O que Análise de Carteiras de Pagamento de Ransomware faz?
Quando Usar
- Uma organização foi atingida por ransomware e a nota de resgate contém um endereço de carteira Bitcoin ou criptomoeda que precisa ser investigado
- Autoridades policiais ou respondedores de incidentes precisam rastrear para onde os pagamentos de resgate fluíram depois que a vítima pagou
- Analistas de inteligência de ameaças estão atribuindo campanhas de ransomware ao agrupar infraestrutura de pagamento entre incidentes
- Investigadores precisam determinar se um grupo de ransomware está reutilizando infraestrutura de carteira em múltiplas vítimas
- Equipes de conformidade ou jurídicas precisam de evidências de fluxos de fundos para processos judiciais, aplicação de sanções ou pedidos de seguro
Não use esta habilidade para interceptação de pagamentos ao vivo ou para interagir diretamente com operadores de ransomware. Toda análise deve ser passiva e somente leitura, utilizando dados públicos de blockchain.
Pré-requisitos
- Python 3.8+ com as bibliotecas
requests,jsonehashlib - Acesso a APIs de exploradores de blockchain (blockchain.com, WalletExplorer.com, Blockstream.info)
- Familiaridade com o modelo de transação Bitcoin (UTXOs, entradas, saídas, endereços de troco)
- Compreensão de técnicas comuns de ofuscação (mixers, tumblers, peel chains, swaps entre cadeias)
- Opcional: Licença Chainalysis Reactor para análise de cluster em nível empresarial
- Opcional: OXT.me para visualização avançada de gráficos de transações
Fluxo de Trabalho
Etapa 1: Extrair o Endereço da Carteira da Nota de Resgate
Analise a nota de resgate para identificar o(s) endereço(s) de pagamento:
Formatos comuns de endereço:
Bitcoin (P2PKH): 1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa (começa com 1)
Bitcoin (P2SH): 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy (começa com 3)
Bitcoin (Bech32): bc1qar0srrr7xfkvy5l643lydnw9re59gtzzwf5mdq (começa com bc1)
Monero: 4... (95 caracteres, muito mais difícil de rastrear)
Ethereum: 0x... (40 caracteres hexadecimais)
Etapa 2: Consultar o Explorador de Blockchain para Obter Histórico de Transações
Recupere todas as transações associadas à carteira:
import requests
def get_wallet_transactions(address):
"""Consulta a API blockchain.com para transações de um endereço."""
url = f"https://blockchain.info/rawaddr/{address}"
resp = requests.get(url, timeout=30)
resp.raise_for_status()
data = resp.json()
return {
"address": address,
"n_tx": data.get("n_tx", 0),
"total_received_satoshi": data.get("total_received", 0),
"total_sent_satoshi": data.get("total_sent", 0),
"final_balance_satoshi": data.get("final_balance", 0),
"transactions": data.get("txs", []),
}
Etapa 3: Mapear o Fluxo de Fundos e Identificar Clusters
Rastreie as saídas da carteira de resgate para endereços downstream:
Análise de Fluxo de Fundos:
━━━━━━━━━━━━━━━━━━
Pagamento da Vítima ──► Carteira de Resgate ──► Carteira de Consolidação
├─► Serviço de Mixer/Tumbler
├─► Endereço de Depósito em Exchange
└─► Peel Chain (saídas pequenas sequenciais)
Indicadores-chave:
- Consolidação: Múltiplos pagamentos de resgate agregados em uma carteira
- Peel chains: Transações sequenciais com saídas decrescentes
- Uso de mixer: Fundos enviados para endereços conhecidos de mixers (Wasabi, Samourai, ChipMixer)
- Saque em exchange: Depósitos em carteiras conhecidas de exchanges (carteiras quentes da Binance, Kraken)
Etapa 4: Cruzar com Bancos de Dados de Carteiras Conhecidas
Verifique endereços contra infraestrutura de ransomware conhecida:
# Verificar WalletExplorer para identificação de entidade
def check_wallet_explorer(address):
url = f"https://www.walletexplorer.com/api/1/address?address={address}&caller=research"
resp = requests.get(url, timeout=30)
data = resp.json()
return {
"wallet_id": data.get("wallet_id"),
"label": data.get("label", "Desconhecido"),
"is_exchange": data.get("is_exchange", False),
}
Etapa 5: Gerar Relatório de Atribuição
Compile as descobertas em um relatório de inteligência estruturado:
RELATÓRIO DE ANÁLISE DE CARTEIRA DE RANSOMWARE
====================================
Endereço de Resgate: bc1q...xyz
Atribuição de Família: LockBit 3.0 (com base no formato da nota de resgate)
Total Recebido: 4,25 BTC ($178.500 na época do pagamento)
Total Enviado: 4,25 BTC (carteira totalmente esgotada)
Número de Pagamentos: 3 (provavelmente 3 vítimas distintas)
FLUXO DE FUNDOS:
Pagamento 1: 1,5 BTC → Carteira de consolidação → Depósito Binance
Pagamento 2: 1,0 BTC → Wasabi Mixer → Desconhecido
Pagamento 3: 1,75 BTC → Peel chain (12 saltos) → Depósito OKX
ANÁLISE DE CLUSTER:
Carteiras relacionadas: 47 endereços identificados no mesmo cluster
Volume total do cluster: 156,3 BTC ($6,5M USD)
Primeira atividade: 2024-01-15
Última atividade: 2024-09-22
Verificação
- Confirme se o formato do endereço da carteira é válido antes de consultar as APIs
- Cruze os carimbos de data/hora das transações com as linhas do tempo de incidentes conhecidos
- Valide as associações de cluster verificando a heurística de propriedade comum de entrada
- Compare os resultados com a lista OFAC SDN para endereços sancionados
- Verifique a atribuição da exchange contra múltiplas fontes (WalletExplorer, OXT, Chainalysis)
Conceitos-chave
| Termo | Definição |
|---|---|
| UTXO | Saída de transação não gasta; a unidade fundamental do Bitcoin que rastreia a propriedade através de uma cadeia de transações |
| Análise de Cluster | Agrupamento de múltiplos endereços Bitcoin que se acredita serem controlados pela mesma entidade, usando heurísticas de propriedade comum de entrada e endereço de troco |
| Peel Chain | Um padrão de lavagem onde os fundos são enviados através de muitas transações sequenciais, cada uma retirando uma pequena quantia para um novo endereço |
| CoinJoin/Mixer | Técnicas de privacidade que combinam transações de múltiplos usuários para obscurecer o vínculo entre remetente e destinatário |
| Propriedade Comum de Entrada | Heurística que assume que todas as entradas de uma única transação são controladas pela mesma entidade |
Ferramentas e Sistemas
- Chainalysis Reactor: Plataforma empresarial de investigação de blockchain com atribuição de entidades e rastreamento entre cadeias
- WalletExplorer: Ferramenta gratuita que agrupa endereços Bitcoin e rotula serviços conhecidos (exchanges, mixers, mercados)
- OXT.me: Visualização avançada de transações Bitcoin com análise de gráfico UTXO
- Blockstream.info: Explorador de blocos Bitcoin de código aberto com acesso total à API
- API blockchain.com: API gratuita para consultar saldos e históricos de transações de endereços Bitcoin
- Lista OFAC SDN: Lista de endereços sancionados do Tesouro dos EUA para verificação de conformidade