Cazul în cinci fapte: ce am reușit să stabilim

  • Un client din Moldova a pierdut aproximativ 32.000 USD după transferuri către o platformă care simula activități de investiții.
  • În istoricul contului au fost executate 4 din 4 depuneri, însă au fost respinse 11 din 11 cereri de retragere, de la mai puțin de 100 USD până la 30.000 USD.
  • Interfața afișa un sold de aproximativ 58.064 USD, în timp ce pe adresa blockchain asociată mai erau aproximativ 51 USD.
  • Analiza tranzacțiilor a permis urmărirea a circa 26.538 USDT — aproximativ 83% din prejudiciul declarat — până la adrese atribuite în materialele cazului infrastructurii unor burse cripto centralizate.
  • Zeci de conversații, înregistrări video, emailuri, loguri și tranzacții au fost integrate într-un singur sistem; pentru 67 de fișiere-sursă a fost pregătit un manifest cu amprente digitale SHA-256.

Este un rezultat important, dar nu finalul cazului. Urmărirea unui transfer nu înseamnă recuperarea automată a banilor. Identificarea aceluiași IP nu înseamnă identificarea unei persoane. Găsirea unei adrese de bursă nu dezvăluie numele titularului fără o solicitare legală. Valoarea muncii constă în faptul că investigația are acum adrese, sume, marcaje temporale și întrebări concrete care pot fi verificate oficial.

Schema nu a început cu investiții, ci cu încredere

Primul mesaj nu conținea o ofertă de a cumpăra criptomonede. Contactul a început într-un chat anonim, ca o conversație personală obișnuită. Tema financiară a apărut mai târziu, după ce legătura nu mai părea întâmplătoare.

Clientul a fost apoi transferat, pe rând, de la un personaj la altul. Fiecare avea un rol și o poveste: primul contact construia încrederea, un „expert financiar” explica oportunitatea de câștig, următorul interlocutor îl ghida la înregistrare, iar un „trader” dădea instrucțiuni privind transferurile. Lanțul crea aparența unei organizații întregi: persoane diferite păreau să confirme independent credibilitatea platformei.

Primele plăți au fost mici. Ele arătau că transferul funcționează, contul este activ, iar pe ecran apare un rezultat. Apoi sumele au crescut. Interfața afișa un sold și un „profit” în creștere, deși clientul nu controla activele care ar fi trebuit să se afle în cont.

Când a încercat să retragă banii, regulile s-au schimbat brusc. Au apărut cerințe de plată suplimentară, de achitare a unui pretins „ajutor financiar”, de deblocare a unui așa-zis smart contract sau de îndeplinire a unei alte condiții. Chiar și cererile mici de retragere erau respinse. După refuzul de a continua plățile, convingerea a fost înlocuită de presiuni și amenințări cu pretinse consecințe juridice.

Prejudiciul total a ajuns la aproximativ 32.000 USD. O parte din bani provenea din împrumuturi și credite, astfel încât oprirea contactului cu platforma nu a oprit și consecințele: clientul a rămas nu doar fără capital, ci și cu obligații față de alte persoane și față de bancă.

Pentru Moldova, această istorie nu este o excepție rară. Poliția Națională include investițiile false, inclusiv cele care folosesc criptomonede, printre formele răspândite de fraudă online. Mecanismul nu se bazează pe o singură minciună evidentă, ci pe implicare graduală, imitarea unui mediu profesionist și amânarea continuă a momentului în care banii ar trebui să devină disponibili.

Prima cotitură a investigației: ecranul arăta 58.064 USD, blockchainul aproximativ 51 USD

Cazul putea rămâne o poveste tipică: clientul a transferat bani, a văzut cifre în cont, dar nu a putut retrage nimic. Pentru organele de drept, această relatare este relevantă, însă nu explică singură mecanismul schemei și traseul activelor.

Clientul avea experiență tehnică și a păstrat o parte din materialele primare: conversații, exporturi de mesaje, înregistrări de ecran, emailuri și date despre tranzacții. Echipa Colenco Legal a ajutat la construirea unei cronologii unice, la separarea faptelor confirmate de presupuneri și la stabilirea semnificației juridice a fiecărei constatări.

Cel mai clar episod a fost o înregistrare video continuă. Contul personal afișa un sold de aproximativ 58.064 USD. Înregistrarea trecea apoi la un explorator blockchain public, unde adresa asociată platformei avea aproximativ 51 USD. Adresa nu era aleatorie: coincidea cu cea din materialele tranzacționale și documentele clientului.

O a doua înregistrare arăta istoricul operațiunilor. Toate cele patru depuneri aveau statutul COMPLETED. Toate cele unsprezece cereri de retragere, indiferent de dată sau sumă, aveau statutul DECLINED. Contul primea imediat bani și afișa o creștere, dar nu permitea retragerea nici măcar a unei părți mici din soldul indicat.

Un screenshot poate fi scos din context. O singură adresă nu reflectă neapărat întreaga infrastructură financiară a unui serviciu: teoretic, un operator poate folosi mai multe portofele. De aceea, nu ne-am bazat concluzia pe o singură cifră spectaculoasă. Relevanța a rezultat din ansamblu: video continuu, adresă concordantă, istoricul operațiunilor, emailurile de refuz și deplasarea tokenurilor reale în blockchain.

Astfel a apărut un indiciu puternic că interfața nu reflecta situația reală a fondurilor. Dar nici acest lucru nu era suficient. Următoarea întrebare era mai dificilă: dacă banii nu se aflau acolo unde îi arăta contul, unde au ajuns în realitate?

Cum am urmărit 83%: de la portofelul clientului la puncte pentru solicitări oficiale

Blockchainul păstrează un istoric public al operațiunilor, dar nu atașează fiecărei tranzacții un nume din pașaport. Sarcina nu a fost să privim un singur transfer, ci să corelăm mai multe seturi de date: declarația clientului, sumele și datele depunerilor, hashurile tranzacțiilor, adresa platformei și deplasarea ulterioară a tokenurilor.

Mai întâi, echipa a reconciliat transferurile din diferite materiale. Astfel au fost identificate trei operațiuni mici care nu fuseseră incluse în diagrama inițială. Aceste sume nu au schimbat radical prejudiciul total, dar au explicat logica implicării: plățile de test au precedat transferurile mari și au consolidat încrederea în sistem.

Apoi a fost reconstituit traseul ulterior al aproximativ 26.538 USDT. Aceasta reprezintă circa 83% din cei 32.000 USD indicați în materialele cazului. Fondurile au ajuns la adrese atribuite în materialele analizate infrastructurii de depunere a unor burse centralizate importante.

Aici se află limita dintre analiza publică și investigația oficială. În blockchain pot fi văzute adresa, suma, activul, timpul și transferurile ulterioare. Legătura dintre o adresă de depunere și un anumit cont de utilizator este însă păstrată în interiorul bursei. Dacă platforma își identifică clienții, aceasta poate deține date de înregistrare, istoricul autentificărilor și operațiunilor, informații despre retrageri și alte înregistrări. Obținerea acestor date necesită o procedură legală și depinde de jurisdicție, politica platformei și acțiunile autorităților competente.

Prin urmare, cifra de 83% nu înseamnă că banii au fost deja găsiți într-un cont disponibil pentru recuperare. Înseamnă ceva mai precis: expresia generală „criptomoneda a dispărut” a fost înlocuită cu adrese, tranzacții, sume și marcaje temporale concrete, care pot fi incluse în solicitări oficiale.

Aceasta schimbă calitatea cazului. Solicitarea „ajutați-ne să găsim banii” este greu de executat. O solicitare legată de o adresă, un hash de tranzacție, o sumă și un moment exact permite unei burse sau unui furnizor străin să-și verifice propriile evidențe. Recuperarea nu este garantată: activele puteau fi transferate mai departe, convertite sau distribuite. Investigația are însă un punct verificabil de continuare.

Ați transferat deja banii? Păstrați urma digitală

Echipa Colenco Legal poate evalua transferurile, conversațiile și materialele tehnice, poate identifica acțiunile urgente și poate pregăti o strategie juridică fără promisiuni de recuperare garantată.

Scrieți pe Telegram

Un IP, 86 de conturi și 67 de fișiere digitale: cum coincidențele au devenit un sistem

Traseul financiar a fost doar una dintre liniile investigației. În conversații apăreau mai multe personaje care pretindeau că sunt independente. După descoperirea fraudei, clientul a organizat o fixare tehnică pasivă a accesărilor unui link trimis de el. Sistemul înregistra IP-ul public, parametrii dispozitivului și timpul accesării, fără acces la conturile altor persoane.

Două personaje-cheie au deschis de mai multe ori linkul prin același IP public, dar de pe dispozitive mobile diferite. Coincidența este relevantă: indică cel puțin un punct de rețea sau o infrastructură comună. Nu permite însă afirmația că o singură persoană controla ambele conturi. Sunt posibile un birou comun, un grup, același serviciu VPN sau proxy ori alte explicații. Pentru identificarea abonatului și a tipului conexiunii este necesară o solicitare oficială către furnizor pentru intervalele exacte de timp.

O altă constatare a apărut în timpul analizei unei sesiuni obișnuite de utilizator pe platformă. Un răspuns al serverului conținea date despre 86 de conturi aparținând unui număr de 79 de utilizatori unici. În set au fost identificate coincidențe tehnice cu o altă platformă online, considerată anterior doar o posibilă parte a aceleiași infrastructuri.

Nu publicăm denumiri, nume, adrese de email sau alte informații din acest set. Existența unui cont nu dovedește că titularul său a fost victimă sau participant la schemă. Datele agregate au ajutat însă la formularea unei noi ipoteze verificabile și au sugerat că situația clientului ar putea să nu fie un episod izolat.

Trebuia apoi păstrată nu doar concluzia, ci și baza materială. Pentru 67 de fișiere — screenshoturi, înregistrări video, emailuri, documente, loguri și diagrame — a fost creat un manifest SHA-256. Un astfel de hash funcționează ca o amprentă digitală: dacă după fixare se modifică chiar și un singur element al fișierului, valoarea de control se schimbă.

Hashul nu dovedește că informația din fișier este adevărată și nici nu exclude o editare anterioară calculării sale. Funcția sa este mai precisă: arată că versiunea folosită ulterior coincide cu versiunea fixată și nu a fost înlocuită în mod nedetectabil.

În această etapă, volumul de date a încetat să fie doar un dosar cu „screenshoturi de pe internet”. Am împărțit informațiile în trei categorii:

  • fapte confirmate de mai multe surse;
  • ipoteze argumentate care necesită verificare oficială;
  • date care nu pot fi publicate sau folosite pentru acuzații.

Acest filtru este mai puțin spectaculos decât anunțul că autorii au fost găsiți, dar este mult mai valoros juridic.

Munca juridică începe acolo unde se termină screenshotul spectaculos

O constatare tehnică este utilă doar dacă știm cum a fost obținută, ce confirmă și ce acțiune procesuală poate urma. Coincidența de IP trebuie să conducă la o solicitare către un anumit furnizor pentru o perioadă exactă. O adresă de bursă trebuie legată de o cerere privind tranzacții concrete. Un email trebuie păstrat în formatul original, cu antetele tehnice, nu doar ca imagine de ecran.

Articolul 93 din Codul de procedură penală al Republicii Moldova include printre mijloacele de probă documentele, fotografiile și înregistrările audio sau video. Aceasta nu înseamnă că orice fișier devine automat admisibil și suficient. Contează legalitatea obținerii, sursa, posibilitatea verificării și respectarea regulilor procesuale. Evaluarea finală aparține organului de urmărire penală, procurorului și instanței.

De aceea, activitatea Colenco Legal nu s-a limitat la descrierea constatărilor. Pentru fiecare linie a fost stabilit un posibil destinatar al următorului demers:

  • bursele centralizate — pentru adresele de depunere, tranzacții și eventualele date ale conturilor;
  • furnizorul infrastructurii de rețea — pentru IP și marcajele temporale exacte;
  • furnizorii de hosting, email și alte servicii — pentru informațiile care ar mai putea fi păstrate;
  • banca — pentru documentarea faptului că o parte a prejudiciului provenea din credite;
  • organele de drept — pentru verificări procesuale, solicitări internaționale și anexarea materialelor.

Elementul internațional nu face inutilă această muncă, dar o complică. Materialele oficiale ale IGP arată că în cazuri transfrontaliere de investiții false, autoritățile moldovenești folosesc analiza blockchain, schimbul de informații prin Europol și mecanisme comune sub egida Eurojust. Un raport privat nu înlocuiește aceste competențe. Rolul său este să ofere date inițiale precise, nu să substituie urmărirea penală.

Din același motiv, nu trebuie publicate identități presupuse, contactate persoane găsite cu acuzații sau distribuite datele altor utilizatori ai platformei. O identificare greșită poate prejudicia o persoană neimplicată și poate slăbi poziția victimei.

Ce s-a schimbat pentru client și ce trebuie să facă alte victime din Moldova

Înainte de sistematizare, cazul părea o istorie cunoscută, dar prea generală: banii au fost transferați, platforma arată profit, retragerea este blocată, iar interlocutorii cer o nouă plată. După munca efectuată au apărut o cronologie unică, o hartă a rolurilor, adrese și tranzacții confirmate, marcaje temporale, originale ale materialelor tehnice și o listă de solicitări oficiale.

O sesizare către un centru străin de primire a plângerilor privind criminalitatea cibernetică a fost înregistrată, iar materialele sunt pregătite pentru lucrul ulterior cu autoritățile și organizațiile competente. Aceasta nu înseamnă că o investigație străină a început deja. La data publicării nu declarăm nici recuperarea banilor, nici blocarea activelor și nici identificarea autorilor. Colenco Legal continuă să lucreze la caz.

Dacă vă aflați într-o situație similară în Moldova, primele acțiuni trebuie să păstreze opțiunile, nu să creeze pierderi noi:

  1. Opriți orice plată suplimentară. „Taxa”, „asigurarea”, „comisionul de deblocare” sau plata unui necunoscut care promite recuperarea garantată continuă adesea aceeași schemă.
  2. Păstrați originalele. Sunt necesare nu doar screenshoturi, ci și exportul conversațiilor, emailurile în format original, înregistrările video, chitanțele, adresele portofelelor, hashurile tranzacțiilor, datele și ora exactă.
  3. Documentați mișcarea banilor. Pregătiți un tabel: de unde, unde, când, ce sumă și în ce activ a fost transferată.
  4. Contactați banca, bursa și poliția prin canale oficiale. Nu folosiți datele de contact trimise de participanții la schemă. BNM avertizează separat despre ofertele false de investiții și paginile online fictive.
  5. Obțineți confirmarea înregistrării sesizării. Numărul și data ajută la urmărirea demersurilor și la transmiterea completărilor.
  6. Nu editați fișierele originale. Lucrați cu copii și păstrați originalele separat.
  7. Transmiteți avocatului întregul context. Uneori elementul decisiv nu este cel mai spectaculos screenshot, ci o tranzacție-test, antetul tehnic al unui email sau coincidența dintre două marcaje temporale.

Un transfer cripto nu poate fi anulat printr-o singură plângere, iar OSINT nu promite miracole. Acest caz arată însă că și o schemă transfrontalieră complexă poate fi descompusă în elemente verificabile și transformată din haos digital într-un traseu juridic concret — dacă se acționează rapid, se păstrează originalele și probele nu sunt înlocuite cu presupuneri.