Existe um grande problema nas transações com Bitcoin do ponto de vista empresarial que raramente é debatido. Suponha que uma empresa pague um fornecedor com BTC a partir de um endereço de carteira reutilizado. O fornecedor pode consultar informações além da fatura.
Neste momento, enquanto você lê esta reportagem, um concorrente pode usar um explorador de blocos e descobrir para quem você pagou em Bitcoin em seu último negócio — quanto, quando e para qual contraparte. O rastreamento de transações não é uma preocupação restrita a quem tem algo a esconder. Trata-se de um risco constante para empresas: movimentações de tesouraria, relações comerciais e fluxo de negociações ficam à disposição de qualquer pessoa disposta a investigar com atenção.
O senso comum leva a crer que essa exposição começa na blockchain, no instante em que a transação é assinada. Não começa. Em julho de 2026, pesquisadores do grupo DistriNet da KU Leuven testaram 85 das extensões de carteiras mais populares em navegadores e descobriram que as próprias carteiras permitem identificar e acompanhar usuários — antes mesmo de qualquer transação ser assinada.
A carteira acessa um servidor externo para exibir o saldo, e essa solicitação já transmite o endereço de forma aberta. Não há exploração de vulnerabilidade; as extensões funcionam exatamente como foram projetadas. Dentre as 85 analisadas, a falha de identificação atingiu 36 carteiras, responsáveis por cerca de 82% das instalações consideradas — esse é o grupo de referência para todos os números seguintes nesta seção.
E isso acontece mesmo para usuários íntegros. Andy Greenberg dedicou uma década investigando crimes ligados à cripto, reportando casos sobre hackers, comerciantes e indivíduos que viam a blockchain como esconderijo — e acompanhando investigadores que os rastrearam um a um. Ele levou dez anos para perceber que o Bitcoin estava longe de ser impossível de rastrear. O mesmo registro que deveria proteger tornou-se a principal fonte de evidências.
Esse falso sentimento de segurança atinge principalmente quem acredita ter tomado as providências certas para garantir a privacidade, geralmente pessoas que não tinham segredos relevantes: um doador cuja lista de beneficiários vira informação pública, um jornalista que pode ter fontes reveladas por transferências, ou a contraparte corporativa citada acima.
Quase todas essas camadas de exposição ocorrem independentemente da vontade do usuário. O restante deste texto detalha essas vulnerabilidades — e destaca o único elo desse processo que depende efetivamente da sua ação.
O que vaza de uma carteira além da própria transação?
Uma carteira de cripto pode revelar informações antes mesmo de qualquer movimentação. Para exibir seu saldo, carteiras instaladas no navegador geralmente contatam servidores externos e enviam o endereço da carteira. Pesquisadores da KU Leuven testaram 85 carteiras populares baseadas em extensão, representando cerca de 35 milhões de instalações pela Chrome Web Store. Encontraram 36 carteiras — responsáveis por aproximadamente 82% das instalações — passíveis de identificação e rastreamento dessa forma.
Em 17 carteiras, abrangendo cerca de 23 milhões de instalações, foi possível também expor relações entre diferentes endereços pertencentes a um mesmo usuário. Em 22 das 36 carteiras afetadas, sites conseguiam ler o endereço mesmo quando o usuário revogava o acesso e reiniciava o navegador.
Existe outro agravante. É possível que sites detectem quais extensões de carteira estão instaladas, sem que o usuário faça qualquer conexão. Os pesquisadores identificaram que 23 das 36 carteiras vulneráveis podem vazar um endereço somente por meio de conteúdo carregado de outro site, mesmo sem qualquer interação por parte do usuário.
A maioria dos provedores contatados pelos pesquisadores não considerou o caso como uma falha grave. Coinbase Wallet, Coin98 e Hana alteraram suas operações, enquanto outras, como MetaMask, Rabby e OKX, não implementaram mudanças. O estudo testou ainda 30 aplicativos descentralizados, dos quais apenas 11 revogaram corretamente o acesso ao clicar em “desconectar” ou sair da conta.
Uma vez que o endereço está exposto, a blockchain pública oferece todo o painel complementar de dados.
Empresas especializadas em análise de blockchain vasculham padrões de transação em busca de indícios de que vários endereços pertencem à mesma pessoa ou organização.
Assim, se várias carteiras realizam transferências entre si de modo recorrente ou adotam comportamentos semelhantes, o software consegue agrupá-las. Um endereço já identificado pode conduzir os analistas a outros associados.
Esse processo ocorre em larga escala. Em meados de 2026, a Chainalysis informou que já havia agrupado mais de 1 bilhão de endereços de blockchain em mais de 134 mil entidades identificadas.
Transferir valores entre blockchains também não elimina o rastro. Analistas conseguem monitorar ativos por meio de pontes entre redes. Fazer trocas em exchanges descentralizadas não garante anonimato, pois as operações permanecem registradas publicamente na blockchain.
O resultado é direto: um endereço de carteira pode parecer apenas uma sequência aleatória, mas a partir de certas atividades conectadas, pode vir a se tornar um perfil financeiro detalhado.
Há exemplos concretos dessa dinâmica. Após o ataque de ransomware à Colonial Pipeline em 2021, investigadores dos EUA rastrearam Bitcoin entre várias carteiras e conseguiram recuperar cerca de US$ 2,3 milhões, do total de US$ 4,4 milhões pagos em resgate.
Helix: o mecanismo que não se engana mesmo com tentativas de esconder
Nos primeiros anos do Bitcoin, a Helix era bastante utilizada em mercados da darknet. Sua proposta era clara: tornar o Bitcoin impossível de rastrear. Larry Dean Harmon comandou a operação como tumbler entre 2014 e 2017, misturando moedas dos clientes para dificultar a identificação da origem, promovendo o produto como “bitcoin limpo”. Todo o funcionamento se baseava em ofuscação. Nada no serviço existia além do intuito de romper o elo entre a origem de uma moeda e o destino final.
Foram cerca de 354.468 BTC, equivalentes a aproximadamente US$ 311 milhões na época, transacionados pelo serviço. O processo de mistura alterava a aparência do rastro, mas não o eliminava. Todas as moedas seguiam deixando registros na blockchain, marcas permanentes e impossíveis de apagar posteriormente.
Harmon cobrava uma comissão de 2,5% em cada troca, e essa comissão seguia o mesmo destino de todas as outras moedas: permanecia registrada na blockchain. O valor que ele retinha para operar um serviço de ocultação se tornou justamente o registro que levou à identificação de seu operador. O serviço criado para apagar rastros acabou marcando permanentemente o nome do proprietário no histórico impossível de ser apagado.
Como o rastro de uma carteira é vinculado a uma pessoa real
O caso Helix demonstra que movimentar o Bitcoin não apaga necessariamente os rastros. No entanto, acompanhar o dinheiro é apenas parte da tarefa. Analistas ainda precisam ligar esses endereços de carteira a uma pessoa real ou empresa.
Isso normalmente ocorre quando fundos passam por uma exchange regulada. Exchanges conhecem os endereços de depósito de seus clientes e mantêm registros de identidade devido às verificações KYC. Caso investigadores rastreiem o Bitcoin até um desses endereços, podem solicitar detalhes da conta por meio de ordem judicial.
Essa única conexão pode revelar muito mais do que uma transação. Se uma análise de blockchain já associou vários endereços como prováveis do mesmo titular, identificar um deles permite nomear o grupo todo. A exchange pode saber apenas do endereço que interagiu com sua plataforma, mas a análise prévia pode conectá-lo ao restante.
Às vezes, nem é preciso solicitação judicial. Pessoas e empresas publicam endereços de carteira voluntariamente — em sites, páginas de doação, chats no Telegram ou perfis públicos. Uma vez que um endereço esteja publicamente atrelado a um nome, todas as transações feitas anteriormente também ficam visíveis.
Para empresas, isso gera um problema básico de privacidade. Um pagamento a fornecedores pode expor transferências anteriores, movimentações do caixa e outros parceiros. Como as transações no blockchain são permanentes e contam com registro temporal, uma carteira identificada pode permitir a reconstrução de anos de operações.
Onde o rastreamento de blockchain pode falhar
Isso não significa que a análise de blockchain seja sempre precisa.
Os sistemas usados para conectar carteiras dependem fortemente de padrões e probabilidades. Podem ocorrer falsos positivos e falsos negativos: atividades legítimas podem ser sinalizadas, enquanto movimentações suspeitas passam despercebidas.
O histórico das transações representa um dos desafios. O Bitcoin pode passar por diversos donos. Se as moedas circularam por mixers ou por carteiras consideradas de risco, o investidor seguinte pode herdar essa suspeita, mesmo não tendo qualquer relação com as operações anteriores.
Já foi registrado o caso de um comprador P2P que teve a conta congelada porque o Bitcoin recebido havia passado por um mixer antes de chegar até ele.
Para exchanges e empresas sujeitas à regulamentação, esses erros têm custo direto. Um alerta equivocado pode congelar fundos de clientes legítimos e gerar problemas de compliance e suporte.
Existem limites em relação ao que as empresas de rastreamento conseguem identificar. Criptomoedas com foco em privacidade, como a Monero, ainda são muito mais difíceis de monitorar. Além disso, investigações podem esbarrar em exchanges localizadas em jurisdições que não colaboram com pedidos internacionais.
Até grandes empresas de análise de blockchain já promoveram revisões importantes. No início de 2025, a Chainalysis reduziu a estimativa do valor de cripto roubado pela Coreia do Norte no ano anterior de US$ 1 bilhão para US$ 660,5 milhões — uma correção superior a US$ 300 milhões após nova avaliação de alguns ataques.
A confiabilidade desses sistemas também é contestada nos tribunais. Equipes de defesa em casos como Bitcoin Fog e Tornado Cash questionaram quanto peso deve ser atribuído às análises geradas por softwares proprietários aos quais terceiros não têm acesso pleno.
Esse tipo de questionamento é relevante, pois a Chainalysis atua como uma das principais contratadas do governo dos EUA. Reportagens independentes com base em registros federais revelaram que a companhia recebeu mais de US$ 93,2 milhões em contratos governamentais.
O maior risco de um erro recai sobre usuários inocentes. Um vínculo incorreto pode resultar no congelamento de contas. Em países com proteções frágeis, os mesmos sistemas de rastreamento podem expor doadores, jornalistas ou financiadores da oposição política. O rastreamento blockchain revela muitos detalhes, mas o resultado nunca deve ser tratado como conclusivo automaticamente.
A única parte do rastro que o usuário ainda pode controlar
A maior parte da exposição mencionada acima foge do controle do usuário. Carteiras podem expor endereços antes mesmo das transações. Análises de blockchain conectam múltiplos endereços e exchanges reguladas podem atrelá-los a identidades por meio de registros KYC.
A parte que o usuário ainda consegue controlar é o vínculo direto entre remetente e destinatário. Quando uma carteira realiza um pagamento à outra, essa conexão fica registrada permanentemente na blockchain e, depois, pode evidenciar contrapartes, operações de tesouraria e relações comerciais.
A ChangeNOW lançou as Private Transfers para eliminar essa ligação direta. O recurso encaminha o pagamento por um endereço único, de uso exclusivo, de modo que o destinatário não recebe os fundos diretamente do remetente. Assim, interrompe-se o rastro visível entre os dois, sem promessa de anonimato total no restante da operação.
Alguns riscos ainda existem. Metadados das carteiras podem vazar, análises de blockchain podem identificar atividades periféricas e as exigências de combate à lavagem de dinheiro (AML) permanecem desde o depósito até o saque.
Para parceiros API, Private Transfers representam um recurso opcional já integrado à infraestrutura de transações. Utiliza a mesma chave API e modelo de taxas, sem exigir produto ou integração separados. O objetivo é simples: eliminar o elo visível que o usuário pode decidir não criar.
Conclusão
Retomando o ponto inicial: Andy Greenberg passou anos acreditando que a blockchain protegia o anonimato de seus usuários e chegou ao final do processo com a conclusão oposta conclusão: “… levei uma década para perceber o quanto o Bitcoin é, na verdade, rastreável.” Essa é a base de toda a análise. O traço da não rastreabilidade, tomado como absoluto, não existe. A carteira deixa marcas, a blockchain registra, o agrupamento acaba vinculado a um nome.
Esse é o posicionamento relevante para um parceiro: não o anonimato, já que anos de rastreamentos provam tratar-se de narrativa e não de característica, mas sim uma compreensão clara sobre o que pode e o que não pode ser fechado. Private Transfers elimina o único vínculo que estava realmente sob o controle do usuário.
