Rastreamento de transações e análise on-chain

Em uma blockchain pública como a do Bitcoin, cada transação fica gravada para sempre e pode ser lida por qualquer pessoa. Isso torna possível seguir o caminho de um valor de endereço em endereço, mesmo anos depois. Esse trabalho tem nome: análise on-chain, o estudo dos dados registrados na própria blockchain (on-chain, “na cadeia”) para entender quem movimenta o quê.

Este texto explica as ideias por trás do rastreamento, os seus limites e as regras que cercam o uso. Ele não indica empresas nem ferramentas e não ensina a fugir do rastreamento. A situação é a de 8 de outubro de 2026. Para o lado de quem quer proteger a própria privacidade, veja Privacidade em blockchains públicas.

O ponto de partida: um registro aberto

A blockchain do Bitcoin registra cada transação com suas entradas, de onde o dinheiro vem, e suas saídas, para onde ele vai. Os participantes aparecem como endereços, sem nome. O whitepaper do Bitcoin compara o resultado à fita de uma bolsa de valores, que mostra horário e tamanho de cada negócio sem dizer quem são as partes (Nakamoto, seção 10).

Seguir um valor de uma saída para a próxima entrada é simples: os dados estão lá. O difícil é responder duas perguntas. Quais endereços pertencem à mesma pessoa ou empresa? E quem é essa pessoa ou empresa?

Agrupar endereços: as heurísticas

Uma heurística é uma regra prática que costuma acertar, mas não é garantida. A análise on-chain usa várias para reunir endereços em grupos (clusters) que provavelmente têm o mesmo controlador.

O estudo acadêmico de referência é A Fistful of Bitcoins, de pesquisadores da Universidade da Califórnia em San Diego e da George Mason University, publicado em 2013. Ele descreve duas heurísticas (Meiklejohn et al.):

1. Entradas em comum. Se dois endereços aparecem como entradas da mesma transação, eles são controlados pelo mesmo usuário. A lógica é que, para montar a transação, quem a assina precisa ter as chaves privadas de todas as entradas. O próprio whitepaper do Bitcoin já reconhecia esse vínculo como inevitável (Nakamoto, seção 10).
2. Endereço de troco. No Bitcoin, um valor recebido precisa ser gasto por inteiro. Se você tem 4 e quer pagar 3, a transação cria duas saídas: 3 para o destinatário e 1 de volta para um endereço novo seu, o troco. Identificar qual saída é o troco permite ligar esse endereço novo a quem pagou.

A segunda regra é bem mais arriscada que a primeira, porque o troco não tem marca. Os autores adotaram precauções, como não marcar nada quando havia dúvida, e estimaram uma taxa de falsos positivos de 0,17%. Eles mesmos ressaltam que essa taxa só pode ser estimada, porque não há como saber com certeza o que é e o que não é troco.

No Ethereum, a tarefa começa de outro ponto. A rede usa contas e, na observação da redação, muita gente usa a mesma conta por bastante tempo, o que já concentra o histórico em um endereço. Os detalhes desse modelo estão em O que é Ethereum.

Dar nome aos grupos

Um grupo de endereços continua anônimo até que um deles seja ligado ao mundo real. No estudo de 2013, os pesquisadores fizeram 344 transações com corretoras, carteiras on-line e lojas para marcar endereços que sabiam a quem pertenciam. Depois, estenderam cada marca ao grupo inteiro. Assim, identificaram cerca de 1,9 milhão de chaves públicas ligadas a algum serviço ou identidade, cerca de 16% do total na época. Em muitos casos, a “identidade” era um apelido em fórum, não um nome civil (Meiklejohn et al.).

O estudo seguiu também valores roubados e valores que saíram do Silk Road, mercado ilegal da época. Na maior parte dos casos, o rastreamento foi direto, e grandes quantias chegaram a corretoras. Os autores observam que chegar até a corretora não identifica o autor, mas permite que autoridades com poder de requisição descubram o titular da conta. Por funcionarem como pontos de passagem obrigatórios para entrar e sair do sistema, concluíram, o Bitcoin não parecia, naquele momento, particularmente atraente para lavar dinheiro.

Esse é o mecanismo central até hoje: a blockchain mostra o caminho; quem conhece o cliente na ponta, em geral uma corretora centralizada, fornece o nome.

Quem usa o rastreamento

• Autoridades. Polícias, órgãos de inteligência financeira e de sanções seguem fluxos de crimes como ransomware e golpes. Em 2022, ao sancionar o misturador Tornado Cash, o Tesouro dos Estados Unidos atribuiu ao serviço mais de US$ 7 bilhões lavados desde 2019, incluindo mais de US$ 455 milhões roubados por um grupo ligado à Coreia do Norte (Tesouro dos EUA), números que só existem graças a esse tipo de análise.
• Corretoras e prestadoras de serviços. Elas precisam monitorar operações e conferir se endereços aparecem em listas de sanções, como descrito abaixo.
• Vítimas e pesquisadores. Quem sofreu um golpe pode acompanhar para onde foram os valores, o que ajuda a fazer a denúncia; veja como em golpes com criptomoedas.

Os limites do método

A análise on-chain é poderosa, mas tem limites que você precisa conhecer antes de confiar em um resultado.

• São inferências. Heurísticas erram. Um grupo pode juntar endereços de pessoas diferentes ou separar endereços da mesma pessoa. A conclusão “este endereço é de fulano” é uma hipótese até ser confirmada por outra prova, como o cadastro da corretora.
• Contaminação não é culpa. Receber um valor que passou, muitas etapas antes, por um endereço suspeito não torna você suspeito. Na avaliação da redação, quanto mais distante a ligação, menos ela diz.
• Ofuscação. Misturadores, moedas com privacidade no protocolo e saltos entre redes por meio de pontes dificultam o rastreamento, embora não o tornem impossível em todos os casos.
• Código não é pessoa. No caso Tornado Cash, o Tribunal de Apelações do Quinto Circuito decidiu em 2024 que contratos inteligentes imutáveis, que ninguém controla, não são propriedade que possa ser bloqueada pela lei de sanções usada pelo governo americano (Quinto Circuito). O Tesouro retirou a sanção em março de 2025 (Tesouro dos EUA). O episódio mostra que identificar um fluxo não resolve, sozinho, a questão jurídica de quem pode ser responsabilizado.

As regras no Brasil

A Lei 9.613/1998, a lei de lavagem de dinheiro, obriga as pessoas listadas no art. 9º, entre elas as prestadoras de serviços de ativos virtuais, a identificar clientes, registrar transações com ativos virtuais acima de limites fixados pela autoridade e dar atenção especial a operações que possam indicar crime, comunicando-as ao Coaf em 24 horas (Lei 9.613/1998, arts. 10 e 11).

A Resolução BCB 520/2025, em vigor desde 2 de fevereiro de 2026, regula essas prestadoras. Entre outros pontos, exige controles para identificar listas de sanções e endereços de carteiras sancionados, no país e no exterior, quando a prestadora contrata terceiros, e manda vetar a oferta de ativos desenhados para facilitar o anonimato ou dificultar a identificação do titular (Resolução BCB 520). As obrigações completas, incluindo a regra de viagem, estão em prevenção à lavagem de dinheiro em plataformas cripto.

As comunicações das empresas alimentam o trabalho do Coaf. Quando a análise indica fundados indícios de lavagem ou de outro ilícito, o Coaf produz um Relatório de Inteligência Financeira (RIF) e o envia às autoridades competentes, sob sigilo (Coaf).

E a privacidade? A LGPD considera dado pessoal qualquer informação relacionada a pessoa identificada ou identificável, e diz que dados usados para formar o perfil comportamental de uma pessoa identificada também podem ser pessoais (LGPD, arts. 5º e 12). Na avaliação da redação, uma empresa que liga endereços a clientes passa a tratar dados pessoais e precisa seguir a lei. A LGPD não se aplica, porém, ao tratamento feito exclusivamente para investigação e repressão de infrações penais, que tem regras próprias (art. 4º, III).

O que levar deste texto

• Rastrear é possível porque a blockchain pública guarda tudo; identificar depende de heurísticas e, sobretudo, de quem conhece o cliente na ponta.
• Os resultados da análise on-chain são inferências com margem de erro, que precisam de confirmação antes de virar acusação.
• No Brasil, corretoras são obrigadas a monitorar e comunicar operações suspeitas ao Coaf, e o tratamento dos dados ligados a pessoas está sujeito à LGPD.