Estudo de caso analisa vestígios forenses em carteiras de criptomoeda HD Exodus e Sparrow
Pesquisadores publicaram na Forensic Science International: Digital Investigation (volume 59) um estudo de caso sobre artefatos forenses deixados por carteiras de criptomoeda hierárquicas deterministas (HD), usando Exodus e Sparrow como objetos de teste. O tema é relevante para investigações de crimes financeiros em que a reconstrução de endereços e chaves a partir de vestígios em disco pode decidir o rastreamento de fundos ilícitos.
Não foi possível acessar o texto completo do artigo (o ScienceDirect bloqueou a requisição automatizada com HTTP 403), de modo que a análise a seguir é contextual, baseada no título, periódico e metadados disponíveis no feed, sem reproduzir achados específicos do estudo que não puderam ser confirmados na fonte.
Carteiras HD (hierarchical deterministic), definidas pelos padrões BIP32/BIP39/BIP44 do ecossistema Bitcoin e adotados por praticamente todas as carteiras modernas, geram uma árvore inteira de pares de chaves públicas e privadas a partir de uma única seed mnemônica. Isso significa que, do ponto de vista forense, encontrar vestígios de uma única derivação (um endereço, uma chave) pode, em tese, permitir reconstruir toda a árvore de endereços associados a um usuário, caso a seed ou chaves estendidas (xpub/xprv) estejam recuperáveis em artefatos do dispositivo. Exodus é uma carteira multi-moeda de custódia própria com versões desktop e mobile, enquanto Sparrow é uma carteira Bitcoin voltada a usuários avançados, com suporte a multisig e PSBT (Partially Signed Bitcoin Transactions) — a escolha das duas como estudo de caso sugere uma comparação entre uma carteira multi-ativos mais popular e uma carteira Bitcoin-only mais tecnicamente sofisticada.
O tipo de artefato tipicamente investigado nesse tipo de pesquisa inclui arquivos de configuração e bancos de dados locais (muitas vezes SQLite ou JSON), chaves ou seeds armazenadas em texto claro, cifradas ou protegidas por keystore do sistema operacional, histórico de transações cacheado localmente, e resíduos em memória RAM durante a execução da aplicação. A relevância prática está em padronizar esse tipo de levantamento: times de perícia que lidam com fraude, lavagem de dinheiro ou ransomware frequentemente precisam provar a titularidade de uma carteira e rastrear o destino de fundos, e um método replicável e revisado por pares para extrair artefatos de carteiras HD específicas tem valor direto para a admissibilidade de evidência em processos judiciais.
Como o periódico (Forensic Science International: Digital Investigation) é uma referência acadêmica consolidada na área de forense digital, a publicação de um estudo de caso comparativo entre duas carteiras com modelos de ameaça distintos (custódia própria multi-ativo vs. Bitcoin-only avançada) tende a preencher uma lacuna prática para examinadores que ainda dependem majoritariamente de ferramentas comerciais de rastreamento de blockchain sem visibilidade sobre os artefatos locais da aplicação.