Uma perícia contratada pela defesa de Daniel Vorcaro, dono do Banco Master, identificou 999 arquivos com registros de modificação posteriores à apreensão do celular do empresário pela Polícia Federal (PF). Desse total, 657 apresentam alterações datadas de 18 de novembro de 2025, enquanto os demais tiveram modificações registradas entre essa data e 14 de maio de 2026. O levantamento também apontou 436 arquivos de imagem com datas de modificação posteriores à apreensão, entre um total de 2.151.257 imagens, o que corresponde a aproximadamente 0,02% dos arquivos analisados.

O laudo foi elaborado pelo perito Marcos Monteiro e entregue à Justiça em 26 de outubro. O documento aponta possíveis falhas na cadeia de custódia dos aparelhos apreendidos e afirma que os arquivos fornecidos pelo Supremo Tribunal Federal (STF) não permitem verificar a integridade e a completude dos dados extraídos do iPhone 17 Pro de Vorcaro. A perícia, contratada pela defesa, não comprova que houve adulteração dos arquivos, mas sustenta que não há elementos técnicos suficientes para determinar se as modificações decorreram de ações humanas ou de processos automáticos do sistema.

O relatório afirma que a versão do programa GrayKey utilizada pela PF não foi especificada. A ferramenta é usada para acessar e extrair dados de dispositivos móveis. O laudo também aponta que o arquivo UFDR, gerado a partir da extração, permite selecionar e delimitar informações, mas a defesa não recebeu os arquivos brutos da coleta. Segundo o perito, arquivos UFDR podem ser alterados sem que os sinais da modificação sejam facilmente identificados. Para demonstrar essa possibilidade, o documento apresenta um exemplo envolvendo uma mensagem atribuída a "Darlene Munroe". No conteúdo original, a mensagem era "Whataya mean its JB? I'm a little slow today". No arquivo report.xml, o texto aparece como "A mercadoria foi entregue hoje!!". Após reconstruir o arquivo UFDR, o perito afirma ter constatado que a mensagem alterada aparecia sem sinais evidentes de adulteração.

O laudo também identificou 94 arquivos no formato Heic com registros de criação posteriores à apreensão. A PF informou ter recolhido três aparelhos: um iPhone 17, um iPad Pro e um celular de marca não especificada. Segundo a corporação, não foi possível extrair os dados do iPad, e não houve extração do terceiro aparelho. A perícia aponta ainda que a documentação fornecida não contém informações suficientes para identificar detalhadamente os dispositivos, registrar o estado em que foram encontrados e comprovar procedimentos como o isolamento de rede e a lacração. O relatório afirma que duas fotografias apresentadas pela PF, uma do iPad e outra do iPhone, parecem mostrar a mesma imagem. Outro ponto levantado pela defesa é a ausência de registros sobre a abertura dos lacres dos aparelhos, que teriam sido rompidos sem documentação do horário e das circunstâncias.

O documento ressalta que "ainda que não seja tecnicamente possível atribuir a alteração a uma ação humana deliberada, também não é possível classificá-la como uma modificação automática, inócua ou inerente ao funcionamento normal do sistema sem elementos técnicos que demonstrem essa hipótese". Em outro trecho, o perito afirma que a falta dos arquivos originais "inviabiliza a análise direta do dado originalmente coletado e, consequentemente, a verificação independente de sua integridade, integralidade e correspondência com os arquivos e relatórios dele derivados". Com base nas conclusões, a defesa pede acesso à cópia integral dos dados originais, aos registros técnicos e logs do GrayKey, às informações sobre o método utilizado para desbloquear o iPhone e à documentação completa da cadeia de custódia.