Seus pagamentos em Bitcoin podem revelar mais do que você gostaria
Há um grande problema com as transações de Bitcoin do ponto de vista empresarial sobre o qual quase ninguém fala. Digamos que uma empresa pague um fornecedor em BTC usando um endereço de carteira reutilizado. É possível ir além da fatura.
Agora mesmo, enquanto você lê isto, um concorrente pode abrir um explorador de blocos e ver para quem você pagou em Bitcoin no seu último negócio — quanto, quando e para qual contraparte. O rastreamento de transações não é um problema apenas para quem tem algo a esconder. É um risco empresarial constante: movimentações do tesouro, relações com parceiros e fluxo de negócios ficam expostos a qualquer pessoa disposta a passar uma tarde seguindo as pistas.
A reação imediata é presumir que essa exposição começa na blockchain, no momento em que você assina uma transação. Não começa. Em julho de 2026, pesquisadores do grupo DistriNet da KU Leuven testaram 85 das extensões de carteira mais populares para navegadores e descobriram que as próprias carteiras vazam informações suficientes para identificar e rastrear seus usuários — antes mesmo de uma única transação ser assinada.
A carteira consulta um servidor externo para exibir o saldo, e essa solicitação já inclui o endereço em texto claro. Não há nenhuma exploração de vulnerabilidade envolvida; as extensões funcionam exatamente como foram projetadas. Entre as 85 carteiras, a vulnerabilidade de identificação por impressão digital, por si só, afeta 36, que representam cerca de 82% das instalações analisadas — esse é o grupo de referência para todos os números apresentados mais adiante nesta seção.
E isso vale até para os honestos. Andy Greenberg passou uma década como o mais meticuloso cronista do crime com criptomoedas, cobrindo hackers, traficantes e lavadores de dinheiro que tratavam a blockchain como um esconderijo — e vendo investigadores tirá-los de lá, um por um. Foram necessários dez anos para perceber até que ponto o Bitcoin estava longe de ser impossível de rastrear. O livro-razão que deveria protegê-los foi o registro que os condenou.
A falsa sensação de segurança segue numa direção — quem presume ter feito o suficiente para manter a privacidade são, em sua maioria, pessoas que nunca tiveram nada a esconder: um doador cujo histórico completo de doações agora é público, um jornalista cujas fontes podem ser inferidas pelo rastro de pagamentos, a contraparte B2B mencionada acima.
Quase todas as camadas disso acontecem com você, não por sua iniciativa. O restante deste texto mapeia toda a exposição — e assinala o único elo que chegou a estar sob seu controle.
O que uma carteira revela além da própria transação
Uma carteira de criptomoedas pode revelar informações antes mesmo de você fazer uma transação. Para exibir seu saldo, uma carteira de navegador geralmente se conecta a servidores externos e envia a eles o endereço da sua carteira. Pesquisadores da KU Leuven testaram 85 carteiras populares de extensão para navegador, que representavam cerca de 35 milhões de instalações na Chrome Web Store. Eles descobriram que 36 carteiras — abrangendo aproximadamente 82% das instalações estudadas — podiam ser identificadas e rastreadas dessa maneira.
Dezessete carteiras, que somam cerca de 23 milhões de instalações, também poderiam revelar vínculos entre diferentes endereços pertencentes ao mesmo usuário. Em 22 das 36 carteiras afetadas, os sites ainda conseguiam ler um endereço mesmo depois que o usuário revogava o acesso e reiniciava o navegador.
Há outro problema. Muitas vezes, os sites conseguem detectar quais extensões de carteira alguém instalou sem que o usuário conecte uma carteira. Os pesquisadores também descobriram que 23 das 36 carteiras afetadas poderiam vazar um endereço por meio de conteúdo carregado de outro site, sem que o usuário clicasse em nada.
A maioria dos provedores de carteiras contatados pelos pesquisadores não considerou isso um problema sério. Coinbase Wallet, Coin98 e Hana fizeram alterações, enquanto outros, incluindo MetaMask, Rabby e OKX, não fizeram. Os pesquisadores também testaram 30 aplicativos descentralizados e descobriram que apenas 11 revogavam corretamente o acesso à carteira quando os usuários clicavam em “desconectar” ou saíam da conta.
Quando um endereço se torna visível, a blockchain pública fornece o restante do panorama.
Empresas de análise de blockchain procuram padrões de transação que sugiram que vários endereços pertencem à mesma pessoa ou organização.
Por exemplo, se várias carteiras transferem fundos repetidamente entre si ou interagem de maneiras semelhantes, um software pode agrupá-las. Assim, um endereço conhecido pode levar os analistas a vários outros.
Isso acontece em uma escala enorme. Em meados de 2026, a Chainalysis afirmou ter agrupado mais de 1 bilhão de endereços de blockchain em mais de 134 mil entidades identificadas.
Transferir fundos entre blockchains também não rompe necessariamente o rastro. Os analistas conseguem rastrear ativos por meio de pontes entre redes. Usar uma exchange descentralizada não oculta automaticamente a transação, pois as trocas continuam registradas publicamente na blockchain.
O resultado é bastante simples: um endereço de carteira pode parecer uma sequência aleatória de caracteres, mas, quando atividades suficientes são associadas a ele, pode se transformar em um perfil financeiro detalhado.
Há exemplos concretos disso. Após o ataque de ransomware à Colonial Pipeline em 2021, investigadores dos EUA rastrearam bitcoins por várias carteiras e recuperaram cerca de US$ 2,3 milhões dos US$ 4,4 milhões pagos como resgate.
Helix: o mecanismo que você não consegue enganar tentando se esconder
Nos primeiros anos do Bitcoin, o Helix era muito popular nos mercados da darknet. Foi criado para fazer uma única coisa: tornar o Bitcoin impossível de rastrear. Larry Dean Harmon operou o serviço como um misturador de 2014 a 2017, misturando as moedas dos clientes para ocultar a origem dos fundos e anunciando os bitcoins resultantes como “limpos”. Todo o modelo se baseava no sigilo. O serviço não tinha outra finalidade além de romper o vínculo entre a origem e o destino de uma moeda.
Cerca de 354.468 BTC, equivalentes a aproximadamente US$ 311 milhões na época, passaram pelo serviço. A mistura alterou a aparência do rastro; não o apagou. Cada moeda ainda deixou uma marca permanente na blockchain, que não podia ser alterada nem apagada posteriormente.
Harmon cobrava uma comissão de 2,5% em cada troca, e essa comissão ia para o mesmo lugar que todas as outras moedas: para a blockchain, permanentemente. A parte que ele desviava para operar um serviço de ocultação tornou-se o registro que levou de volta ao responsável por ele. O único serviço projetado desde o início para apagar rastros acabou registrando seu dono no rastro que não conseguiu apagar.
Como o rastro de uma carteira é associado a uma pessoa real
A Helix mostra que movimentar Bitcoins não necessariamente apaga o rastro. Mas seguir o dinheiro é apenas metade do trabalho. Os analistas ainda precisam associar esses endereços de carteira a uma pessoa ou empresa real.
Isso costuma acontecer quando os fundos passam por uma corretora regulamentada. As corretoras sabem quais endereços de depósito pertencem a seus clientes e mantêm registros de identidade por meio de verificações de KYC. Se os investigadores rastrearem Bitcoins até um desses endereços, poderão solicitar os dados da conta por meio de um processo legal.
Essa única ligação pode revelar muito mais do que uma transação. Se a análise da blockchain já tiver associado vários endereços, indicando que provavelmente pertencem ao mesmo titular, identificar um deles pode revelar o nome de todo o grupo. A corretora talvez só conheça o endereço que passou por sua plataforma, mas a análise anterior pode ligá-lo aos demais.
Às vezes, não é preciso fazer nenhum pedido legal. Pessoas e empresas costumam publicar os próprios endereços de carteira — em sites, páginas de doação, conversas no Telegram ou perfis públicos. Quando um endereço é associado publicamente a um nome, suas transações anteriores também ficam visíveis.
Para as empresas, isso cria um problema básico de privacidade. Um pagamento a um fornecedor pode revelar pagamentos anteriores, movimentações de tesouraria e outras contrapartes. Como as transações em blockchain são permanentes e têm registro de data e hora, identificar uma carteira pode facilitar a reconstituição de anos de atividade.
Onde o rastreamento em blockchain pode falhar
Isso não significa que a análise de blockchain esteja sempre correta.
Os sistemas usados para relacionar carteiras dependem muito de padrões e probabilidades. Eles podem gerar falsos positivos e falsos negativos: atividades legítimas podem ser sinalizadas, enquanto atividades suspeitas podem passar despercebidas.
Um dos problemas é o histórico das transações. Bitcoins podem passar pelas mãos de muitos proprietários. Se as moedas já passaram por um misturador ou por uma carteira considerada arriscada, um proprietário posterior pode herdar essa suspeita, apesar de não ter qualquer relação com a atividade anterior.
Um comprador P2P teve sua conta congelada porque os bitcoins que recebeu haviam passado por um misturador antes de ele se tornar proprietário deles.
Para corretoras e outras empresas reguladas, esses erros têm custos práticos. Um alerta falso pode congelar os fundos de um cliente legítimo e criar problemas de conformidade e suporte.
As empresas de rastreamento também têm limitações quanto ao que conseguem ver. Criptomoedas voltadas à privacidade, como Monero, continuam sendo muito mais difíceis de rastrear. As investigações também podem parar quando os fundos chegam a corretoras em jurisdições que se recusam a cooperar.
Até mesmo as maiores empresas de análise de blockchain fizeram correções importantes. No início de 2025, a Chainalysis reduziu sua estimativa do valor em criptomoedas roubado pela Coreia do Norte no ano anterior de US$ 1 bilhão para US$ 660,5 milhões — uma correção de mais de US$ 300 milhões após a reavaliação de vários ataques.
A confiabilidade desses sistemas também foi questionada nos tribunais. Equipes de defesa em casos como Bitcoin Fog e Tornado Cash questionaram o peso que deve ser atribuído a análises produzidas por softwares proprietários que pessoas de fora não podem examinar por completo.
Esse escrutínio é importante porque a Chainalysis também é uma importante contratada do governo dos EUA. Reportagens independentes baseadas em registros federais constataram que a empresa recebeu mais de US$ 93,2 milhões em contratos públicos.
O maior risco de um resultado incorreto recai sobre usuários inocentes. Uma associação equivocada pode congelar uma conta. Em países com proteções mais frágeis, as mesmas ferramentas de rastreamento podem expor doadores, jornalistas ou pessoas que financiam a oposição política. O rastreamento de blockchain pode revelar muita coisa, mas o resultado nunca deve ser considerado automaticamente correto.
A única parte do rastro que os usuários ainda podem controlar
A maior parte da exposição descrita acima ocorre fora do controle do usuário. Carteiras podem vazar endereços antes mesmo de uma transação ser realizada. A análise de blockchain pode conectar vários endereços, e corretoras regulamentadas podem vincular essas carteiras a uma identidade real por meio de registros de KYC.
A parte que os usuários ainda podem controlar é o vínculo direto entre remetente e destinatário. Quando uma carteira paga outra, essa conexão fica registrada permanentemente na blockchain e pode revelar posteriormente as contrapartes, os movimentos do tesouro e as relações comerciais.
A ChangeNOW lançou as Transferências Privadas para eliminar essa conexão direta. O recurso encaminha um pagamento por meio de um endereço separado, usado uma única vez, para que o destinatário não receba os fundos diretamente do remetente. Isso interrompe o caminho visível entre remetente e destinatário, sem afirmar que torna anônima a transação como um todo.
Ainda há outras formas de exposição. Os metadados da carteira podem vazar, a análise da blockchain ainda pode rastrear atividades relacionadas, e as verificações de AML continuam sendo aplicadas nas etapas de depósito, transferência e pagamento.
Para parceiros de API, as Transferências Privadas são um recurso opcional da infraestrutura de transferência existente. Elas usam a mesma chave de API e o mesmo modelo de tarifas, sem exigir um produto ou uma integração separados. Seu objetivo é mais restrito: eliminar o único vínculo visível que os usuários podem escolher não criar.
Fonte: BeInCrypto