Fall: krypto spårad genom en mixer fram till slutpunkten

Vad visar fallet om en kryptomixer?

Fallet visar att en kryptomixer bryter kedjan vid en viss punkt och att utredningen därefter går från att följa till att jämföra. Före mixern följer du en linje, efter mixern arbetar du med tidsfönster, belopp och mönster, och det kräver andra beslut.

Det den drabbade lämnade in i ärendet var begränsat: två egna adresser, tre transaktions-hashar och en rad skärmdumpar från en plattform som inte längre gick att nå. Det räcker för att börja, men är för lite för att dra slutsatser utan kontroll.

Hur såg vägen ut innan tillgångarna gick in i mixern?

Före mixern gick vägen i fyra steg: från den drabbades adress till en mellanadress, där den slogs ihop med andra inkommande belopp, därefter delades upp i mindre delar och först sedan gick vidare mot mixern. Uppdelningen i allt mindre belopp kallas peel chain och är ett av de vanligaste mönstren i sådana ärenden.

Det första genombrottet låg inte i tekniken utan i tidslinjen. Två av mellanadresserna tog inom samma kvart emot belopp från flera drabbade, och den samtidigheten gjorde det sannolikt att det rörde sig om en gemensam insamlingspunkt. En sådan iakttagelse är saklig: transaktionerna finns, med datum, belopp och transaktions-hash.

Vad händer exakt med en transaktion i en kryptomixer?

I en mixer förs inkommande belopp från många olika användare samman och betalas sedan ut i andra sammansättningar och vid andra tidpunkter, så att den direkta kopplingen mellan en viss insättning och ett visst uttag försvinner. Själva transaktionerna syns fortfarande, det är bara ett-till-ett-relationen som inte längre går att läsa av.

Just därför är en väg för penningtvätt via en mixer lockande för den som vill bryta ett spår, och just därför måste ett utlåtande här skilja skarpt mellan det som är fastställt och det som är sannolikt.

Vilka beslut stod utredaren inför i ärendet?

Utredaren stod fem gånger inför ett beslut som styrde utredningens fortsättning, och varje beslut motiveras i utlåtandet. Här står de i den ordning de kom.

• Först kartlägga den drabbades egna adresser helt, eller direkt följa den största utgående transaktionen. Valet blev det första, eftersom en ofullständig utgångspunkt undergräver varje senare slutsats.
• Vid insamlingspunkten gå vidare på huvudflödet, eller först fastställa hur många andra drabbade som hamnade på samma adress. Det senare gav tidslinjen som sedan styrkte mönstret.
• Vid peel chain följa varje förgrening, eller bara grenarna över ett visst belopp. Valet blev alla grenar, eftersom just en liten gren ledde till ett annat nätverk.
• Efter mixern arbeta med ett brett tidsfönster och mycket brus, eller med ett smalt fönster och risken att missa uttaget. Arbetet började med ett smalt fönster som vidgades steg för steg.
• Ange slutpunkten som en iakttagelse eller som ett sannolikt scenario. Den togs med som ett sannolikt scenario, med de uppgifter som det bygger på.

Hur kom vägen fram igen efter mixern?

Vägen kom fram igen efter mixern eftersom en rad uttag i belopp, tidpunkt och efterföljande beteende påfallande väl stämde med beloppen som kommit in strax innan. Det är inget bevis på identitet och ingen avgörande koppling, men ett mönster som går att följa och som en utomstående kan räkna efter.

Det andra genombrottet låg i en förgrening som helt hoppade över mixern. En liten del av beloppet gick via ett cross chain-byte till ett annat nätverk och kom där utan mellansteg in hos en handelsplattform. Den grenen gick att följa hela vägen och gav ärendet en hållbar utgångspunkt som mixern inte hade rört.

Det som ofta underskattas: det minsta beloppet ger ibland den starkaste iakttagelsen. Vi ser det regelbundet i ärenden där huvudflödet medvetet döljs och ett restbelopp slarvigt bokas vidare.

Vad var slutpunkten, och vad kunde den drabbade göra med den?

Slutpunkten var en cash out-punkt hos en utländsk kryptobörs, ögonblicket då tillgångarna kommer in hos en handelsplattform och blockkedjan slutar berätta. Därifrån ligger uppgifterna hos tjänsten och inte längre på kedjan.

Det den drabbade kunde göra med det var konkret och begränsat: utlåtandet angav hos vilken tjänst tillgångarna kom in, vid vilken tidpunkt och i vilken omfattning, så att polisen kunde gå vidare med uppgiften. Åtgärden låg därefter hos polisanmälan och tjänsten, inte hos Paucitas.

En jämförelse hjälper: i fallet där stulna bitcoin utreddes låg slutpunkten efter två mellansteg, här efter elva. Skillnaden i arbete är en faktor, men skillnaden i säkerhet om det sista steget är större.

Varför spårar Paucitas en väg genom en mixer manuellt?

Paucitas spårar en sådan väg manuellt eftersom en automatiserad bedömning vid en mixer ger en sannolikhet som inte går att föra tillbaka till enskilda transaktioner. Vid en mixer är den skillnaden avgörande, eftersom en väg som ser rimlig ut och en väg som stämmer ser likadana ut i ett diagram.

Paucitas använder ingen automatiserad analysprogramvara, i någon roll. Utredningen görs manuellt utifrån öppet tillgängliga blockutforskare. Varje transaktion och varje transaktions-hash kontrolleras för sig innan den tas med i ett utlåtande.

Vill du veta hur metoden förhåller sig till automatiserad analys är ämnessidan om att spåra stulen krypto utgångspunkten.

Vad kan en utredning inte fastställa vid en mixer?

En utredning fastställer vid en mixer hur långt vägen är säker, inte vem som satt på andra sidan. Den gränsen hör uttryckligen hemma i utlåtandet, eftersom ett ärende som förtiger gränsen faller vid första kritiska fråga.

• När mixers eller integritetsinriktade nätverk har använts går kedjan inte alltid att följa hela vägen. Då anges uttryckligen hur långt vägen går att fastställa.
• Paucitas fastställer inte på egen hand vem som står bakom en kryptoadress. Det vi dokumenterar är till vilken tjänst eller part tillgångar har gått, så att polis och åklagare kan gå vidare med uppgiften på de vägar som finns för det.
• Transaktioner utanför blockkedjan, som kontantbetalningar eller interna bokningar på en kryptobörs, syns inte i blockkedjedata. De tas bara med om det finns underlag.
• Paucitas lovar ingenting om utgången av en utredning.
• Paucitas förvaltar inga tillgångar och gör inga transaktioner för uppdragsgivares räkning.
• Ett utlåtande från Paucitas håller sig till sakliga iakttagelser och utredningen av dem.
• Paucitas ger ingen skatterådgivning och ingen juridisk rådgivning.

Vad kan du göra själv i en sådan situation, och när räcker det inte?

Du kan själv lägga den viktigaste grunden: dokumentera adresser och transaktions-hashar, spara skärmdumpar med datum och inte ändra något i den drabbade plånboken. Hur du gör det står i säkra bevis efter en kryptostöld.

Det räcker inte längre när vägen delar upp sig, går över flera nätverk eller passerar en kryptomixer. Då avgör valet av tidsfönster och förgreningar resultatet, och det är arbete som måste motiveras i stället för att uppskattas.

Paucitas ber aldrig på eget initiativ om din återställningsfras eller din privata nyckel. Behöver du hjälp att läsa ut eller återställa din plånbok hjälper vi dig hela vägen, utan att vi själva behöver se de uppgifterna.

Vad står i utlåtandet och hur lång tid tar utredningen?

Utlåtandet i fallet följde den fasta strukturen: bakgrund och uppdragsbeskrivning, frågeställning, omfattning, antaganden, lämnade uppgifter, använda källor, metod i huvuddrag, kontroll och kvalitetssäkring, förbehåll och begränsningar, iakttagelser per avsnitt, kronologisk översikt, analys och sammanhang, slutsats, oberoendeförklaring och bilagor. Alla utlåtanden innehåller inte alla avsnitt, och strukturen anpassas efter syftet.

Konkret stod i ärendet: elva följda steg med transaktions-hash, två insamlingspunkter med tillhörande tidslinje, en uttrycklig gräns vid mixern, en cross chain-gren som följts hela vägen och en slutsats där slutpunkten togs med som ett sannolikt scenario. Mottagaren kunde därmed göra en riktad polisanmälan och rikta en begäran till tjänsten i fråga.

En utredning från Paucitas tar beroende på ärendets omfattning och hur brådskande det är mellan en arbetsdag och två veckor. Ett brådskande utlåtande kan levereras inom en arbetsdag och i undantagsfall samma dag. En vanlig utredning är i regel klar inom tre arbetsdagar. Vid ärenden med många transaktioner, flera plånböcker eller saknad historik ökar handläggningstiden till ungefär två veckor. För brådskande uppdrag tillkommer en avgift.

Paucitas arbetar med ett fast pris utifrån din situation. Ibland kommer vi överens om ett timpris, men timmarna bestäms alltid i förväg så att du aldrig blir överraskad. En utredning påbörjas först när kostnaden har diskuterats och bestämts i samförstånd.

Var börjar polisens arbete, och var börjar Paucitas?

Polisen kan ta emot en anmälan och under en förundersökning begära ut uppgifter från en tjänst. Paucitas kan inte det, utan fastställer i stället de fakta som en sådan begäran bygger på. Rollfördelningen är skälet till att utlåtandet hör ihop med polisanmälan och inte ersätter den.

Vill du veta om ditt ärende har tillräckligt med utgångspunkter för att följa en väg kan du låta pröva det i ett kostnadsfritt första samtal. Vi säger ärligt när en väg troligen leder ingenstans. Mer om tjänsten finns under blockkedjeutredning och spårning av transaktioner.

För sammanhanget kring det större problemet publicerar Europol regelbundet om kryptotillgångarnas roll i organiserad brottslighet, och Europeiska kommissionen om den europeiska ram mot penningtvätt som tjänsterna omfattas av.

Senast uppdaterad: 25 augusti 2026.