Sag: krypto sporet gennem en mixer frem til endepunktet

Hvad viser sagen om en kryptomixer?

Sagen viser, at en kryptomixer bryder kæden på et bestemt punkt, og at undersøgelsen derefter går fra at følge til at sammenligne. Før mixeren følger du en linje, efter mixeren arbejder du med tidsvinduer, beløb og mønstre, og det kræver andre beslutninger.

Det, offeret indleverede i sagen, var begrænset: to egne adresser, tre transaktions-hashes og en række skærmbilleder fra en platform, der ikke længere kunne nås. Det er nok til at begynde, men for lidt til at drage konklusioner uden kontrol.

Hvordan så vejen ud, før aktiverne gik ind i mixeren?

Før mixeren gik vejen i fire trin: fra offerets adresse til en mellemadresse, hvor den blev lagt sammen med andre indgående beløb, derefter delt op i mindre dele og først derefter sendt videre mod mixeren. Opdelingen i stadig mindre beløb kaldes peel chain og er et af de mest almindelige mønstre i den slags sager.

Det første gennembrud lå ikke i teknikken, men i tidslinjen. To af mellemadresserne modtog inden for det samme kvarter beløb fra flere ofre, og den samtidighed gjorde det sandsynligt, at der var tale om et fælles opsamlingspunkt. En sådan iagttagelse er saglig: transaktionerne findes, med dato, beløb og transaktions-hash.

Hvad sker der præcist med en transaktion i en kryptomixer?

I en mixer samles indgående beløb fra mange forskellige brugere og udbetales derefter i andre sammensætninger og på andre tidspunkter, så den direkte forbindelse mellem en bestemt indbetaling og en bestemt udbetaling forsvinder. Selve transaktionerne er stadig synlige, det er kun en-til-en-relationen, der ikke længere kan aflæses.

Netop derfor er en vej for hvidvask via en mixer fristende for den, der vil bryde et spor, og netop derfor skal en erklæring her skelne skarpt mellem det, der er fastslået, og det, der er sandsynligt.

Hvilke beslutninger stod efterforskeren over for i sagen?

Efterforskeren stod fem gange over for en beslutning, der styrede undersøgelsens videre forløb, og hver beslutning begrundes i erklæringen. Her står de i den rækkefølge, de kom.

• Først kortlægge offerets egne adresser fuldstændigt eller straks følge den største udgående transaktion. Valget faldt på det første, fordi et ufuldstændigt udgangspunkt undergraver enhver senere konklusion.
• Ved opsamlingspunktet gå videre med hovedstrømmen eller først fastslå, hvor mange andre ofre der endte på samme adresse. Det sidste gav den tidslinje, der senere underbyggede mønstret.
• Ved peel chain følge hver forgrening eller kun grenene over et bestemt beløb. Valget faldt på alle grene, fordi netop en lille gren førte til et andet netværk.
• Efter mixeren arbejde med et bredt tidsvindue og meget støj eller med et smalt vindue og risikoen for at overse udbetalingen. Arbejdet begyndte med et smalt vindue, der blev udvidet trin for trin.
• Angive endepunktet som en iagttagelse eller som et sandsynligt scenarie. Det blev medtaget som et sandsynligt scenarie med de oplysninger, det bygger på.

Hvordan dukkede vejen op igen efter mixeren?

Vejen dukkede op igen efter mixeren, fordi en række udbetalinger i beløb, tidspunkt og efterfølgende adfærd påfaldende godt stemte overens med de beløb, der var kommet ind kort forinden. Det er ikke et bevis på identitet og ikke en afgørende forbindelse, men et mønster, der kan følges, og som en udenforstående kan regne efter.

Det andet gennembrud lå i en forgrening, der helt sprang mixeren over. En lille del af beløbet gik via en cross chain-veksling til et andet netværk og kom der uden mellemtrin ind hos en handelsplatform. Den gren kunne følges hele vejen og gav sagen et holdbart udgangspunkt, som mixeren ikke havde rørt.

Det, der ofte undervurderes: det mindste beløb giver nogle gange den stærkeste iagttagelse. Vi ser det jævnligt i sager, hvor hovedstrømmen bevidst skjules, og et restbeløb sjusket bogføres videre.

Hvad var endepunktet, og hvad kunne offeret gøre med det?

Endepunktet var et cash out-punkt hos en udenlandsk kryptobørs, det øjeblik, hvor aktiverne kommer ind hos en handelsplatform, og blockchainen holder op med at fortælle. Derfra ligger oplysningerne hos tjenesten og ikke længere på kæden.

Det, offeret kunne gøre med det, var konkret og begrænset: erklæringen angav, hos hvilken tjeneste aktiverne kom ind, på hvilket tidspunkt og i hvilket omfang, så politiet kunne gå videre med oplysningen. Handlingen lå derefter hos politianmeldelsen og tjenesten, ikke hos Paucitas.

En sammenligning hjælper: i sagen med stjålne bitcoin lå endepunktet efter to mellemtrin, her efter elleve. Forskellen i arbejde er én faktor, men forskellen i sikkerhed om det sidste trin er større.

Hvorfor sporer Paucitas en vej gennem en mixer manuelt?

Paucitas sporer en sådan vej manuelt, fordi en automatiseret vurdering ved en mixer giver en sandsynlighed, der ikke kan føres tilbage til enkelte transaktioner. Ved en mixer er den forskel afgørende, fordi en vej, der ser rimelig ud, og en vej, der stemmer, ser ens ud i et diagram.

Paucitas bruger ingen automatiseret analysesoftware, i nogen rolle. Undersøgelsen udføres manuelt ud fra offentligt tilgængelige block explorers. Hver transaktion og hver transaktions-hash kontrolleres for sig, før den tages med i en erklæring.

Vil du vide, hvordan metoden forholder sig til automatiseret analyse, er temasiden om at spore stjålet krypto udgangspunktet.

Hvad kan en undersøgelse ikke fastslå ved en mixer?

En undersøgelse fastslår ved en mixer, hvor langt vejen er sikker, ikke hvem der sad på den anden side. Den grænse hører udtrykkeligt hjemme i erklæringen, for en sag, der fortier grænsen, falder ved det første kritiske spørgsmål.

• Når der er brugt mixere eller privatlivsorienterede netværk, kan kæden ikke altid følges hele vejen. Så angives det udtrykkeligt, hvor langt vejen kan fastslås.
• Paucitas fastslår ikke på egen hånd, hvem der står bag en kryptoadresse. Det, vi dokumenterer, er, hvilken tjeneste eller part aktiverne er gået til, så politi og anklagemyndighed kan gå videre med oplysningen ad de veje, der findes til det.
• Transaktioner uden for blockchainen, som kontantbetalinger eller interne posteringer på en kryptobørs, ses ikke i blockchaindata. De tages kun med, hvis der findes underlag.
• Paucitas lover intet om udfaldet af en undersøgelse.
• Paucitas forvalter ingen aktiver og foretager ingen transaktioner på vegne af opdragsgivere.
• En erklæring fra Paucitas holder sig til saglige iagttagelser og undersøgelsen af dem.
• Paucitas giver ingen skatterådgivning og ingen juridisk rådgivning.

Hvad kan du selv gøre i sådan en situation, og hvornår er det ikke nok?

Du kan selv lægge det vigtigste fundament: dokumentere adresser og transaktions-hashes, gemme skærmbilleder med dato og ikke ændre noget i den berørte wallet. Hvordan du gør det, står i sikr beviser efter et kryptotyveri.

Det er ikke længere nok, når vejen deler sig, går over flere netværk eller passerer en kryptomixer. Så afgør valget af tidsvinduer og forgreninger resultatet, og det er arbejde, der skal begrundes i stedet for at blive skønnet.

Paucitas beder aldrig på eget initiativ om din seed-frase eller din private nøgle. Har du brug for hjælp til at aflæse eller gendanne din wallet, hjælper vi dig hele vejen, uden at vi selv behøver at se de oplysninger.

Hvad står der i erklæringen, og hvor lang tid tager undersøgelsen?

Erklæringen i sagen fulgte den faste struktur: baggrund og opdragsbeskrivelse, problemstilling, omfang, antagelser, afgivne oplysninger, anvendte kilder, metode i hovedtræk, kontrol og kvalitetssikring, forbehold og begrænsninger, iagttagelser pr. afsnit, kronologisk oversigt, analyse og sammenhæng, konklusion, uafhængighedserklæring og bilag. Ikke alle erklæringer indeholder alle afsnit, og strukturen tilpasses formålet.

Konkret stod der i sagen: elleve fulgte trin med transaktions-hash, to opsamlingspunkter med tilhørende tidslinje, en udtrykkelig grænse ved mixeren, en cross chain-gren, der var fulgt hele vejen, og en konklusion, hvor endepunktet blev medtaget som et sandsynligt scenarie. Modtageren kunne dermed indgive en målrettet politianmeldelse og rette en anmodning til den pågældende tjeneste.

En undersøgelse fra Paucitas tager, afhængigt af sagens omfang og hvor meget den haster, mellem en arbejdsdag og to uger. En hasteerklæring kan leveres inden for en arbejdsdag og i undtagelsestilfælde samme dag. En almindelig undersøgelse er som regel færdig inden for tre arbejdsdage. Ved sager med mange transaktioner, flere wallets eller manglende historik stiger sagsbehandlingstiden til omkring to uger. For hasteopgaver tillægges et gebyr.

Paucitas arbejder med en fast pris ud fra din situation. Nogle gange aftaler vi en timepris, men timerne fastlægges altid på forhånd, så du aldrig bliver overrasket. En undersøgelse påbegyndes først, når omkostningen er drøftet og fastlagt i fællesskab.

Hvor begynder politiets arbejde, og hvor begynder Paucitas?

Politiet kan modtage en anmeldelse og under en efterforskning kræve oplysninger udleveret fra en tjeneste. Det kan Paucitas ikke, men fastslår i stedet de fakta, som en sådan anmodning bygger på. Rollefordelingen er grunden til, at erklæringen hører sammen med politianmeldelsen og ikke erstatter den.

Vil du vide, om din sag har tilstrækkeligt med udgangspunkter til at følge en vej, kan du få det vurderet i en gratis indledende samtale. Vi siger ærligt, når en vej sandsynligvis fører ingen steder hen. Mere om ydelsen finder du under blockchainanalyse og sporing af transaktioner.

For sammenhængen omkring det større problem offentliggør Europol jævnligt materiale om kryptoaktivers rolle i organiseret kriminalitet, og Europa-Kommissionen om den europæiske ramme mod hvidvask, som tjenesterne er omfattet af.

Senest opdateret: 25. august 2026.