Casus: crypto via een mixer gevolgd tot het eindpunt

Wat laat deze casus over crypto via een mixer zien?

Deze casus laat zien dat een mixer de keten op een specifiek punt afbreekt en dat het onderzoek daarna verschuift van volgen naar vergelijken. Voor de mixer volgt u een lijn; na de mixer werkt u met tijdvensters, bedragen en patronen, en dat vraagt andere keuzes van de onderzoeker.

Wat de gedupeerde in dit dossier aanleverde was beperkt: twee eigen adressen, drie transactiehashes en een reeks schermafbeeldingen van een platform dat inmiddels niet meer bereikbaar was. Dat is genoeg om te beginnen, en tegelijk te weinig om zonder verificatie conclusies aan te verbinden.

Hoe zag de route eruit voordat de tegoeden een mixer in gingen?

Voor de mixer liep de route in vier stappen: van het adres van de gedupeerde naar een tussenadres, daar samengevoegd met andere inkomende bedragen, vervolgens opgesplitst in kleinere delen en pas daarna richting de mixer. Dat splitsen in afnemende bedragen heet een peel chain en is een van de meest voorkomende patronen in dit soort dossiers.

De eerste doorbraak zat niet in de techniek maar in de tijdlijn. Twee van de tussenadressen ontvingen binnen hetzelfde kwartier bedragen van meerdere gedupeerden, en die gelijktijdigheid maakte aannemelijk dat het om een gedeeld verzamelpunt ging. Zo’n vaststelling is feitelijk: de boekingen staan er, met datum, bedrag en transactiehash.

Wat gebeurt er precies met een transactie in een mixer?

In een mixer worden inkomende bedragen van veel verschillende gebruikers samengevoegd en daarna in andere samenstellingen en op andere momenten uitbetaald, zodat de directe koppeling tussen een specifieke storting en een specifieke uitbetaling verdwijnt. De boekingen zelf blijven zichtbaar; alleen de een-op-eenrelatie is niet langer af te lezen.

Dat is precies waarom een witwasroute via een mixer aantrekkelijk is voor wie een spoor wil breken, en waarom een rapport hier scherp moet onderscheiden tussen wat is vastgesteld en wat waarschijnlijk is.

Welke keuzemomenten had de onderzoeker in dit dossier?

De onderzoeker stond in dit dossier vijf keer voor een keuze die de rest van het onderzoek bepaalde, en elk van die keuzes is in het rapport verantwoord. Hieronder staan ze in de volgorde waarin ze zich voordeden.

1. Eerst de eigen adressen van de gedupeerde volledig in kaart brengen, of direct de grootste uitgaande boeking volgen. Er is gekozen voor het eerste, omdat een incompleet startpunt elke latere conclusie ondermijnt.
2. Bij het verzamelpunt doorgaan op de hoofdstroom, of eerst vaststellen hoeveel andere gedupeerden op hetzelfde adres uitkwamen. Het tweede leverde de tijdlijn die later het patroon onderbouwde.
3. Bij de peel chain elke aftakking volgen, of alleen de takken boven een bepaald bedrag. Er is voor alle takken gekozen, omdat juist een kleine tak naar een ander netwerk bleek te leiden.
4. Na de mixer werken met een ruim tijdvenster en veel ruis, of met een smal venster en het risico de uitbetaling te missen. Er is begonnen met een smal venster en dat stap voor stap verbreed.
5. Het eindpunt benoemen als vaststelling, of als waarschijnlijk scenario. Het is als waarschijnlijk scenario opgenomen, met de gegevens waarop dat rust erbij.

Hoe kwam de route na de mixer weer in beeld?

De route kwam na de mixer weer in beeld doordat een reeks uitbetalingen in bedrag, timing en vervolggedrag opvallend aansloot op de bedragen die er kort daarvoor in waren gegaan. Dat is geen bewijs van identiteit en ook geen sluitende koppeling, maar het is een navolgbaar patroon dat een derde kan narekenen.

De tweede doorbraak zat in een aftakking die de mixer helemaal oversloeg. Een klein deel van het bedrag ging via een cross-chain overstap naar een ander netwerk en kwam daar zonder tussenstappen bij een handelsplatform binnen. Die tak was compleet te volgen en gaf het dossier een hard aanknopingspunt dat de mixer niet had geraakt.

Wat hier vaak wordt onderschat: het kleinste bedrag levert soms de sterkste vaststelling op. Wij zien dat regelmatig bij dossiers waarin de hoofdstroom bewust is versluierd en een restbedrag achteloos is doorgeboekt.

Wat was het eindpunt en wat kon de gedupeerde daarmee?

Het eindpunt was een cash-out-punt bij een buitenlandse exchange, het moment waarop de tegoeden bij een handelsplatform binnenkomen en de blockchain stopt met vertellen. Vanaf dat punt liggen de gegevens bij de dienstverlener en niet meer op de keten.

Wat de gedupeerde daarmee kon, is concreet en beperkt: het rapport benoemde bij welke dienstverlener de tegoeden zijn binnengekomen, op welk moment en in welke omvang, zodat die informatie via de daarvoor bestemde kanalen kon worden opgevolgd. De handeling lag daarna bij de aangifte en bij de dienstverlener, niet bij Paucitas.

Een vergelijking helpt: in de casus waarin gestolen bitcoin werd onderzocht lag het eindpunt na twee tussenstappen, hier na elf. Het verschil in inspanning is een factor, het verschil in zekerheid over de laatste stap is groter.

Waarom volgt Paucitas een route via een mixer handmatig?

Paucitas volgt zo’n route handmatig omdat een geautomatiseerde inschatting bij een mixer een waarschijnlijkheid oplevert die niet is te herleiden tot losse boekingen. Bij een mixer is dat verschil bepalend, want een route die plausibel lijkt en een route die klopt zien er in een grafiek identiek uit.

Paucitas gebruikt geen geautomatiseerde analysesoftware, in geen enkele rol. Het onderzoek gebeurt handmatig op basis van publiek toegankelijke blockexplorers. Elke transactie en elke transactiehash wordt stuk voor stuk geverifieerd voordat die in een rapport wordt opgenomen.

Wilt u weten hoe die methode zich verhoudt tot geautomatiseerde analyse, dan is de situatiepagina over het traceren van gestolen crypto het startpunt.

Wat kan blockchainonderzoek bij een mixer niet vaststellen?

Blockchainonderzoek stelt bij een mixer vast tot welk punt de route zeker is, en niet wie er aan de andere kant zat. Die grens hoort expliciet in het rapport, omdat een dossier dat de grens verzwijgt bij de eerste kritische vraag onderuit gaat.

• Bij gebruik van mixers of privacygerichte netwerken is de keten niet altijd volledig te volgen. In dat geval wordt expliciet benoemd tot welk punt de route wel is vast te stellen.
• Paucitas stelt niet zelfstandig vast wie er achter een cryptoadres schuilgaat. Wel wordt vastgelegd naar welke dienstverlener of partij tegoeden zijn gegaan, zodat die informatie via de daarvoor bestemde kanalen kan worden opgevolgd.
• Transacties buiten de blockchain, zoals contante betalingen of interne boekingen binnen een exchange, zijn niet zichtbaar in blockchaingegevens. Die worden alleen meegenomen als er onderliggende stukken beschikbaar zijn.
• Paucitas doet geen toezegging over de uitkomst van een onderzoek.
• Paucitas houdt zelf geen tegoeden onder zich en voert geen transacties uit namens clienten.
• Een rapport van Paucitas beperkt zich tot feitelijke waarnemingen en het onderzoek daarvan.
• Paucitas geeft geen fiscaal of juridisch advies.

Wat kunt u in zo’n situatie zelf doen en wanneer volstaat dat niet?

U kunt zelf de belangrijkste basis leggen: adressen en transactiehashes vastleggen, schermafbeeldingen met datum bewaren en niets wijzigen aan de wallet die erbij betrokken is. Hoe u dat doet staat in hoe u bewijs veiligstelt na een crypto-diefstal.

Het volstaat niet meer zodra de route zich splitst, over meerdere netwerken loopt of door een mixer gaat. Vanaf dat punt bepaalt de keuze van tijdvensters en aftakkingen de uitkomst, en dat is werk dat verantwoord moet worden in plaats van geschat.

Paucitas vraagt uit zichzelf nooit om uw herstelzin of privesleutel. Heeft u hulp nodig bij het uitlezen of herstellen van uw wallet, dan begeleiden wij u daar volledig bij, zonder dat wij die gegevens zelf hoeven in te zien.

Wat staat er in het rapport en hoe lang duurt het onderzoek?

Het rapport in deze casus volgde de vaste indeling: aanleiding en opdrachtomschrijving, vraagstelling, reikwijdte, uitgangspunten, aangeleverde gegevens, geraadpleegde bronnen, werkwijze op hoofdlijnen, verificatie en kwaliteitsborging, voorbehouden en beperkingen, bevindingen per onderdeel, chronologisch overzicht, analyse en samenhang, conclusie, verklaring van onafhankelijkheid en bijlagen. Niet elk rapport bevat alle onderdelen; de indeling wordt afgestemd op het doel.

Concreet stond er in dit dossier: elf gevolgde stappen met transactiehash, twee verzamelpunten met de bijbehorende tijdlijn, een expliciete grens bij de mixer, een volledig gevolgde cross-chain-tak en een conclusie waarin het eindpunt als waarschijnlijk scenario is opgenomen. De ontvanger kon daarmee een gerichte aangifte doen en een verzoek richten aan de betrokken dienstverlener.

Een onderzoek van Paucitas duurt, afhankelijk van de omvang van het dossier en de urgentie, tussen een werkdag en twee weken. Een spoedrapport kan binnen een werkdag worden opgeleverd en in uitzonderlijke gevallen dezelfde dag. Een regulier onderzoek is doorgaans binnen drie werkdagen gereed. Bij dossiers met veel transacties, meerdere wallets of ontbrekende historie loopt de doorlooptijd op tot circa twee weken. Voor spoedopdrachten geldt een toeslag.

Paucitas werkt met een vast tarief op basis van uw situatie. Soms hanteren wij in overleg een uurtarief, maar de uren worden altijd vooraf vastgezet, zodat u nooit voor verrassingen komt te staan. Er wordt niet met een onderzoek gestart voordat de kosten zijn doorgenomen en akkoord bevonden.

Waar begint het werk van de politie en waar dat van Paucitas?

De politie kan een aangifte opnemen en langs strafvorderlijke weg gegevens vorderen bij een dienstverlener; Paucitas kan dat niet en stelt in plaats daarvan de feiten vast die zo’n verzoek onderbouwen. Die rolverdeling is de reden dat het rapport bij de aangifte hoort en niet in plaats daarvan komt.

Wilt u weten of uw dossier genoeg aanknopingspunten heeft om een route te volgen, dan kunt u dat rustig laten bekijken in een gratis intake. Wij zeggen eerlijk wanneer een route naar verwachting doodloopt. Meer over deze dienst staat bij blockchainonderzoek en transactie-tracing.

Voor de context van het bredere probleem: Europol publiceert periodiek over de rol van cryptovaluta bij georganiseerde criminaliteit, en de Europese Commissie over het Europese kader tegen witwassen waaronder deze dienstverleners vallen.

Datum laatste herziening: 25 augustus 2026.