separar quatro questões:
- O registro on-chain corresponde à transação analisada e qual é o nível de integridade, confirmação ou finalidade que pode ser demonstrado?
- A assinatura satisfaz as regras criptográficas e protocolares aplicáveis?
- Quem controlava a chave privada no momento relevante?
- Há evidência técnica suficiente para distinguir autorização legítima, comprometimento clássico e hipótese quântica?
A resposta exige a combinação de dados on-chain, capturas de rede, artefatos de carteira, logs de custódia e evidências operacionais. Também exige declarar limites, incertezas, origem, cobertura e níveis de confiança, sem transformar uma possibilidade criptográfica em fato histórico.
A perspectiva da IVIDENTIA é simples: em disputas envolvendo ativos digitais, a força da evidência está na separação rigorosa entre o que a cadeia registra, o que a assinatura valida e o que os artefatos externos permitem atribuir. Quando a hipótese envolve computação quântica, essa separação deve ser acompanhada de revisão técnica D2 antes de qualquer conclusão pública ou pericial.
Se uma investigação envolve transações contestadas, exposição de chaves ou preservação urgente de evidências de custódia, o primeiro passo é estruturar a coleta e a reconstrução temporal antes de formular uma conclusão sobre autoria ou comprometimento.
Fontes
- NIST Announces First Four Quantum-Resistant Cryptographic Algorithms — NIST.
- Post-Quantum Cryptography — Selected Algorithms — NIST CSRC.
- Algorithms for quantum computation: discrete logarithms and factoring — Peter W. Shor / FOCS / SIAM.
- A fast quantum mechanical algorithm for database search — Lov K. Grover / arXiv.
- Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations — Google Research / arXiv.
- Bitcoin Developer Guide — Transactions — Bitcoin.org Developer Guide.
- Ethereum ecrecover / signature recovery — Ethereum / go-ethereum / EIPs.
- Post-Quantum Ethereum — Ethereum Foundation, Protocol team.
- Hybrid Post-Quantum Signatures for Bitcoin and Ethereum: A Protocol-Level Integration Strategy — Academic / preprint.
- Architecting Quantum-Resilient Blockchains — MDPI.
- OWASP Smart Contract Security — EVM Forensics & Analysis Techniques — OWASP / EVM Forensics.
- NIST SP 800-131A / Transitioning the Use of Cryptographic Algorithms and Key Lengths — NIST.
