Transferências Cripto JSON

Esquemas Fraudulentos de Transferência de Ativos Digitais com «Ficheiros Tokenizados»

IFB International Finance Bank – Aviso de Prevenção de Fraude

O International Finance Bank (“IFB”) tem observado um número crescente de abordagens fraudulentas que envolvem alegadas transferências de ativos digitais de elevado valor, supostamente executadas através de «ficheiros JSON tokenizados», «recetores crypto host», «endpoints bancários», «protocolos de ativação de carteiras» ou terminologia improvisada semelhante.

Estes esquemas não dizem respeito apenas à USDT. O mesmo padrão de fraude pode envolver Bitcoin, Ethereum, stablecoins, ativos tokenizados, alegações relativas a moeda digital de banco central, moedas de blockchain privadas, ativos encapsulados (wrapped), alegados tokens garantidos por ouro, ou instrumentos digitais fictícios descritos como «de nível bancário» ou «institucionais».

A terminologia muda. A arquitetura da fraude permanece a mesma.

Um ficheiro, certificado, código, captura de ecrã, visualização de carteira, mensagem de API ou "host" privado não pode, por si só, comprovar a titularidade de ativos digitais nem transferi-los. Uma transferência legítima de ativos digitais exige o controlo da carteira em causa, uma assinatura criptográfica válida, a difusão na blockchain ou rede de liquidação relevante e a verificação independente.

A Declaração Enganosa Central

Os burlões afirmam frequentemente que os ativos digitais podem ser transferidos através do envio, carregamento ou «alojamento» de um ficheiro. O ficheiro pode ser descrito como JSON, XML, encriptado, tokenizado, codificado, assente em registo distribuído, com contrato inteligente ou certificado por um banco.

Tal é tecnicamente falso.

Um ficheiro de dados pode conter informação. Pode conter endereços, metadados, modelos de transação, capturas de ecrã, saldos fabricados ou alegações arbitrárias. Não é, por si só, uma carteira, uma conta de custódia, um instrumento bancário ou um mecanismo de liquidação.

Os ativos digitais não se movimentam porque um ficheiro assim o indica. Só se movimentam quando uma transação válida é autorizada pela parte que controla os ativos e aceite pela rede em causa.

Como Funcionam as Transferências Legítimas de Ativos Digitais

Na liquidação genuína de ativos digitais, a prova decisiva não é um documento nem uma promessa, mas o controlo verificável e a execução verificável.

O ordenante deve controlar a carteira ou a conta de custódia em causa. Uma transação tem de estar devidamente autorizada. Numa blockchain pública, tal significa, em regra, uma transação assinada criptograficamente e difundida na rede. Uma vez aceite, a transação pode ser verificada de forma independente através do explorador de blockchain pertinente ou do registo de custódia institucional.

Para a atividade institucional, esta camada técnica é apenas o ponto de partida. A correta execução exige também a verificação de identidade, o rastreio de sanções, a análise da origem dos fundos, a análise da origem do património, a monitorização de transações, a verificação da capacidade jurídica e a aprovação de Conformidade. As transações de elevado montante não se tornam legítimas pela rapidez, pela urgência ou por uma terminologia impressionante.

Sinais de alerta frequentes

Estas abordagens recorrem frequentemente a linguagem inventada, como «bank crypto host», «host receiver», «endpoint wallet», «tokenised file», «wallet release code», «gas tranche», «ledger activation», «private blockchain encashment» ou «beneficiary wallet registration».

Tais expressões são geralmente utilizadas para ocultar a ausência de custódia real, de controlo efetivo de carteiras e de mecanismos reais de liquidação.

Outro sinal de alerta frequente é o pedido de informação sobre a infraestrutura do banco, endereços IP, pontos de ligação de servidores, acesso a carteiras digitais ou dados técnicos privados. Estes elementos não são necessários para receber uma transferência blockchain normal. Pedidos desta natureza podem indiciar engenharia social, phishing, reconhecimento informático ou tentativa de acesso não autorizado.

Os fraudadores referem também, com frequência, valores de operação excecionais, muitas vezes na ordem das centenas de milhões ou dos milhares de milhões. Criam, em seguida, uma urgência artificial, prometendo que a operação pode ser concluída em poucas horas se o destinatário fornecer dados técnicos, pagar comissões ou assinar documentos de aceitação. Trata-se de uma arquitetura clássica de pressão.

Outro indicador é o recurso a uma economia de comissões irracional. Os verdadeiros titulares de ativos não cedem percentagens extraordinárias a intermediários desconhecidos apenas para movimentar ativos digitais líquidos. Quando uma proposta promete comissões desmedidas por um esforço mínimo, a lógica comercial é, em regra, fraudulenta.

Risco de Pagamento Antecipado de Comissões

Muitos destes esquemas conduzem, mais cedo ou mais tarde, a um pedido de pagamento. O pagamento pode ser designado como gas, custo de ativação, comissão de conformidade, comissão de registo, encargo de validação, certidão de quitação fiscal, comissão de libertação, garantia de seguro, financiamento de carteira, transação espelho ou prova de liquidez.

Estas designações não alteram a substância. É pedido à vítima que pague antes de ter ocorrido qualquer transferência de ativos verificável de forma independente.

Nenhuma instituição prudente deve pagar comissões antecipadas a contrapartes desconhecidas em troca de um alegado acesso a ativos digitais que não tenham sido verificados através de procedimentos reconhecidos de custódia, bancários ou de blockchain.

Documentos Não Constituem Liquidação

As partes fraudulentas apresentam frequentemente escrituras de cessão, cartas bancárias, capturas de ecrã, certificados, códigos, mapas de transações, extratos de carteiras ou alegados formulários de conformidade.

Tais materiais podem ser falsificados, irrelevantes ou desprovidos de significado comercial.

Um documento pode apoiar uma transação, mas não pode substituir a liquidação. A documentação jurídica não prova que um ativo digital existe, que o ordenante o controla, que se encontra livre de ónus, que tem origem lícita ou que pode ser transferido.

No caso dos ativos digitais, o requisito mínimo é a verificação independente do ativo, da carteira ou conta de custódia, da parte que a controla, do historial de transações e da origem legal dos fundos.

Posição do IFB

O IFB trata as propostas não solicitadas que envolvam «ficheiros tokenizados», «anfitriões cripto», «pontos de ligação bancários», «ativação de carteiras», «levantamento privado» ou estruturas semelhantes como de risco elevado, salvo se forem verificadas de forma independente através de canais jurídicos, bancários, de custódia e de blockchain reconhecidos.

O IFB não aceita propostas de ativos digitais baseadas em ficheiros não verificáveis, capturas de ecrã, códigos privados, pontos de acesso de servidores ou garantias informais de intermediários.

O IFB não fornecerá dados de infraestrutura de private banking, dados de pontos de acesso de servidores, credenciais de carteiras digitais, chaves privadas, frases-semente, pagamentos antecipados nem confirmações institucionais relativamente a transações que não possam ser verificadas de forma independente.

Medidas de Proteção

Os clientes e as contrapartes devem aplicar um critério simples: se os ativos são reais, podem ser verificados através de registos de custódia legítimos ou de prova on-chain. Se o ordenante os controla, pode demonstrar esse controlo. Se a transação é lícita, o ordenante pode fornecer documentação completa de identificação, de origem dos fundos e de conformidade.

Qualquer recusa em apresentar essa prova deve ser tratada como um sinal de alerta significativo.

As abordagens suspeitas devem ser comunicadas às equipas de conformidade, jurídica e de cibersegurança antes de se prosseguir qualquer contacto. Não devem ser fornecidos quaisquer dados operacionais, pagamentos, assinaturas ou acessos a carteiras até que a operação tenha sido formalmente verificada.

Em síntese

A fraude em ativos digitais recorre cada vez mais a um teatro técnico. Os fraudadores utilizam linguagem complexa, funções bancárias inventadas e procedimentos documentais fabricados para criar a aparência de sofisticação.

Os fundamentos permanecem simples. Um ficheiro não é uma carteira. Uma captura de ecrã não é comprovativo de fundos. Um endpoint de servidor não é uma via de liquidação. Um documento não é uma transação em blockchain. Uma promessa de comissão extraordinária não é legitimidade comercial.

As transferências legítimas de ativos digitais são verificáveis, autorizadas, conformes e auditáveis. Qualquer proposta que evite estes padrões deve ser rejeitada.

Um ficheiro JSON pode funcionar legitimamente como carga de instruções na infraestrutura interna de ativos digitais de um banco, mas apenas em condições rigorosamente controladas. Nesse caso, o JSON em si não contém nem transfere criptomoeda. Limita-se a transportar instruções de transação estruturadas, que são interpretadas pelos sistemas de retaguarda autorizados do IFB.

Por exemplo, se um cliente do IFB já mantiver junto do banco uma custódia de ativos digitais verificada, uma mensagem JSON pode incluir dados como:

• identificador da conta do cliente
• rede blockchain
• endereço da carteira do destinatário
• tipo de token
• montante da transação
• referências de conformidade
• assinaturas criptográficas
• Dados de autenticação de API

Após a receção, os sistemas internos do IFB validariam:

• autenticação do cliente
• titularidade da carteira
• saldos de contas
• Conformidade AML/KYC
• rastreio de sanções
• limites de política de transações
• poderes de autorização interna

Se todos os controlos forem satisfeitos, a infraestrutura de custódia ou o sistema de carteiras de tesouraria do IFB pode então gerar uma transação blockchain real, utilizando as chaves privadas protegidas do Banco ou o seu ambiente de custódia. A transferência efetiva só ocorre quando a infraestrutura de assinatura autorizada do IFB assina criptograficamente e difunde a transação na rede blockchain.

A distinção fundamental é a seguinte:

o ficheiro JSON não transfere, por si só, criptoativos.

O banco transfere criptoativos após validar de forma independente a instrução e executar uma transação genuína em blockchain a partir de ativos já detidos em custódia.

Esta situação é comparável à mensagem SWIFT na banca tradicional. Uma mensagem SWIFT MT103 não contém, em si, dinheiro. É uma instrução autenticada que leva os sistemas bancários a movimentar fundos através de infraestruturas de liquidação reguladas. O JSON, nos sistemas institucionais de ativos digitais, pode desempenhar uma função de orquestração semelhante, mas nunca como instrumento ao portador autónomo.