Siga o BTC do Resgate: Rastreando Moedas até uma Carteira de Exchange Identificada
O desafio
Uma vítima pagou um resgate a um endereço Bitcoin e você quer saber onde o atacante sacou. Abra as fontes e correlacione-as: a nota de resgate contém o endereço de pagamento, um explorador de blocos rastreia as moedas por dois saltos, e uma etiqueta de análise de cadeia nomeia o destino final. Diga o nome da exchange onde os fundos chegaram e envie-o.
O que você vai aprender
- Ler um endereço de pagamento em uma nota de resgate
- Seguir um rastro de Bitcoin através de múltiplos saltos em um explorador de blocos
- Reconhecer um endereço de depósito como o fim do rastro on-chain
- Usar uma etiqueta de cluster de análise de cadeia para atribuir um endereço a uma exchange
- Entender que o Bitcoin é pseudônimo, não anônimo
Habilidades testadas
Pré-requisitos
- Entendimento básico de endereços e transações Bitcoin
- Noção do que é um endereço de depósito de exchange
Como funciona
Toda transação Bitcoin é pública, então um pagamento não é o fim da história, é o início de um rastro. Investigadores seguem o fluxo de moedas de um endereço para o próximo, e o objetivo em um caso de ransomware é chegar ao ponto onde o atacante converte cripto em dinheiro. Isso quase sempre significa um endereço de depósito em uma exchange centralizada, porque exchanges são onde moedas encontram identidade através de KYC.
A nota de resgate aqui contém apenas o endereço de pagamento do atacante, bc1qr4ns0m.... O rastreamento do explorador de blocos faz o trabalho pesado: os 0.50 BTC passam por um salto intermediário e chegam a 1DepositHotWallet000exchange0addr3, que o explorador marca como endereço de depósito. Saber que é um endereço de depósito não é suficiente, você precisa saber de quem. A etiqueta de análise de cadeia fornece isso: o destino está em um cluster conhecido rotulado Binance hot wallet (customer deposits) com alta confiança, porque esse endereço foi reutilizado em milhares de depósitos. A bravata no fórum, onde o atacante se gaba de mover fundos por um mixer até uma conta de exchange, corrobora o caminho.
O painel de OSINT apresenta cada artefato como um cartão. Nenhum cartão nomeia a exchange sozinho: a nota dá um endereço, o explorador dá um destino, a etiqueta dá a atribuição. Eles convergem em Binance.
Erros comuns
- Enviar um endereço Bitcoin. A pergunta pede a exchange, não o endereço de depósito onde os fundos chegaram.
- Parar no endereço de depósito. Saber que é um endereço de depósito não é suficiente, a etiqueta de cluster diz a você a qual exchange ele pertence.
- Ignorar os saltos. Os fundos passam por um endereço intermediário antes de chegar à exchange; siga todo o rastreamento.
- Confiar apenas na bravata do fórum. A bravata corrobora, mas não nomeia a exchange, a etiqueta on-chain faz isso.
Como se proteger
Para investigadores e defensores, o livro-razão público é a vantagem: fundos de resgate podem ser rastreados e o ponto de saque reportado à exchange para bloqueio da conta e acompanhamento policial. A mesma transparência que permite aos atacantes movimentar dinheiro permite que você o siga.
- Reporte o endereço de depósito rastreado e a exchange para permitir o bloqueio da conta e uma intimação de KYC.
- Use ferramentas de análise de cadeia confiáveis para agrupar endereços e atribuir carteiras.
- Preserve o grafo completo de transações como evidência, incluindo os saltos intermediários.
- Nunca presuma que mixers quebram totalmente o rastro, muitos fluxos permanecem rastreáveis até uma exchange identificada.