#2 Como lavar 119.754 BTC e falhar miseravelmente
Como um apaixonado por tecnologia e cripto-entusiasta, venho acompanhando com muita curiosidade e espanto a maior apreensão financeira da história do Departamento de Justiça dos Estados Unidos. Eu adoraria ser capaz de montar uma narrativa com uma conclusão satisfatória, mas a verdade é que esse caso traz mais perguntas que respostas.
De qualquer maneira, nessa edição da newsletter vou compilar as melhores informações que encontrei sobre o casal acusado de tentar lavar US$ 3,6 bilhões em Bitcoins roubados de uma das maiores bolsas de moeda virtual do mundo.
Em agosto de 2016, um hacker (ainda desconhecido) violou os sistemas da casa de câmbio de criptomoedas, Bitfinex, e autorizou cerca de duas mil transações não aprovadas. 119.754 $BTC foram roubados, afundando o mercado em quase 40%.
Não é possível afirmar o que aconteceu depois mas, de acordo com Jack Niewold, essas moedas muito provavelmente foram vendidas em um acordo P2P/OTC entre o hacker e um terceiro.
Nenhuma informação nova surgiu até 2020, quando a Bitfinex ofereceu US$ 400 milhões de recompensa pelo desaparecimento dos Bitcoins que, no dia do crime valiam US$ 71 milhões, mas à época já valiam US$ 1,3 bilhão.
Ao contrário das transações financeiras tradicionais, as transações de Bitcoin são publicamente visíveis – mover as moedas arriscava revelar quem estava por trás do assalto.
Em 31 de janeiro, observadores on-chain notaram uma movimentação estranha em torno das carteiras que continham os fundos do hack.
Ao longo dos últimos seis anos, o valor do Bitcoin disparou, surgiu o saque à vista online e, enquanto isso, pequenas frações da quantia roubada ocasionalmente desapareciam em uma nevasca de transações complexas. Como dito pelo New York Times, era como se o carro de fuga de um ladrão estivesse permanentemente estacionado do lado de fora do banco, bem trancado, com o dinheiro ainda dentro. Mas, esse ano, o carro acelerou.
Dia 8 de fevereiro, o Departamento de Justiça dos Estados Unidos anunciou que recuperou 94.000 dos bitcoins roubados no hack de 2016 da Bitfinex e prendeu um casal suspeito de ter lavado o dinheiro.
A apreensão de ativos, no valor de US$ 3,6 bilhões, é a maior da história do Departamento de Justiça norte-americano, mas ainda não representa a soma total dos fundos perdidos no esquema. Os 119.754 bitcoins já valem US$ 4,5 bilhões.
Os promotores disseram que descobriram os suspeitos porque mais de 1/3 dos Bitcoins roubados foram transferidos para uma carteira digital controlada por Ilya Lichtenstein, um pouco conhecido emigrante russo e investidor em tecnologia. Ele e sua esposa, Heather Morgan, empresária americana, aspirante a influencer em redes sociais, com um alter ego de rapper satírico chamado Razzlekhan, acessaram as moedas depois que um hacker violou os sistemas da Bitfinex.
Acusados de conspirarem para lavar os bilhões de dólares em Bitcoin, os dois desviaram pedaços das moedas roubada e tentaram se safar com uma complexa rede de carteiras digitais, envolvendo contas com nomes falsos e a conversão dos Bitcoins em outras moedas digitais mais privadas, como Monero, um processo conhecido como “chain-hopping”. Os 94.000 bitcoins que não foram lavados permaneceram na carteira que foi usada para armazenar os lucros do hack, e foi assim que os agentes disseram ter conseguido recuperá-los após muita pesquisa online por meio de mandados autorizados pelo tribunal.
As prisões chocaram alguns conhecidos do casal, já que suas vidas on-line bobas não batiam com a descrição dos promotores: criminosos sofisticados com pilhas de moeda estrangeira, várias identidades falsas e dezenas de dispositivos criptografados escondidos em um apartamento em Manhattan.
Os promotores disseram acreditar que o casal possui ativos adicionais significativos que não foram recuperados, bem como acesso a inúmeras identidades fraudulentas compradas na chamada darknet, uma parte oculta da Internet utilizada para transações ilícitas. O governo diz no processo judicial que, quando os agentes executaram um mandado de busca no apartamento do casal em Lower Manhattan, no começo de janeiro, foram encontrados mais de 50 dispositivos eletrônicos, incluindo uma bolsa com a etiqueta "telefone descartável" e cerca de US$ 40.000 em dinheiro.
Muitos dos dispositivos foram parcial ou totalmente criptografados ou protegidos por senha. No escritório de Lichtenstein, os agentes encontraram dois livros ocos cujas páginas pareciam ter sido cortadas à mão para criar compartimentos secretos, mas estavam vazios.
Quando os agentes estavam prestes a começar a busca, Morgan e Lichtenstein disseram que deixariam o apartamento mas queriam levar o gato, de acordo com o documento citado pelo NYT. Os agentes permitiram que Morgan recuperasse o animal, que estava escondido debaixo da cama. Mas quando ela se agachou ao lado da cama e chamou o gato, se posicionou ao lado de uma mesa de cabeceira que continha um de seus celulares, estendeu a mão e pegou o telefone, apertando repetidamente o botão de bloqueio no que os promotores disseram ser um esforço para dificultar a busca do conteúdo do telefone pelos investigadores. Os agentes tiveram que arrancar o telefone das mãos da empresária e não há outras informações sobre o gato.
Fun fact
Antes de serem acusados de conspirarem para lavar os bilhões em Bitcoins roubados de uma das maiores bolsas de moeda virtual do mundo, Lichtenstein e Morgan deram conselhos e opiniões sobre as perspectivas da criptomoeda e a importância de proteger seu estoque.
“O Bitcoin se tornará uma lição nos livros didáticos de economia da bolha clássica repleta de golpes”, escreveu Morgan em um post de blog de 2014, segundo o New York Times.
Lichtenstein também se preocupava com a forma como as pessoas estavam cuidando das suas criptomoedas. Em um post de novembro no Twitter, ele criticou um artigo de notícias por incluir “quase nada sobre como proteger suas chaves” – as senhas digitais que permitem que os proprietários acessem seu Bitcoin.
As perguntas sem respostas
Um elemento crucial, mas facilmente esquecido, das acusações é que elas não apontam que Lichtenstein e Morgan foram os responsáveis pelo hack inicial da Bitfinex. Não há no processo nenhuma teoria específica sobre como eles chegaram à posse das chaves privadas que controlam as moedas.
De acordo com o Coindesk, uma possibilidade é que o casal tenha comprado “com desconto” o BTC do hacker que atacou a exchange. Outra é que eles estavam apenas agindo como agentes para o criminoso, embora isso seja menos provável, dado o controle direto das chaves. Há, no entanto, alguma razão circunstancial para acreditar que o casal poderia estar envolvido no próprio hack mas o Departamento de Justiça simplesmente não tem provas suficientes para acusá-los de outros crimes além de lavagem de dinheiro.
A evidência mais intrigante (embora, novamente, inteiramente circunstancial) é que Morgan parece ter sido completamente obcecada por “engenharia social”, um tipo de hacking que se concentra em pessoas em vez de códigos de computadores. Em uma longa apresentação feita em uma série de eventos chamada “NYC Salon”, ela descreveu métodos de engano e intimidação que usou em exercícios do mundo real para influenciar indivíduos e obter acesso a espaços e organizações. Isso é particularmente intrigante, dada a natureza do hack original, que envolveu o comprometimento de proteções de múltiplas assinaturas que passaram pelo provedor de segurança BitGo.
Uma reportagem publicada pelo CoinDesk na época mencionou que “para retirar uma quantidade tão grande de fundos, o BitGo provavelmente teria que assinar essas transações” por causa de uma camada de segurança multiassinatura implementada para usuários da Bitfinex. Isso levanta a possibilidade de que a engenharia social esteja envolvida no hack.
O ex-diretor de compliance do BitGo, Matt Parrella, chegou a ser entrevistado por Morgan para sua coluna na Forbes, em 2020, com um título surpreendentemente irônico, “Especialistas compartilham dicas sobre como proteger seus negócios contra cibercriminosos”.
"Ignorance is a blessing!". Não para criminosos
Uma das coisas realmente bizarras reveladas nas acusações é que as autoridades afirmam que conseguiram apreender o BTC roubado depois de acessar as chaves privadas que Lichtenstein e Morgan armazenaram em um serviço em nuvem.
Manter as chaves privadas offline o tempo todo é um dos princípios de segurança mais fundamentais de gerenciamento de criptomoedas, e é implausível que alguém que se comprometa a lavar criptos em uma escala tão grande não esteja ciente disso.
O pesquisador da indústria cripto Eric Wall sugeriu que, apesar das alegações nos documentos da acusação, as chaves podem não ter sido descriptografadas pelas autoridades. Em vez disso, elas podem ter sido entregues pelos culpados quando confrontados.
Isso também poderia explicar por que uma grande parte das moedas roubadas foi movida em 1º de fevereiro. Talvez os criminosos acusados estivessem demonstrando que as chaves funcionavam antes de entregar as criptos para os federais. Também vale lembrar que os Bitcoins roubados valiam cerca de US$ 70 milhões na época do hack. Essa quantia aumentou para vários bilhões ao longo de cinco anos, possivelmente ultrapassando a capacidade dos culpados de atualizar suas práticas de segurança.
O fato é que foi o uso de uma conta de armazenamento em nuvem por Lichtenstein que levou ao desvendamento da suposta trama. O governo encontrou um arquivo com uma lista de 2.000 endereços de moedas virtuais, juntamente com as chaves privadas correspondentes. Quase todos esses endereços estavam ligados ao assalto à Bitfinex, de acordo com o Departamento de Justiça, que disse que a criptomoeda também passou por entidades de propriedade de Morgan.
Ok, e qual será o legado desse escândalo?
As acusações foram um divisor de águas na regulamentação em evolução da moeda digital e, para alguns, um passo à frente na capacidade do governo de rastrear lavagens ilegais. O ex-agente do FBI, Christopher Tarbell, disse ao New York Times que, apesar do espaço criptográfico sempre ter sido visto como um porto seguro para criminosos, estamos vendo agora que a aplicação da lei tem o conhecimento, as ferramentas e as habilidades para fornecer alguma responsabilidade no que era o novo oeste selvagem do cibercrime.
Sandra Ro, que lidera o Global Blockchain Business Council, uma associação do setor que defende a adoção de mercados de criptomoedas, disse que as prisões “atuam na narrativa de que a comunidade cripto é povoada por personagens duvidosos e marginais, o que não é o caso”. “Há adultos na sala, que estão construindo produtos e serviços reais para fazer crescer uma indústria multitrilionária com responsabilidade”.
A Bitfinex disse que trabalhará em conjunto com autoridades dos EUA para tentar devolver os fundos roubados aos seus legítimos proprietários. E acrescentou uma fala do procurador geral da divisão criminal do Departamento de Justiça, Kenneth A. Polite Jr., no comunicado:
“Hoje, a aplicação da lei federal demonstra mais uma vez que podemos seguir o dinheiro através do blockchain e que não permitiremos que a criptomoeda seja um refúgio seguro para lavagem de dinheiro ou uma zona de ilegalidade em nosso sistema financeiro”.