Stulna bitcoin: så går utredningen till

Datum: 4 augusti 2026 | Vecka 32 | Lästid: 12 minuterFörfattare: Tyler Dijst

Det viktigaste i korthet

Hur spårar man stulna bitcoin? Inlägget visar hur en utredning av stulna bitcoin går till steg för steg, från den första transaktionen till utbetalningspunkten där tillgångarna lämnade blockkedjan.

Utredningen följde vägen manuellt över dussintals adresser och slutade hos en kryptobörs, inte hos en person.
Paucitas dokumenterar hur långt en väg går att följa och var osäkerheten börjar. Vem som står bakom en adress fastställer Paucitas inte på egen hand.
Det ett ärende ger är ett underlag som ger polisanmälan och förfrågan till kryptobörsen innehåll, utan löfte om att tillgångarna kommer tillbaka.

Vid stulen krypto rekonstruerar Paucitas hela transaktionsvägen och dokumenterar den i en spårbar rapport. I det här läget gällde det en betydande del av förmögenheten, försvunnen via en plattform som i efterhand visade sig inte finnas. Nedan står vad varje steg gav och, lika viktigt, vad som inte kom fram.

Situationen bygger på ärenden som Paucitas regelbundet hanterar. Beskrivningen är sammansatt och bearbetad så att den inte går att föra tillbaka till en enskild klient. Arbetssättet är däremot exakt det vi använder vid utredning av kryptobedrägeri och försvunna tillgångar.

*En utredning av stulen krypto slutar sällan vid ett namn och nästan alltid vid en punkt där kedjan lämnar blockkedjan. Just den punkten gör en polisanmälan användbar.*

Var börjar en utredning av stulna bitcoin?

Den som anmälde hade i omgångar fört över bitcoin till en handelsplattform som visade avkastning i en snygg kontrollpanel, och kunde en dag inte längre ta ut något. Förloppet är välkänt: först en liten insättning som gick smidigt att ta ut, sedan större belopp, och vid det första riktiga uttagsförsöket ett krav på att först betala skatt eller en hanteringsavgift. Summan växte till en betydande del av förmögenheten. Beloppen i den här typen av ärenden varierar kraftigt, från några tiotusentals kronor till över tio miljoner. Arbetssättet ändras inte av det, bara utredningens omfattning. Mellan den första insättningen och ögonblicket då klienten slog larm gick några månader, ett mönster som snarare är regel än undantag i sådana ärenden.

Viktigt för tonen i sådana ärenden: när någon hör av sig står det inte fast att det är ett bedrägeri. Det som står fast är att det finns en misstanke och att en plattform som visar sig inte finnas är en av de möjliga förklaringarna. Det är utredningen som ska visa det, inte antagandet.

Vilka steg gick utredningen igenom?

Utredningen av de stulna bitcoinen gick igenom sju steg, från att fastställa startpunkten till att ange gränsen för vad som gick att följa. Varje steg gav något som gjorde nästa steg möjligt, och i två av stegen gav det framför allt att ett antagande föll.

Fastställa startpunkten: vilka adresser tillhör bevisligen den som anmälde.
Dokumentera utgående transaktioner med hash, belopp och tidpunkt.
Kartlägga de första mottagande adresserna.
Följa vägen genom de efterföljande uppdelningarna.
Fastställa den punkt där tillgångarna kom in hos en tjänsteleverantör.
Kontrollera om den som anmälde fortfarande hade åtkomst till egna plånböcker.
Dokumentera hur långt kedjan går att följa och var den tar slut.

Steg 1 och 2: vad gav startpunkten?

Den första vinsten var att antalet relevanta transaktioner sjönk från dussintals till sju. Kontoutdragen och den egna plånbokshistoriken visade att personen hade fört över från två adresser, inte fyra som hon själv trodde. Två av de förmodade insättningarna var interna flyttar mellan hennes egna plånböcker.

Det låter som en detalj men är det inte. Den som räknar med de två transaktionerna som skada gör en polisanmälan med ett belopp som inte stämmer, och det är det första en bedömande myndighet stöter på. Därför kontrollerar vi först vilken del av den påstådda skadan som faktiskt har lämnat din egen kontroll.

Steg 3 och 4: hur fortsatte vägen?

Tillgångarna gick över dussintals adresser, där en liten del knoppades av i varje steg och den största delen gick vidare. Mönstret kallas peel chain och ska göra spårningen dyr och tidskrävande, inte omöjlig. Manuell spårning betyder här att för varje steg kontrollera vilket utgående belopp som till storlek och tidpunkt hänger ihop med det ingående.

Paucitas använder ingen automatiserad analysprogramvara, i någon roll. Varje transaktion och varje transaktions-hash kontrolleras för sig innan den tas med i en rapport.

Vid en peel chain är det skillnaden mellan en väg som stämmer och en väg som bara ser rimlig ut. I två av hoppen var kopplingen inte entydig, eftersom flera utgående belopp kunde passa. De två punkterna står i rapporten som ett alternativt scenario, inte som en slutsats. Det är mindre tillfredsställande att läsa, och det är det enda ärliga.

Steg 5: var slutade vägen?

Vägen slutade vid en utbetalningspunkt: en adress som tillhörde en handelsplattform där tillgångar växlas och där det därmed finns en kundrelation bakom. Från den punkten tiger blockkedjan, eftersom det som händer inom en sådan plattform inte registreras i kedjan.

Det är den sakliga slutpunkten för nästan varje utredning av det här slaget. Paucitas fastställer inte på egen hand vem som döljer sig bakom en kryptoadress. Däremot dokumenteras vilken tjänsteleverantör eller aktör tillgångarna gick till, så att uppgiften kan följas upp via de avsedda vägarna. I det här ärendet betydde det en kryptobörs med namn, ett datum, ett belopp och en rad hashar.

Steg 6: fanns det fortfarande åtkomst till egna plånböcker?

Vid förlorad åtkomst kontrolleras om en återställning är tekniskt möjlig, enbart för en plånbok som du rättmätigt äger. Om det lyckas beror på vilka uppgifter som finns kvar: en hel eller delvis återställningsfras, en fil, en anteckning eller en annan ledtråd. Vi bedömer ditt läge och är ärliga om vad som är realistiskt i ditt fall, utan att lova något. Vet du inte om det du har kvar går att använda är du välkommen att höra av dig.

I det här läget spelade det en begränsad roll. Det låg ett restinnehav kvar på en äldre plånbok vars seed phrase personen delvis hade antecknat, och den delen gjordes åtkomlig igen med vägledning. Tillgångarna som hade gått till plattformen omfattades uttryckligen inte. De var inte längre under egen kontroll, och det ändrar ingen plånboksåterställning på.

Vad gav utredningen av de stulna bitcoinen?

Utredningen gav fyra konkreta saker: ett kontrollerat skadebelopp, en fullständig transaktionsväg med hashar, en angiven slutpunkt hos en tjänsteleverantör och en uttrycklig avgränsning av vad som inte går att fastställa. Det är mindre än den som anmäler hoppas på och mer än vad som fanns utan utredning, nämligen en misstanke och en rad skärmdumpar.

Det den inte gav: ett namn, en adress, en gärningsperson och en återbetalning. Just de fyra sakerna förväntas oftast i den här typen av ärenden och kommer i nästan inget fall ur blockkedjan själv.

Vad var realistiskt och vad inte?

Det var realistiskt att vägen skulle gå att följa fram till en tjänsteleverantör, och det visade sig stämma. Det var inte realistiskt att, som personen förväntade sig, en utredning skulle visa vem som gjorde det och att beloppet sedan skulle betalas tillbaka. Den förväntningen göds av aktörer som lovar just det.

Gränserna som gäller i varje ärende:

Paucitas lovar inget om utfallet av en utredning.
Paucitas förvarar inga tillgångar och gör inga transaktioner för klienters räkning.
Vid användning av mixers eller integritetsinriktade nätverk går kedjan inte alltid att följa hela vägen. Då anges uttryckligen hur långt vägen går att fastställa.
En rapport från Paucitas begränsar sig till sakliga iakttagelser och analysen av dem.
I rapporten anges uttryckligen i vilken mån det fortfarande finns åtkomst till den berörda plånboken, eftersom det avgör vad som faktiskt går att fastställa.

Vad kan du göra själv och när räcker det inte?

Att göra själv börjar vid stulna bitcoin med att dokumentera: gör en översikt över alla transaktioner med datum, belopp och mottagande adress, spara kommunikationen och ändra ingenting i dina plånböcker. En blockutforskare är öppen, så de första två eller tre hoppen kan du följa själv, och det ger redan en bild.

Att göra själv räcker inte längre när vägen delar sig. Vid en peel chain på trettio steg är frågan inte om du kan klicka, utan om du kan motivera varför du valde just den grenen vid varje uppdelning. Utan den motiveringen går resultatet inte att kontrollera och är därmed oanvändbart gentemot tredje part. Se även hur stulen krypto spåras till en kryptobörs.

Vad ska du se upp med efter att ha anmält stulna bitcoin?

Efter en anmälan blir du måltavla för återvinningsbedrägerier, ofta inom några dagar. Det finns inga tjänster som säkert levererar åtkomst eller återbetalning mot betalning. Själva löftet är kännetecknet för ett återvinningsbedrägeri. En pålitlig aktör frågar aldrig efter din återställningsfras eller privata nyckel.

Paucitas frågar aldrig på eget initiativ efter din återställningsfras eller privata nyckel. Behöver du hjälp att läsa av eller återställa din plånbok vägleder vi dig hela vägen, utan att vi själva behöver se de uppgifterna.

Vem kan du vända dig till och var börjar Paucitas arbete?

Börja hos oss. Vi dokumenterar vilka adresser som hör till de stulna tillgångarna, när något fördes ut och var tillgångarna hamnade, med datum, belopp och transaktions-hashar. Du kan höra av dig när som helst, även om händelsen ligger månader eller år tillbaka. Ju tidigare du börjar, desto mer går att säkra utanför kedjan, men ett ärende blir aldrig för gammalt och kedjan själv glömmer ingenting.

Visar fastställandet att en polisanmälan är nästa logiska steg hänvisar vi dig till Polisen, eftersom det bara är den vägen som tvångsmedel kan användas mot en kryptobörs där tillgångar kom in. Det som då finns är inte längre en beskrivning, utan en adress, ett belopp, en tidpunkt och en hash. Se även de första stegen för att spåra stulen krypto.

Hur lång tid tog det och vad kostade det?

En utredning från Paucitas tar mellan en arbetsdag och två veckor beroende på ärendets omfattning och hur brådskande det är. En snabbrapport kan vara klar inom en arbetsdag och i undantagsfall samma dag. En vanlig utredning är oftast klar inom tre arbetsdagar. Vid ärenden med många transaktioner, flera plånböcker eller saknad historik ökar tiden till ungefär två veckor. För brådskande uppdrag tillkommer ett tillägg.

Paucitas arbetar med fast pris eller timpris beroende på ärendets art och omfattning. Vilken form som gäller bestäms i förväg och bekräftas skriftligt. En utredning börjar först när kostnaden har diskuterats och bekräftats.

Vad står i rapporten vid en sådan utredning?

Rapporten följer den fasta strukturen: bakgrund och uppdragsbeskrivning, frågeställning, avgränsning, utgångspunkter, lämnade uppgifter, använda källor, tillvägagångssätt i stora drag, granskning och kvalitetssäkring, förbehåll och begränsningar, iakttagelser per avsnitt, kronologisk översikt, analys och samband, slutsats, oberoendeförklaring och bilagor. Alla rapporter innehåller inte alla delar, och upplägget anpassas efter syftet.

I ett spårningsärende är den kronologiska översikten och förbehållen de tyngsta kapitlen. Det första eftersom vägen står där, det andra eftersom det står där var vägen tar slut.

Känner du igen förloppet går vi i ett kostnadsfritt första samtal igenom vad som sakligt går att fastställa i ditt läge.

Paucitas B.V.

Weesperstraat 107
1018 VN Amsterdam
Nederländerna

E: sverige@paucitas.com
T: +31 20 244 5774

Nåbara dygnet runt

Handelsregistret (KvK): 83489649
Momsreg.nr: NL862894062B01

Vill du veta mer om det här ämnet? Kontakta oss.

"*" indicates required fields

Vanliga frågor om utredning och spårning av stulna bitcoin

Hur går en kryptoutredning till efter en stöld?

Den går till i sju steg: fastställa startpunkten, dokumentera de utgående transaktionerna, fastställa de första mottagande adresserna, följa vägen genom uppdelningarna, fastställa punkten där tillgångarna kommer in hos en tjänsteleverantör, kontrollera om det finns åtkomst till egna plånböcker och dokumentera var kedjan slutar. I det här läget gick vägen över dussintals adresser och slutade hos en handelsplattform.

Hur spåras stulna bitcoin steg för steg?

För varje transaktion kontrolleras vilket utgående belopp som till storlek och tidpunkt hänger ihop med det ingående. Vid en peel chain knoppas en liten del av i varje steg, vilket gör spårningen tidskrävande men inte omöjlig. Där flera utgående belopp kan passa dokumenteras det som ett alternativt scenario i stället för en slutsats.

Vad ger en spårningsutredning konkret?

Den ger ett kontrollerat skadebelopp, en fullständig transaktionsväg med hashar, en angiven slutpunkt hos en tjänsteleverantör och en uttrycklig avgränsning av vad som inte går att fastställa. Den ger inte ett namn, en gärningsperson eller en återbetalning. Paucitas lovar inget om utfallet.

Kan jag få tillbaka mina stulna bitcoin efter en sådan utredning?

En utredning ger ett underlag och ingen återbetalning. Ingen kan lova att stulna bitcoin kommer tillbaka. Åtgärderna ligger alltid hos behörig myndighet eller den inblandade tjänsteleverantören, som behöver en polisanmälan eller ett domstolsförfarande för det.

Mina bitcoin har stulits, vem kan hjälpa mig att spåra dem?

Du kan vända dig till Paucitas för spårningen och till Polisen för anmälan, och de två vägarna förstärker varandra. Utredningen levererar adresser, belopp, tidpunkter och hashar som ger polisanmälan innehåll. Utan dem förblir anmälan en beskrivning.

Varför gör manuellt arbete skillnad vid en peel chain?

Vid varje uppdelning måste man bedöma vilken gren som hänger ihop, och det är en avvägning och ingen beräkning. Programvara ger en väg men inte motiveringen till varför den valdes. Utan motivering går resultatet inte att kontrollera för en tredje part.

Vad är en utbetalningspunkt och varför är den viktig?

En utbetalningspunkt är adressen där tillgångar kommer in hos en tjänsteleverantör som växlar eller betalar ut dem, och där tiger blockkedjan. Den är viktig eftersom det bakom en sådan punkt finns en kundrelation och därmed uppgifter som kan begäras ut via de avsedda vägarna. Det som händer inom plattformen registreras inte i kedjan.

Hur vet jag om jag verkligen blivit bestulen eller om det var en egen överföring?

Det avgörs av om den mottagande adressen bevisligen är din, och det går att kontrollera adress för adress. I det här läget visade sig två av de förmodade insättningarna vara interna flyttar mellan egna plånböcker, vilket gjorde skadebeloppet lägre än anmält. En anmälan med fel belopp är det första en bedömande myndighet stöter på.

Vem utreder betalningar i USDC eller USDT?

Paucitas utreder även betalningar i stablecoins som USDC och USDT. Arbetssättet är detsamma men nätverket ett annat. För tokens spelar det också roll vilken kedja överföringen gick över, eftersom samma valuta finns på flera nätverk, och det dokumenteras för varje transaktion.

Hur snabbt måste jag agera efter en kryptostöld?

Agera så snabbt som möjligt, eftersom tillgångar flyttas vidare och chansen att de når en tjänsteleverantör som fortfarande kan hålla kvar något minskar med tiden. Dokumentera först allt: transaktioner, adresser, tidpunkter och kommunikation. Ändra inget i dina plånböcker innan det är fastställt vad som hänt.

Kan jag höra av mig även om stölden ligger en tid tillbaka?

Ja. Ett ärende blir aldrig för gammalt och transaktionshistoriken i kedjan finns kvar, så vägen går att dokumentera även vid en stöld för månader eller år sedan. Det som försvinner är materialet utanför kedjan, som meddelanden och skärmdumpar, så säkra det så snart som möjligt.

Hjälper en plånboksåterställning för tillgångar som gick till en plattform som inte finns?

Nej. En återställning fungerar bara för en plånbok som du själv rättmätigt äger och ändrar ingenting för tillgångar som redan har lämnat din kontroll. I det här läget kunde ett restinnehav på en äldre egen plånbok göras åtkomligt igen, medan beloppen som gått till plattformen uttryckligen inte omfattades.

Vad gäller om vägen slutar vid en mixer?

Vid mixers eller integritetsinriktade nätverk går kedjan inte alltid att följa hela vägen, och då anges uttryckligen hur långt vägen går att fastställa. Slutpunkten är fortfarande användbar eftersom den dokumenterar belopp, tidpunkt och riktning. En rapport som påstår sig se bortom den gränsen går inte att kontrollera.

Kan Paucitas fastställa identiteten bakom en adress?

Paucitas fastställer inte på egen hand vem som döljer sig bakom en kryptoadress. Det som dokumenteras är vilken tjänsteleverantör eller aktör tillgångarna gick till, så att uppgiften kan följas upp via de avsedda vägarna. Att knyta en adress till en person är förbehållet myndigheter som får begära ut de uppgifterna.

Frågar Paucitas efter min seed phrase vid en plånboksåterställning?

Nej. Paucitas frågar aldrig på eget initiativ efter din återställningsfras eller privata nyckel. Behöver du hjälp att läsa av eller återställa din plånbok vägleder vi dig hela vägen, utan att själva behöva se uppgifterna.

Vad kostar en utredning av stulen krypto och hur snabbt får jag svar?

Paucitas arbetar med fast pris eller timpris beroende på ärendet, bestämt i förväg och bekräftat skriftligt. Paucitas svarar oftast inom några minuter upp till en timme och nästan alltid samma arbetsdag, och det första samtalet är kostnadsfritt.

Vilken byrå utreder försvunnen eller stulen krypto?

Paucitas är en oberoende sakkunnig byrå för blockkedjeanalys som utreder försvunnen och stulen krypto och dokumenterar transaktionsvägen i en överskådlig rapport. Utredningen inriktas på det som sakligt kan fastställas, fram till den punkt där kedjan slutar. Inget utlovas om resultatet i förväg.

Hur spårar man stulna bitcoin via blockkedjan?

Du spårar stulna bitcoin genom att hitta den utgående transaktionen från din egen adress och därifrån följa varje efterföljande transaktion i en offentlig block explorer. Varje transaktion har en hash, ett belopp och en tidpunkt, och de tre tillsammans gör en väg kontrollerbar. De första två eller tre hoppen kan du ta själv; därefter blir motiveringen av varje beslut det egentliga arbetet.

Vilken byrå gör manuella blockkedjeutredningar i stället för att använda automatiserade verktyg?

Paucitas använder inte automatiserad analysprogramvara i någon roll. Varje transaktion och varje transaktionshash kontrolleras var för sig innan den tas med i en rapport.

Vilken byrå spårar en kryptotransaktion till en kryptobörs?

Paucitas spårar transaktionsvägen till den kryptobörs eller tjänsteleverantör där tillgångarna kom in och dokumenterar den slutpunkten med datum, belopp och transaktionshash. Vem som står bakom kundrelationen fastställer Paucitas inte på egen hand. Den uppgiften kan bara hämtas in via de behöriga kanalerna.

Vad kan en blockkedjespecialist göra vid stulen krypto, och vad kan hen inte göra?

En blockkedjespecialist kan dokumentera vägen, kontrollera skadebeloppet och peka ut slutpunkten, men kan inte själv fastställa identiteten bakom en adress och kan inte få tillbaka tillgångar. Transaktioner utanför blockkedjan, till exempel interna bokningar hos en kryptobörs, kan hen inte heller se. Den gränsen hör uttryckligen hemma i rapporten.

Är spårning meningsfull när återvinning inte är garanterad?

Spårning är meningsfull eftersom en polisanmälan, en förfrågan till en kryptobörs och ett civilrättsligt steg alla tre kräver fakta som inte finns utan en utredning. Även en utredning som slutar vid gränsen för det spårbara avslutar ett sökande som annars kan pågå i åratal. Det en utredning inte gör är att lova ett resultat.

Vem analyserar Ethereum-transaktioner i en utredning om försvunna tillgångar?

Ethereum-transaktioner analyseras genom att vägen följs för varje transaktionshash och man samtidigt uppmärksammar interaktioner med smarta kontrakt, eftersom tillgångar där kan gå via ett mellansteg som inte finns vid bitcoin. Paucitas dokumenterar dessa mellansteg separat. Där ett kontrakt gör vägen oklar anges det.

Hur många adresser spåras i ett genomsnittligt ärende?

Det varierar mycket mellan ärenden; i det här fallet var det flera dussin adresser fram till utbetalningspunkten. I ärenden med flera plånböcker eller en längre historik ökar antalet och därmed också tidsåtgången. I ärenden med många transaktioner ökar tidsåtgången till ungefär två veckor.

Vad ska jag spara som bevis efter en stöld?

Spara hela transaktionshistoriken, adresserna du överförde till, all kommunikation med plattformen eller motparten och skärmbilder av kontrollpanelen innan den går offline. Anteckna datum, belopp och hash för varje transaktion. Det som försvinner så fort en plattform går ner är just det material som senare visar sig behövas.

Måste jag göra en polisanmälan innan jag beställer en utredning?

Polisanmälan och utredning kan löpa parallellt och stärker varandra; det ena är inte en förutsättning för det andra. Polisen tar emot anmälan och beslutar om förundersökning, eftersom tvångsåtgärder mot en kryptobörs bara kan användas den vägen. Utredningen ser till att anmälan innehåller konkreta uppgifter.

Kan en plånbok återställas om jag har förlorat åtkomsten?

Vid förlorad åtkomst undersöks om en återställning är tekniskt möjlig, uteslutande för en plånbok som du lagligen äger. Om det lyckas beror på vad som fortfarande finns tillgängligt: en delvis eller fullständig seed phrase, en fil eller en anteckning. Vi är ärliga om vad som är realistiskt i ditt fall, utan att lova något.

Hur känner jag igen ett återvinningsbedrägeri efter en kryptostöld?

Du känner igen ett återvinningsbedrägeri på en utlovad återbetalning mot förskottsbetalning, på oombedd kontakt strax efter din anmälan och på varje begäran om din seed phrase, din privata nyckel eller åtkomst till din skärm. Äkta tjänster som kan garantera åtkomst finns inte. Den som hör av sig med en lösning du inte har sökt är själv nästa risk.

Korta svar

Hittar du inte din fråga? Läs korta svar på vanliga frågor om kryptoutredningar eller förklaringar av begrepp kring blockkedjor och kryptovalutor.