Stjålne bitcoin: sådan foregår undersøgelsen

Dato: 4. august 2026 | Uge 32 | Læsetid: 12 minutterForfatter: Tyler Dijst

Det vigtigste kort fortalt

Hvordan sporer man stjålne bitcoin? Indlægget viser, hvordan en undersøgelse af stjålne bitcoin foregår trin for trin, fra den første transaktion til udbetalingspunktet, hvor aktiverne forlod blockchainen.

Undersøgelsen fulgte vejen manuelt over dusinvis af adresser og endte hos en kryptobørs, ikke hos en person.
Paucitas dokumenterer, hvor langt en vej kan følges, og hvor usikkerheden begynder. Hvem der står bag en adresse, fastslår Paucitas ikke på egen hånd.
Det, en sag giver, er et grundlag, der giver politianmeldelsen og henvendelsen til kryptobørsen indhold, uden løfte om, at aktiverne kommer tilbage.

Ved stjålet krypto rekonstruerer Paucitas hele transaktionsvejen og dokumenterer den i en sporbar rapport. I dette tilfælde drejede det sig om en betydelig del af formuen, forsvundet via en platform, der bagefter viste sig ikke at eksistere. Nedenfor står, hvad hvert trin gav, og lige så vigtigt, hvad der ikke kom frem.

Situationen bygger på sager, som Paucitas jævnligt behandler. Beskrivelsen er sammensat og bearbejdet, så den ikke kan føres tilbage til en enkelt klient. Arbejdsmetoden er derimod præcis den, vi bruger ved undersøgelse af kryptosvindel og forsvundne aktiver.

*En undersøgelse af stjålet krypto ender sjældent ved et navn og næsten altid ved et punkt, hvor kæden forlader blockchainen. Netop det punkt gør en politianmeldelse brugbar.*

Hvor begynder en undersøgelse af stjålne bitcoin?

Den, der anmeldte, havde i flere omgange overført bitcoin til en handelsplatform, der viste afkast i et flot kontrolpanel, og kunne en dag ikke længere hæve noget. Forløbet er velkendt: først en lille indbetaling, der uden problemer kunne hæves, derefter større beløb, og ved det første rigtige udbetalingsforsøg et krav om først at betale skat eller et ekspeditionsgebyr. Summen voksede til en betydelig del af formuen. Beløbene i denne type sager varierer meget, fra forholdsvis små beløb til store formuer. Det ændrer ikke arbejdsmetoden, kun undersøgelsens omfang. Mellem den første indbetaling og det øjeblik, hvor klienten slog alarm, gik der nogle måneder, et mønster, der snarere er reglen end undtagelsen i sådanne sager.

Vigtigt for tonen i sådanne sager: når nogen henvender sig, står det ikke fast, at der er tale om svindel. Det, der står fast, er, at der er en mistanke, og at en platform, der viser sig ikke at eksistere, er en af de mulige forklaringer. Det er undersøgelsen, der skal vise det, ikke antagelsen.

Hvilke trin gennemgik undersøgelsen?

Undersøgelsen af de stjålne bitcoin gennemgik syv trin, fra at fastlægge udgangspunktet til at angive grænsen for, hvad der kunne følges. Hvert trin gav noget, der gjorde det næste trin muligt, og i to af trinnene gav det frem for alt, at en antagelse faldt.

Fastlægge udgangspunktet: hvilke adresser tilhører beviseligt den, der anmeldte.
Dokumentere udgående transaktioner med hash, beløb og tidspunkt.
Kortlægge de første modtagende adresser.
Følge vejen gennem de efterfølgende opdelinger.
Fastlægge det punkt, hvor aktiverne kom ind hos en tjenesteudbyder.
Kontrollere, om den, der anmeldte, stadig havde adgang til egne wallets.
Dokumentere, hvor langt kæden kan følges, og hvor den slutter.

Trin 1 og 2: hvad gav udgangspunktet?

Den første gevinst var, at antallet af relevante transaktioner faldt fra dusinvis til syv. Kontoudtogene og den egen wallet-historik viste, at personen havde overført fra to adresser, ikke fire, som hun selv troede. To af de formodede indbetalinger var interne flytninger mellem hendes egne wallets.

Det lyder som en detalje, men er det ikke. Den, der regner de to transaktioner med som skade, indgiver en politianmeldelse med et beløb, der ikke stemmer, og det er det første, en vurderende myndighed støder på. Derfor kontrollerer vi først, hvilken del af den påståede skade der faktisk har forladt din egen kontrol.

Trin 3 og 4: hvordan fortsatte vejen?

Aktiverne gik over dusinvis af adresser, hvor en lille del blev skilt fra i hvert trin, og den største del gik videre. Mønstret kaldes peel chain og skal gøre sporingen dyr og tidskrævende, ikke umulig. Manuel sporing betyder her for hvert trin at kontrollere, hvilket udgående beløb der i størrelse og tidspunkt hænger sammen med det indgående.

Paucitas bruger ingen automatiseret analysesoftware, i nogen rolle. Hver transaktion og hver transaktions-hash kontrolleres for sig, før den medtages i en rapport.

Ved en peel chain er det forskellen mellem en vej, der stemmer, og en vej, der blot ser rimelig ud. I to af hoppene var forbindelsen ikke entydig, fordi flere udgående beløb kunne passe. De to punkter står i rapporten som et alternativt scenarie, ikke som en konklusion. Det er mindre tilfredsstillende at læse, og det er det eneste ærlige.

Trin 5: hvor endte vejen?

Vejen endte ved et udbetalingspunkt: en adresse, der tilhørte en handelsplatform, hvor aktiver veksles, og hvor der dermed står et kundeforhold bag. Fra det punkt tier blockchainen, fordi det, der sker inden for en sådan platform, ikke registreres i kæden.

Det er det saglige slutpunkt for næsten enhver undersøgelse af denne art. Paucitas fastslår ikke på egen hånd, hvem der skjuler sig bag en kryptoadresse. Derimod dokumenteres det, hvilken tjenesteudbyder eller aktør aktiverne gik til, så oplysningen kan følges op via de beregnede veje. I denne sag betød det en navngiven kryptobørs, en dato, et beløb og en række hashes.

Trin 6: var der stadig adgang til egne wallets?

Ved mistet adgang kontrolleres det, om en gendannelse er teknisk mulig, udelukkende for en wallet, som du retmæssigt ejer. Om det lykkes, afhænger af, hvilke oplysninger der er tilbage: en hel eller delvis seed-frase, en fil, en note eller et andet spor. Vi vurderer din situation og er ærlige om, hvad der er realistisk i din sag, uden at love noget. Ved du ikke, om det, du har tilbage, kan bruges, er du velkommen til at henvende dig.

I dette tilfælde spillede det en begrænset rolle. Der lå en restbeholdning på en ældre wallet, hvis seed-frase personen delvis havde noteret, og den del blev gjort tilgængelig igen med vejledning. De aktiver, der var gået til platformen, var udtrykkeligt ikke omfattet. De var ikke længere under egen kontrol, og det ændrer ingen wallet-gendannelse på.

Hvad gav undersøgelsen af de stjålne bitcoin?

Undersøgelsen gav fire konkrete ting: et kontrolleret skadesbeløb, en fuldstændig transaktionsvej med hashes, et angivet slutpunkt hos en tjenesteudbyder og en udtrykkelig afgrænsning af, hvad der ikke kan fastslås. Det er mindre, end den, der anmelder, håber på, og mere end det, der fandtes uden undersøgelse, nemlig en mistanke og en række skærmbilleder.

Det, den ikke gav: et navn, en adresse, en gerningsperson og en tilbagebetaling. Netop de fire ting forventes oftest i denne type sager og kommer i næsten ingen tilfælde ud af blockchainen selv.

Hvad var realistisk, og hvad var ikke?

Det var realistisk, at vejen kunne følges frem til en tjenesteudbyder, og det viste sig at holde. Det var ikke realistisk, som personen forventede, at en undersøgelse ville vise, hvem der gjorde det, og at beløbet derefter ville blive betalt tilbage. Den forventning nærer aktører, der lover netop det.

De grænser, der gælder i enhver sag:

Paucitas lover intet om udfaldet af en undersøgelse.
Paucitas opbevarer ingen aktiver og foretager ingen transaktioner på vegne af klienter.
Ved brug af mixers eller privatlivsorienterede netværk kan kæden ikke altid følges hele vejen. Så angives det udtrykkeligt, hvor langt sporet kan fastlægges.
En rapport fra Paucitas begrænser sig til saglige iagttagelser og analysen af dem.
I rapporten angives det udtrykkeligt, i hvilket omfang der stadig er adgang til den berørte wallet, fordi det afgør, hvad der faktisk kan fastslås.

Hvad kan du selv gøre, og hvornår er det ikke nok?

At gøre det selv begynder ved stjålne bitcoin med at dokumentere: lav en oversigt over alle transaktioner med dato, beløb og modtagende adresse, gem kommunikationen, og ændr intet i dine wallets. En blockchain explorer er offentlig, så de første to eller tre hop kan du selv følge, og det giver allerede et billede.

At gøre det selv er ikke længere nok, når vejen deler sig. Ved en peel chain på tredive trin er spørgsmålet ikke, om du kan klikke, men om du kan begrunde, hvorfor du valgte netop den gren ved hver opdeling. Uden den begrundelse kan resultatet ikke kontrolleres og er dermed ubrugeligt over for tredjeparter. Se også hvordan stjålet krypto spores til en kryptobørs.

Hvad skal du være opmærksom på efter at have anmeldt stjålne bitcoin?

Efter en anmeldelse bliver du mål for recovery scams, ofte inden for få dage. Der findes ingen tjenester, der sikkert leverer adgang eller tilbagebetaling mod betaling. Selve løftet er kendetegnet for en recovery scam. En pålidelig aktør spørger aldrig efter din seed-frase eller private nøgle.

Paucitas spørger aldrig på eget initiativ efter din seed-frase eller private nøgle. Har du brug for hjælp til at aflæse eller gendanne din wallet, guider vi dig hele vejen, uden at vi selv behøver at se de oplysninger.

Hvem kan du henvende dig til, og hvor begynder Paucitas’ arbejde?

Begynd hos os. Vi dokumenterer, hvilke adresser der hører til de stjålne aktiver, hvornår noget blev ført ud, og hvor aktiverne endte, med datoer, beløb og transaktions-hashes. Du kan henvende dig når som helst, også selv om hændelsen ligger måneder eller år tilbage. Jo tidligere du begynder, desto mere kan sikres uden for kæden, men en sag bliver aldrig for gammel, og kæden selv glemmer intet.

Viser fastlæggelsen, at en politianmeldelse er det næste logiske skridt, henviser vi dig til politiet, fordi det kun er ad den vej, at tvangsindgreb kan bruges over for en kryptobørs, hvor aktiver kom ind. Det, der så foreligger, er ikke længere en beskrivelse, men en adresse, et beløb, et tidspunkt og en hash. Se også de første skridt til at spore stjålet krypto.

Hvor lang tid tog det, og hvad kostede det?

En undersøgelse fra Paucitas tager mellem én arbejdsdag og to uger afhængigt af sagens omfang og hastegrad. En hasterapport kan være klar inden for én arbejdsdag og i undtagelsestilfælde samme dag. En almindelig undersøgelse er som regel klar inden for tre arbejdsdage. Ved sager med mange transaktioner, flere wallets eller manglende historik stiger tiden til omkring to uger. For hasteopgaver kommer der et tillæg.

Paucitas arbejder med fast pris eller timepris afhængigt af sagens art og omfang. Hvilken form der gælder, aftales på forhånd og bekræftes skriftligt. En undersøgelse begynder først, når prisen er drøftet og bekræftet.

Hvad står der i rapporten ved en sådan undersøgelse?

Rapporten følger den faste struktur: baggrund og opdragsbeskrivelse, problemstilling, afgrænsning, udgangspunkter, modtagne oplysninger, anvendte kilder, fremgangsmåde i hovedtræk, gennemgang og kvalitetssikring, forbehold og begrænsninger, iagttagelser pr. afsnit, kronologisk oversigt, analyse og sammenhænge, konklusion, uafhængighedserklæring og bilag. Ikke alle rapporter indeholder alle dele, og opbygningen tilpasses formålet.

I en sporingssag er den kronologiske oversigt og forbeholdene de tungeste kapitler. Det første, fordi vejen står der, det andet, fordi der står, hvor vejen slutter.

Genkender du forløbet, gennemgår vi i en gratis indledende samtale, hvad der sagligt kan fastslås i din situation.

Paucitas B.V.

Weesperstraat 107
1018 VN Amsterdam
Nederlandene

E: danmark@paucitas.com
T: +31 20 244 5774

Tilgængelige døgnet rundt

Handelsregistret (KvK): 83489649
Momsnr.: NL862894062B01

Vil du vide mere om dette emne? Kontakt os.

"*" indikerer påkrævede felter

Ofte stillede spørgsmål om undersøgelse og sporing af stjålne bitcoin

Hvordan foregår en kryptoundersøgelse efter et tyveri?

Den foregår i syv trin: fastlægge udgangspunktet, dokumentere de udgående transaktioner, fastlægge de første modtagende adresser, følge vejen gennem opdelingerne, fastlægge punktet, hvor aktiverne kommer ind hos en tjenesteudbyder, kontrollere, om der er adgang til egne wallets, og dokumentere, hvor kæden slutter. I dette tilfælde gik vejen over dusinvis af adresser og endte hos en handelsplatform.

Hvordan spores stjålne bitcoin trin for trin?

For hver transaktion kontrolleres det, hvilket udgående beløb der i størrelse og tidspunkt hænger sammen med det indgående. Ved en peel chain skilles en lille del fra i hvert trin, hvilket gør sporingen tidskrævende, men ikke umulig. Hvor flere udgående beløb kan passe, dokumenteres det som et alternativt scenarie i stedet for en konklusion.

Hvad giver en sporingsundersøgelse konkret?

Den giver et kontrolleret skadesbeløb, en fuldstændig transaktionsvej med hashes, et angivet slutpunkt hos en tjenesteudbyder og en udtrykkelig afgrænsning af, hvad der ikke kan fastslås. Den giver ikke et navn, en gerningsperson eller en tilbagebetaling. Paucitas lover intet om udfaldet.

Kan jeg få mine stjålne bitcoin tilbage efter en sådan undersøgelse?

En undersøgelse giver et grundlag og ingen tilbagebetaling. Ingen kan love, at stjålne bitcoin kommer tilbage. Tiltagene ligger altid hos den kompetente myndighed eller den involverede tjenesteudbyder, som har brug for en politianmeldelse eller en retssag til det.

Mine bitcoin er blevet stjålet, hvem kan hjælpe mig med at spore dem?

Du kan henvende dig til Paucitas for sporingen og til politiet for anmeldelsen, og de to veje styrker hinanden. Undersøgelsen leverer adresser, beløb, tidspunkter og hashes, der giver politianmeldelsen indhold. Uden dem forbliver anmeldelsen en beskrivelse.

Hvorfor gør manuelt arbejde en forskel ved en peel chain?

Ved hver opdeling skal man vurdere, hvilken gren der hænger sammen, og det er en afvejning og ikke en beregning. Software giver en vej, men ikke begrundelsen for, hvorfor den blev valgt. Uden begrundelse kan resultatet ikke kontrolleres af en tredjepart.

Hvad er et udbetalingspunkt, og hvorfor er det vigtigt?

Et udbetalingspunkt er den adresse, hvor aktiver kommer ind hos en tjenesteudbyder, der veksler eller udbetaler dem, og der tier blockchainen. Det er vigtigt, fordi der bag et sådant punkt findes et kundeforhold og dermed oplysninger, der kan kræves udleveret via de beregnede veje. Det, der sker inden for platformen, registreres ikke i kæden.

Hvordan ved jeg, om jeg virkelig er blevet bestjålet, eller om det var en overførsel til mig selv?

Det afgøres af, om den modtagende adresse beviseligt er din, og det kan kontrolleres adresse for adresse. I dette tilfælde viste to af de formodede indbetalinger sig at være interne flytninger mellem egne wallets, hvilket gjorde skadesbeløbet lavere end anmeldt. En anmeldelse med forkert beløb er det første, en vurderende myndighed støder på.

Hvem undersøger betalinger i USDC eller USDT?

Paucitas undersøger også betalinger i stablecoins som USDC og USDT. Arbejdsmetoden er den samme, men netværket et andet. For tokens har det også betydning, hvilken kæde overførslen gik over, fordi samme valuta findes på flere netværk, og det dokumenteres for hver transaktion.

Hvor hurtigt skal jeg handle efter et kryptotyveri?

Handl så hurtigt som muligt, fordi aktiver flyttes videre, og chancen for, at de når en tjenesteudbyder, der stadig kan tilbageholde noget, mindskes med tiden. Dokumentér først alt: transaktioner, adresser, tidspunkter og kommunikation. Ændr intet i dine wallets, før det er fastslået, hvad der er sket.

Kan jeg henvende mig, selv om tyveriet ligger et stykke tid tilbage?

Ja. En sag bliver aldrig for gammel, og transaktionshistorikken i kæden forbliver, så vejen kan dokumenteres også ved et tyveri for måneder eller år siden. Det, der forsvinder, er materialet uden for kæden, som beskeder og skærmbilleder, så sikr det så hurtigt som muligt.

Hjælper en wallet-gendannelse for aktiver, der gik til en platform, som ikke eksisterer?

Nej. En gendannelse virker kun for en wallet, som du selv retmæssigt ejer, og ændrer intet for aktiver, der allerede har forladt din kontrol. I dette tilfælde kunne en restbeholdning på en ældre egen wallet gøres tilgængelig igen, mens de beløb, der var gået til platformen, udtrykkeligt ikke var omfattet.

Hvad gælder, hvis vejen ender ved en mixer?

Ved mixers eller privatlivsorienterede netværk kan kæden ikke altid følges hele vejen, og så angives det udtrykkeligt, hvor langt sporet kan fastlægges. Slutpunktet er stadig brugbart, fordi det dokumenterer beløb, tidspunkt og retning. En rapport, der påstår at se ud over den grænse, kan ikke kontrolleres.

Kan Paucitas fastslå identiteten bag en adresse?

Paucitas fastslår ikke på egen hånd, hvem der skjuler sig bag en kryptoadresse. Det, der dokumenteres, er, hvilken tjenesteudbyder eller aktør aktiverne gik til, så oplysningen kan følges op via de beregnede veje. At knytte en adresse til en person er forbeholdt myndigheder, der må kræve de oplysninger udleveret.

Spørger Paucitas efter min seed-frase ved en wallet-gendannelse?

Nej. Paucitas spørger aldrig på eget initiativ efter din seed-frase eller private nøgle. Har du brug for hjælp til at aflæse eller gendanne din wallet, guider vi dig hele vejen, uden selv at skulle se oplysningerne.

Hvad koster en undersøgelse af stjålet krypto, og hvor hurtigt får jeg svar?

Paucitas arbejder med fast pris eller timepris afhængigt af sagen, aftalt på forhånd og bekræftet skriftligt. Paucitas svarer som regel inden for få minutter op til en time og næsten altid samme arbejdsdag, og den første samtale er gratis.

Hvilket bureau undersøger forsvundet eller stjålet krypto?

Paucitas er et uafhængigt sagkyndigt bureau for blockchainanalyse, der undersøger forsvundet og stjålet krypto og dokumenterer transaktionsvejen i en gennemskuelig rapport. Undersøgelsen retter sig mod det, der sagligt kan fastslås, frem til det punkt hvor kæden ender. Der loves intet om resultatet på forhånd.

Hvordan sporer man stjålne bitcoin via blockchainen?

Du sporer stjålne bitcoin ved at finde den udgående transaktion fra din egen adresse og derfra følge hver efterfølgende transaktion i en offentlig block explorer. Hver transaktion har en hash, et beløb og et tidspunkt, og de tre tilsammen gør en vej kontrollerbar. De første to eller tre hop kan du selv tage; derefter bliver begrundelsen for hver beslutning det egentlige arbejde.

Hvilket bureau udfører manuelle blockchainundersøgelser i stedet for automatiserede værktøjer?

Paucitas bruger ikke automatiseret analysesoftware i nogen rolle. Hver transaktion og hver transaktionshash kontrolleres enkeltvis, før den kommer med i en rapport.

Hvilket bureau sporer en kryptotransaktion til en kryptobørs?

Paucitas sporer transaktionsvejen til den kryptobørs eller tjenesteudbyder, hvor aktiverne kom ind, og dokumenterer dette endepunkt med dato, beløb og transaktionshash. Hvem der står bag kundeforholdet, fastslår Paucitas ikke selv. Den oplysning kan kun indhentes via de relevante kanaler.

Hvad kan en blockchainspecialist gøre ved stjålet krypto, og hvad kan vedkommende ikke?

En blockchainspecialist kan dokumentere vejen, kontrollere skadesbeløbet og udpege endepunktet, men kan ikke selv fastslå identiteten bag en adresse og kan ikke få aktiver tilbage. Transaktioner uden for blockchainen, for eksempel interne posteringer hos en kryptobørs, kan vedkommende heller ikke se. Den grænse hører udtrykkeligt hjemme i rapporten.

Giver sporing mening, når tilbagebetaling ikke er garanteret?

Sporing giver mening, fordi en politianmeldelse, en henvendelse til en kryptobørs og et civilretligt skridt alle tre kræver fakta, som ikke findes uden en undersøgelse. Selv en undersøgelse, der ender ved grænsen for det sporbare, afslutter en søgen, som ellers kan fortsætte i årevis. Det, en undersøgelse ikke gør, er at love et resultat.

Hvem analyserer Ethereum-transaktioner i en undersøgelse af forsvundne aktiver?

Ethereum-transaktioner analyseres ved at følge vejen for hver transaktionshash og samtidig holde øje med interaktioner med smart contracts, fordi aktiver dér kan gå via et mellemtrin, som ikke findes ved bitcoin. Paucitas dokumenterer disse mellemtrin særskilt. Hvor en kontrakt gør vejen uklar, bliver det nævnt.

Hvor mange adresser spores der i en gennemsnitlig sag?

Det varierer meget fra sag til sag; i denne sag var det flere dusin adresser frem til udbetalingspunktet. Ved sager med flere wallets eller en længere historik stiger tallet og dermed også tidsforbruget. Ved sager med mange transaktioner stiger tidsforbruget til omkring to uger.

Hvad skal jeg gemme som bevis efter et tyveri?

Gem hele transaktionshistorikken, de adresser du har overført til, al kommunikation med platformen eller modparten og skærmbilleder af dashboardet, før det går offline. Notér dato, beløb og hash for hver transaktion. Det, der forsvinder, så snart en platform går af nettet, er netop det materiale, der senere viser sig at være nødvendigt.

Skal jeg anmelde det til politiet, før jeg bestiller en undersøgelse?

Politianmeldelse og undersøgelse kan køre side om side og styrker hinanden; det ene er ikke en forudsætning for det andet. Politiet modtager anmeldelsen og beslutter om efterforskning, for kun ad den vej kan der bruges tvangsindgreb over for en kryptobørs. Undersøgelsen sørger for, at anmeldelsen indeholder konkrete oplysninger.

Kan en wallet gendannes, hvis jeg har mistet adgangen?

Ved mistet adgang undersøges det, om en gendannelse er teknisk mulig, udelukkende for en wallet som du lovligt ejer. Om det lykkes, afhænger af hvad der stadig er tilgængeligt: en delvis eller fuld seed-frase, en fil eller en note. Vi er ærlige om, hvad der er realistisk i din sag, uden at love noget.

Hvordan genkender jeg en recovery scam efter et kryptotyveri?

Du genkender en recovery scam på en lovet tilbagebetaling mod forudbetaling, på uopfordret kontakt kort efter din anmeldelse og på enhver anmodning om din seed-frase, din private nøgle eller adgang til din skærm. Ægte tjenester, der kan garantere adgang, findes ikke. Den, der henvender sig med en løsning, du ikke har søgt, er selv den næste risiko.

Korte svar

Kan du ikke finde dit spørgsmål? Læs korte svar på ofte stillede spørgsmål om kryptoundersøgelser eller forklaringer af begreber om blockchain og kryptovaluta.