Så säkrar du bevis efter en kryptostöld (vad du ska göra och inte göra)

Vilka uppgifter ska du spara efter en kryptostöld?

Efter en kryptostöld sparar du allt som dokumenterar vad som hänt: transaktions-hashen för varje misstänkt överföring, de inblandade plånboksadresserna, skärmdumpar av meddelanden eller webbplatser och en tidslinje över vad som hände när. Transaktions-hashen är det viktigaste: den är det unika kännetecken som gör att en post går att hitta i blockkedjan, oavsett om det gäller ett plånboksintrång eller en vilseledande överföring. Anteckna också från vilken adress och till vilken adress tillgångarna gick och vid vilken tidpunkt. Ju fullständigare bilden är, desto noggrannare kan en senare utredning fastställa vägen.

Hur dokumenterar du transaktions-hashar och skärmdumpar så att de går att kontrollera?

Du dokumenterar bevis kontrollerbart genom att spara uppgifterna obearbetade och anteckna var och när du fick dem. Ta en fullständig skärmdump av varje relevant skärm, med adressfält, datum och klockslag, och spara originalet i stället för en beskuren version. Kopiera transaktions-hashar och plånboksadresser som ren text så att inga tecken försvinner när du skriver av. Spara meddelanden, mejl och chattkonversationer i sin helhet och exportera dem där det går, eftersom lösryckta fragment säger lite i efterhand. Ett bevis som du kan knyta till en tidpunkt och en källa väger tyngre än en enskild bild utan sammanhang.

Vad ska du absolut undvika efter en kryptostöld?

Gör inget efter en stöld som raderar eller suddar ut spåren i blockkedjan: töm inte din plånbok och flytta inte dina återstående tillgångar till en ny adress i panik. Varje överföring du själv gör lägger till transaktioner på samma adresser och gör utredningen av de stulna tillgångarnas väg onödigt komplicerad. Lämna heller aldrig ut din återställningsfras eller privata nyckel till någon som erbjuder sig att hjälpa: en seriös aktör frågar aldrig efter din seed phrase eller din privata nyckel. Nappa inte heller på erbjudanden om att snabbt få tillbaka dina pengar mot förskottsbetalning, det är så drabbade blir lurade en andra gång. Paucitas frågar aldrig på eget initiativ efter din återställningsfras eller privata nyckel. Behöver du hjälp att läsa av eller återställa din plånbok vägleder vi dig hela vägen, utan att vi själva behöver se de uppgifterna.

Vilka regler följer du för att säkra bevis?

Listan nedan hjälper dig att säkra rätt bevis under de första timmarna utan att radera spår:

1. Anteckna transaktions-hashen för varje misstänkt överföring och kopiera den som ren text.
2. Dokumentera alla inblandade plånboksadresser: din egen och den adress tillgångarna gick till.
3. Ta fullständiga skärmdumpar av meddelanden, webbplatser och appar, med synligt adressfält, datum och klockslag.
4. Skriv en tidslinje: vad som hände, när och via vilken kanal.
5. Spara originalfilerna och meddelandena oförändrade, vid sidan av eventuella kopior.
6. Låt dina återstående tillgångar ligga och flytta inget innan du vet vad du gör.
7. Lämna inte ut din återställningsfras eller privata nyckel till någon och nappa inte på erbjudanden mot förskottsbetalning.
8. Samla allt på ett ställe så att du kan lämna över det i ett svep.

Handlingarna lämnar du digitalt eller på kontoret. För varje ärende får du en lista över vilka uppgifter som behövs. Vid behov hjälper Paucitas dig att samla in och lämna över handlingarna.

Varför avgör de säkrade bevisen resten av utredningen?

Bevisen du säkrar avgör resten av utredningen, eftersom blockkedjan bara visar vad som har hänt, inte varför eller av vem. En transaktions-hash är startpunkten för varje rekonstruktion: utan den är det svårt att öppna upp vägen för dina tillgångar. Skärmdumpar och en tidslinje ger det sammanhang som saknas i de torra uppgifterna i blockkedjan, till exempel meddelandet du kontaktades med eller webbplatsen där du gjorde något. Paucitas börjar varje rekonstruktion vid den transaktions-hashen och arbetar sig därifrån steg för steg bakåt. Paucitas använder ingen automatiserad analysprogramvara, i någon roll. Utredningen görs manuellt med hjälp av oberoende, öppet tillgänglig blockkedjeprogramvara. Varje transaktion och varje transaktions-hash kontrolleras för sig innan den tas med i en rapport. Ju fullständigare och mer kontrollerbart ditt material är, desto längre kommer den manuella rekonstruktionen.

Vad kan Paucitas göra med dina bevis och vad inte?

Med dina bevis kan Paucitas sakligt kartlägga tillgångarnas väg i blockkedjan, fastställa vilken tjänsteleverantör eller aktör de till sist gick till och ange hur långt kedjan står fast med säkerhet. Konkret gäller följande gränser:

• Paucitas lovar inget om utfallet av en utredning.
• En rapport från Paucitas begränsar sig till sakliga iakttagelser och utredningen av dem.
• Vid användning av mixers eller integritetsinriktade nätverk går kedjan inte alltid att följa hela vägen. Då anges uttryckligen hur långt vägen går att fastställa.
• Paucitas ger ingen skatte- eller juridisk rådgivning.

Vad kan du göra själv och när räcker det inte?

Du kan göra mycket själv: säkra bevisen enligt ovan och låta Paucitas dokumentera dem, och sedan göra en polisanmälan med rapporten som underlag. Det räcker för att dokumentera ärendet och sätta igång det. Det räcker oftast inte när tillgångarna har spridits över flera adresser, gått via en kryptobörs eller flyttats över flera nätverk, eftersom det då krävs en spårbar rekonstruktion som går längre än ett enskilt öppet blockkedjeregister. Där tar Paucitas över och kartlägger vägen så att den går att härleda, utifrån de bevis du har sparat.

Vad gör Polisen, och var börjar Paucitas?

Polisen tar emot din anmälan, som du kan göra på polisen.se eller på telefon 114 14, och åklagaren beslutar om åtal. Leverantörer av kryptotjänster omfattas dessutom av EU:s MiCA-regler och penningtvättslagen, som ålägger dem att registrera transaktioner och kunduppgifter, och misstänkta transaktioner rapporteras till Finanspolisen. Det är viktiga ramar, men de ger dig ingen fristående, spårbar rekonstruktion av vad som har hänt med dina tillgångar i blockkedjan. Där börjar Paucitas arbete: en oberoende utredning som sakligt kartlägger tillgångarnas väg och dokumenterar den i en rapport som du kan använda vid din polisanmälan eller i ett nästa steg. Paucitas är en expertbyrå för kryptovalutor och blockkedjor. Utredningar är vår vardag: hittills har hundratals ärenden hanterats, från enskilda fall till utredningar för advokater, myndigheter och företag.

Vad står i rapporten och hur lång tid tar utredningen?

Rapporten redovisar för varje avsnitt vilka tillgångar som flyttades, via vilka adresser vägen gick och vilka källor som använts, så att en tredje part kan räkna efter. En rapport kan bland annat innehålla följande avsnitt: bakgrund och uppdragsbeskrivning, frågeställning, avgränsning, utgångspunkter, lämnade uppgifter, använda källor, tillvägagångssätt i stora drag, verifiering och kvalitetssäkring, förbehåll och begränsningar, iakttagelser per avsnitt, kronologisk översikt, analys och samband, slutsats, oberoendeförklaring och bilagor. Alla rapporter innehåller inte alla avsnitt, utan upplägget anpassas efter syftet.

En utredning från Paucitas tar mellan en arbetsdag och två veckor beroende på ärendets omfattning och hur brådskande det är. En snabbrapport kan vara klar inom en arbetsdag och i undantagsfall samma dag. En vanlig utredning är oftast klar inom tre arbetsdagar. Vid ärenden med många transaktioner, flera plånböcker eller saknad historik ökar tiden till ungefär två veckor.

Vill du veta om din situation kräver en utredning går Paucitas i ett kostnadsfritt första samtal igenom vad som behövs och är realistiskt i ditt fall, utan att lova något om att få tillbaka dina tillgångar.

*Relaterat: ett fall där stulna bitcoin spårades i blockkedjan och vanliga frågor om stulna kryptotillgångar. Inlägget om de första stegen handlar om vad du gör direkt efter en stöld, medan den här texten handlar specifikt om att säkra och spara bevis.*