Pseudoanonimowość rozliczeń kryptowalutowych w połączeniu z wciąż stosunkowo niskim poziomem wiedzy technicznej wśród potencjalnych ofiar tworzy środowisko wyjątkowo sprzyjające działalności przestępczej.

Zadaniem tego tekstu jest pokazanie, że śledczy dysponuje dziś narzędziami, które pozwalają skutecznie działać – pod warunkiem, że wie, gdzie patrzeć i kiedy zacząć.

Blockchain jako materiał dowodowy

Punktem wyjścia każdej analizy jest zrozumienie natury samego łańcucha bloków. Blockchain to publiczny, rozproszony rejestr transakcji. Raz zapisanej w blockchainie transakcji nie można usunąć ani cofnąć. Blockchain jest jak publiczna księga, z której nie można wyrwać kartki – można jedynie dokleić nową. Dla śledczego oznacza to, że każdy ruch środków pozostawia trwały ślad, który można odczytać i przeanalizować. Każda operacja pozostawia trwały ślad: adres, kwotę, znacznik czasu i kolejne miejsca, do których środki zostały przekierowane.

Z perspektywy śledczej kluczowe jest jedno: anonimowy nie jest adres, lecz jego właściciel. Adres portfela sam w sobie nie wskazuje osoby. Anonimowość dotyczy więc nie technologii, lecz powiązania adresu z konkretnym człowiekiem. Identyfikacja tego człowieka wymaga połączenia danych z łańcucha z danymi pozyskanymi od giełd lub innych podmiotów – co w zdecydowanej większości spraw jest możliwe.

W typowym oszustwie inwestycyjnym mechanizm jest zaskakująco przejrzysty. Ofiara przekazuje środki na wskazany adres lub platformę, po czym następuje seria szybkich transferów przez kolejne portfele, nierzadko z udziałem swapów (wymiany tokenów w obrębie danego blockchaina) i mostków (tzw. „bridge”, transferu między blockchainami). Wszystko to jest widoczne w łańcuchu bloków, ale bez znajomości narzędzi analitycznych może wyglądać jedynie jak nieczytelny szum. To pozorne zamieszanie jest zresztą celowe – przestępstwa tego rodzaju są z natury przejrzyste, a korzystanie z mostków, swapów lub rozdzielanie transakcji ma na celu utrudnić analizę i sprawić, by była ona maksymalnie czasochłonna.

Blockchain można porównać do księgi rachunkowej, w której każda operacja zostawia trwały wpis na stronie, ale nazwisko właściciela nie jest na pierwszej stronie. Adres portfela to jak numer rachunku w tej księdze – każdy go widzi, ale nie wiadomo, do kogo należy. Aby ustalić, kto stoi za danym adresem, trzeba połączyć wpis z księgi z innymi dokumentami, tak jak w śledztwie łączy się numer rachunku bankowego z konkretną osobą.

Pierwsze minuty mają znaczenie decydujące

W sprawach o oszustwa inwestycyjne czas gra rolę pierwszorzędną. Im szybciej zostaną zabezpieczone dane transakcyjne, tym większa szansa na zatrzymanie przepływu środków. Opóźnienie w tym zakresie bywa nie do nadrobienia.

Na wstępnym etapie czynności priorytetem jest zabezpieczenie dowodowe urządzeń – telefonów, komputerów, dysków oraz aplikacji i komunikatorów, za pośrednictwem których dokonano przelewu. Szczególną uwagę należy poświęcić linkom, profilom w mediach społecznościowych i aplikacjom, przez które przebiegała komunikacja z rzekomym doradcą inwestycyjnym.

Istotne jest przy tym, aby nie podejmować samodzielnych prób operowania na widocznych portfelach – nawet przypadkowe kliknięcie może wywołać nieautoryzowany transfer, zakończyć sesję lub wylogować użytkownika z aplikacji, co poważnie utrudni dalsze śledzenie przepływu środków.

Już na tym etapie warto sporządzić dokumentację zawierającą:

• adresy portfeli,
• identyfikatory transakcji (TXID),
• daty,
• kwoty,
• nazwy platform,
• linki,
• zrzuty ekranów.

Im więcej danych zostanie zebranych bezpośrednio po zdarzeniu, tym sprawniej biegły odtworzy wątek przepływu środków. Publiczne eksploratory blockchain pozwalają w kilka minut zweryfikować, dokąd trafiły pierwsze środki, oraz czy zbierane przez śledczych dane są poprawne.

Trzy główne dominujące modele oszustw

W polskich sprawach najczęściej powtarzają się trzy scenariusze, które warto znać z nazwy i z mechanizmu działania:

1. Obietnice nierealnych wysokich zysków

Schemat oparty na obietnicy wysokich, pewnych zysków za stosunkowo niewielkie, choć niekiedy bardzo duże wpłaty. Ofiara obserwuje w aplikacji systematycznie rosnące saldo portfela, jednak wszelkie próby wypłaty są blokowane lub obwarowane kolejnymi warunkami, np. fałszywymi opłatami za licencję, fałszywymi podatkami.

W rzeczywistości środki od chwili wpłaty trafiają bezpośrednio na adresy kontrolowane przez sprawców.

2. Pig butchering (ang. „tuczenie świń”)

Oszustwo długoterminowe, w którym sprawca przez tygodnie lub miesiące buduje z ofiarą relację emocjonalną: romantyczną, przyjacielską lub opartą na wspólnym doświadczeniu, często negatywnym – jak rozstanie, śmierć bliskiej osoby czy choroba. Dopiero po ugruntowaniu zaufania zaczyna stopniowo wprowadzać temat inwestycji kryptowalutowych.

W Polsce tego rodzaju sprawy nierzadko dotyczą wartości rzędu setek tysięcy złotych, a środki trafiają przez giełdy objęte procedurami KYC, co paradoksalnie ułatwia ich śledzenie. Ofiary w tym modelu przez bardzo długi czas nie mają świadomości, że są oszukiwane, a przez przywiązanie do oszusta potrafią zaciągać kredyty lub pożyczać pieniądze od rodziny i znajomych, ślepo ufając oszustowi.

3. Fałszywe platformy

Aplikacje, które wizualnie naśladują renomowane giełdy, lecz w istocie są jedynie frontem. Portfel widoczny w interfejsie aplikacji to często tylko warstwa wizualna, natomiast rzeczywisty obraz w łańcuchu bloków pokazuje coś zupełnie innego. Środki nigdy na te platformy nie trafiają.

Wpłacane inwestycje trafiają albo na giełdy kryptowalutowe mające możliwość płacenia przelewami, albo do kantorów i wpłatomatów kryptowalutowych, a w niektórych przypadkach bezpośrednio do innych osób oszukiwanych w tym samym czasie.

Pojęcia, które warto znać

Praca ze sprawami kryptowalutowymi wymaga znajomości kilku pojęć, które pojawiają się w opiniach biegłych i materiałach analitycznych:

• adres portfela – publiczny identyfikator w sieci blockchain, odpowiednik numeru rachunku bankowego, widoczny dla wszystkich uczestników sieci;
• TXID (hash transakcji) – unikalny identyfikator każdej operacji, funkcjonalnie odpowiadający numerowi przelewu;
• VASP / CASP giełda, broker lub kantor kryptowalut, który podlega obowiązkom KYC i AML oraz wymianie informacji z organami ścigania;
• clustering – metoda grupowania adresów należących do jednego podmiotu na podstawie wzorców transakcyjnych;
• swap – wymiana tokenów w obrębie danego blockchaina;
• bridge – narzędzie pozwalające na transfer między różnymi blockchainami.

W toku przesłuchań warto pytać ofiary o:

• konkretną nazwę platformy,
• adresy portfeli,
• zrzuty ekranów z aplikacji i historii transakcji,
• ekran z próbą wypłaty,
• kanał komunikacji, przez który przekazywano instrukcje – co szczególnie cenne.

Narzędzia dostępne od pierwszej chwili

Na etapie operacyjnym nie trzeba czekać na biegłego. Publiczne eksploratory blockchain umożliwiają w kilka minut zorientowanie się w przepływie środków, zidentyfikowanie odbiorców i prześledzenie dalszych transferów.

Do najważniejszych należą:

• Blockchain.com i Blockchair dla sieci Bitcoin;
• Etherscan dla Ethereum i tokenów ERC-20
  • w tym USDT i USDC, które są coraz powszechniej wykorzystywane w oszustwach inwestycyjnych;
• Tronscan dla sieci TRON, szczególnie popularnej wśród sprawców ze względu na niskie opłaty transakcyjne.

Arkham Intelligence w parze z Etherscan lub Tronscan pozwala powiązać adresy z konkretnymi podmiotami i giełdami, co umożliwia szybką ocenę czy środki przeszły przez identyfikowalny VASP. Do zaawansowanych analiz stosowane są systemy, takie jak Chainalysis, z których część jednostek Policji już korzysta.

Giełdy jako brama do identyfikacji sprawców

W większości oszustw inwestycyjnych ślad finansowy kończy się na giełdzie lub kantorze. Podmioty działające legalnie na terenie Unii Europejskiej i posiadające licencję CASP (od 2026 r. obowiązkową dla giełd i kantorów kryptowalutowych) są objęte obowiązkami KYC. Oznacza to, że dysponują danymi pozwalającymi zidentyfikować klienta: imieniem i nazwiskiem, dokumentem tożsamości, adresem e-mail, adresem IP, historią logowań, zdjęciem dokumentu tożsamości i zdjęciem właściciela portfela. Giełdy, które nie stosują KYC, działają poza regulacjami UE i są trudniejsze do zidentyfikowania w postępowaniu. To właśnie ta warstwa pozwala połączyć informację z łańcucha bloków – o tym, co się stało – z informacją poza nim – o tym, kto za tym stoi.

Co warte podkreślenia to duże giełdy, takie jak Binance, Kraken, Coinbase czy OKX, posiadają dedykowane portale i formularze kontaktowe oraz procedury dla służb, za pośrednictwem których można złożyć wniosek online i otrzymać wszelkie informacje, o ile zapytanie było zgodne z wytycznymi.

Wytyczne dla wniosku to z reguły:

• TXID transakcji,
• konkretne adresy,
• kwoty transakcji,
• zakres dat.

Warto też wiedzieć, że podmioty spoza Unii Europejskiej – w tym z jurysdykcji wschodnich – w praktyce również odpowiadają na stosowne zapytania organów ścigania. W przypadku giełd z jurysdykcji zewnętrznej właściwą ścieżką pozostają Europejski Nakaz Dochodzeniowy lub MLAT.

Zabezpieczanie kryptowalut w postępowaniu

W sprawach o oszustwa inwestycyjne zabezpieczeniu podlegają zasadniczo dwa rodzaje materiału:

• środki w kryptowalutach,
• cyfrowe ślady samego oszustwa, obejmujące aplikacje, serwisy, profile społecznościowe i historię konwersacji, przez które przebiegała manipulacja ofiarą.

Przy zajęciu portfeli konieczne jest prowadzenie pełnej dokumentacji graficznej i opisowej każdego etapu czynności. W przypadku zabezpieczenia sprzętowego portfela kryptowalutowego np. urządzenia Ledger – środki powinny zostać przetransferowane na portfel prokuratury. Wynika to z prostego faktu: do takiego portfela dostęp mogą mieć również sami sprawcy, co czyniłoby zabezpieczenie iluzorycznym.

Rola biegłego w sprawach kryptowalutowych

Biegły sądowy z zakresu kryptowalut nie zastępuje śledczego, nie prowadzi przesłuchań, nie zajmuje portfeli. Jego rolą jest:

• przełożenie zapisów z blockchaina na język procesowy;
• wskazanie, gdzie środki trafiają;
• zidentyfikowanie punktów, w których pojawiają się dane osobowe;
• pomoc w sformułowaniu wniosków do giełd, banków, operatorów;
• wskazanie, które ślady są istotne, a które poboczne;
• wykazanie, czy dana sprawa łączy się z innymi postępowaniami.

Biegły działa na podstawie materiału dostarczonego przez Policję i prokuratora. Im pełniejszy materiał, tym lepsza opinia. Wolno działającemu organowi ścigania nawet najlepsza analiza techniczna może nie mieć znaczenia, jeśli środki zostaną wypłacone zanim zostaną zabezpieczone. Biegły jest więc nie „czarodziejem od krypto”, ale przewodnikiem po śladach technicznych.

Wiedza jako narzędzie śledcze

Kryptowaluty są trwale wpisane w obraz współczesnej przestępczości i nie ma podstaw, by sądzić, że ich udział w oszustwach inwestycyjnych będzie maleć. Unijne regulacje dotyczące podmiotów VASP i CASP dają organom ścigania realne możliwości – ale wyłącznie wtedy, gdy śledczy potrafi odczytać adres portfela, zidentyfikować TXID, rozpoznać typ platformy i poprawnie sformułować wniosek do giełdy.

Im wcześniej funkcjonariusz na etapie przyjmowania zawiadomienia rozpozna pierwszy adres i pierwszy identyfikator transakcji, tym większa szansa na zatrzymanie przepływu środków, ustalenie sprawcy i zabezpieczenie dowodów, które wytrzymają weryfikację sądową. Blockchain nie cofa transakcji – ale w rękach dobrze przygotowanego śledczego staje się jednym z najsolidniejszych materiałów dowodowych, jakimi dysponuje współczesne postępowanie karne.

Damian Dejewski
biegły sądowy ds. oszustw inwestycyjnych, kryptowalutowych, analizy blockchain oraz informatyki śledczej, Safe Idea Kancelaria Prawno-Detektywistyczna oraz Polski Instytut Badań Oszustw Inwestycyjnych

Michał Bielański
biegły sądowy ds. oszustw inwestycyjnych, kryptowalutowych, analizy blockchain oraz informatyki śledczej, Safe Idea Kancelaria Prawno-Detektywistyczna oraz Polski Instytut Badań Oszustw Inwestycyjnych

asp. Daniel Machczyński
Komenda Powiatowa Policji w Kołobrzegu, biegły sądowy ds. kryptowalut i analizy blockchain

zdj. unsplash