💻 computer science

Tracing the Shadows: Automatic Tracking and Analysis of Crypto Money Laundering via Transaction Semantic Analysis

Este artigo apresenta o AMLGuard, um framework semanticamente consciente que utiliza análise estática baseada em regras e raciocínio de LLM com aumento de recuperação para inferir intenções de transação de alto nível e rastrear com precisão fluxos de fundos ilícitos em ambientes DeFi de cadeia única e cross-chain, alcançando precisão e recall superiores na reconstrução de topologias de lavagem de dinheiro para mais de US$ 1 bilhão em ativos roubados.

Autores originais: Hao Wu, Haijun Wang, Shangwang Li, Yin Wu, Ming Fan, Ting Liu, Xiapu Luo

Publicado 2026-07-22

📖 7 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Hao Wu, Haijun Wang, Shangwang Li, Yin Wu, Ming Fan, Ting Liu, Xiapu Luo

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine o internet como um gigantesco parquinho global, onde as pessoas podem trocar tokens digitais sem precisar de um banco ou de um professor para vigiá-las. Este é o mundo das Finanças Descentralizadas, ou DeFi. É como uma máquina de vendas automática massiva que nunca dorme, permitindo que qualquer pessoa troque uma moeda digital por outra, empreste suas moedas para ganhar juros ou as utilize como garantia. Mas, como todos são anônimos e as máquinas são abertas ao público, atores mal-intencionados encontraram uma maneira de se infiltrar. Quando hackers roubam bilhões de dólares em valor desses tokens digitais, eles não apenas os guardam; eles tentam lavá-los. Pense na lavagem de dinheiro como tentar limpar um sapato muito, muito sujo de lama para que ele pareça novo. Eles passam o dinheiro "sujo" por um labirinto vertiginoso de trocas digitais, empréstimos e saltos entre diferentes blockchains (que são como parquinhos diferentes e separados) para esconder sua origem. O objetivo é fazer com que o dinheiro "sujo" pareça tão limpo e misturado que ninguém consiga dizer de onde veio. Isso é um problema enorme porque, se não pudermos rastrear o dinheiro, não poderemos pegar os ladrões nem recuperar o dinheiro.

É aqui que uma nova ferramenta chamada AMLGuard entra em cena, agindo como um detetive superinteligente para o mundo digital. Os métodos tradicionais de rastreamento de cripto roubada são como tentar seguir um ladrão contando cada um de seus passos, até mesmo aqueles que ele dá apenas para amarrar os sapatos. É bagunçado, confuso e muitas vezes faz você andar em círculos. O AMLGuard, no entanto, não apenas conta passos; ele entende o porquê do movimento do ladrão. Ele observa uma transação digital complexa e descobre a "história" por trás dela — foi uma troca? Um depósito? Um salto entre cadeias (cross-chain)? Ao entender a história, ele consegue ignorar o ruído e seguir o caminho real do dinheiro roubado, mesmo quando o ladrão tenta pular entre diferentes blockchains para se esconder.

O Problema: O Labirinto da Lavanderia Digital

No mundo das criptomoedas, os hackers que roubam dinheiro enfrentam um desafio: eles precisam esconder a origem de seu saque. Eles fazem isso movendo os tokens roubados através de uma série de endereços, trocando-os por diferentes moedas, emprestando-os e, às vezes, até enviando-os através de diferentes blockchains (como pular de um parquinho para outro). Esse processo é chamado de "lavagem de dinheiro".

O problema é que os rastros digitais deixados para trás são incrivelmente bagunçados. Um único movimento de um hacker pode desencadear dezenas de pequenas ações internas do computador. As ferramentas de rastreamento antigas olham para essas pequenas ações uma por uma. Elas veem um token se movendo do Endereço A para o Endereço B, depois para um contrato, e então para o Endereço C, e ficam confusas. Elas podem pensar que um programa de computador inofensivo (como uma máquina de vendas) é um cúmplice criminoso, ou podem se perder em um labirinto de becos sem saída. Elas têm dificuldade em ver o quadro geral: "Ah, toda essa bagunça foi apenas uma simples troca de uma moeda por outra". Como não conseguem entender o "significado" da transação, elas criam mapas enormes e ruidosos que são impossos de seguir, especialmente quando o dinheiro pula entre diferentes blockchains, onde a conexão não é óbvia.

A Solução: O Superpoder "Semântico" do AMLGuard

Os pesquisadores por trás deste artigo, liderados por Hao Wu e Haijun Wang, construíram um novo sistema chamado AMLGuard. Em vez de apenas contar tokens, o AMLGuard tenta entender a intenção de cada transação. Eles chamam isso de "análise semântica".

Pense nisso da seguinte forma: Se você vê uma pessoa entrar em uma padaria, comprar um bolo e sair, uma câmera básica apenas registra "Pessoa moveu-se do Ponto A para o Ponto B". Um observador inteligente, porém, entende a ação: "Eles compraram um bolo". O AMLGuard faz isso para o cripto. Ele pega uma transação complexa e a traduz em uma "Unidade Semântica de DeFi" (DSU) de alto nível. Em vez de ver 50 pequenos movimentos de tokens, ele vê uma ação clara: "Troca", "Depósito" ou "Saque".

Para fazer isso, o AMLGuard usa dois truques principais:

Trabalho de Detetive Baseado em Regras: Ele possui uma lista de padrões comuns (como "Se tokens entram e tokens diferentes saem, é uma troca") para identificar rapidamente movimentos padrão.
Poder Cerebral de IA: Para os movimentos complicados e estranhos que não se encaixam nas regras, ele utiliza um Modelo de Linguagem Grande (LLM) — um tipo de IA que é muito boa em entender o contexto. Ele olha para os dados bagunçados e pergunta à IA: "Com base em padrões semelhantes que vimos antes, o que isso está realmente fazendo?". A IA então supõe o significado, e o sistema dupla-checa seu próprio trabalho para garantir que não está inventando coisas.

O Desafio Cross-Chain: Pulando a Cerca

Uma das partes mais difíceis de rastrear o dinheiro é quando ele salta de uma blockchain para outra (como de Ethereum para Arbitrum). É como um ladrão fugindo de uma cidade para outra, e a polícia da primeira cidade perde o rastro porque a polícia da segunda cidade não tem o mesmo mapa.

O AMLGuard resolve isso olhando de perto para o "envelope" da transação. Mesmo que a conexão entre as duas cadeias não seja sempre óbvia, o sistema consegue ler as instruções ocultas dentro dos dados da transação para descobrir exatamente para onde o dinheiro está indo a seguir. Ele recupera a "intenção cross-chain", permitindo que o rastreamento continue perfeitamente entre diferentes blockchains sem quebrar o rastro.

Os Resultados: Pegando os Ladrões

Os pesquisadores testaram o AMLGuard em 82 casos reais onde hackers roubaram mais de US$ 1 bilhão em ativos. Eles o compararam com outros cinco métodos de rastreamento de ponta.

Os resultados foram impressionantes:

Precisão: O AMLGuard encontrou o destino final do dinheiro roubado com 94,4% de precisão em casos de cadeia única e 87,6% em casos cross-chain. Isso significa que, quando apontava para um endereço final, estava quase sempre correto.
Completude: Ele conseguiu encontrar 98,4% dos endereços envolvidos na lavagem de cadeia única e 95,8% em casos cross-chain. Não perdeu muitos passos.
Eficiência: Enquanto outras ferramentas se perdiam em mapas enormes e bagunçados com dezenas de milhares de transações, o AMLGuard manteve o mapa pequeno e limpo, analisando apenas cerca de 299 transações por incidente, em média. Isso tornou a revisão para investigadores humanos muito mais rápida.

Em um teste de mundo real, especialistas humanos usando o AMLGuard foram capazes de resolver casos complexos em 10 minutos e 3 minutos, respectivamente, comparado ao tempo muito maior que levavam para fazê-lo manualmente ou com ferramentas mais antigas. O sistema reconstruiu com sucesso a "topologia de fluxo de fundos ilícitos", que é apenas uma forma sofisticada de dizer que ele desenhou um mapa claro e preciso de como o dinheiro roubado se moveu do hacker até o ponto final de saque.

O Que Ele Não Faz (E O Que Vem a Seguir)

É importante saber o que o AMLGuard não faz. Ele interrompe o rastreamento assim que o dinheiro atinge um "mixer" (um serviço projetado para embaralhar moedas para torná-las rastreáveis) ou uma corretora centralizada onde o ladrão realiza o saque. Uma vez que o dinheiro entra em um mixer, o rastro é considerado interrompido para este estudo. Além disso, o sistema atualmente foca em transações que ocorrem de uma só vez (transações únicas). Ele ainda não rastreia esquemas complexos que se estendem por muitos dias e transações diferentes, embora os pesquisadores acreditem que isso seja algo bom para se trabalhar a seguir.

O artigo sugere que, ao entender o significado das transações digitais em vez de apenas os dados brutos, podemos construir defesas muito melhores contra o crime cripto. O AMLGuard mostra que, com a mistura certa de regras e IA inteligente, podemos cortar o ruído e rastrear as sombras, tornando mais difícil para os ladrões esconderem seus saques.

Resumo Técnico: Tracing the Shadows (AMLGuard)

Declaração do Problema

O avanço rápido das Finanças Descentralizadas (DeFi) introduziu uma complexidade significativa aos esforços de combate à lavagem de dinheiro (AML) em blockchains baseadas em conta. Após incidentes de segurança, atacantes utilizam protocolos DeFi complexos para ocultar a origem de ativos roubados por meio de transferências de múltiplos saltos (multi-hop), trocas de tokens e pontes cross-chain. Os métodos de AML existentes enfrentam três limitações primárias:

Heterogeneidade Semântica: As abordagens atuais frequentemente dependem de transferências de tokens de baixo nível ou análise de fluxo agnóstica a protocolos. Elas falham em capturar intenções de transação de alto nível (ex: distinguir uma simples troca de um staking complexo), levando a espaços de rastreamento massivos preenchidos com ruído e caminhos enganosos.
Semântica Implícita: Regras determinísticas têm dificuldade em inferir comportamentos DeFi críticos que são codificados implicitamente através de múltiplos movimentos de tokens, como taxas de transferência, contabilidade interna ou roteamento de múltiplas etapas.
Fragmentação Cross-Chain: Em cenários de lavagem cross-chain, as soluções existentes falham em estabelecer associações semânticas significativas entre as cadeias de origem e destino porque as pontes descentralizadas não expõem links explícitos e verificáveis entre transações em diferentes livros contábeis. Isso resulta em caminhos de rastreamento interrompidos.

Metodologia: AMLGuard

Os autores propõem o AMLGuard, um framework de AML consciente de semântica projetado para blockchains baseadas em conta (especificamente cadeias compatíveis com EVM). O AMLGuard transforma dados brutos de transação em representações semânticas de alto nível para guiar o rastreamento contínuo e preciso da lavagem. O sistema opera através dos seguintes módulos principais:

1. Análise Semântica de Transação

O AMLGuard abstrai transações DeFi complexas em Unidades Semânticas de DeFi (DSUs). Este processo envolve:

Construção do Grafo de Fluxo de Tokens (TFG): O sistema modela os movimentos de tokens intra-transação como um grafo direcionado onde os nós são contas participantes (EOAs e CAs) e as arestas representam transferências de tokens.
Identificação de Operação Baseada em Regras: Usando regras de busca em grafos estáticos, o AMLGuard identifica operações DeFi explícitas (Approve, Transfer, Swap, Deposit, Withdraw) ao comparar subgrafos de TFG contra padrões predefinidos.
Inferência de Semântica Implícita (LLM + RAG): Para transações que não se encaixam em regras padrão, o AMLGuard emprega um pipeline de Geração Aumentada por Recuperação (RAG). Ele recupera transações históricas estruturalmente similares de uma Base de Conhecimento de Operações DeFi curada e utiliza um Modelo de Linguagem Grande (LLM) para inferir a intenção econômica implícita.
Validação Iterativa: As inferências do LLM passam por uma verificação de consistência de dois passos:
- Consistência Factual: Verificando se a descrição semântica inferida corresponde aos movimentos reais de tokens no TFG.
- Consistência Lógica: Garantindo que a operação inferida satisfaça restrições de viabilidade (ex: um endereço de saída de um swap não pode atuar imediatamente como remetente para o mesmo token de uma forma que viole a semântica do swap).
- Se as verificações falharem, o sistema refina iterativamente a inferência usando prompts de feedback.

2. Recuperação Semântica Cross-Chain

Para abordar a fragmentação de lavagem cross-chain, o AMLGuard recupera a intenção a partir de evidências da cadeia de origem:

Correspondência de Assinatura de Função: O sistema decodifica os dados de entrada da transação para identificar funções cross-chain invocadas, utilizando mecanismos de resolução de proxy (EIP-1967, EIP-2535) para acessar os contratos de lógica subjacentes.
Parsing de Semântica de Argumentos: Ele faz o parsing dos argumentos decodificados para extrair identificadores de cadeia de destino e endereços de destinatários, transformando uma operação de "Depósito" na cadeia de origem em uma DSU de "Transferência" cross-chain. Isso permite o rastreamento contínuo entre livros contábeis heterogêneos.

3. Fluxo de Trabalho de Rastreamento Guiado por Semântica

O AMLGuard realiza um processo de rastreamento iterativo de profundidade primeiro (depth-first) começando de um endereço malicioso conhecido:

Ele constrói TFGs para transações não analisadas e infere DSUs.
Os estados das contas são atualizados deterministicamente com base na DSU (ex: deduzindo tokens do remetente, adicionando ao receptor).
O sistema expande a fronteira de rastreamento empilhando novos endereços de receptores em uma pilha apenas se a DSU indicar uma propagação de fundos ilícitos, efetivamente podando caminhos irrelevantes e ruídos internos de protocolos.
O processo termina quando a pilha está vazia, produzindo uma topologia compacta de fluxo de fundos ilícitos e destinos finais.

Principais Contribuições

Framework AMLGuard: Um novo framework consciente de semântica que analisa com precisão as semânticas de transação, rastreia atividades cross-chain e produz topologias compactas de fluxo de dinheiro ilícito.
Módulo de Análise Semântica: Uma abordagem híbrida combinando regras estáticas com raciocínio de LLM aumentado por recuperação para abstrair dados de baixo nível em DSUs de alto nível, lidando com comportamentos DeFi explícitos e implícitos.
Mecanismo de Recuperação Cross-Chain: Um método para inferir a intenção cross-chain através do parsing de parâmetros de transação, permitindo o rastreamento contínuo entre blockchains onde links explícitos estão ausentes.
Avaliação Abrangente: Uma avaliação em larga escala usando 82 casos reais de lavagem (envolvendo mais de US$ 1 bilhão em ativos ilícitos) através de datasets single-chain e cross-chain.

Resultados Experimentais

Os autores avaliaram o AMLGuard contra cinco baselines de última geração (TRacer, Haircut, Poison, APPR, XBlockFlow) em dois datasets: $D_s$ (63 casos single-chain) e $D_c$ (19 casos cross-chain).

Precisão e Recall:
- Em $D_s$ , o AMLGuard alcançou 98,4% de recall de endereço e 94,1% de recall de destino, com uma precisão de destino de 94,4%.
- Em $D_c$ , alcançou 95,8% de recall de endereço e 93,8% de recall de destino, com uma precisão de destino de 87,6%.
- Essas métricas superam significativamente o melhor baseline (XBlockFlow), particularmente em cenários cross-chain onde os baselines frequentemente falham em manter a continuidade do rastreamento.
Redução de Ruído: O AMLGuard constrói topologias compactas, analisando uma média de 299 transações e 44 nós por incidente em $D_s$ , comparado a dezenas de milhares de transações analisadas por baselines baseados em heurística.
Eficiência: Embora o tempo de análise por transação seja maior devido à inferência semântica (aprox. 1,6s/tx), o tempo total de análise por incidente é competitivo (476s em $D_s$ ) porque o sistema evita a expansão para caminhos irrelevantes.
Ablação de Componentes: Remover a análise semântica (AMLGuard w/o SA) causou uma queda brusca no recall cross-chain (de 95,8% para 42,3%), confirmando o papel crítico da recuperação semântica. Remover a inferência de LLM (AMLGuard w/o LBSA) também degradou o desempenho, destacando a necessidade de lidar com semânticas implícitas.
Estudo de Caso: Em um estudo de usuário envolvendo dois incidentes reais (perdas de $11,6M e$ 49M), o AMLGuard reduziu o tempo de investigação manual em mais de 60% em comparação com a análise apenas por especialistas ou análise assistida por ferramentas comerciais como o MetaSleuth.

Significância e Alegações

O artigo afirma que o AMLGuard representa um avanço significativo no AML nativo de cripto ao mudar o foco do rastreamento de tokens de baixo nível para a compreensão semântica de alto nível. Os autores enfatizam que:

Abstração Semântica é Crucial: Sem abstrair transferências brutas em operações DeFi, o rastreamento é sobrecarregado por ruído e mecânicas internas de protocolos.
Continuidade Cross-Chain é Alcançável: Ao recuperar a intenção implícita de parâmetros de transação, é possível unir o gap semântico entre blockchains sem depender de oráculos centralizados.
Utilidade Prática: O sistema auxilia efetivamente investigadores do mundo real ao fornecer gráficos de rastreamento compactos e interpretáveis, reduzindo assim o tempo e o esforço necessários para identificar destinos de lavagem e congelar fundos ilícitos.

Os autores reconhecem limitações, observando que o framework foca atualmente no rastreamento direto (forward tracing) até serviços de saída conhecidos (CEXs) e não cobre o pós-rastreamento de mixers ou fluxos atômicos de múltiplas transações, que permanecem como áreas para trabalhos futuros.