Casus: USDC-fraude ontrafeld over drie netwerken

Wat laat deze casus over USDC-fraude over drie netwerken zien?

Deze casus laat zien dat een route over meerdere netwerken niet moeilijker is per stap, maar dat het aantal koppelingen tussen netwerken bepaalt hoeveel er met zekerheid is vast te stellen. Binnen één netwerk volgt u een lijn; bij elke overstap moet u aantonen dat een uitgaande boeking op het ene netwerk hoort bij een inkomende boeking op het andere.

Het vertrekpunt was compleet: de gedupeerde had drie eigen adressen, per betaling de transactiehash en een export van het platform waar hij de USDC had gekocht. Dat is een luxe, en het is de reden dat dit dossier ver kwam.

Waar het misging in de reconstructie was niet de techniek maar de verwachting. De gedupeerde had zelf de eerste stappen gevolgd op een blockexplorer, en dacht dat het spoor doodliep omdat de tegoeden op het ene netwerk simpelweg verdwenen. Ze waren niet verdwenen; ze stonden op een ander netwerk.

Hoe liep de route over Ethereum, Polygon en Arbitrum?

De route liep in drie fasen: op Ethereum werden de betalingen samengevoegd, via een bridge ging het bedrag naar Polygon, en na een opsplitsing daar liep een deel via een tweede bridge naar Arbitrum, waar het bij een handelsplatform binnenkwam. In totaal ging het om negentien boekingen en twee overstappen.

• Fase één, op Ethereum: vier betalingen van de gedupeerde kwamen samen op één adres, waar ook boekingen van andere herkomst binnenkwamen in hetzelfde tijdvenster.
• Fase twee, op Polygon: het bedrag werd in zes ongelijke delen opgesplitst, waarvan vier delen binnen een dag weer werden samengevoegd op een nieuw adres.
• Fase drie, op Arbitrum: het samengevoegde bedrag ging in twee boekingen naar een adres dat aan een handelsplatform toebehoorde.

De keuze om ook de twee kleine delen te volgen die op Polygon achterbleven, leverde de bruikbaarste vaststelling op. Een van die delen ging namelijk zonder tussenstappen naar een tweede platform, en die tak was volledig te volgen.

Waarom maakt een bridge het onderzoek moeilijker en hoe werd de overstap toch vastgesteld?

Een bridge maakt het onderzoek moeilijker omdat er geen enkele boeking bestaat die beide netwerken tegelijk vastlegt: er is een uitgaande boeking op het ene netwerk en een inkomende boeking op het andere, en de koppeling daartussen moet u zelf onderbouwen. Dat heet een cross-chain overstap en is in de praktijk het meest onderschatte deel van een dossier.

In deze casus is elke overstap vastgesteld met vier gegevens naast elkaar: het exacte bedrag inclusief de kleinste eenheden, het tijdstip aan beide zijden, het contract van de bridge aan de ontvangende kant, en het adres dat het bedrag daar in ontvangst nam. Wanneer die vier op elkaar aansluiten en er in dat tijdvenster geen tweede kandidaat is, is de koppeling navolgbaar.

Wat vaak wordt onderschat: het bedrag alleen is niet genoeg. Bij ronde bedragen komen in hetzelfde tijdvenster meerdere kandidaten voor, en dan is de koppeling niet vast te stellen. In het rapport is daarom bij één van de zes delen opgenomen dat de overstap niet met zekerheid is te koppelen, met de reden erbij.

Welke rol heeft de uitgever van een stablecoin hierin?

Bij een centraal uitgegeven stablecoin heeft de uitgever technisch de mogelijkheid om adressen te bevriezen, omdat die mogelijkheid in het contract zelf is ingebouwd. Dat is een eigenschap van het token en geen dienst die op verzoek van een particulier wordt uitgevoerd.

Voor uw dossier betekent dat twee dingen. Ten eerste: de vraag of een adres wordt bevroren, ligt bij de uitgever en volgt in de praktijk op een verzoek van een bevoegde instantie, niet op een verzoek van u of van een onderzoeksbureau. Ten tweede: dat maakt het snel vastleggen van adressen extra zinvol, want een verzoek van een instantie moet ergens op rusten.

Voor de regels waaronder uitgevers en aanbieders van cryptodiensten in Europa vallen, publiceren de Europese Commissie en de Europese Centrale Bank. Die verplichtingen gelden voor die aanbieders en niet voor een onderzoeksbureau, dat geen tegoeden onder zich houdt.

Welke stappen doorloopt een cross-chain onderzoek?

Een cross-chain onderzoek doorloopt zeven stappen, waarbij per netwerk apart wordt gewerkt en de koppelingen als laatste worden gelegd.

1. Vaststellen van alle eigen adressen en betalingen van de gedupeerde, met bedrag, tijdstip en transactiehash.
2. Per netwerk de keten volgen tot het punt waarop de tegoeden het netwerk verlaten of bij een dienstverlener binnenkomen.
3. Vaststellen welk bridge-contract is gebruikt en welke tijdsvertraging daarbij hoort.
4. Op het ontvangende netwerk zoeken naar inkomende boekingen die op bedrag en tijdvenster aansluiten.
5. Uitsluiten dat er in dat tijdvenster een tweede kandidaat is; is die er wel, dan wordt de koppeling niet vastgesteld.
6. Alle aftakkingen volgen, ook de kleine, omdat die vaker bij een dienstverlener uitkomen dan de hoofdstroom.
7. Per stap en per koppeling vastleggen waarop de vaststelling rust en waar de onzekerheid begint.

Stap vijf is het onderdeel dat een rapport houdbaar maakt. Een reconstructie die elke overstap als zeker presenteert, is bij een route met veel ronde bedragen vrijwel altijd te optimistisch.

Paucitas gebruikt geen geautomatiseerde analysesoftware, in geen enkele rol. Het onderzoek gebeurt handmatig op basis van publiek toegankelijke blockexplorers. Elke transactie en elke transactiehash wordt stuk voor stuk geverifieerd voordat die in een rapport wordt opgenomen.

Waarom dat verschil uitmaakt, staat in onze vergelijking van handmatig blockchainonderzoek en geautomatiseerde tools. Voor een route binnen één netwerk is de casus waarin een transactie werd gevolgd tot de exchange de eenvoudiger tegenhanger van dit dossier.

Wat kan een cross-chain onderzoek niet vaststellen?

Een cross-chain onderzoek stelt vast welke route de tegoeden hebben afgelegd en bij welke overstappen de koppeling zeker is, en niet wie er aan de andere kant zat. Die grens hoort expliciet in het rapport, per koppeling.

• Paucitas stelt niet zelfstandig vast wie er achter een cryptoadres schuilgaat. Wel wordt vastgelegd naar welke dienstverlener of partij tegoeden zijn gegaan, zodat die informatie via de daarvoor bestemde kanalen kan worden opgevolgd.
• Bij gebruik van mixers of privacygerichte netwerken is de keten niet altijd volledig te volgen. In dat geval wordt expliciet benoemd tot welk punt de route wel is vast te stellen.
• Transacties buiten de blockchain, zoals contante betalingen of interne boekingen binnen een exchange, zijn niet zichtbaar in blockchaingegevens. Die worden alleen meegenomen als er onderliggende stukken beschikbaar zijn.
• Paucitas houdt zelf geen tegoeden onder zich en voert geen transacties uit namens clienten.
• Paucitas doet geen toezegging over de uitkomst van een onderzoek.
• Een rapport van Paucitas beperkt zich tot feitelijke waarnemingen en het onderzoek daarvan.
• Paucitas geeft geen fiscaal of juridisch advies.

Wat in dit type dossier extra speelt: boekingen binnen een handelsplatform zijn niet on-chain zichtbaar. Zodra tegoeden bij een exchange binnenkomen, stopt de keten en beginnen de gegevens van die partij.

Wat kunt u zelf doen en wanneer volstaat dat niet?

U kunt zelf de eerste fase doen: uw eigen adressen en betalingen vastleggen en de keten binnen één netwerk volgen op een publieke blockexplorer. Dat kost een avond en levert vaak al een verzamelpunt op.

Het volstaat niet meer zodra de tegoeden het netwerk verlaten. Denkt u dat het spoor doodloopt omdat het bedrag verdwijnt, controleer dan eerst of er een bridge in het spel is; in deze casus was dat precies het punt waarop de gedupeerde was gestopt. Het koppelen van twee netwerken vraagt een uitsluitingsanalyse en dat is werk dat verantwoord moet worden.

Aanlevering van gegevens verloopt digitaal of op kantoor. Per zaak wordt een aanleverlijst verstrekt waarin staat welke gegevens nodig zijn. Waar nodig begeleidt Paucitas het verzamelen en aanleveren daarvan.

Paucitas vraagt uit zichzelf nooit om uw herstelzin of privesleutel. Heeft u hulp nodig bij het uitlezen of herstellen van uw wallet, dan begeleiden wij u daar volledig bij, zonder dat wij die gegevens zelf hoeven in te zien.

Wat staat er in het rapport en hoe lang duurt het onderzoek?

Een rapport van Paucitas volgt een vaste indeling: aanleiding en opdrachtomschrijving, vraagstelling, reikwijdte, uitgangspunten, aangeleverde gegevens, geraadpleegde bronnen, werkwijze op hoofdlijnen, verificatie en kwaliteitsborging, voorbehouden en beperkingen, bevindingen per onderdeel, chronologisch overzicht, analyse en samenhang, conclusie, verklaring van onafhankelijkheid en bijlagen. Niet elk rapport bevat alle onderdelen; de indeling wordt afgestemd op het doel.

In deze casus stond er concreet in: negentien boekingen met transactiehash verdeeld over drie netwerken, twee overstappen waarvan er één met zekerheid en één met een voorbehoud is gekoppeld, twee dienstverleners waar tegoeden zijn binnengekomen met het bijbehorende tijdstip, en een conclusie waarin per onderdeel is aangegeven wat vaststaat. De ontvanger kon daarmee een gerichte aangifte doen.

Een onderzoek van Paucitas duurt, afhankelijk van de omvang van het dossier en de urgentie, tussen een werkdag en twee weken. Een spoedrapport kan binnen een werkdag worden opgeleverd en in uitzonderlijke gevallen dezelfde dag. Een regulier onderzoek is doorgaans binnen drie werkdagen gereed. Bij dossiers met veel transacties, meerdere wallets of ontbrekende historie loopt de doorlooptijd op tot circa twee weken. Voor spoedopdrachten geldt een toeslag.

Paucitas werkt met een vast tarief op basis van uw situatie. Soms hanteren wij in overleg een uurtarief, maar de uren worden altijd vooraf vastgezet, zodat u nooit voor verrassingen komt te staan. Er wordt niet met een onderzoek gestart voordat de kosten zijn doorgenomen en akkoord bevonden.

Paucitas reageert doorgaans binnen enkele minuten tot een uur en in vrijwel alle gevallen dezelfde werkdag.

Waar begint het werk van de politie en waar dat van Paucitas?

De politie kan een aangifte opnemen en langs strafvorderlijke weg gegevens vorderen bij een dienstverlener of een uitgever; Paucitas kan dat niet en stelt in plaats daarvan de feiten vast die zo’n verzoek onderbouwen. Bij een route over meerdere netwerken is dat verschil extra relevant, omdat een verzoek per betrokken partij apart moet landen.

Loopt uw eigen reconstructie vast op het punt waarop een bedrag lijkt te verdwijnen, dan kunt u dat rustig laten bekijken in een gratis intake. Wij zeggen eerlijk wanneer een koppeling niet is vast te stellen. Meer over deze dienst staat bij blockchainonderzoek en transactie-tracing, en de bredere aanpak op de situatiepagina over het traceren van gestolen crypto.

Datum laatste herziening: 4 september 2026.