Sag: USDC-svindel i tre netværk kortlagt

Hvad viser sagen om USDC-svindel i tre netværk?

Sagen viser, at en vej over flere netværk ikke er sværere pr. trin, men at antallet af koblinger mellem netværk afgør, hvor meget der kan fastslås med sikkerhed. Inden for ét netværk følger du en linje, og ved hver overgang skal du vise, at en udgående transaktion i det ene netværk hører sammen med en indgående transaktion i det andet.

Udgangspunktet var fuldstændigt: den ramte havde tre egne adresser, transaktions-hashen for hver betaling og et udtræk fra platformen, hvor han havde købt sine USDC. Det er en luksus, og det er grunden til, at sagen kom langt.

Det, der gik galt i rekonstruktionen, var ikke teknikken, men forventningen. Den ramte havde selv fulgt de første trin i en blockexplorer og troede, at sporet sluttede, fordi aktiverne bare forsvandt i det ene netværk. De var ikke forsvundet, de var i et andet netværk.

Hvordan gik vejen via Ethereum, Polygon og Arbitrum?

Vejen gik i tre faser: på Ethereum blev betalingerne slået sammen, via en bro gik beløbet til Polygon, og efter en opdeling dér gik en del via en anden bro til Arbitrum, hvor den landede hos en handelsplatform. I alt drejede det sig om nitten transaktioner og to overgange.

• Fase et, på Ethereum: fire betalinger fra den ramte mødtes på en adresse, hvor der i samme tidsvindue også kom transaktioner ind med anden oprindelse.
• Fase to, på Polygon: beløbet blev delt i seks ulige dele, hvoraf fire inden for et døgn blev slået sammen igen på en ny adresse.
• Fase tre, på Arbitrum: det samlede beløb gik i to transaktioner til en adresse, der tilhørte en handelsplatform.

Beslutningen om også at følge de to små dele, der blev tilbage på Polygon, gav den mest brugbare iagttagelse. Den ene af dem gik nemlig uden mellemtrin til en anden platform, og den gren kunne følges hele vejen.

Hvorfor gør en bro undersøgelsen sværere, og hvordan blev overgangen alligevel fastslået?

En bro gør undersøgelsen sværere, fordi der ikke findes en enkelt transaktion, der registrerer begge netværk samtidig. Der er en udgående transaktion i det ene netværk og en indgående i det andet, og koblingen imellem skal du selv dokumentere. Det kaldes en cross chain-overgang og er i praksis den mest undervurderede del af en sag.

I sagen blev hver overgang fastslået med fire oplysninger ved siden af hinanden: det nøjagtige beløb inklusive mindste enheder, tidspunktet på begge sider, broens kontrakt på modtagersiden og den adresse, der modtog beløbet dér. Når de fire stemmer overens, og der ikke er nogen anden kandidat i tidsvinduet, kan koblingen følges.

Det, der ofte undervurderes: beløbet alene er ikke nok. Ved runde beløb er der flere kandidater i samme tidsvindue, og så kan koblingen ikke fastslås. I rapporten står der derfor for én af de seks dele, at overgangen ikke kan kobles med sikkerhed, med begrundelsen for det.

Hvilken rolle har udstederen af en stablecoin?

Ved en centralt udstedt stablecoin har udstederen teknisk mulighed for at spærre adresser, fordi muligheden er indbygget i selve kontrakten. Det er en egenskab ved tokenet og ikke en tjeneste, der udføres på anmodning fra en privatperson.

For din sag betyder det to ting. For det første ligger spørgsmålet om, hvorvidt en adresse spærres, hos udstederen, og i praksis følger det af en anmodning fra en kompetent myndighed, ikke af en anmodning fra dig eller fra et undersøgelsesbureau. For det andet betaler det sig ekstra meget at dokumentere adresser hurtigt, fordi en anmodning fra en myndighed skal hvile på noget.

Om de regler, som udstedere og udbydere af kryptoaktivtjenester er omfattet af i Europa, offentliggør Europa-Kommissionen og Den Europæiske Centralbank. Forpligtelserne gælder udbyderne og ikke et undersøgelsesbureau, der ikke selv forvalter aktiver.

Hvilke trin gennemgår en cross chain-undersøgelse?

En cross chain-undersøgelse gennemgår syv trin, hvor hvert netværk behandles for sig, og koblingerne lægges sidst.

1. Fastslå alle den ramtes egne adresser og betalinger, med beløb, tidspunkt og transaktions-hash.
2. Følg kæden pr. netværk frem til det punkt, hvor aktiverne forlader netværket eller lander hos en tjeneste.
3. Fastslå, hvilken brokontrakt der blev brugt, og hvilken tidsforsinkelse der hører til.
4. Søg i modtagernetværket efter indgående transaktioner, der passer i beløb og tidsvindue.
5. Udeluk, at der er en anden kandidat i tidsvinduet. Er der det, fastslås koblingen ikke.
6. Følg alle forgreninger, også de små, fordi de oftere når frem til en tjeneste end hovedstrømmen.
7. Dokumentér pr. trin og pr. kobling, hvad iagttagelsen hviler på, og hvor usikkerheden begynder.

Trin fem er det, der gør en rapport holdbar. En rekonstruktion, der fremstiller hver overgang som sikker, er næsten altid for optimistisk ved en vej med mange runde beløb.

Paucitas bruger ingen automatiseret analysesoftware, i nogen rolle. Undersøgelsen udføres manuelt ud fra offentligt tilgængelige blockexplorere. Hver transaktion og hver transaktions-hash kontrolleres for sig, før den medtages i en rapport.

Hvorfor forskellen er vigtig, står i vores sammenligning af manuel blockchainanalyse og automatiserede værktøjer. For en vej inden for ét netværk er sagen, hvor en transaktion blev sporet frem til børsen det enklere modstykke til denne sag.

Hvad kan en cross chain-undersøgelse ikke fastslå?

En cross chain-undersøgelse fastslår, hvilken vej aktiverne tog, og ved hvilke overgange koblingen er sikker, ikke hvem der sad på den anden side. Den grænse hører udtrykkeligt hjemme i rapporten, for hver kobling.

• Paucitas fastslår ikke på egen hånd, hvem der står bag en kryptoadresse. Det, vi dokumenterer, er, til hvilken tjeneste eller part aktiver er gået, så politi og anklagemyndighed kan gå videre med oplysningen ad de veje, der findes til det.
• Når mixere eller privatlivsorienterede netværk er brugt, kan kæden ikke altid følges hele vejen. Så angives det udtrykkeligt, hvor langt vejen kan fastslås.
• Transaktioner uden for blockchainen, som kontantbetalinger eller interne posteringer på en børs, er ikke synlige i blockchaindata. De medtages kun, hvis der foreligger underliggende dokumenter.
• Paucitas forvalter ingen aktiver og foretager ingen transaktioner på vegne af klienter.
• Paucitas lover intet om udfaldet af en undersøgelse.
• En rapport fra Paucitas holder sig til saglige iagttagelser og undersøgelsen af dem.
• Paucitas yder ingen skatterådgivning eller juridisk rådgivning.

Endnu en ting spiller en rolle i den type sager: transaktioner inde på en handelsplatform er ikke synlige on-chain. Så snart aktiver lander hos en kryptobørs, stopper kæden, og børsens egne oplysninger tager over.

Hvad kan du selv gøre, og hvornår er det ikke nok?

Den første fase kan du selv klare: dokumentér dine egne adresser og betalinger, og følg kæden inden for ét netværk i en åben blockexplorer. Det tager en aften og giver ofte allerede et opsamlingspunkt.

Det er ikke længere nok, når aktiverne forlader netværket. Tror du, at sporet slutter, fordi beløbet forsvinder, så kontrollér først, om en bro er involveret. I denne sag var det præcis dér, den ramte var stoppet. At koble to netværk sammen kræver en udelukkelsesanalyse, og det er arbejde, man skal kunne stå inde for.

Materialet overdrages digitalt. For hver sag får du en liste over, hvilke oplysninger der er brug for, og om nødvendigt hjælper Paucitas med at indsamle og indsende dem.

Paucitas beder aldrig på eget initiativ om din seed-frase eller din private nøgle. Har du brug for hjælp til at aflæse eller gendanne din wallet, hjælper vi dig hele vejen, uden at vi selv behøver at se de oplysninger.

Hvad står der i rapporten, og hvor lang tid tager undersøgelsen?

En rapport fra Paucitas følger en fast struktur: baggrund og opgavebeskrivelse, problemstilling, omfang, udgangspunkter, afgivne oplysninger, anvendte kilder, metode i hovedtræk, verifikation og kvalitetssikring, forbehold og begrænsninger, iagttagelser pr. del, kronologisk oversigt, analyse og sammenhæng, konklusion, uafhængighedserklæring og bilag. Ikke alle rapporter indeholder alle dele, og strukturen tilpasses formålet.

I denne sag stod der konkret: nitten transaktioner med transaktions-hash fordelt over tre netværk, to overgange, hvoraf én koblet med sikkerhed og én med forbehold, to tjenester, hvor aktiver landede, med tilhørende tidspunkt, og en konklusion, hvor det pr. del angives, hvad der ligger fast. Modtageren kunne dermed indgive en målrettet politianmeldelse.

En undersøgelse fra Paucitas tager, afhængigt af sagens omfang og hvor hastende den er, mellem en arbejdsdag og to uger. En hastende erklæring kan leveres inden for en arbejdsdag og i undtagelsestilfælde samme dag. En almindelig undersøgelse er som regel færdig inden for tre arbejdsdage. Ved sager med mange transaktioner, flere wallets eller manglende historik øges sagsbehandlingstiden til cirka to uger. For hasteopgaver tillægges et gebyr.

Paucitas arbejder med en fast pris ud fra din situation. Efter aftale bruger vi nogle gange en timepris, men timerne fastlægges altid på forhånd, så du aldrig bliver overrasket. En undersøgelse påbegyndes først, når omkostningen er drøftet og godkendt.

Paucitas svarer som regel inden for nogle minutter op til en time og næsten altid samme arbejdsdag.

Hvor begynder politiets arbejde, og hvor begynder Paucitas?

Politiet kan modtage en anmeldelse og under en efterforskning kræve oplysninger udleveret fra en tjeneste eller en udsteder. Det kan Paucitas ikke, men fastslår i stedet de fakta, som en sådan anmodning kan bygge på. Ved en vej over flere netværk er forskellen ekstra relevant, fordi en anmodning skal gå til hver involveret part for sig.

Kører din egen rekonstruktion fast ved det punkt, hvor et beløb ser ud til at forsvinde, kan du få det set på i en gratis første samtale. Vi siger ærligt, når en kobling ikke kan fastslås. Mere om ydelsen finder du under blockchainundersøgelse og sporing af transaktioner og den bredere arbejdsmetode på siden om at spore stjålet krypto.

Senest opdateret: 4. september 2026.