Pesquisadores extraem e verificam endereços de Bitcoin ilícitos a partir de discussões em fórum underground

O trabalho ataca um problema conhecido na forense de criptoativos: a maioria dos datasets de endereços 'ilícitos' hoje disponíveis vem de denúncias da comunidade, heurísticas de clustering de blockchain ou processos proprietários de provedores comerciais, sem metodologia reproduzível e com evidência fraca de que o endereço de fato participou de uma transação criminosa. Os autores propõem revisar isso partindo da fonte primária — discussões em um fórum de cibercrime de longa data — em vez de inferir intenção criminosa apenas a partir do grafo de transações.

Tecnicamente, o pipeline funciona em três etapas: primeiro, um LLM faz a triagem inicial de mensagens do HackForums em busca de discussões que mencionem endereços de Bitcoin em contexto potencialmente ilícito, já sugerindo uma categoria de crime; em seguida, especialistas humanos revisam essas triagens para confirmar que o contexto textual realmente indica uso ilícito do endereço (por exemplo, venda de dados roubados, extorsão, serviços de lavagem); por fim, cada endereço aprovado passa por validação on-chain, checando se ele de fato existe na blockchain e é compatível com o uso descrito na discussão. Só endereços que passam pelas três camadas entram no dataset final, cada um acompanhado da evidência contextual do fórum e da validação on-chain correspondente.

Na prática investigativa, isso importa porque datasets rotulados de forma auditável são insumo direto para ferramentas de triagem usadas por peritos em crimes financeiros e unidades de inteligência de blockchain: permitem treinar e, principalmente, avaliar a precisão de sistemas de scoring de risco e clustering de carteiras contra um conjunto de verdade com proveniência rastreável (a mensagem original do fórum), em vez de heurísticas que um perito teria dificuldade de defender em juízo. O uso de LLM como primeira camada de triagem também é um padrão que deve se espalhar para outras fontes de OSINT em investigações de cibercrime, dado o volume de dados não estruturados que hoje é inviável revisar manualmente por completo.

A principal ressalva, reconhecida implicitamente pelo desenho do próprio pipeline, é que o método captura apenas a fração da atividade ilícita que foi discutida abertamente em um fórum público e que sobreviveu nos arquivos — criminosos mais cautelosos ou que operam fora desse fórum específico não aparecem no dataset. Ainda assim, a combinação de triagem automatizada, revisão humana e validação on-chain, com a íntegra do pipeline liberada publicamente, é uma contribuição concreta para tornar a atribuição forense de endereços de criptoativos mais reprodutível e verificável.