O desaparecimento dos Bitcoins apreendidos pela Polícia Judiciária: mais do que um caso criminal, uma lição sobre custódia digital.
Se a narrativa recentemente divulgada pela comunicação social corresponder aos factos, estamos perante um caso que merece uma reflexão séria sobre a forma como o Estado português lida com a apreensão e a custódia de criptoativos.
O problema não parece ser o Bitcoin.
O problema parece ter sido a forma como a respetiva chave privada foi gerida.
Segundo foi noticiado, os bitcoins apreendidos terão sido transferidos para uma carteira criada pela própria Polícia Judiciária. A chave privada dessa carteira terá circulado por sistemas informáticos, mensagens de correio eletrónico, sido impressa em papel, digitalizada e armazenada por diferentes intervenientes antes de ser guardada fisicamente.
Em qualquer análise de segurança informática, esta sucessão de procedimentos representa um aumento significativo da superfície de risco.
Em matéria de Bitcoin, a regra é conhecida há mais de quinze anos:
Quem controla a chave privada controla os bitcoins.
Por isso, a cadeia de custódia da chave privada deveria obedecer a padrões de segurança extraordinariamente rigorosos, próximos daqueles utilizados por entidades especializadas na custódia institucional de ativos digitais, recorrendo, por exemplo, a hardware wallets, carteiras multifirma (multisig), segregação de funções e procedimentos auditáveis.
Se a descrição jornalística foi rigorosa, o caso parece revelar precisamente o contrário.
Mais preocupante ainda é outro aspeto da investigação descrita: depois de os ativos desaparecerem de uma carteira criada e controlada pelo próprio Estado, os principais suspeitos terão sido os proprietários dos bens entretanto apreendidos.
Naturalmente, investigar todas as hipóteses faz parte da função das autoridades. Mas, perante uma eventual falha na cadeia de custódia da chave privada, seria legítimo esperar que a análise incidisse, desde o primeiro momento, sobre todos aqueles que tiveram acesso ao mecanismo que permitia movimentar os ativos.
O caso evidencia igualmente uma dificuldade institucional que Portugal terá inevitavelmente de ultrapassar.
Bitcoin não funciona como uma conta bancária.
Não existe um banco para onde se liga a cancelar uma transferência.
Não existe um administrador que recupere credenciais.
Não existe reversão de operações confirmadas na blockchain.
Quem compreende verdadeiramente o funcionamento da tecnologia sabe que a proteção da chave privada é a proteção do património.
Se, efetivamente, a chave privada ficou exposta durante os procedimentos de apreensão, o problema nunca foi da blockchain. Foi da custódia.
Este episódio deveria servir de ponto de partida para a criação de protocolos técnicos específicos para a apreensão e conservação de criptoativos pelas autoridades portuguesas, envolvendo especialistas em segurança digital, criptografia e custódia institucional.
À medida que Bitcoin e outros ativos digitais passam a integrar cada vez mais processos criminais e tributários, o Estado terá de desenvolver competências técnicas proporcionais.
Porque, no universo Bitcoin, a maior vulnerabilidade raramente está na tecnologia.
Está, quase sempre, na forma como os seres humanos a utilizam.
