Anatomia do 'address poisoning' no Ethereum: financiamento, assinaturas de golpe e lavagem via Tornado Cash
Um estudo acadêmico caracteriza em detalhe o golpe de address poisoning no Ethereum, no qual criminosos poluem o histórico de transações da vítima com endereços visualmente parecidos aos que ela já usou, induzindo o envio futuro de fundos para a carteira do atacante. Os autores propõem cinco famílias de assinaturas operacionais para agrupar endereços golpistas e conduzem a primeira investigação sobre o uso do mixer Tornado Cash tanto para financiar quanto para lavar os recursos obtidos.
Address-Poisoning Transfer (APT) é uma fraude simples, mas que já causou perdas de milhões de dólares: o golpista gera um endereço com prefixo e sufixo visualmente idênticos a um endereço legítimo com o qual a vítima interagiu antes, e realiza uma transferência de valor irrisório a partir dele. Isso faz o endereço falso aparecer no histórico de transações e em ferramentas de autocompletar da carteira, de modo que uma cópia descuidada do endereço 'certo' na hora de enviar fundos reais acaba direcionando o valor para o atacante.
O diferencial do trabalho é ir além da detecção pontual de eventos de poisoning e investigar a infraestrutura por trás da operação. Os autores propõem cinco famílias de 'scam signatures' — padrões recorrentes de geração de endereços, timing de disparo em relação à transação legítima da vítima, valores de poeira usados e reuso de contratos/carteiras — que servem de base para clustering, ou seja, agrupar múltiplos endereços e transações sob a mesma operação criminosa em vez de tratá-los como incidentes isolados.
A segunda contribuição é a investigação inédita do papel do Tornado Cash, o mixer de Ethereum sancionado internacionalmente, tanto na etapa de financiamento inicial das carteiras usadas no golpe quanto na lavagem dos fundos roubados das vítimas. Isso quebra parcialmente a rastreabilidade on-chain que normalmente permite seguir o dinheiro de ponta a ponta, exigindo técnicas de correlação fora da cadeia (exchanges, timing, heurísticas de clustering) para reconectar entradas e saídas do mixer.
Para quem atua em forense de blockchain, compliance e investigação de crimes financeiros, essas assinaturas de operação e a análise de lavagem via mixer são diretamente aplicáveis: oferecem critérios objetivos para atribuir múltiplos golpes ao mesmo operador, subsidiar relatórios de rastreamento de fundos e fundamentar pedidos de congelamento em exchanges centralizadas que ainda recebam os recursos lavados.