Fall: USDC-bedrägeri i tre nätverk kartlagt

Vad visar fallet om USDC-bedrägeri i tre nätverk?

Fallet visar att en väg över flera nätverk inte är svårare per steg, men att antalet kopplingar mellan nätverk avgör hur mycket som går att fastställa med säkerhet. Inom ett nätverk följer du en linje, och vid varje övergång måste du visa att en utgående transaktion i det ena nätverket hör ihop med en inkommande transaktion i det andra.

Utgångspunkten var fullständig: den drabbade hade tre egna adresser, transaktions-hashen för varje betalning och en export från plattformen där han köpt sina USDC. Det är en lyx, och det är skälet till att ärendet kom långt.

Det som gick snett i rekonstruktionen var inte tekniken utan förväntningen. Den drabbade hade själv följt de första stegen i en blockutforskare och trodde att spåret tog slut, eftersom tillgångarna bara försvann i det ena nätverket. De hade inte försvunnit, de fanns i ett annat nätverk.

Hur gick vägen via Ethereum, Polygon och Arbitrum?

Vägen gick i tre faser: på Ethereum slogs betalningarna ihop, via en brygga gick beloppet till Polygon, och efter en uppdelning där gick en del via en andra brygga till Arbitrum, där den kom in hos en handelsplattform. Sammanlagt handlade det om nitton transaktioner och två övergångar.

• Fas ett, på Ethereum: fyra betalningar från den drabbade möttes på en adress där det i samma tidsfönster även kom in transaktioner med annat ursprung.
• Fas två, på Polygon: beloppet delades i sex ojämna delar, varav fyra inom en dag slogs ihop igen på en ny adress.
• Fas tre, på Arbitrum: det sammanslagna beloppet gick i två transaktioner till en adress som tillhörde en handelsplattform.

Beslutet att också följa de två små delarna som blev kvar på Polygon gav den mest användbara iakttagelsen. En av dem gick nämligen utan mellansteg till en andra plattform, och den grenen gick att följa hela vägen.

Varför gör en brygga utredningen svårare, och hur fastställdes övergången ändå?

En brygga gör utredningen svårare eftersom det inte finns någon enskild transaktion som registrerar båda nätverken samtidigt. Det finns en utgående transaktion i det ena nätverket och en inkommande i det andra, och kopplingen däremellan måste du själv styrka. Det kallas en cross chain-övergång och är i praktiken den mest underskattade delen av ett ärende.

I fallet fastställdes varje övergång med fyra uppgifter bredvid varandra: det exakta beloppet inklusive minsta enheter, tidpunkten på båda sidor, bryggans kontrakt på mottagarsidan och adressen som tog emot beloppet där. När de fyra stämmer med varandra och det inte finns någon andra kandidat i tidsfönstret går kopplingen att följa.

Det som ofta underskattas: beloppet räcker inte ensamt. Vid jämna belopp finns det flera kandidater i samma tidsfönster, och då går kopplingen inte att fastställa. I rapporten står därför för en av de sex delarna att övergången inte kan kopplas med säkerhet, med skälet till det.

Vilken roll har utgivaren av en stablecoin?

Hos en centralt utgiven stablecoin har utgivaren tekniskt möjlighet att spärra adresser, eftersom möjligheten är inbyggd i själva kontraktet. Det är en egenskap hos token och ingen tjänst som utförs på begäran av en privatperson.

För ditt ärende betyder det två saker. För det första ligger frågan om en adress spärras hos utgivaren, och i praktiken följer den på en begäran från en behörig myndighet, inte på en begäran från dig eller från en utredningsbyrå. För det andra gör det att det lönar sig extra mycket att snabbt dokumentera adresser, eftersom en begäran från en myndighet måste vila på något.

Om reglerna som utgivare och leverantörer av kryptotillgångstjänster omfattas av i Europa publicerar Europeiska kommissionen och Europeiska centralbanken. Skyldigheterna gäller leverantörerna och inte en utredningsbyrå som inte själv förvaltar några tillgångar.

Vilka steg går en cross chain-utredning igenom?

En cross chain-utredning går igenom sju steg, där varje nätverk hanteras för sig och kopplingarna läggs sist.

1. Fastställ alla den drabbades egna adresser och betalningar, med belopp, tidpunkt och transaktions-hash.
2. Följ kedjan per nätverk fram till punkten där tillgångarna lämnar nätverket eller kommer in hos en tjänst.
3. Fastställ vilket bryggkontrakt som användes och vilken tidsfördröjning som hör till.
4. Sök i mottagarnätverket efter inkommande transaktioner som passar i belopp och tidsfönster.
5. Uteslut att det finns en andra kandidat i tidsfönstret. Finns det en fastställs inte kopplingen.
6. Följ alla förgreningar, även de små, eftersom de oftare kommer fram till en tjänst än huvudflödet.
7. Dokumentera per steg och per koppling vad iakttagelsen vilar på och var osäkerheten börjar.

Steg fem är det som gör en rapport hållbar. En rekonstruktion som framställer varje övergång som säker är nästan alltid för optimistisk vid en väg med många jämna belopp.

Paucitas använder ingen automatiserad analysprogramvara, i någon roll. Utredningen görs manuellt utifrån öppet tillgängliga blockutforskare. Varje transaktion och varje transaktions-hash kontrolleras för sig innan den tas med i en rapport.

Varför skillnaden är viktig står i vår jämförelse av manuell blockkedjeanalys och automatiserade verktyg. För en väg inom ett nätverk är fallet där en transaktion spårades fram till börsen den enklare motsvarigheten till det här ärendet.

Vad kan en cross chain-utredning inte fastställa?

En cross chain-utredning fastställer vilken väg tillgångarna tog och vid vilka övergångar kopplingen är säker, inte vem som satt på andra sidan. Den gränsen hör uttryckligen hemma i rapporten, för varje koppling.

• Paucitas fastställer inte på egen hand vem som står bakom en kryptoadress. Det vi dokumenterar är till vilken tjänst eller part tillgångar har gått, så att polis och åklagare kan gå vidare med uppgiften på de vägar som finns för det.
• När mixers eller integritetsinriktade nätverk har använts går kedjan inte alltid att följa hela vägen. Då anges uttryckligen hur långt vägen går att fastställa.
• Transaktioner utanför blockkedjan, som kontantbetalningar eller interna bokningar på en börs, syns inte i blockkedjedata. De tas bara med om det finns underliggande dokument.
• Paucitas förvaltar inga tillgångar och gör inga transaktioner för klienters räkning.
• Paucitas lovar ingenting om utgången av en utredning.
• En rapport från Paucitas håller sig till sakliga iakttagelser och utredningen av dem.
• Paucitas ger ingen skatterådgivning eller juridisk rådgivning.

Ytterligare en sak spelar roll i den här typen av ärenden: transaktioner inne på en handelsplattform syns inte on-chain. Så fort tillgångar kommer in hos en kryptobörs stannar kedjan och börsens egna uppgifter tar vid.

Vad kan du göra själv, och när räcker det inte?

Den första fasen kan du göra själv: dokumentera dina egna adresser och betalningar och följ kedjan inom ett nätverk i en öppen blockutforskare. Det tar en kväll och ger ofta redan en insamlingspunkt.

Det räcker inte längre när tillgångarna lämnar nätverket. Tror du att spåret tar slut för att beloppet försvinner, kontrollera först om en brygga är inblandad. I det här fallet var det precis där den drabbade hade slutat. Att koppla ihop två nätverk kräver en uteslutningsanalys, och det är arbete som man måste kunna stå för.

Underlagen lämnas över digitalt. För varje ärende får du en lista över vilka uppgifter som behövs, och vid behov hjälper Paucitas till med att samla in och lämna dem.

Paucitas ber aldrig på eget initiativ om din återställningsfras eller din privata nyckel. Behöver du hjälp att läsa ut eller återställa din plånbok hjälper vi dig hela vägen, utan att vi själva behöver se de uppgifterna.

Vad står i rapporten och hur lång tid tar utredningen?

En rapport från Paucitas följer en fast struktur: bakgrund och uppdragsbeskrivning, frågeställning, omfattning, utgångspunkter, lämnade uppgifter, använda källor, metod i huvuddrag, verifiering och kvalitetssäkring, förbehåll och begränsningar, iakttagelser per del, kronologisk översikt, analys och sammanhang, slutsats, oberoendeförklaring och bilagor. Alla rapporter innehåller inte alla delar, och strukturen anpassas efter syftet.

I det här fallet stod konkret: nitton transaktioner med transaktions-hash fördelade över tre nätverk, två övergångar varav en kopplad med säkerhet och en med förbehåll, två tjänster där tillgångar kom in med tillhörande tidpunkt, och en slutsats där det per del anges vad som ligger fast. Mottagaren kunde därmed göra en riktad polisanmälan.

En utredning från Paucitas tar beroende på ärendets omfattning och hur brådskande det är mellan en arbetsdag och två veckor. Ett brådskande utlåtande kan levereras inom en arbetsdag och i undantagsfall samma dag. En vanlig utredning är i regel klar inom tre arbetsdagar. Vid ärenden med många transaktioner, flera plånböcker eller saknad historik ökar handläggningstiden till ungefär två veckor. För brådskande uppdrag tillkommer en avgift.

Paucitas arbetar med ett fast pris utifrån din situation. Efter överenskommelse använder vi ibland ett timpris, men timmarna bestäms alltid i förväg så att du aldrig blir överraskad. En utredning påbörjas först när kostnaden har diskuterats och godkänts.

Paucitas svarar oftast inom några minuter upp till en timme och nästan alltid samma arbetsdag.

Var börjar polisens arbete och var börjar Paucitas?

Polisen kan ta emot en anmälan och under en förundersökning begära ut uppgifter från en tjänst eller en utgivare. Paucitas kan inte det, utan fastställer i stället de fakta som en sådan begäran kan bygga på. Vid en väg över flera nätverk är skillnaden extra relevant, eftersom en begäran måste gå till varje inblandad part för sig.

Kör din egen rekonstruktion fast vid punkten där ett belopp verkar försvinna kan du låta titta på det i ett kostnadsfritt första samtal. Vi säger ärligt när en koppling inte går att fastställa. Mer om tjänsten finns under blockkedjeutredning och spårning av transaktioner och det bredare arbetssättet på sidan om att spåra stulen krypto.

Senast uppdaterad: 4 september 2026.