RASTREAMENTO ON-CHAIN · CRIPTOATIVOS

Como os bitcoins roubados da Coldcard estão sendo lavados — e o que ainda pode ser rastreado

INVESTIGAÇÃO E TECNOLOGIA9 de outubro de 2026

Depois de uma primeira onda de transferências em minutos, boa parte dos bitcoins atribuídos ao ataque à Coldcard permaneceu parada por semanas. A movimentação posterior mostra que rastrear fundos roubados é uma corrida entre a transparência pública da blockchain, as ferramentas de ocultação e os controles de corretoras e investigadores.

Importante: “lavagem” aqui descreve movimentações que analistas associaram ao esforço de dificultar o rastreamento de ativos roubados. Uma transferência para um serviço ou protocolo, isoladamente, não prova a identidade nem a intenção de todos os participantes. O texto resume dados publicados, sem instruções operacionais para ocultar recursos.

Primeiro, o que significa “lavar” bitcoin?

O Bitcoin não é anônimo por padrão. Seu livro-razão registra entradas, saídas, valores e horários, embora não traga o nome civil de cada titular. A lavagem de ativos tenta enfraquecer a ligação visível entre a origem ilícita e o destino final. Em análises on-chain, investigadores procuram agrupamentos de endereços, padrões de consolidação, transações em serviços de mistura e conversões entre redes ou ativos.

Essas técnicas não apagam o histórico original. Elas tornam mais complexa a atribuição e podem criar incerteza sobre qual saída corresponde a qual entrada. Empresas especializadas combinam os dados públicos com informações de corretoras, denúncias de vítimas, registros de serviços e, quando disponíveis, dados de investigação.

Linha do tempo das movimentações conhecidas

30 de julho a 6 de agosto de 2026: drenagem e consolidação

As primeiras ondas retiraram bitcoins de milhares de endereços associados a sementes vulneráveis. Em parte da atividade inicial, os fundos foram reunidos em endereços coletores e depois transferidos para endereços de armazenamento (“vaults”). Outras ondas usaram estruturas diferentes, o que levou pesquisadores a considerar a hipótese de múltiplos operadores. As transações iniciais foram rápidas; o gasto posterior dos fundos foi muito mais lento.

4 de agosto: depósitos identificados em serviços de mistura

A TRM Labs relatou ter rastreado cerca de 64,9 BTC para Wasabi e 200 ETH para Tornado Cash em 4 de agosto. A informação indica que parte dos ativos já havia chegado a serviços associados à mistura de transações. Não significa que todo o montante roubado tenha passado por esses serviços, nem que seja possível atribuir cada moeda a um usuário específico depois da mistura.

Agosto: a maior parte permanece parada

Em 14 de agosto, a Galaxy Research estimava que aproximadamente 1.778,84 BTC haviam sido roubados de mais de 8.600 endereços com alta confiança. Desse total, cerca de 1.531 BTC ainda não tinham se movido após o roubo; aproximadamente 246 BTC haviam sido transferidos. Segundo a análise, cerca de 65% do volume movimentado passou por transações CoinJoin e 35% seguiu para outras transações on-chain, incluindo cadeias de pagamentos sucessivos conhecidas como peel chains.

Uma peel chain não é, por si só, prova de lavagem: é um padrão em que parte do saldo segue adiante enquanto outra parcela pode ser separada. Investigadores o consideram junto com horários, valores, relações entre entradas e saídas e outros indícios.

2 a 7 de setembro: THORChain, Ether e novas transações CoinJoin

Em setembro, a Galaxy relatou que o operador atribuído à terceira onda começou a mover parte de um conjunto de fundos que havia permanecido parado. A análise pública apontou uma troca de cerca de 20,5 BTC por Ether via THORChain, com destino a um endereço novo na rede Ethereum. A movimentação foi descrita como a primeira saída relevante dos grandes conjuntos principais observados até então.

O processo não foi totalmente linear: relatos indicaram tentativas de troca que foram reembolsadas e depois reenviadas. Não há confirmação pública conclusiva sobre a causa específica dessas devoluções. Em 7 de setembro, o The Block informou que o operador da terceira onda havia movimentado 97,09 BTC no total até aquele momento, cerca de 45% dos fundos atribuídos àquela onda. A Galaxy estimava então que aproximadamente 82% do total atribuído ao incidente permanecia nos endereços originais dos operadores.

Esses números têm escopos diferentes: 97,09 BTC se referia à terceira onda e à atualização noticiada em setembro; 82% era a estimativa relativa ao conjunto mais amplo acompanhado pela Galaxy. Não se deve somar os valores como se fossem categorias independentes.

Atualização publicada em 8 de outubro

Uma atualização do The Block em 8 de outubro informou que a Galaxy havia relacionado ao caso um conjunto adicional de 58 endereços, provavelmente pertencentes a vítimas, que foi movimentado em conjunto com um conjunto já conhecido. Considerando essa nova associação, a estimativa noticiada passou a aproximadamente 1.806 BTC. Como se trata de agrupamento baseado em transações e não em registros de identidade, o valor deve ser tratado como uma estimativa de investigação, sujeita a revisão.

Por que CoinJoin e pontes entre redes dificultam a análise?

CoinJoin é uma técnica de privacidade em que participantes combinam entradas e saídas em uma transação coordenada, tornando menos direta a associação entre uma entrada e uma saída específica. Analistas ainda podem observar a transação, mas a atribuição pode ficar menos segura. O uso de CoinJoin não é prova automática de crime; neste caso, o interesse investigativo vem da ligação contextual com fundos já atribuídos ao roubo.

Protocolos de troca entre redes, como o THORChain, permitem trocar ativos nativos de diferentes blockchains sem depender necessariamente de uma corretora centralizada. Isso pode levar o rastro de Bitcoin para a rede Ethereum ou para outros ativos, exigindo análise cruzada entre livros-razão. A troca não apaga a origem, mas amplia a superfície da investigação e pode complicar a aplicação de controles concentrados em uma única rede.

Tornado Cash é um protocolo de privacidade na rede Ethereum. A TRM informou depósitos associados ao caso; essa observação não permite concluir que os fundos ainda estejam lá, que todos os depósitos pertençam ao mesmo operador ou que o valor inteiro tenha sido recuperado ou congelado.

Os fundos ainda podem ser acompanhados?

Sim, em muitos casos. A blockchain pública permite acompanhar transações e identificar quando ativos atribuídos a um roubo chegam a endereços conhecidos, serviços ou intermediários centralizados. A Galaxy disse ter compartilhado listas de endereços com corretoras, firmas de compliance e autoridades policiais para facilitar alertas e possíveis bloqueios se os fundos chegarem a plataformas com controles de custódia.

Mas rastrear não é o mesmo que congelar. Um investigador pode observar uma transferência sem saber quem a iniciou; um endereço pode ser controlado por alguém não identificado; e protocolos descentralizados não oferecem necessariamente uma entidade única capaz de interromper uma transação. O bloqueio costuma depender de um intermediário com custódia ou de uma medida legal aplicável. Mesmo quando um serviço coopera, a conversão em outro ativo pode ocorrer antes de qualquer intervenção.

Também existe risco de falsos positivos: agrupamentos de endereços são inferências, não registros de identidade civil. Uma análise responsável precisa indicar a fonte, a data de corte e o nível de confiança. As empresas citadas não afirmam que todos os fundos foram recuperados.

O que sabemos — e o que ainda não sabemos

Bem documentado: o início das drenagens em 30 de julho de 2026; o defeito de geração de sementes descrito pelos pesquisadores; as estimativas de perdas da Galaxy; e movimentações posteriores reportadas por TRM Labs e Galaxy.
Observado, mas sujeito a interpretação: a relação entre diferentes ondas, a atribuição de determinados endereços a um mesmo operador e o objetivo de cada transação posterior.
Não estabelecido publicamente: a identidade civil dos responsáveis, o destino final de todos os fundos e a recuperação integral dos bitcoins.

A diferença é fundamental. Uma análise pode seguir o caminho de moedas entre endereços, mas não necessariamente provar quem estava ao teclado ou quem controla o último destino. Em investigações de criptoativos, a qualidade da conclusão depende tanto dos dados quanto da honestidade sobre o que esses dados não demonstram.

Fontes e acompanhamento

Atualizado em 9 de outubro de 2026, incluindo a atualização publicada em 8 de outubro sobre um conjunto adicional de endereços. As cifras em dólares dependem do preço de mercado na data de cada publicação. Este artigo é informativo; atribuições on-chain podem ser revistas e não constituem aconselhamento financeiro ou jurídico.