💻 computer science

Track me if you can: Ephemeral coin tracing

Este artigo introduz o "rastreamento de moeda efêmera" (ECT), um primitivo de preservação de privacidade para sistemas de pagamento regulamentados que impõe criptograficamente limites estritos e absolutos à duração e ao escopo do rastreamento por autoridades policiais para evitar a vigilância ilimitada, enquanto ainda permite a investigação de atividades ilícitas.

Autores originais: Ignacio Amores-Sesar, Christian Cachin, Rohit Chatterjee, Luiza Soezima, François-Xavier Wicht, Michelle Yeo

Publicado 2026-08-11

📖 8 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Ignacio Amores-Sesar, Christian Cachin, Rohit Chatterjee, Luiza Soezima, François-Xavier Wicht, Michelle Yeo

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine um mundo onde sua carteira digital é um cofre mágico e invisível. Você pode enviar dinheiro para amigos, comprar café ou pagar contas sem que ninguém saiba quem você é ou quanto gastou. Esta é a promessa dos "sistemas de pagamento que preservam a privacidade", um campo da criptografia que vem construindo cofres invisíveis há décadas. Mas há um porém: se esses cofres forem perfeitos demais, eles se tornam esconderijos para agentes mal-intencionados. Criminosos poderiam usá-los para lavar dinheiro ou financiar o terrorismo sem deixar um único rastro. Governos e bancos precisam de uma maneira de espiar o interior apenas quando tiverem um bom motivo, como um mandado para um suspeito específico, sem retirar a privacidade de todos os outros. A grande questão sempre foi: Como você dá à polícia uma lanterna para seguir o rastro do dinheiro de um criminosos sem acidentalmente cegar a cidade inteira?

Este artigo apresenta uma solução inteligente chamada "Rastreamento de Moedas Efêmeras" (ECT - Ephemeral Coin Tracing). Pense nisso como um adesivo de rastreamento mágico que desaparece por conta própria. No passado, as ferramentas de rastreamento eram como uma tinta brilhante permanente que, uma vez aplicada em um suspeito, seguiria seu dinheiro para sempre, iluminando cada transação que ele já realizou e potencialmente expondo pessoas inocentes que apenas negociaram com ele. Os autores propõem um novo sistema onde o "adesivo" possui uma data de validade integrada. Ele só pode percorrer um número específico de passos (ou "saltos") através da rede. Assim que atinge esse limite, a magia se desfaz e o rastro esfria, tornando-se indistinguível de uma moeda normal não rastreada. Isso garante que mesmo a autoridade mais determinada não possa seguir o dinheiro de um suspeito além de um limite predefinido, protegendo a privacidade da vasta maioria dos usuários que não estão sob investigação.

O Problema: A "Lanterna Eterna"

Por muito tempo, os sistemas de pagamento digital tiveram um dilema. Se você quisesse deter a lavagem de dinheiro, geralmente precisava dar às autoridades uma "lanterna eterna". Uma vez ligada para um suspeito, essa luz seguiria o dinheiro para onde quer que ele fosse, através de cada transação, cada carteira e cada troca. Se um criminoso passasse dinheiro para um amigo, e esse amigo passasse para um primo, a luz seguiria por toda a linha.

O problema é que essa luz não segue apenas o criminoso; ela ilumina todos com quem ele interage. Se um suspeito compra uma pizza, os outros clientes da pizzaria também são iluminados. Se o suspeito transfere dinheiro para uma empresa legítima, todo o histórico dessa empresa pode ser exposto. As ferramentas atuais na literatura concedem às autoridades "capacidades ilimitadas". Uma vez iniciado o rastreamento, ele pode se espalhar por todo o gráfico de transações ou seguir as transações futuras de um usuário para sempre. A única coisa que impedia o espionagem de todos era o "bom senso" da autoridade ou a honestidade de um comitê. Mas, como apontam os autores, confiar que as pessoas serão gentis não é um sistema de segurança muito forte.

A Solução: O Adesivo de "Tinta que Desbota"

Os autores, uma equipe de criptógrafos de universidades da Dinamarca, Suíça e Singapura, introduzem um novo primitivo chamado Rastreamento de Moedas Efêmeras (ECT). Eles o descrevem como um "adesivo de rastreamento" que é matematicamente programado para desaparecer.

Veja como funciona em seu sistema:

A Configuração: Quando um mandado é emitido para um suspeito, a autoridade não apenas marca o dinheiro; ela o marca com um "orçamento" específico de passos. Digamos que o orçamento seja de 10 saltos.
A Jornada: Cada vez que o dinheiro se move de uma pessoa para outra, a marca dá um "passo". A cada passo, a marca fica mais fraca. É como uma bateria que se esgota um pouco a cada transação.
O Desvanecimento: Após exatamente 10 passos, a marca chega a zero. Ela colapsa em um valor que parece exatamente com uma moeda normal, não marcada. Até a autoridade que colocou a marca lá não consegue mais vê-la. Ela se tornou "efêmera" — temporária e extinta.
A Rede de Segurança: Crucialmente, este processo de desvanecimento é construído na matemática do sistema. Não importa o quanto a autoridade queira continuar observando, ela não pode forçar a marca a durar mais do que o orçamento. O limite é fixado pelos parâmetros públicos, o que significa que qualquer pessoa pode verificar as regras, e a autoridade não pode alterá-las para espionar mais.

Como a Magia Acontece: O Truque "Nilpotente"

O artigo torna-se técnico aqui, mas a ideia central é um truque matemático chamado "degradação nilpotente". Imagine que você tem uma tinta especial que muda de cor toda vez que você a toca.

Passo 1: A tinta é vermelha brilhante (a marca do suspeito).
Passo 2: Ela fica laranja.
Passo 3: Ela fica amarela.
...
Passo 10: Ela fica completamente transparente.

No mundo real, se você misturar um líquido transparente com um líquido vermelho, geralmente obtém uma mistura rosada. Mas neste sistema criptográfico, o líquido "transparente" (a marca expirada) é especial. Quando ele se mistura com outras marcas, ele não as estraga; ele simplesmente desaparece. Isso permite que o sistema lide com situações complexas onde o dinheiro de um suspeito rastreado se mistura com o dinheiro de pessoas inocentes. A parte rastreada desaparece conforme seu próprio cronograma, enquanto as partes inocentes permanecem invisíveis para o rastreador.

Os autores fornecem duas maneiras de construir este sistema:

ElGamal Exponencial: Esta versão usa um tipo específico de grupo matemático onde os números diminuem gradualmente até atingirem zero. Ela cria marcas muito pequenas e compactas, o que é ótimo para velocidade, mas a matemática torna-se complicada se você quiser rastrear um grande número de pessoas ao mesmo tempo.
Damgård–Jurik: Esta versão utiliza uma estrutura matemática diferente que é um pouco maior, mas permite um rastreamento muito mais eficiente de muitas pessoas simultaneamente. É como escolher entre um carro esportivo pequeno e rápido (ElGamal) e um SUV um pouco maior e mais versátil (Damgård–Jurik).

Por Que Isso Importa

O artigo argumenta que esta abordagem resolve o impasse entre "privacidade vs. regulamentação".

Para os Inocentes: Se você não é um suspeito, sua privacidade não é tocada. Mesmo que você negocie com um suspeito, a "lanterna" eventualmente ficará sem bateria antes de conseguir rastrear todo o seu histórico.
Para as Autoridades: Elas ainda podem investigar crimes. Elas podem seguir o dinheiro de um suspeito por um número específico de saltos para encontrar cúmplices ou rotas de lavagem. Mas elas são forçadas a parar. Elas não podem simplesmente continuar observando para sempre. Eles não podem apenas observar para sempre.
Para o Sistema: As regras são transparentes. O "orçamento de saltos" (até onde a marca pode ir) é definido nos parâmetros públicos. Se um governo quiser mudar as regras para permitir uma vigilância mais longa, ele terá que mudar o código público, que todos podem ver. Eles não podem fazer isso em segredo.

O Que o Artigo Não Faz

É importante notar o que este artigo não afirma.

Ele não resolve o problema do rastreamento retroativo. Se um crime aconteceu no passado e ninguém foi marcado na época, este sistema não pode voltar para marcar aquele dinheiro antigo. Ele só funciona para rastreamento "prospectivo" — marcar o dinheiro após a emissão de um mandado.
Ele não identifica automaticamente quem é o suspeito. Ele apenas segue o dinheiro. O sistema ainda precisa do processo legal para ligar a carteira a uma pessoa real.
Ele não afirma ser uma solução "perfeita" que elimina todo o crime. É uma ferramenta para tornar o rastreamento direcionado mais seguro e delimitado.

O Veredito

Os autores provaram matematicamente que este sistema funciona. Eles mostraram que as marcas irão expirar exatamente quando devem, e que a autoridade não pode alterar o sistema para fazê-las durar mais. Eles também provaram que as marcas são indistinguíveis de moedas normais, de modo que o usuário não pode saber se está sendo observado ou não.

No fim, este artigo oferece um novo tipo de equilíbrio. Ele sugere que não precisamos escolher entre um mundo totalmente privado onde o crime corre solto e um mundo totalmente transparente onde todos são vigiados. Podemos ter um sistema onde a polícia tem uma lanterna, mas a lanterna tem um temporizador. Ela brilha intensamente o suficiente para pegar os vilões, mas se apaga antes de cegar o resto de nós. Ele transforma o "bom senso" da autoridade em uma regra matemática rígida que não pode ser quebrada.

Resumo Técnico: Rastreamento de Moedas Efêmeras (ECT)

1. Declaração do Problema

Sistemas de pagamento que preservam a privacidade, incluindo Moedas Digitais de Bancos Centrais (CBDCs) e stablecoins institucionais, enfrentam uma barreira crítica de adoção: os reguladores exigem mecanismos para rastrear fundos ilícitos (ex: lavagem de dinheiro) sem comprometer a privacidade dos usuários que cumprem a lei. Os esquemas de rastreamento de moedas existentes na literatura concedem às autoridades capacidades ilimitadas. Uma vez que um rastreamento é iniciado, ele ou se propaga indefinidamente pelo grafo de transações ou persiste em todas as transações futuras de um usuário alvo. Essa falta de limites criptográficos significa que, na ausência da "boa vontade" da autoridade ou da independência de um comitê, a vigilância pode eventualmente desanonimizar todo o livro-razão. As mitigações atuais, como comitês de limiar (threshold), limitam quem pode rastrear, mas não o quanto pode ser rastreado; uma maioria qualificada retém o mesmo poder ilimitado que uma única entidade.

O artigo questiona: Podemos projetar um protocolo simples e eficiente que limite a capacidade de vigilância da autoridade de rastreamento (tanto no número de usuários quanto na duração do rastreamento) ao mesmo tempo em que permite o rastreamento direcionado de atividades criminosas?

2. Metodologia: Rastreamento de Moedas Efêmeras (ECT)

Os autores introduzem o Rastreamento de Moedas Efêmeras (ECT), um primitivo criptográfico onde a capacidade de rastreamento é limitada por construção. O mecanismo central baseia-se na degradação nilpotente dentro de um esquema de criptografia aditivamente homomórfica.

Mecanismo Central

Degradação Nilpotente: O sistema utiliza um anel de texto plano contendo um elemento nilpotente $\nu$ $ν$ de índice $h$ $h$ (onde $\nu^h = 0$ $ν^{h} = 0$ , mas $\nu^{h-1} \neq 0$ $ν^{h - 1} \neq = 0$ ).
- Uma etiqueta de rastreamento (tracing tag) é uma criptografia de um identificador de usuário.
- Cada "salto" (hop) (um passo definido por política, como uma transferência de saída) aplica uma operação de degradação pública que multiplica o texto plano por $\nu$ .
- Após exatamente $h$ saltos, o texto plano torna-se $0$ (o elemento identidade).
- Uma vez que o valor é $0$, ele permanece $0$ sob degradação adicional. A etiqueta torna-se indistinguível de uma moeda fictícia (não etiquetada), mesmo para a autoridade que detém a chave secreta.
Fusão e Codificação Posicional:
- Quando fundos de múltiplas fontes se fundem, suas etiquetas são combinadas homomorficamente.
- Para evitar colisões entre identificadores e profundidades de degradação, o sistema utiliza uma codificação posicional (base- $r$ para identificadores, base- $q$ ou base- $N$ para profundidades).
- Isso garante que uma contribuição expirada (valor 0) atue como um elemento neutro, desaparecendo sem destruir contribuições vivas de outras profundidades.
Garantias de Segurança:
- Indistinguibilidade: Os usuários não podem determinar se sua moeda carrega uma etiqueta rastreável ou uma etiqueta fictícia.
- Não-vinculabilidade (Unlinkability): A rerandomização garante que uma etiqueta antes e depois da degradação não possa ser vinculada.
- Não-falsificabilidade (Unforgeability): Apenas a autoridade pode emitir etiquetas válidas; os usuários não podem criar etiquetas que rastreiem para identificadores não autorizados.
- Rastreabilidade Efêmera: Uma vez que uma etiqueta excede seu orçamento de saltos $h$ , a autoridade perde criptograficamente a capacidade de recuperar o identificador. Esta é uma garantia incondicional, não dependente de suposições de dureza computacional.

Construções

O artigo fornece duas instanciacões concretas do template ECT:

ElGamal Exponencial:
- Opera em um grupo cíclico de ordem $q^h$ (onde $q$ é primo).
- O elemento nilpotente é o primo $q$ ; a degradação eleva os criptogramas à potência de $q$ .
- Prós: Etiquetas compactas.
- Contras: A complexidade do rastreamento é exponencial no número de usuários rastreados simultaneamente ( $K$ ) devido a uma busca de encontro no meio (meet-in-the-middle); requer suposições DDH não padronizadas em grupos de ordem de potência de primo.
Criptografia de Damgård–Jurik:
- Opera sobre o anel $\mathbb{Z}_{N^s}$ onde $N$ é um módulo RSA e $s=h$ .
- O elemento nilpotente é o módulo $N$ ; a degradação eleva os criptogramas à potência de $N$ .
- Prós: O rastreamento é de tempo polinomial ($O(nh)$) independentemente do número de usuários rastreados; baseia-se na suposição padrão de Residuos Compostos Decisórios (DCR).
- Contras: Tamanhos de etiqueta maiores comparados à construção mínima de ElGamal.

3. Principais Contribuições

Definição de ECT: O primeiro esquema de rastreamento de moedas com expiração criptograficamente imposta. O orçamento de saltos $h$ é fixo nos parâmetros públicos e não pode ser excedido pela autoridade.
Vigilância Limitada: O esquema limita tanto a amplitude (número de usuários rastreados simultaneamente, limitado pelo módulo do texto plano) quanto a profundidade (número de saltos, limitado pelo índice nilpotente).
Fusão Eficiente: Um método inovador para fundir etiquetas de diferentes usuários e diferentes profundidades de degradação sem colisão, preservando sinais de rastreamento vivos enquanto permite que os expirados desapareçam.
Duas Construções: Provas de segurança formal para duas instanciações distintas (ElGamal e Damgård–Jurik) que satisfazem correção de rastreamento, correção de fusão, indistinguibilidade, rastreabilidade efêmera, não-falsificabilidade e não-vinculabilidade.

4. Resultados e Desempenho

Correção: Os autores provam que as etiquetas degradam exatamente como pretendido: uma etiqueta emitida com orçamento $h'$ permanece recuperável por $h'$ saltos e torna-se indistinguível de zero após isso.
Segurança: O esquema satisfaz todas as propriedades de segurança definidas. Notavelmente, a Rastreabilidade Efêmera é provada incondicionalmente (informacionalmente) para o passo de degradação, o que significa que nenhum poder computacional pode recuperar um identificador uma vez que o orçamento foi esgotado.
Trocas de Eficiência (Trade-offs):
- ElGamal: Adequado para pequenos orçamentos de saltos e poucos rastreamentos simultâneos (ex: etiquetas de 0,75 KB para $h=10$ ). O custo de rastreamento escala com o número de alvos ativos.
- Damgård–Jurik: Adequado para grandes conjuntos de alvos e etiquetas fortemente fundidas (ex: etiquetas de 4,1 KB para $h=10$ ). O custo de rastreamento é independente do número de usuários rastreados, escalando apenas com os parâmetros do sistema.

5. Significância e Alegações

O artigo afirma que o ECT muda fundamentalmente o equilíbrio entre privacidade e regulação de uma questão de restrição institucional para uma de design criptográfico.

Limites Explícitos: A capacidade de vigilância da autoridade é tornada explícita e auditável via parâmetros públicos ( $h$ e $n$ ). Nenhuma autoridade, por mais motivada que seja, pode ampliar silenciosamente o escopo da vigilância além desses parâmetros.
Privacidade Direcionada: O ECT permite investigações direcionadas sem desanonimizar a base geral de usuários. A "maioria esmagadora" dos usuários mantém garantias totais de privacidade, pois suas moedas carregam etiquetas fictícias que são indistinguíveis das rastreáveis.
Natureza Prospectiva: Os autores observam explicitamente que o ECT é prospectivo. Ele só pode rastrear fundos a partir do momento em que um mandado é emitido para frente. Ele não suporta vigilância em massa retrospectiva do passado, o que limita seu potencial de abuso em comparação com esquemas de rastreamento ilimitados.
Escopo de Aplicação: O primitivo é projetado para sistemas de pagamento baseados em contas e com permissão (como CBDCs) e pode ser integrado com ferramentas regulatórias existentes (ex: congelamento de contas, limites de transação), mas não substitui essas ferramentas. Ele requer que o livro-razão carregue e valide as etiquetas, mas evita o pesado overhead computacional de executar Computação Multipartidária Segura (MPC) em cada transação.

Em conclusão, o artigo apresenta o ECT como um "primeiro passo" que equilibra a necessidade de conformidade regulatória com fortes garantias de privacidade, garantindo que a vigilância seja temporária, limitada e matematicamente aplicável.