Análise de Carteiras de Pagamento de Ransomware

Quando Usar

• Uma organização foi atingida por ransomware e a nota de resgate contém um endereço de carteira de Bitcoin ou criptomoeda que precisa ser investigado.
• Forças policiais ou equipes de resposta a incidentes precisam rastrear para onde os pagamentos de resgate fluíram após a vítima pagar.
• Analistas de inteligência de ameaças estão atribuindo campanhas de ransomware agrupando infraestrutura de pagamento em diferentes incidentes.
• Investigadores precisam determinar se um grupo de ransomware está reutilizando a infraestrutura de carteira em várias vítimas.
• Equipes de conformidade ou jurídicas precisam de evidências de fluxos de fundos para processos, aplicação de sanções ou reivindicações de seguro.

Não use esta habilidade para interceptação de pagamentos em tempo real ou para interagir diretamente com operadores de ransomware. Toda análise deve ser passiva e somente leitura contra dados públicos de blockchain.

Pré-requisitos

• Python 3.8+ com as bibliotecas requests, json e hashlib.
• Acesso a APIs de exploradores de blockchain (blockchain.com, WalletExplorer.com, Blockstream.info).
• Familiaridade com o modelo de transação Bitcoin (UTXOs, entradas, saídas, endereços de troco).
• Compreensão de técnicas comuns de ofuscação (mixers, tumblers, peel chains, cross-chain swaps).
• Opcional: Licença Chainalysis Reactor para análise de cluster de nível empresarial.
• Opcional: OXT.me para visualização avançada de grafos de transação.

Fluxo de Trabalho

Etapa 1: Extrair Endereço da Carteira da Nota de Resgate

Analise a nota de resgate para identificar o(s) endereço(s) de pagamento:

Common address formats:
  Bitcoin (P2PKH):   1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa  (starts with 1)
  Bitcoin (P2SH):    3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy  (starts with 3)
  Bitcoin (Bech32):  bc1qar0srrr7xfkvy5l643lydnw9re59gtzzwf5mdq (starts with bc1)
  Monero:            4... (95 characters, much harder to trace)
  Ethereum:          0x... (40 hex chars)

Etapa 2: Consultar Explorador de Blockchain para Histórico de Transações

Recupere todas as transações associadas à carteira:

import requests

def get_wallet_transactions(address):
    """Query blockchain.com API for address transactions."""
    url = f"https://blockchain.info/rawaddr/{address}"
    resp = requests.get(url, timeout=30)
    resp.raise_for_status()
    data = resp.json()
    return {
        "address": address,
        "n_tx": data.get("n_tx", 0),
        "total_received_satoshi": data.get("total_received", 0),
        "total_sent_satoshi": data.get("total_sent", 0),
        "final_balance_satoshi": data.get("final_balance", 0),
        "transactions": data.get("txs", []),
    }

Etapa 3: Mapear Fluxo de Fundos e Identificar Clusters

Rastreie as saídas da carteira de resgate para endereços downstream:

Fund Flow Analysis:
━━━━━━━━━━━━━━━━━━
Victim Payment ──► Ransom Wallet ──► Consolidation Wallet
                                  ├─► Mixer/Tumbler Service
                                  ├─► Exchange Deposit Address
                                  └─► Peel Chain (sequential small outputs)

Key indicators:
  - Consolidation: Multiple ransom payments aggregated into one wallet
  - Peel chains: Sequential transactions with diminishing outputs
  - Mixer usage: Funds sent to known mixer addresses (Wasabi, Samourai, ChipMixer)
  - Exchange cashout: Deposits to known exchange wallets (Binance, Kraken hot wallets)

Etapa 4: Cruzar Referências com Bancos de Dados de Carteiras Conhecidas

Verifique os endereços contra infraestrutura de ransomware conhecida:

# Check WalletExplorer for entity identification
def check_wallet_explorer(address):
    url = f"https://www.walletexplorer.com/api/1/address?address={address}&caller=research"
    resp = requests.get(url, timeout=30)
    data = resp.json()
    return {
        "wallet_id": data.get("wallet_id"),
        "label": data.get("label", "Unknown"),
        "is_exchange": data.get("is_exchange", False),
    }

Etapa 5: Gerar Relatório de Atribuição

Compile os resultados em um relatório de inteligência estruturado:

RELATÓRIO DE ANÁLISE DE CARTEIRA DE RANSOMWARE
====================================
Endereço de Resgate:      bc1q...xyz
Atribuição da Família:  LockBit 3.0 (com base no formato da nota de resgate)
Total Recebido:      4.25 BTC (US$ 178.500 no momento do pagamento)
Total Enviado:          4.25 BTC (carteira totalmente drenada)
Número de Pagamentos:  3 (provavelmente 3 vítimas separadas)

FLUXO DE FUNDOS:
  Pagamento 1: 1.5 BTC → Carteira de consolidação → Depósito na Binance
  Pagamento 2: 1.0 BTC → Wasabi Mixer → Desconhecido
  Pagamento 3: 1.75 BTC → Peel chain (12 saltos) → Depósito na OKX

ANÁLISE DE CLUSTER:

…