Quem investiga os hacks cripto? A indústria forense por dentro

Uma ponte, cinco chaves e a pergunta que ninguém respondeu

No dia 22 de julho de 2026, às 21h30 UTC, a firma de segurança Blockaid detetou uma anomalia numa plataforma de perpétuos pouco conhecida, a AFX Trade, construída sobre Arbitrum. Em poucos minutos, 24,15 milhões de dólares (cerca de 20,9 milhões de euros) em USDC saíram da ponte que a AFX Trade operava para mover ativos entre cadeias. Cinco chaves privadas de validadores, suficientes para atingir o quórum de cerca de dois terços exigido pela ponte, tinham sido comprometidas; o contrato inteligente limitou-se a fazer exatamente o que foi construído para fazer, verificar assinaturas válidas e libertar os fundos. Horas depois, o atacante já tinha trocado o USDC por cerca de 12.467 ETH e consolidado tudo numa única carteira. A AFX Trade ofereceu ao atacante ficar com 30% do valor roubado (cerca de 6,2 milhões de euros) em troca da devolução do restante.

Este site já escreveu longamente sobre a anatomia do post-mortem cripto: a cronologia, a causa-raiz, o pedido de desculpas, o plano de reembolso. Há, porém, uma pergunta que quase nunca aparece nesses textos, apesar de ser talvez a mais importante: quem escreve, de facto, a autópsia? Quem investiga, segue as carteiras, atribui a autoria e decide, semanas antes de qualquer tribunal se pronunciar, que «foi a Coreia do Norte»? A resposta é uma indústria privada, competitiva, por vezes opaca e, em praticamente todo o mundo (Portugal incluído), sem qualquer supervisão regulatória formal, apesar de as suas conclusões acabarem em processos judiciais, apólices de seguro e na perceção pública de quem foi ou não responsável.

O que é, afinal, a perícia forense on-chain

A perícia forense on-chain é o processo de reconstruir, depois de um ataque, exatamente o que aconteceu: seguir o dinheiro através de carteiras, pontes entre cadeias, misturadores e exchanges, identificar a infraestrutura do atacante e, sempre que possível, produzir um relatório público com uma cronologia verificável. Importa não confundir isto com a auditoria de código, já analisada em detalhe no artigo «Auditado e hackeado»: a auditoria acontece antes do ataque, sobre o código-fonte; a perícia forense acontece depois, sobre o rasto deixado na cadeia.

O ecossistema que faz este trabalho não é um bloco único. Existem pelo menos cinco categorias de intervenientes, muitas vezes a competir pelo mesmo crédito público: as plataformas de análise institucional (Chainalysis, TRM Labs, Elliptic), as firmas de resposta a incidentes contratadas caso a caso (Sygnia, Verichains, Halborn), os investigadores independentes e pseudónimos, dos quais o mais conhecido é o ZachXBT, os mercados de recompensa por informação (Arkham Intelligence) e os coletivos de resposta rápida voluntária (SEAL 911). Cada um tem um modelo de negócio diferente, um incentivo diferente e, como se vai ver, uma relação diferente com a verdade que publica.

Os incumbentes: Chainalysis, TRM Labs e Elliptic

A Chainalysis afirma que mais de 800 agências governamentais em 70 países usam a sua ferramenta Reactor como instrumento primário de investigação on-chain, ao lado do produto de conformidade KYT (Know Your Transaction), usado por exchanges como parte dos seus programas de prevenção de branqueamento de capitais. A TRM Labs, através das ferramentas TRM Forensics e TRM Monitor, cobre um número alargado de blockchains e de tokens e presta serviços equivalentes a exchanges, bancos e agências de aplicação da lei. A Elliptic, por seu turno, tem reforçado a sua prática junto de agências de segurança nacional e de aplicação da lei nos Estados Unidos, respondendo a uma procura crescente por dados on-chain por parte de organismos governamentais.

O ponto que raramente se explica é este: para nenhuma destas três empresas o relatório público sobre um hack específico é, de facto, o produto principal. O negócio central é a subscrição institucional, vendida a bancos, exchanges e governos para efeitos de conformidade regulatória e vigilância de risco. Um relatório detalhado sobre a rota de fundos de um determinado ataque é muitas vezes um subproduto de marketing e reputação, uma forma de demonstrar publicamente a capacidade da ferramenta, mais do que uma entrega paga diretamente pelo protocolo vítima. Isto tem consequências práticas: os incidentes que geram relatórios públicos detalhados tendem a ser os maiores e mais mediáticos, não necessariamente os mais representativos do problema no seu conjunto.

Esta dimensão de conformidade não é acessória: é frequentemente o que torna possível, na prática, recuperar parte dos fundos roubados. Quando uma exchange europeia recebe um alerta de uma ferramenta como o KYT da Chainalysis a assinalar um depósito como proveniente de um endereço associado a um hack, a obrigação de diligência reforçada que resulta das regras europeias de combate ao branqueamento de capitais aplicáveis a prestadores de serviços de criptoativos dá-lhe uma base para congelar a conta antes de qualquer ordem judicial. É esta infraestrutura de conformidade, construída para vigiar clientes normais, que acaba por sustentar grande parte da capacidade de resposta a hacks do setor, uma ligação raramente explicitada quando se fala apenas em «seguir o dinheiro».

O detetive pseudónimo: ZachXBT e a investigação amadora profissionalizada

Nenhuma figura ilustra melhor a zona cinzenta entre o voluntariado e o negócio do que o ZachXBT. A sua origem é conhecida: perdeu cerca de 15 mil dólares num roubo de carteira durante o boom das ICO de 2017, e transformou essa perda numa aprendizagem autodidata de análise on-chain. Desde 2021 que opera sob pseudónimo, sem rosto público confirmado, identificado apenas por um avatar de ornitorrinco de banda desenhada.

O seu método combina análise do bytecode de contratos inteligentes, agrupamento de carteiras por padrões de financiamento partilhado, pesquisa em redes sociais (X, Telegram, Discord) e, por vezes, gravações ou conversas privadas que lhe são enviadas por terceiros. O seu currículo de casos por volta de 2026 inclui a ligação do hack da Bybit (cerca de 1,5 mil milhões de dólares, ou 1,3 mil milhões de euros) à Coreia do Norte, o rastreio de um roubo de 4.064 BTC (cerca de 243 milhões de dólares, ou 211 milhões de euros) a credores da Genesis, que levou a múltiplas detenções, e uma investigação sobre uma rede de engenharia social ligada à Coinbase, com perdas anuais estimadas em cerca de 300 milhões de dólares (260 milhões de euros), que culminou na detenção de um agente de apoio subcontratado na Índia em dezembro de 2025. Mais recentemente, em fevereiro de 2026, publicou alegações de negociação com informação privilegiada por parte de um funcionário da exchange Axiom, uma investigação que gerou tanta expectativa que terão surgido posições curtas em mercados de previsão horas antes da publicação do relatório, um facto que o próprio caso levantou como suspeita de fuga de informação.

O modelo de financiamento é revelador: sem salário fixo, o ZachXBT vive de doações da comunidade, de uma angariação de fundos legal que já ultrapassou 1 milhão de dólares (mais de 870 mil euros) para cobrir eventuais processos judiciais, de recompensas pagas em token pela Arkham Intelligence, de contratos pontuais de resposta a incidentes e de uma atribuição de 150 mil tokens OP através do programa de financiamento retroativo de bens públicos da Optimism. Tornou-se ainda conselheiro de resposta a incidentes na Paradigm. Na prática, é um interveniente com influência equivalente à de qualquer entidade reguladora informal do setor, sem que exista qualquer processo de acreditação, código de conduta obrigatório ou mecanismo de recurso caso uma acusação se revele errada.

As próprias controvérsias associadas ao seu trabalho, desde suspeitas nunca provadas de conflitos de interesse com tokens de projetos que cobre, até uma tentativa de exposição da sua identidade real associada a um processo de difamação entretanto retirado, mostram como mesmo o nome mais confiável do setor opera sem qualquer supervisão institucional. Este é também o tipo de prova que, mais tarde, pode acabar escrutinada em tribunal, como este site detalhou no artigo sobre os casos Eisenberg e Tornado Cash.

Da investigação à intervenção: Blockaid e o CertiK Skynet

Nem todo o setor se dedica a escrever autópsias depois do facto consumado. A Blockaid, por exemplo, construiu o seu negócio precisamente para tornar a investigação posterior menos necessária, deslocando o foco para a deteção e intervenção em tempo real, travando um roubo em milissegundos em vez de o documentar semanas depois. Foi a Blockaid que sinalizou a exploração da AFX Trade praticamente no momento em que esta ocorreu, e foi também uma firma de segurança que expôs o mecanismo por trás do hack da Ostium a 15 de julho de 2026 (entre cerca de 10 e 21 milhões de euros, consoante a fonte, através da manipulação do oráculo de preços), um exploit que, segundo investigadores, incidiu precisamente sobre uma infraestrutura de atualização de preços explicitamente excluída do âmbito do programa de recompensas por bugs da própria Ostium.

A CertiK segue lógica semelhante com a sua plataforma Skynet, que combina monitorização automática 24 horas por dia com uma pontuação de segurança que avalia código, saúde operacional, confiança da comunidade e governação, complementada pelo produto SkyInsights, vocacionado para conformidade regulatória e rastreio de branqueamento de capitais. A linha entre «investigador» e «fornecedor de produto» está, portanto, cada vez mais ténue: estas empresas vendem monitorização contínua como um produto de gestão de risco quase equivalente a um seguro, e o post-mortem público passa a ser um efeito secundário promocional de uma ferramenta cujo objetivo real é eliminar a necessidade de o escrever.

SEAL 911: a sala de guerra dos whitehats

A Security Alliance nasceu em 14 de fevereiro de 2023, fundada por samczsun (na altura já responsável de segurança na Paradigm) com Pascal Caversaccio como cofundador e líder operacional, numa resposta direta ao vazio legal que os hackers éticos enfrentavam durante o saque caótico da ponte Nomad. Em agosto desse mesmo ano nasceu o SEAL 911, uma linha direta de emergência via Telegram que liga qualquer equipa ou utilizador em crise a uma equipa de investigadores de segurança validados, disponível 24 horas por dia. Desde então, a organização já geriu mais de 3.300 pedidos de assistência e recuperou mais de 50 milhões de dólares (cerca de 43,4 milhões de euros) em ativos.

Um episódio de 2023 ilustra bem o modelo: numa exploração ativa contra o protocolo dice9win, Caversaccio e o colega investigador Igor Igamberdiev confirmaram a vulnerabilidade e coordenaram uma correção em poucos minutos. Caversaccio descreveu o momento assim: «Everything happened within minutes (…) It was a historic moment. We were able to prevent huge damage to a project that hadn’t officially launched.» Igamberdiev, por seu lado, resumiu a assimetria de risco da situação: «They bet without the opportunity to lose (…) The exploiters didn’t risk anything other than locking up capital for a short time.» O acordo de porto seguro para whitehats que a Security Alliance mantém dá cobertura legal a este tipo de intervenção. É, na prática, o modelo menos comercial de todo o setor: sem taxa, sem exigência de recompensa, puramente voluntário e dependente da reputação, uma estrutura de incentivos radicalmente diferente da dos gigantes institucionais ou do próprio ZachXBT.

Arkham Intelligence e o mercado de recompensas por informação

Se o SEAL 911 representa o extremo altruísta do espetro, a Intel Exchange da Arkham Intelligence representa o oposto: um mercado onde qualquer pessoa pode financiar, em token ARKM, uma recompensa para identificar uma carteira ou uma pessoa por detrás de um ataque, um modelo que a imprensa rapidamente apelidou de «dox-to-earn». Entre as recompensas mais mediáticas contam-se os 415 milhões de dólares (cerca de 360 milhões de euros) relacionados com fundos desaparecidos da FTX, o hack de 160 milhões de dólares (139 milhões de euros) sofrido pela Wintermute e a exploração de cerca de 190 milhões de dólares (167 milhões de euros) da ponte Nomad.

A controvérsia não tardou: críticos apontaram o risco de a plataforma se tornar uma ferramenta de campanhas de difamação ou vinganças pessoais, já que o incentivo financeiro para identificar, ou seja, expor a identidade de alguém, não garante rigor nem exatidão. A própria Arkham viu-se envolvida num incidente de privacidade quando se descobriu que os seus URLs de referência codificavam, de forma facilmente descodificável, o endereço de email dos utilizadores. Este é talvez o caso mais nu do problema central deste artigo: um mercado de recompensas que atribui um preço em dinheiro à identificação de uma pessoa, sem qualquer cadeia de custódia da prova ou padrão de verificação associado ao pagamento.

Como (e porque) se aponta o dedo à Coreia do Norte

Poucas frases aparecem tão depressa num post-mortem cripto como «atribuído à Coreia do Norte» ou ao grupo Lazarus. No caso da Bybit, o FBI atribuiu formalmente o ataque de cerca de 1,5 mil milhões de dólares a atores associados à operação «TraderTraitor», ligada ao Lazarus; dias depois, as firmas contratadas pela exchange, a Sygnia e a Verichains, publicaram relatórios forenses preliminares que confirmaram o vetor de ataque através da cadeia de fornecimento da interface do Safe{Wallet}. O ZachXBT, de forma independente, associou os endereços do ataque a infraestrutura previamente ligada ao Lazarus.

Tecnicamente, este tipo de atribuição assenta sobretudo em quatro categorias de prova: a reutilização de padrões de código ou de infraestrutura (o mesmo tipo de contrato malicioso, o mesmo fornecedor de alojamento) já observados em ataques anteriores atribuídos ao mesmo grupo; o agrupamento de carteiras através de financiamento partilhado ou de horários de atividade consistentes; a cooperação de exchanges que reconhecem depósitos vindos de clusters de endereços previamente sinalizados; e a pesquisa de fontes abertas, incluindo o padrão, já bem documentado, de operacionais norte-coreanos que se candidatam a empregos de programação remotos sob identidade falsa para obter acesso interno a equipas de projetos cripto.

Mas a atribuição está longe de ser sempre tão consensual ou imediata. No caso do KelpDAO, que perdeu cerca de 290 milhões de dólares (257 milhões de euros) em abril de 2026 através de uma exploração da mensagem cross-chain do LayerZero, a própria LayerZero atribuiu o ataque ao Lazarus com base em «indicadores preliminares», enquanto o KelpDAO contestou publicamente essa mesma atribuição, argumentando que a causa-raiz residia antes na configuração por omissão da própria infraestrutura do LayerZero. Outros investigadores têm, em casos distintos, contestado a rapidez com que se atribui autoria à Coreia do Norte, alegando que a evidência disponível nas primeiras horas é muitas vezes insuficiente para uma atribuição definitiva a um agente estatal.

O padrão geral é este: a atribuição à Coreia do Norte tornou-se um primeiro reflexo quase automático, apoiado, é verdade, num histórico genuinamente vasto de atividade on-chain já confirmada do Lazarus. Mas a velocidade a que estas alegações circulam, muitas vezes dentro de 24 a 48 horas, ultrapassa largamente o padrão de prova que se exigiria num processo criminal, e poucos órgãos de comunicação social distinguem sistematicamente entre uma atribuição confirmada por uma agência federal e a leitura preliminar de uma única firma privada.

A primeira hora: como decorre uma investigação forense na prática

Apesar de cada hack ser diferente, o processo de investigação segue, na prática, uma sequência bastante previsível. Nos primeiros minutos, uma ferramenta de deteção automática como a da Blockaid ou o Skynet da CertiK assinala uma transação anómala, tipicamente por via de regras predefinidas: uma transferência muito acima do padrão habitual, uma chamada de função pouco frequente, uma mudança súbita de proprietário de um contrato. Nas horas seguintes, se o valor em causa for suficientemente elevado, forma-se uma «sala de guerra»: a equipa do protocolo, uma firma de resposta a incidentes contratada e, com frequência, voluntários do SEAL 911 juntam-se num canal privado para tentar travar novos levantamentos, contactar exchanges a pedir o congelamento de fundos recebidos e preparar a primeira comunicação pública.

É só depois desta fase de contenção, normalmente entre as 24 e as 72 horas seguintes, que aparecem as primeiras hipóteses de atribuição de autoria, habitualmente descritas como «indicadores preliminares». O relatório forense mais completo, com cronologia detalhada e prova técnica da causa-raiz, demora tipicamente dias a semanas a ser publicado, como aconteceu com os relatórios da Sygnia e da Verichains no caso Bybit. Só nesta fase final é que ferramentas como a Chainalysis Reactor entram tipicamente em ação de forma mais visível, quando investigadores institucionais ligam os endereços do ataque a clusters de carteiras já conhecidos, muitas vezes através da cooperação de exchanges que partilham dados de identificação associados a depósitos suspeitos.

Quem faz o quê, e quem paga a fatura

Antes de perceber os conflitos de interesse em jogo, ajuda ver lado a lado quem são os principais intervenientes deste ecossistema e o modelo de negócio de cada um.

Cada modelo de financiamento carrega o seu próprio incentivo distorcido. Quando uma firma é contratada diretamente pela vítima, como a Sygnia e a Verichains no caso Bybit, existe uma tentação óbvia de suavizar erros próprios no relatório final; o caso Bybit é tratado como padrão-ouro do setor precisamente porque o diretor executivo Ben Zhou optou pelo caminho oposto, publicando tudo rapidamente. Como o próprio afirmou na altura: «our response is primarily to maintain transparency.»

Quando o modelo assenta em subscrições institucionais, como a Chainalysis, a TRM Labs ou a Elliptic, o incentivo dominante é reter clientes que pagam mensalidades ou licenças, tipicamente bancos, exchanges e agências governamentais, não necessariamente servir da forma mais completa possível uma vítima específica que não é cliente pagante. Quando o modelo é a recompensa por resultado, como a Intel Exchange da Arkham, o incentivo é ser o primeiro a identificar alguém, mesmo que isso signifique publicar uma atribuição precipitada para garantir o crédito e o pagamento. Só o modelo voluntário do SEAL 911 escapa a este problema específico, mas paga esse preço com uma capacidade de resposta limitada a uma equipa de poucas dezenas de pessoas, que não pode, por definição, cobrir todos os incidentes do setor.

Este desalinhamento de incentivos ajuda também a explicar por que motivo alguns dos relatórios mais completos do setor acabam por ser produzidos por quem menos beneficia financeiramente de o fazer. O próprio acordo de porto seguro da Security Alliance existe precisamente para remover um incentivo perverso distinto: o receio de responsabilidade criminal que, de outra forma, levaria muitos investigadores independentes a hesitar antes de intervir num ataque ainda em curso.

Estudo de caso: a cadeia de confirmação no hack da Bybit

O caso Bybit (fevereiro de 2025, cerca de 1,5 mil milhões de dólares através de um ataque à cadeia de fornecimento da interface do Safe{Wallet}, não a um erro de contrato inteligente) continua a ser o exemplo mais citado de como a atribuição forense deveria funcionar quando funciona bem. Quatro fontes independentes, com metodologias diferentes e sem coordenação direta entre si, convergiram para a mesma conclusão: as firmas contratadas pela exchange (Sygnia e Verichains), o investigador pseudónimo independente (ZachXBT) e, separadamente, o FBI enquanto agência federal dos EUA. Nenhuma destas partes dependia das outras para chegar à mesma resposta, e foi essa convergência multifacetada, mais do que qualquer relatório isolado, que transformou a atribuição da Bybit num quase-consenso do setor, em contraste com casos de fonte única como a disputa entre o KelpDAO e o LayerZero. A recompensa de 140 milhões de dólares (cerca de 123 milhões de euros) oferecida pela Bybit a quem ajudasse a rastrear os fundos roubados reforçou ainda mais esta convergência, ao alinhar financeiramente dezenas de investigadores independentes com o mesmo objetivo.

Este tipo de reconstrução de confiança pública é também parte do motivo pelo qual a Bybit surge, noutro artigo deste site, como um dos casos que sobrevivem ao hack em vez de desaparecerem. Contraste-se este quase-consenso com o hack mais recente sofrido pela WEMIX, ecossistema de jogos da Wemade, que perdeu cerca de 6,25 milhões de dólares (5,4 milhões de euros) a 26 de julho de 2026 depois de um atacante obter privilégios de administrador sobre o contrato do stablecoin WEMIX$. Dias depois, a empresa continuava a descrever o incidente como estando sob «inspeção abrangente», sem uma causa-raiz confirmada nem qualquer atribuição de autoria, uma opacidade que contrasta com a rapidez e o detalhe do caso Bybit, e que ilustra como a qualidade de uma investigação forense depende tanto da vontade de a publicar como da capacidade técnica de a realizar.

O ponto cego regulatório: quem certifica os detetives

Ao contrário de um perito forense contabilístico ou de um laboratório de análise criminal, que operam sob normas de acreditação, protocolos de cadeia de custódia e, muitas vezes, supervisão de uma ordem profissional, não existe hoje nenhuma entidade em lado nenhum do mundo, União Europeia incluída, que certifique quem se pode chamar «investigador forense on-chain» ou que padrão de prova um relatório de atribuição deve cumprir. O MiCA regula os prestadores de serviços de criptoativos e os emitentes de tokens; o DORA, o regulamento de resiliência operacional digital, cobre a resiliência das infraestruturas tecnológicas de entidades financeiras. Nenhum dos dois toca na questão de saber quem pode investigar um hack, ou que critérios essa investigação deve satisfazer antes de ser tratada como facto, um ponto cego estruturalmente semelhante ao que este site já identificou a propósito das auditorias de código no artigo «Auditado e hackeado», mas aplicado agora à investigação, não à revisão de código.

Em Portugal, a CMVM supervisiona a conduta de mercado dos prestadores de serviços de criptoativos, e o Banco de Portugal trata do registo destas entidades e da supervisão de stablecoins ao abrigo da Lei n.º 69/2025. Nenhuma das duas autoridades tem, contudo, qualquer papel na investigação forense de um hack ou na validação de uma atribuição de autoria. Uma vítima portuguesa de um ataque recorreria à mesma constelação privada (Chainalysis, TRM Labs, ZachXBT, SEAL 911) que qualquer outra vítima no mundo, e só depois, se quisesse perseguir uma via criminal, entregaria essas conclusões à Polícia Judiciária ao abrigo do Código Penal e da Lei do Cibercrime, que teria de validar de forma independente tudo o que uma firma privada afirma, exatamente como sucedeu nos processos de Avraham Eisenberg e Roman Storm nos Estados Unidos, já detalhados noutro artigo deste site.

A economia da reputação: velocidade contra rigor

Publicar em primeiro lugar tem valor: mais seguidores, mais credibilidade, mais convites para papéis de consultoria, mais acesso a recompensas futuras. Um colega investigador, Nick Bax, descreveu como o ZachXBT chegou a analisar manualmente cerca de 500 transações em apenas 12 horas durante um roubo ainda em curso, uma velocidade genuinamente valiosa quando os fundos ainda podem ser recuperados. Mas essa mesma pressão para ser rápido ajuda a explicar por que razão «indicadores preliminares» são tantas vezes reportados como se fossem facto consumado, e por que disputas como a do KelpDAO com o LayerZero acontecem sequer.

Este site já explorou, no artigo sobre as baleias que o on-chain não mostra, como a leitura de sinais on-chain pode enganar tanto quanto informar. O mesmo se aplica à atribuição forense: ninguém jamais sofreu consequências profissionais formais por uma atribuição errada da forma como um perito contabilístico certificado enfrentaria uma queixa junto de uma ordem profissional. O único custo real é reputacional, e um custo reputacional é barato quando o público, em geral, esquece o episódio ao fim de um ciclo de notícias.

O que vem a seguir: da autópsia à prevenção

A direção que o próprio setor diz querer seguir é tornar a autópsia cada vez menos necessária. A Blockaid fê-lo de forma explícita ao posicionar-se como intervenção em tempo real; a CertiK segue caminho semelhante com a monitorização permanente do Skynet. A inteligência artificial já está a acelerar o próprio trabalho de revisão de segurança, com firmas do setor a documentar publicamente saltos acentuados no número de vulnerabilidades analisadas por semana graças a ferramentas de deteção automática, uma tendência que, aplicada à investigação forense, pode comprimir relatórios que hoje demoram dias, como os da Sygnia ou da Verichains no caso Bybit, para um espaço de poucas horas.

Vale ainda notar uma peça deste puzzle que raramente se cruza com o tema da investigação forense: fundos de financiamento retroativo de bens públicos de segurança, relançados a partir de ativos historicamente ligados a hacks antigos do setor, já apoiam hoje ferramentas de auditoria e deteção de vulnerabilidades. Nada impede, em teoria, que rondas futuras desse tipo de financiamento passem a apoiar diretamente capacidade de investigação forense independente, hoje dependente quase por completo de doações voluntárias e de recompensas pontuais.

Nada disto resolve, porém, o problema central identificado ao longo deste artigo: enquanto a investigação forense continuar a ser financiada de forma privada, motivada pela competição comercial e desprovida de qualquer padrão de prova vinculativo, a atribuição mais rápida ou mais ruidosa continuará a circular como facto muito antes de qualquer tribunal se preocupar em, de facto, prová-la.

Perguntas Frequentes

O que é a perícia forense on-chain?

É o processo de reconstruir, depois de um ataque a um protocolo ou exchange, o percurso exato dos fundos roubados: que carteiras os receberam, que pontes ou misturadores foram usados e que infraestrutura pode ser associada ao atacante. Ao contrário da auditoria de código, que analisa um contrato inteligente antes de ser explorado, a perícia forense atua depois do facto consumado, produzindo tipicamente um relatório público com uma cronologia detalhada e, sempre que possível, uma atribuição de autoria. É um trabalho feito por uma mistura de empresas privadas, investigadores independentes e coletivos voluntários, sem qualquer entidade reguladora a certificar o processo.

Quem paga as investigações forenses depois de um hack cripto?

Depende do interveniente. Firmas como a Sygnia ou a Verichains são muitas vezes contratadas diretamente pelo protocolo ou exchange atacado. Plataformas como a Chainalysis, a TRM Labs ou a Elliptic vivem sobretudo de subscrições vendidas a bancos, exchanges e agências governamentais, não do caso individual. Mercados como a Intel Exchange da Arkham Intelligence pagam recompensas em token a quem identificar um culpado. Já coletivos como o SEAL 911 funcionam em regime de voluntariado, sem qualquer pagamento associado à intervenção. Cada modelo tem um incentivo diferente, e por isso a qualidade e a rapidez de uma investigação variam muito consoante quem a financia.

Porque é que tantos hacks cripto são atribuídos à Coreia do Norte?

Porque existe um historial extenso e bem documentado de atividade do grupo Lazarus, também associado à designação «TraderTraitor», em ataques anteriores, o que torna os seus padrões de comportamento on-chain mais fáceis de reconhecer, desde a reutilização de infraestrutura até candidaturas a empregos remotos sob identidade falsa. Ainda assim, nem todas as atribuições têm o mesmo grau de confiança: casos como o da Bybit contam com confirmação cruzada por várias fontes independentes, incluindo o FBI, enquanto outros, como a disputa entre o KelpDAO e o LayerZero, assentam em «indicadores preliminares» contestados pela própria vítima.

Quem é o ZachXBT e porque é tão citado nos casos de hacks cripto?

É um investigador on-chain pseudónimo, ativo desde 2021, conhecido por analisar manualmente o rasto de transações de grandes hacks, incluindo o da Bybit e o roubo de fundos de credores da Genesis. Não tem vínculo formal a nenhuma empresa reguladora nem qualquer acreditação oficial; financia o seu trabalho através de doações, recompensas pagas por plataformas como a Arkham Intelligence e colaborações pontuais com firmas como a Paradigm. A sua influência sobre a perceção pública de um hack é, na prática, comparável à de qualquer instituição forense estabelecida, apesar de operar inteiramente fora de qualquer estrutura institucional.

Existe alguma entidade que regule ou certifique os investigadores forenses cripto?

Não, em lado nenhum do mundo, incluindo na União Europeia. O MiCA regula os prestadores de serviços de criptoativos e o DORA cobre a resiliência operacional das instituições financeiras, mas nenhum dos dois define normas para quem investiga um hack ou que padrão de prova essa investigação deve cumprir. Em Portugal, nem a CMVM nem o Banco de Portugal têm qualquer papel neste tipo de investigação, que corre por via privada até que, se necessário, seja entregue à Polícia Judiciária.

Marcus Okafor é editor da HOGE Wire, especializado em segurança e cultura cripto.