Hackers ligados ao ataque contra usuários da Coldcard recorreram ao CoinJoin — técnica que mistura várias transações ao mesmo tempo para dificultar a identificação de quem enviou o quê. A análise é de Felipe Américo Moraes, advogado criminalista e fundador da Chainspect.
O que aconteceu: o endereço bc1q0rvn[…]f5q6m surgiu pela primeira vez em 2 de agosto, três dias depois do primeiro ataque. Segundo Moraes, cerca de 64,9 bitcoins foram transferidos para um endereço Taproot e, 63 horas depois, entraram no primeiro CoinJoin com 323 participantes.
Nesse ponto, a transação ainda deixou um rastro: uma saída única de cerca de 54,3 bitcoins permitiu ligar parte das moedas ao atacante. Cerca de 3 horas e meia depois, esse valor passou por um segundo CoinJoin e, depois de 58 minutos, foi para uma terceira rodada com 454 participantes, quando o rastreio deixou de ser possível.
Em números: Moraes afirma que cerca de 1.126 bitcoins continuam acessíveis para rastreio. Outros 64,9 BTC já não podem mais ser acompanhados da mesma forma. Ele também citou o endereço bc1qmd5m[…]n8jp6, que enviou os fundos para bc1qez89[…]5dt6n, ainda permitindo rastrear cerca de 30,2 bitcoins. Outros quatro endereços seguem parados, somando cerca de 1.096 bitcoins.
No Brasil, o uso de CoinJoin não é proibido por si só, mas pode chamar atenção em investigações se houver suspeita de ocultação de origem de valores.
Moraes disse que o uso de CoinJoin é lícito. Em termos simples, ele funciona como uma espécie de “mistura” de moedas, em que várias pessoas entram com valores parecidos e saem com valores padronizados, o que embaralha a trilha pública do Bitcoin.
