escrito por Chainalysis
Construindo confiança em Blockchains
O Relatório de Crypto Crimes de 2024
Chainalysis • 10 de novembro de 2024
As últimas tendências em ransomware, golpes e muito mais
Atividade ilícita cai à medida que golpes e fundos roubados caem, mas os mercados de ransomware e darknet crescem
2023 foi um ano de recuperação para as criptomoedas, à medida que a indústria se recuperou dos escândalos, explosões e quedas de preços de 2022. Com os criptoativos se recuperando e a atividade do mercado crescendo ao longo de 2023, muitos acreditam que o inverno cripto está terminando e uma nova fase de crescimento pode estar chegando em breve.
Mas o que tudo isso significou para o crypto crime? Vejamos as tendências.
2023 viu uma queda significativa no valor recebido por endereços ilícitos de criptomoedas, para um total de US$ 24,2 bilhões. Como sempre, temos que fazer uma ressalva dizendo que esses números são estimativas de limite inferior com base nas entradas para os endereços ilícitos que identificamos hoje. Daqui a um ano, esses totais quase certamente serão maiores, à medida que identificarmos mais endereços ilícitos e incorporarmos sua atividade histórica em nossas estimativas. Por exemplo, quando publicamos nosso Relatório de Crimes Criptográficos no ano passado, estimamos US$ 20,6 bilhões em volume de transações ilícitas para 2022. Um ano depois, nossa estimativa atualizada para 2022 é de US$ 39,6 bilhões. Grande parte desse crescimento veio da identificação de endereços anteriormente desconhecidos e altamente ativos hospedados por serviços sancionados, bem como nossa adição de volume de transações associado a serviços em jurisdições sancionadas aos nossos totais ilícitos.
Outra razão importante pela qual o novo total é muito maior, além da identificação de novos endereços ilícitos: agora estamos contando os US$ 8,7 bilhões em reclamações de credores contra a FTX em nossos números de 2022. No relatório do ano passado, dissemos que adiaríamos a inclusão de volumes de transações associados à FTX e outras empresas que entraram em colapso naquele ano em circunstâncias supostamente fraudulentas em nossos totais ilícitos até que os processos legais fossem concluídos. Desde então, um júri condenou o ex-CEO da FTX por fraude.
Normalmente, incluímos apenas atividades mensuráveis on-chain em nossas estimativas de atividades ilícitas. No caso da FTX, é impossível usar apenas dados on-chain para medir o escopo da atividade fraudulenta, pois não há como isolar movimentos ilegítimos de fundos de usuários. Como tal, acreditamos que os US$ 8,7 bilhões em reivindicações de credores contra a FTX são a melhor estimativa a ser incluída. Dado o tamanho e o impacto da situação da FTX, estamos tratando-a como uma exceção à nossa metodologia on-chain usual. Se os tribunais condenarem em casos semelhantes em andamento, planejamos incluir suas atividades em nossos dados de transações ilícitas também no futuro.
Todos os outros totais excluem a receita de crimes nativos não criptográficos, como o tráfico de drogas convencional, no qual a criptomoeda é usada como meio de pagamento. Tais transações são virtualmente indistinguíveis das transações lícitas em dados on-chain. É claro que as autoridades policiais com contexto off-chain ainda podem investigar esses fluxos usando as soluções da Chainalysis. Nos casos em que podemos confirmar essas informações, contamos as transações como ilícitas em nossos dados, mas quase certamente há muitos casos em que esse não é o caso e, portanto, os números não seriam refletidos em nossos totais.
ESTIMATIVAS DE CHAINALYSIS
Qual foi o tamanho do crypto crime em 2023?
24,2 Bilhões
recebidos por endereços ilícitos
0.34%
do volume total de transações on-chain
As estimativas da atividade de transações ilícitas incluem:
- Fundos enviados para endereços que identificamos como ilícitos
- Fundos roubados em crypto ataques
Parágrafo Novo
As estimativas da atividade de transações ilícitas NÃO incluem:
- Fundos enviados para endereços que ainda não identificamos como ilícitos. Por quê? Pois ainda não foram classificados como ilícitos. Mas atualizamos nossos números continuamente à medida que fazemos mais identificações.
- Fundos derivados de crimes não crypto nativos, exceto para casos trazidos ao nosso conhecimento pelos clientes. Por quê? Pois essas transações são impossíveis de identificar como ilícitas sem mais informação.
- Fundos associados a plataformas de crypto moedas acusados de fraude, sem condenações no tribunal. Por quê? Pois apenas um juiz e um júri podem fazer essa condenação.
- Volume de transações associados a potencial manipulação de mercado. Por quê? Nossas metodologias de pesquisas são projetadas para capturar casos suspeitos de manipulação de mercado com base no comportamento on-chain, mas não são definitivas.
- Fundos associados à lavagem de dinheiro criptográfico. Por que? Pois nosso objetivo aqui é calcular receita total de atividades ilícitas, com base nas entradas para endereços ilícitos. Compartilhamos o valor total lavado on-chain na seção de lavagem de dinheiro do relatório, calculado com base no valor enviados de endereços ilícitos para serviços de off-ramping. Incluindo totais de lavagem de dinheiro aqui com base sobre as saídas seria efetivamente uma dupla contagem e inflacionaria artificialmente nossas estimativas de atividade criminosa on-chain.
Além da redução no valor absoluto da atividade ilícita, nossa estimativa para a participação de todo o volume de transações de criptomoedas associado à atividade ilícita também caiu, de 0,42% em 2022 para 0,34%.
Também estamos vendo uma mudança nos tipos de ativos envolvidos em crimes baseados em criptomoedas.
Até 2021, o Bitcoin reinou supremo como a criptomoeda preferida entre os cibercriminosos, provavelmente devido à sua alta liquidez. Mas isso mudou nos últimos dois anos, com as stablecoins agora respondendo pela maior parte de todo o volume de transações ilícitas. Essa mudança também vem junto com o crescimento recente da participação das stablecoins em todas as atividades de criptomoedas em geral, incluindo atividades legítimas. No entanto, o domínio da stablecoin não é o caso de todas as formas de crime baseado em criptomoedas.
Algumas formas de atividade ilícita de criptomoedas, como vendas no mercado da darknet e extorsão de ransomware, ainda ocorrem predominantemente no Bitcoin.2 Outros, como golpes e transações associadas a entidades sancionadas, mudaram para stablecoins. Essas também são as maiores formas de crypto crime por volume de transações, impulsionando assim a tendência maior. As entidades sancionadas, bem como aquelas que operam em jurisdições sancionadas ou envolvidas com financiamento do terrorismo, também têm um incentivo maior para usar stablecoins, pois podem enfrentar mais desafios para acessar o dólar americano por meios tradicionais, mas ainda querem se beneficiar da estabilidade que ele proporciona. No entanto, os emissores de stablecoin podem congelar fundos quando tomam conhecimento de seu uso ilícito, como o Tether fez recentemente com endereços ligados ao terrorismo e à guerra em Israel e na Ucrânia.
Abaixo, veremos três tendências principais que definiram o crypto crime em 2023 e será importante
observar no futuro.
Golpes e fundos roubados diminuíram
A receita de golpes e hackers de criptomoedas caiu significativamente em 2023, com a receita ilícita total de cada um caindo 29,2% e 54,3%, respectivamente.
Como discutiremos mais adiante em nossa seção de golpes, muitos golpistas de criptomoedas adotaram táticas de golpes românticos, visando indivíduos e construindo relacionamentos com eles para apresentá-los a oportunidades de investimento fraudulentas, em vez de anunciá-los por toda parte, o que muitas vezes os torna mais difíceis de descobrir. Embora o FBI tenha publicado dados mostrando que os relatos de golpes de investimento em criptomoedas nos EUA têm aumentado ano após ano até 2022, nossas métricas on-chain sugerem que as receitas de golpes globalmente estão diminuindo desde 2021. Acreditamos que isso se alinha com a tendência de longo prazo de que o golpe é mais bem-sucedido quando os mercados estão em alta, a exuberância é alta e as pessoas sentem que estão perdendo uma oportunidade de enriquecer rapidamente. Claro, o impacto dos golpes românticos em vítimas individuais é devastador e não deve ser subestimado. E embora o aumento das denúncias – pelo menos nos EUA – seja um bom sinal, ainda acreditamos que os insights sobre golpes românticos em particular sofrem com a subnotificação. Nossa hipótese é que o verdadeiro dano do golpe é maior que os relatórios do FBI e nossas métricas on-chain mostram, mas, no geral, o golpe está baixo, dada a dinâmica mais ampla do mercado.
O hacking de criptomoedas, por outro lado, é muito mais difícil para os criminosos esconderem, pois os observadores do setor podem detectar rapidamente as saídas incomuns de um determinado serviço ou protocolo quando ocorre um ataque. Como discutiremos mais tarde, o declínio nos fundos roubados é impulsionado em grande parte por uma queda acentuada nos hackers DeFi. Essa queda pode representar a reversão de uma tendência perturbadora de longo prazo e pode significar que os protocolos DeFi estão melhorando suas práticas de segurança. Dito isso, as métricas de fundos roubados são fortemente discrepantes, e um grande ataque pode mudar novamente a tendência.
Golpes e fundos roubados diminuíram
Os mercados de ransomware e darknet, por outro lado, são duas das formas mais proeminentes de crypto crime que viram as receitas aumentarem em 2023, em contraste com as tendências gerais. O crescimento da receita de ransomware é decepcionante após os declínios acentuados que cobrimos no ano passado e sugere que talvez os invasores de ransomware tenham se ajustado às melhorias de
segurança cibernética das organizações, uma tendência que relatamos anteriormente este ano.
Da mesma forma, o crescimento deste ano na receita do mercado darknet também ocorre após um declínio na receita em 2022. Esse declínio foi impulsionado em grande parte pelo fechamento da Hydra, que já foi de longe o mercado mais dominante do mundo, capturando mais de 90% de toda a receita do mercado darknet em seu pico. Embora ainda não tenha surgido um mercado único para ocupar seu lugar, o setor como um todo está se recuperando, com a receita total voltando aos máximos de 2021.
Transações com entidades sancionadas impulsionam a grande maioria das atividades ilícitas
Talvez a tendência mais óbvia que surge quando se olha para o volume de transações ilícitas seja a proeminência das transações relacionadas a sanções. As entidades e jurisdições sancionadas em conjunto representaram um US$ 14,9 bilhões em volume de transações em 2023, o que representa 61,5% de todo o volume de transações ilícitas que medimos no ano. A maior parte desse total é impulsionada por serviços de criptomoeda que foram sancionados pelo Escritório de Controle de Ativos Estrangeiros (OFAC) do Departamento do Tesouro dos EUA ou estão localizados em jurisdições sancionadas e podem continuar a operar porque estão em jurisdições onde as sanções dos EUA não são aplicadas.
Embora esses serviços possam e tenham sido usados para fins ilícitos, isso também significa que parte dos US$ 14,9 bilhões em volume de transações relacionadas a sanções incluem atividades de usuários médios de criptomoedas que residem nessas jurisdições. Por exemplo, a exchange Garantex, com sede na Rússia, que foi sancionada pelo OFAC e OFSI no Reino Unido por facilitar a lavagem de dinheiro em nome de invasores de ransomware e outros cibercriminosos, foi um dos maiores impulsionadores do volume de transações associadas a entidades sancionadas em 2023. A Garantex continua a operar porque a Rússia não aplica as sanções dos EUA. Então, isso significa que todo o volume de transações da Garantex está associado a ransomware e lavagem de dinheiro? Não. No entanto, a exposição à Garantex apresenta sérios riscos de sanções para plataformas de criptomoedas sujeitas à jurisdição dos EUA ou do Reino Unido, o que significa que essas plataformas devem permanecer cada vez mais vigilantes e rastrear a exposição à Garantex para estarem em conformidade.
Você pode gostar de
Por que a compreensão do comportamento criminoso fortalece as investigações em ambientes ocultos? Nenhuma investigação produz resultados a partir de uma única evidência. A relação entre diferentes registros permite identificar conexões, reconstruir cenários e gerar conhecimento capaz de apoiar a atividade investigativa. Esses registros podem estar distribuídos entre diferentes ambientes digitais — da Surface Web à Deep Web e à Dark Web — assumindo formatos variados. Independentemente da origem, seu valor investigativo depende da análise integrada e da contextualização adequada. Quando atividades criminosas migram para ambientes ocultos da internet, o desafio investigativo é frequentemente associado ao acesso a essas redes. Embora tecnologias de anonimização aumentem a complexidade da análise, elas representam apenas uma parte do problema. O elemento central está na leitura dos comportamentos, nas escolhas operacionais e na correlação de vestígios digitais ao longo do processo investigativo, o que permite identificar estruturas, padrões de atuação e níveis de organização. O acesso é apenas o início da investigação Grande parte das discussões sobre a Dark Web concentra-se nas tecnologias utilizadas para acessá-la. Redes como Tor, I2P e ZeroNet são frequentemente apresentadas como elementos centrais desse ambiente, por permitirem diferentes níveis de anonimização e hospedagem de serviços ocultos. Para a atividade investigativa, compreender essas tecnologias é uma etapa necessária, pois sua utilização revela aspectos relevantes sobre a forma como grupos criminosos estruturam suas operações e organizam sua comunicação. A escolha de uma determinada rede raramente é aleatória. Organizações criminosas avaliam fatores como estabilidade da infraestrutura, facilidade de comunicação, resistência a interrupções e nível de exposição às ações das forças de segurança. Cada decisão desse tipo produz sinais que ajudam a compreender como uma operação é conduzida. Diferentes grupos adotam estratégias distintas para atingir objetivos semelhantes. Alguns concentram operações em redes conhecidas, enquanto outros distribuem suas atividades entre múltiplos ambientes ou mantêm canais paralelos de comunicação para reduzir riscos. Essas escolhas refletem prioridades operacionais e capacidade de adaptação. Sob essa perspectiva, o ambiente passa a ser observado como uma fonte contínua de indicadores capazes de revelar comportamentos, relações e transformações que dificilmente surgiriam em análises isoladas. Toda mudança operacional produz novos indicadores Organizações criminosas evoluem continuamente para reduzir riscos e preservar suas operações. À medida que novas técnicas de investigação são desenvolvidas, esses grupos também modificam suas infraestruturas, alteram canais de comunicação e buscam ambientes mais resilientes. Nos últimos anos, esse movimento tornou-se evidente com a migração de parte dessas operações para redes alternativas, como a I2P. Em muitos casos, essa decisão está relacionada à tentativa de reduzir impactos de ataques distribuídos de negação de serviço (DDoS), aumentar a disponibilidade de marketplaces clandestinos ou dificultar ações de monitoramento. Para quem investiga, essa migração representa mais do que uma mudança tecnológica. Sempre que uma organização criminosa altera sua infraestrutura, ela reorganiza sua operação. Novos endereços são divulgados, administradores comunicam usuários, comunidades migram entre ambientes e registros dessa transição passam a existir. Esses movimentos ampliam a quantidade de sinais disponíveis para análise. Imagine um marketplace clandestino que decide migrar suas operações após sucessivos ataques. Durante esse processo, administradores anunciam novos canais de acesso, usuários validam informações, parceiros atualizam referências e serviços relacionados passam a mencionar o novo ambiente. Cada interação produz vestígios que, quando analisados em conjunto, ajudam a compreender a dinâmica daquela operação. É nesse ponto que a análise deixa de observar apenas a tecnologia e passa a interpretar comportamento. A forma como uma organização reage à pressão, reorganiza sua infraestrutura e mantém sua rede de relações revela informações sobre sua capacidade operacional e sua evolução ao longo do tempo. O anonimato termina onde começam os erros Um dos maiores equívocos sobre a Dark Web é acreditar que tecnologias de anonimização tornam seus usuários completamente invisíveis. Redes como Tor oferecem mecanismos importantes de proteção de identidade e privacidade, mas nenhuma tecnologia elimina falhas humanas ou operacionais. Na prática, grandes investigações raramente avançam apenas pela quebra de mecanismos de anonimização. Elas evoluem porque indivíduos e organizações deixam rastros ao longo de suas atividades digitais. Esses rastros podem surgir de diversas formas: reutilização de endereços de e-mail, uso do mesmo pseudônimo em diferentes plataformas, exposição involuntária de informações pessoais, falhas de configuração ou padrões de comportamento repetitivos. O mesmo ocorre com transações envolvendo ativos digitais. Embora criptomoedas como o Bitcoin sejam frequentemente associadas ao anonimato, suas transações permanecem registradas em blockchain. Quando analisadas em conjunto com outras fontes, essas informações ajudam a compreender fluxos financeiros e conexões entre atividades. Falhas de segurança operacional (OpSec) ilustram essa dinâmica. Um endereço de e-mail reutilizado em diferentes ambientes, um pseudônimo empregado em fóruns e plataformas da Surface Web ou padrões repetitivos de comportamento podem estabelecer conexões entre identidades digitais. Quando analisados em conjunto, esses vestígios permitem atribuir atividades com maior grau de confiança. Esses casos demonstram que a atribuição de autoria raramente depende de um único elemento. Ela resulta da análise conjunta de pequenos vestígios que, quando contextualizados, revelam conexões capazes de orientar a investigação. Evidências isoladas não explicam uma investigação Informações obtidas na Dark Web raramente possuem valor isoladamente. Um anúncio em um fórum clandestino, uma carteira de criptomoedas, um pseudônimo ou um endereço de e-mail dificilmente explicam uma atividade criminosa por si só. O valor investigativo desses elementos surge quando são analisados em conjunto dentro de um cenário mais amplo. Imagine uma investigação em que um fórum clandestino anuncia o acesso a uma rede corporativa comprometida. A publicação traz apenas um pseudônimo e uma carteira de Bitcoin. Em um primeiro momento, essas informações parecem insuficientes. Durante a análise, o mesmo pseudônimo é identificado em outro ambiente digital, associado a um contato diferente. A carteira de criptomoedas aparece vinculada a transações anteriores, enquanto fontes abertas ajudam a estabelecer conexões adicionais. Nenhum elemento isolado explica o caso. Em conjunto, eles revelam uma estrutura de relacionamento relevante para a investigação. O mesmo princípio se aplica a diferentes tipos de crime digital, incluindo tráfico de drogas, comércio de credenciais comprometidas, CSAM, tráfico de armas e operações de ransomware, todos caracterizados pela produção contínua de vestígios distribuídos em múltiplos ambientes digitais. É nesse ponto que tecnologias especializadas ampliam a capacidade investigativa. Ao reunir informações de diferentes ambientes e fontes de inteligência, elas permitem que a análise se concentre na interpretação das relações entre dados, na validação de hipóteses e na construção de contexto investigativo. Essas capacidades permitem organizar informações dispersas em um contexto investigativo estruturado, no qual cada novo dado é interpretado a partir de suas relações com os demais elementos do conjunto analisado. Inteligência para acompanhar a evolução das ameaças As organizações criminosas continuarão modificando suas estruturas, adotando novas tecnologias e explorando diferentes ambientes digitais para reduzir sua exposição. Esse movimento faz parte da dinâmica da criminalidade e impõe desafios permanentes à atividade investigativa. A produção de inteligência exige a integração de diferentes capacidades, desde a coleta de dados até a análise, a correlação de evidências e a construção de contexto investigativo. É essa lógica que orienta a atuação da INSPECT, reunindo tecnologias especializadas que atuam de forma complementar para fortalecer a atividade investigativa, ampliar a capacidade analítica e apoiar instituições diante da crescente complexidade das investigações digitais.
Inteligência crítica sobre a Dark Web
Imagens passaram a ocupar um papel cada vez mais relevante em atividades de investigação, inteligência e análise digital. Fotografias compartilhadas em redes sociais, aplicativos de mensagens, plataformas abertas e dispositivos pessoais carregam informações que podem auxiliar na identificação de locais, contextualização de eventos e compreensão de dinâmicas associadas a ambientes investigativos. À medida que a produção e circulação de conteúdo visual aumentaram no ambiente digital, também cresceram as possibilidades de extração de informações a partir de elementos presentes nas próprias imagens. Arquitetura, vegetação, infraestrutura urbana, sinalizações, idioma, relevo e características culturais passaram a ser utilizados como referências para inferir a localização geográfica de uma fotografia, mesmo na ausência de metadados de GPS. Esse processo, conhecido como geolocalização de fotos, passou a ocupar um espaço cada vez mais relevante em atividades relacionadas à inteligência digital, investigação e análise contextual de informações. Em ambientes operacionais que dependem de validação de dados, correlação de evidências e compreensão de cenários investigativos, a interpretação geográfica de imagens se tornou uma capacidade estratégica para equipes de inteligência e segurança. Os avanços da inteligência artificial e das tecnologias de visão computacional, especialmente por meio dos Large Vision-Language Models (LVLMs), ampliaram a capacidade de correlacionar elementos visuais e contextuais presentes nas imagens, permitindo análises mais sofisticadas em atividades relacionadas à investigação digital, monitoramento, validação de informações e produção de inteligência operacional. Os Fundamentos da Geolocalização de Fotos As primeiras metodologias de geolocalização eram voltadas para tarefas mais simples, como a identificação de pontos turísticos conhecidos ou a utilização de metadados incorporados às imagens, incluindo coordenadas GPS e informações do dispositivo utilizado no registro. Com a evolução das tecnologias de análise visual, pesquisadores passaram a explorar diretamente os elementos presentes na composição das imagens, incluindo estilos arquitetônicos, vegetação, infraestrutura urbana, sinalizações e características ambientais. Esse avanço ampliou o uso da análise de imagens em atividades relacionadas à inteligência digital e investigação, permitindo que elementos visuais fossem utilizados para contextualizar informações, apoiar análises situacionais e auxiliar processos investigativos. A possibilidade de interpretar dados presentes na própria composição visual das fotografias permitiu que processos de geolocalização continuassem sendo aplicados mesmo em cenários onde metadados estavam ausentes, haviam sido removidos ou sofreram algum tipo de manipulação. Em investigações digitais, esse tipo de cenário se tornou cada vez mais comum diante da circulação de conteúdos extraídos de redes sociais, aplicativos de mensagens e plataformas abertas, onde imagens frequentemente chegam sem informações de origem ou com metadados alterados ao longo do compartilhamento. Principais Técnicas de Geolocalização Métodos Baseados em Recuperação de Imagens - Comparam uma imagem de entrada com grandes bases de imagens georreferenciadas, utilizando características visuais como textura, composição estrutural e distribuição de cores para estimar sua localização. Métodos Baseados em Classificação - Nessa abordagem, a geolocalização é tratada como um problema de classificação. O mundo é dividido em regiões geográficas, e os modelos são treinados para prever a área correta com base nos padrões visuais identificados na imagem. Abordagens Híbridas - Combinam técnicas de recuperação e classificação para ampliar a precisão dos resultados e melhorar a interpretação contextual das análises. Métodos Baseados em LVLMs - Os Large Vision-Language Models conseguem analisar elementos contextuais presentes nas imagens, como textos em placas, referências culturais, idiomas, padrões urbanos e indicadores ambientais para inferir localização com níveis mais avançados de precisão. A evolução dessas metodologias ampliou as possibilidades de aplicação da geolocalização em atividades relacionadas à investigação digital, análise contextual de informações e produção de inteligência, especialmente em cenários que exigem validação rápida de conteúdos e correlação entre diferentes fontes de dados. Geolocalização de Imagens em Redes Sociais e OSINT A geolocalização é amplamente utilizada em atividades de Open-Source Intelligence (OSINT) para validar imagens, identificar conteúdos e rastrear a origem de fotografias compartilhadas online. Em ambientes investigativos, a análise geográfica de imagens também pode auxiliar na reconstrução de cenários, contextualização de eventos e identificação de conexões relevantes a partir de informações visuais distribuídas em diferentes plataformas e fontes abertas. O Futuro da Geolocalização de Imagens À medida que as tecnologias para geolocalização evoluem, novas possibilidades surgem para aplicações em inteligência artificial, visão computacional, segurança e investigação digital. O avanço da inteligência visual também impulsiona o desenvolvimento de plataformas especializadas capazes de transformar análise contextual de imagens em apoio operacional para ambientes de investigação e inteligência. Tecnologias como as desenvolvidas pela Graylark , empresa integrante do ecossistema de soluções da Inspect , demonstram como modelos de inteligência artificial vêm ampliando a capacidade de estimar localização geográfica a partir da interpretação de elementos visuais presentes nas imagens, incluindo arquitetura, vegetação, sinalizações e padrões urbanos, mesmo quando não existem metadados de GPS disponíveis. Esse tipo de abordagem evidencia como a análise visual vem assumindo um papel cada vez mais estratégico em atividades relacionadas à produção de inteligência operacional, contextualização de informações, validação de conteúdos e apoio analítico para processos investigativos e tomada de decisão.
