| name | simulacao-investigacao |
| description | Cenários de investigação simulados para prática guiada. Use quando o investigador quiser treinar análise on-chain com dados fictícios. Cria casos com endereços, valores, timestamps e contexto investigativo. Cobre: rastreamento Bitcoin simples, DeFi em Ethereum, investigação cross-chain, rug pull, lavagem via mixer, fraude com stablecoins multi-chain, wash trading de NFT. Após o investigador tentar resolver, apresenta gabarito completo com mapa de fluxo e análise.
|
Simulações de Investigação — Prática Guiada
Quando Usar
Investigador quer praticar metodologia sem casos reais. Útil para:
- Treinamento interno de equipe
- Capacitação de novos investigadores
- Aperfeiçoamento técnico em áreas específicas
- Testar hipóteses em ambiente seguro
Protocolo
- Pergunte o nível: Básico / Intermediário / Avançado
- Pergunte o tipo: UTXO / Account / Cross-chain / DeFi / Golpe específico
- Apresente o cenário com dados fictícios, contexto e questões
- Aguarde tentativa do investigador
- Apresente o gabarito com:
- Mapa de fluxo completo
- Padrões identificados (skill
/on-chain-patterns)
- Classificação de risco
- Ações recomendadas
Cenários Disponíveis
CENÁRIO 1 — Rastreamento Bitcoin Básico (UTXO)
Nível: Básico
Objetivo: Praticar identificação de troco e heurística de co-spending
📁 CASO: Saque suspeito de exchange
Contexto: Um investigado sacou 2.0 BTC da Binance para o endereço
bc1q-ALVO em 05/03/2025 14:30 UTC. Rastrear o destino dos fundos.
Dados observados em blockchair.com/bitcoin:
Endereço: bc1q-ALVO
Saldo atual: 0.02 BTC
Transação única de saída (TX-1):
- Data: 05/03/2025 15:45 UTC
- Inputs:
- bc1q-ALVO: 2.00 BTC
- Outputs:
- bc1q-DEST1: 1.50 BTC
- bc1q-CHANGE: 0.48 BTC
- Taxa de rede: 0.02 BTC
Investigação adicional no endereço bc1q-DEST1:
- Recebeu: 1.50 BTC
- Enviou: 1.50 BTC (TX-2, 05/03 16:20 UTC)
- Output único: bc1q-COINBASE (endereço conhecido do WalletExplorer
como hot wallet da Coinbase)
Investigação adicional no endereço bc1q-CHANGE:
- Recebeu: 0.48 BTC
- Saldo atual: 0.02 BTC (endereço da carteira alvo — mesmo cluster)
Tarefa:
1. Identifique qual output foi pagamento e qual foi troco. Justifique.
2. Monte o mapa de fluxo completo.
3. Quais diligências recomendaria?
GABARITO 1:
ANÁLISE:
1. Identificação de troco:
- bc1q-DEST1 recebeu 1.50 BTC e movimentou em seguida para Coinbase
→ esse é o PAGAMENTO (destino real)
- bc1q-CHANGE recebeu 0.48 BTC e está associado ao mesmo cluster
do bc1q-ALVO → esse é o TROCO
- Heurística confirmatória: 1.50 é valor "redondo"; 0.48 é "quebrado"
2. Mapa de fluxo:
[Binance (CEX)]
│ 2.00 BTC (05/03 14:30)
▼
[bc1q-ALVO]
│
├─ 1.50 BTC (TX-1, 05/03 15:45) ──► [bc1q-DEST1]
│ │
│ └─ 1.50 BTC (TX-2, 16:20)
│ ──► [Coinbase hot wallet]
│ ⚡ PONTO DE IDENTIFICAÇÃO
│
└─ 0.48 BTC (troco) ──► [bc1q-CHANGE] (mesmo cluster do ALVO)
3. Diligências:
- Requisição judicial à Coinbase com endereço de depósito bc1q-COINBASE
e janela temporal 05/03 16:00-17:00 UTC
- Solicitar: titular da conta, KYC, IPs de acesso, método de saque
posterior (se houve conversão para fiat)
- Verificar se bc1q-DEST1 pertence a outro cluster (pode ser
conta intermediária de outro usuário)
Padrões (/on-chain-patterns):
- Round-numbered payment vs. change
- Consolidação pré-exchange (2 hops até exchange)
CENÁRIO 2 — DeFi em Ethereum
Nível: Intermediário
Objetivo: Praticar leitura de swaps em DEX e token transfers
📁 CASO: Conversão suspeita de USDT em ETH
Contexto: Empresa X detectou saída não autorizada de 100.000 USDT
da carteira corporativa 0xCORP-1111 em 09/02/2025. Rastrear.
Dados observados em etherscan.io:
Endereço: 0xCORP-1111
Saldo USDT atual: 0
Última transação relevante:
TX principal: 0xaaa...111
- Data: 09/02/2025 03:17 UTC
- From: 0xCORP-1111
- To: 0xINT-2222 (endereço externo, não é contrato)
- Value: 0 ETH
- Token Transfers:
- 100.000 USDT de 0xCORP-1111 para 0xINT-2222
Endereço: 0xINT-2222 — análise
- Saldo atual: 0 USDT, 0.15 ETH
- Token Transfers recentes mostram:
TX 0xbbb...222:
- Data: 09/02/2025 03:19 UTC
- From: 0xINT-2222
- To: 0x1f9840a85d5aF5bf1D1762F925BDADdC4201F984 (contrato Uniswap V3)
- Value: 0 ETH
- Token Transfers:
- 100.000 USDT de 0xINT-2222 para pool Uniswap
- 52.3 ETH de pool Uniswap para 0xINT-2222
TX 0xccc...333:
- Data: 09/02/2025 03:24 UTC
- From: 0xINT-2222
- To: 0xSTARGATE... (contrato Stargate Bridge)
- Value: 52.3 ETH
- Events: "Swap" para Arbitrum, srcAddress = 0xINT-2222,
dstAddress = 0xINT-2222
Tarefa:
1. Reconstrua o fluxo completo
2. Identifique padrões (/on-chain-patterns)
3. Quais diligências priorizaria?
4. Onde o rastreamento precisa continuar?
GABARITO 2:
ANÁLISE:
1. Fluxo completo:
[0xCORP-1111] ── carteira corporativa
│ 100.000 USDT (TX-aaa, 03:17 UTC)
▼
[0xINT-2222] ── carteira intermediária (pessoal?)
│ Swap via Uniswap V3 (TX-bbb, 03:19 UTC)
│ 100.000 USDT → 52.3 ETH
▼
[0xINT-2222] ── mesmo endereço, agora com ETH
│ Bridge via Stargate (TX-ccc, 03:24 UTC)
│ 52.3 ETH Ethereum → Arbitrum
▼
[0xINT-2222 na ARBITRUM] ← RASTREAMENTO CONTINUA LÁ
2. Padrões:
- TOKEN SWAP IMEDIATO (2 minutos entre recebimento e swap USDT→ETH)
→ tentativa de converter ativo rastreável em outro
- BRIDGE HOP (5 minutos entre swap e bridge)
→ ofuscação cross-chain
- Timeline muito rápida (7 minutos do início ao fim)
→ operação provavelmente automatizada ou planejada
3. Diligências prioritárias:
a) Continuar rastreamento em Arbitrum — acessar arbiscan.io
com o mesmo endereço 0xINT-2222 e verificar o que aconteceu
após 03:24 UTC
b) Analisar 0xINT-2222: é carteira pessoal ou hot wallet de
serviço? Verificar Arkham/Debank para labels
c) Correlacionar com logs de acesso da carteira corporativa
(SIM swap? Phishing? Insider threat?)
d) Verificar se Tether pode blacklist o endereço 0xINT-2222
considerando evidências
4. Continuação do rastreamento:
O endereço 0xINT-2222 em Arbitrum provavelmente fez nova movimentação
(talvez para exchange). O investigador deve:
- Acessar arbiscan.io, cole 0xINT-2222
- Verificar aba Transactions e Internal Txns a partir de 09/02 03:24 UTC
- Identificar próximo destino
CENÁRIO 3 — Rug Pull em BSC
Nível: Intermediário
Objetivo: Identificar rug pull e rastrear criador
📁 CASO: Token MOONSHIB2025 despencou — rug pull?
Contexto: Investidores perderam dinheiro após o token MOONSHIB2025
(0xTOKEN...) colapsar em 20/03/2025. Investigar se foi rug pull.
Dados coletados em bscscan.com:
Contrato: 0xTOKEN-999
- Deploy: 18/03/2025 (2 dias antes do colapso)
- Creator: 0xDEV-AAA
- Código: NÃO VERIFICADO
- Holders: 1.247 (no pico)
- Supply: 1.000.000.000 tokens
Pool de liquidez (PancakeSwap): 0xPOOL-777
- Par: MOONSHIB2025 / BNB
- Liquidez inicial: 10.000 MOONSHIB2025 + 50 BNB (deposit em 18/03 por 0xDEV-AAA)
Eventos críticos em 20/03/2025:
- 14:15 UTC: 0xDEV-AAA chamou `removeLiquidity()` no PancakeSwap
→ Recebeu 1.847 BNB (liquidez acumulada + taxa)
- 14:15 UTC: Preço do token despencou 99.8%
- 14:22 UTC: 0xDEV-AAA transferiu 1.800 BNB para 0xINT-BBB
- 14:30 UTC: 0xINT-BBB depositou 1.800 BNB em Tornado Cash (pool de 100 BNB)
Tarefa:
1. É rug pull? Quais evidências?
2. Trace o fluxo de fundos do dev
3. Próximos passos de investigação
GABARITO 3:
ANÁLISE:
1. É RUG PULL — evidências:
- Código NÃO verificado (red flag crítico)
- LP tokens NÃO foram lockados (dev detinha todos)
- Remoção de liquidez pelo dev coincide com colapso do preço
- Tempo de vida do token: 2 dias (ciclo típico de rug)
- Dev imediatamente moveu fundos para ofuscação (Tornado Cash)
- Alto número de holders comprando + zero atividade de dev em
suporte pós-deploy
2. Fluxo de fundos:
[Investidores: ~$X em BNB]
│ compras de MOONSHIB2025
▼
[Pool PancakeSwap: 50 BNB iniciais + acumulação]
│ removeLiquidity() em 20/03 14:15
▼
[0xDEV-AAA] ── criador/deployer
│ 1.847 BNB extraídos
│ Transfer em 14:22 (7min depois)
▼
[0xINT-BBB] ── carteira intermediária
│ Depósito em Tornado Cash em 14:30 (8min depois)
│ Pool de 100 BNB — 18 depósitos
▼
[Tornado Cash] ❌ Rastreamento on-chain interrompido
3. Próximos passos:
a) Analisar o contrato 0xTOKEN-999 com Token Sniffer, De.Fi Scanner
(mesmo não verificado, bytecode pode ser decompilado)
b) Verificar se 0xDEV-AAA criou outros tokens antes (padrão serial
de rug pullers) — buscar Transactions do endereço
c) Arkham/Bubblemaps para identificar cluster do dev
d) Focar nos SAQUES do Tornado Cash pool de 100 BNB em timing
compatível (janelas horárias seguintes) — deanonimização parcial
é possível
e) Bitcoin Abuse / Chainabuse para reportar e cruzar com outros casos
f) Cooperar com comunidade — fóruns de vítimas podem ter leads
(handles Telegram/Discord do dev, fotos de avatar, histórico)
CENÁRIOS ADICIONAIS DISPONÍVEIS (sob demanda)
| ID | Tipo | Nível | Foco |
|---|
| 4 | Pig butchering multi-chain | Avançado | Análise de plataforma falsa + cash-out |
| 5 | Wash trading NFT | Intermediário | Identificar sham transactions |
| 6 | Ransomware BTC | Avançado | Bitcoin + mixer + exchange de saída |
| 7 | Fake airdrop + phishing | Intermediário | Análise de approve malicioso |
| 8 | Insider trading em listagem | Avançado | Timing + consolidação pré-anúncio |
| 9 | Exploit de flash loan | Avançado | Decodificar TX complexa |
| 10 | Exit scam de exchange | Avançado | Identificar padrão de drenagem |
Para pedir um cenário específico:
"Me apresente o cenário [N] para prática"
Para criar cenário customizado:
"Crie um cenário de [tipo de crime] em [blockchain] no nível [básico/intermediário/avançado]"
Regras dos Cenários
- Todos os dados são fictícios
- Endereços seguem formato real mas são inventados
- Cenários inspirados em casos documentados publicamente
- Marcar sempre como SIMULAÇÃO no cabeçalho de qualquer relatório gerado
- Não reproduzir dados de casos reais sob investigação
