Mannen trykker på telefonen sin.
Foto: Hanne Wilhelms / NRK

Kryptosvindelen

Han ble lurt til å investere nærmere 200.000 i bitcoin. NRK kan gi et unikt innblikk i hvordan pengene har gått til kriminelle som har svindlet for millioner.

20.11.21 kl. 12:11

Anna:Hello, is this Mr Steinar, the tour guide?

Meldingen som tikket inn på meldingstjenesten WhatsApp 20. november i fjor virket uskyldig nok.

Den var fra et Hongkong-basert nummer. Meldingen ble mottatt og lest av en mann fra Tromsø.

Han svarte som sant var at han ikke het Steinar, men at han hadde en leietaker som var turguide.

Kanskje det var han hun forsøkte å komme i kontakt med?

Etter å ha snakket litt om været, stoppet samtalen der.

Kanskje var det bare en tilfeldig feilsendt melding?

Det ble ikke spurt etter penger, eller noe annet som skulle tilsi ugler i mosen.

Få dager senere ble imidlertid samtalen gjenopptatt. Mannen hadde hatt mye glede av internasjonale relasjoner tidligere. Han var nysgjerrig.

Kunne dette være en ny venn?

Det kom fram at hun het Anna, og at hun var fra Singapore.

Hun fortalte at hun jobber med å analysere bitcoin-markedet.

Det vakte nysgjerrighet.

Mann fra Nord-Norge:The concept of crypto and blockchain makes a lot of sense I think.
Anna:Are you also investing in Bitcoin?
Mann fra Nord-Norge:Well, yes. Do you yourself invest?

Han var interessert i kryptovaluta. Men hadde hatt vanskeligheter med å finne et godt krypto-miljø i Norge for å lære mer.

Kanskje denne Anna kunne hjelpe?

Dette ble begynnelsen på en dialog hvor mannen ble lurt til å investere et sekssifret beløp i bitcoin, og overføre disse til en falsk kryptobørs.
Mannen ble kontaktet via WhatsApp en dag i november i fjor.
NRK kan gi et sjeldent innblikk i hvordan dette skjedde.
Skjermdump fra siste chat.
Hva som utspilte seg da han konfronterte svindlerne, etter å ha hyret inn en privatetterforsker.
Here is the graph that shows the flow of BTC from exchanges that Rich explained are more likely or confirmed victims' accounts to the scam wallet.
Og ikke minst hvordan beløpet bare er en dråpe i havet i forhold til summene folk svindles for.
­
NRK har valgt å anonymisere han av hensyn til sikkerhet, men har sjekket dokumentasjon som bekrefter hans opplysninger.

Samtalen mellom mannen og Anna fortsatte i dagene fremover.

På den ene siden om helt hverdagslige ting.

Anna:Where did you go to play this weekend?

På den andre siden om plattformer for å investere i kryptovaluta.

Anna:If you need, I can share some of my trading information and experience with you.
Mann fra Nord-Norge:Thank you. I'd be grateful to receive some trading info!

Mannen var ivrig etter å lære mer, og Anna introduserte en plattform hun sa hun kjente godt:

En tjeneste for å omsette kryptovaluta. En såkalt kryptobørs.

Hun foreslo at de kunne handle sammen der.

Det fant han ut var en god idé.

Mann fra Nord-Norge:Very generous of you!

I ettertid ser han den sosiale manipulasjonen han har blitt utsatt for. Hvordan Anna over tid bygde tillit.

Han har gitt NRK fullt innsyn i chatloggene, en rapport fra en privatetterforsker og kommunikasjonen med politiet.

Håpet er at andre skal lære av hans feil.

Jeg vet om mange nordmenn som har blitt svindlet på akkurat denne måten. En jeg kjenner ble nettopp svindlet for 1,2 millioner. Jeg har vært heldig i forhold til det, sier han til NRK.

I dokumentasjonen kommer det fram at det, fra svindlerens side, aldri var et direkte spørsmål om penger.

Opplevelsen var i stedet at vedkommende ville hjelpe.

Anna var en person som ga uttrykk for å bry seg.

– Vedkommende hadde min fulle tillit til slutt, sier mannen.

Anna:Send me a message when you get home. Pay attention to safety.

Investeringen

Han fikk hjelp fra Anna til å sette opp en konto på denne tjenesten hun hadde anbefalt, og som han trodde var et bra sted for å drive kryptohandel.

Nettsiden som tilhørte tjenesten så proff ut.

Den var på sju ulike språk.

Anna hjalp han så med å overføre bitcoin til denne siden. Slik at de kunne begynne å handle sammen og tjene penger.

Men hvorfor var hun egentlig interessert i å hjelpe?

Meldingene viser hvordan det parallelt med investeringene tilsynelatende utviklet seg et vennskap.

Anna:Do you have a rest today? You are a hard-working person.
Mann fra Nord-Norge:I had a wonderful sleep. Cat and coffee in bed this morning. I do enjoy life, indeed.
Anna:Do you have a cat?
Mann fra Nord-Norge:(navnet på katt). He for one, does not have to work hard!
Anna:You must be a very caring person. I like cats, too.
Mann fra Nord-Norge:Do you have a pet?
Anna:I onced had a cat.

Hun sa også at han ikke måtte investere mer enn han hadde råd til å tape.

Dermed ble mannen mer sikker på at det lå gode intensjoner bak.

I en melding tilbydde mannen til og med innsyn i kontoene han disponerer.

Men det trengte hun ikke.

Anna:Just invest within your ability.

Dobbeltspill

Gradvis oppfordret Anna han til å investere mer.

Innloggingsside
Men å handle krypto på nettsiden Anna hadde introdusert, var imidlertid ikke bare enkelt.
Falsk app.
Det var ikke alltid tydelig hva grafene egentlig viste.
Hva skjedde nå? Tjente han plutselig 1657 dollar?
Hva skjedde her, for eksempel? Tjente han plutselig 1657 dollar?
Skjermdump fra kontosiden.
Det kunne se sånn ut. Gjennom en kortvarig seanse økte nemlig kontobeholdningen.

Tross en noe merkelig oppførsel på «børsen», så verdien ut til å gå opp.

I en melding til Anna uttrykte han glede over resultatene.

Mann fra Nord-Norge:To me, the USD 1535 gained over a period of 10-15 minutes yesterday seemed miraculous!

Slik fortsatte samtalen.

Om krypto. Men også om jobb, reise og fritid.

Hun sa hun gjerne kom på besøk til Norge. Oppleve norsk natur.

Anna:I'm not familiar with Norway. I hope you can help me when I arrive.
Anna:I think I will come to Norway soon.

Historien slo sprekker

Vår mann stusset dog litt over telefonnummeret Anna sendte fra.

+852 er nummerkoden til Hong Kong. Ikke Singapore, hvor hun sa hun var fra.

Mann fra Nord-Norge:What is your connection to Hong Kong?
Anna:I used to work in Hong Kong for a while.

Det var også små språklige feil på nettsiden han ikke så der og da.

I ettertid har han innsett at det var røde flagg underveis.

– Det sier meg at jeg var fullstendig i klørne på denne svindleren, reflekterer han.

– Alle forsvarsmekanismer var lagt ned.

Presset på

Skjermdumper viser at det ble kjøpt og overført bitcoin for rundt 14.000 kroner i slutten av november.

Dette var bare én av flere overføringer.

Men selv om han overførte flere tusen kroner, var Anna stadig ikke fornøyd.

For å tjene mer penger måtte det investeres mer.

For å få virkelig fart på sakene, trengte han en hel bitcoin, sa hun.

Én bitcoin koster 350.000 kroner på tidspunktet denne saken skrives.

Den største investeringen

Anna forsikret om at hun ville stå ved hans side, og hjelpe han.

Slik at investeringen ble så lønnsom som mulig.

Mannen valgte å stole på henne.

Mann fra Nord-Norge:I shall find a way to raise the funds to purchase the other 0.7 Btc.

Til slutt var det klart for den største investeringen.

Overføring 1
Det skjedde 9. desember.
Investering 2
Han hadde da allerede kjøpt bitcoin for 14.000 norske kroner den 30. november.
Investering 2.
Deretter gjorde han en ny overføring 4. desember.
Siste investering
Totalt ble det kjøpt bitcoin for nærmere 200.000 kroner. Alt dette ble sendt til plattformen Anna hadde anbefalt.

Store beløp

Det han ikke visste da, var at adressen han sendte penger til, den var til en «lommebok» eid av svindlere.

Det interessante med kryptovaluta er imidlertid én ting:

Transaksjoner er åpent tilgjengelig for alle.

Altså er det enkelt å se hva som har gått inn og ut av denne «lommeboka».

NRK har derfor fått hjelp av eksperter til å gjøre en kartlegging av pengestrømmen.

Disse ekspertene jobber i CipherBlade og Crystal Blockchain.

NRK kan med deres hjelp avdekke hvordan pengene mannen ble svindlet for bare er småtterier i forhold til summene ofre over hele verden har blitt lurt for.

Slik har det etter alt å dømme foregått:

Egil Ursin / NRK

Først får offeret hjelp til å lage seg en konto på en tjeneste hvor man kan kjøpe bitcoin.

Der veksler offeret inn norske kroner for bitcoin.

Pengene sendes så videre til det offeret tror er en kryptobørs.

I realiteten er dette en digital lommebok som eies av svindlere.

NRK har funnet ut at det finnes flere slike lommebøker.

Fra disse går midlene videre til en «hovedlommebok».

NRK har funnet to slike «hovedlommebøker» som har mottatt verdier for 15 mill.

Trolig finnes det flere.

Mange millioner dollar

Rich Sanders er hovedetterforsker hos CipherBlade.

– Jeg kan ikke si hvor mye akkurat denne kriminelle gruppen totalt svindler for.

Rich Sanders, Lead Investigator, Principal, CipherBlade LLC.

EKSPERT: Rich Sanders hos CipherBlade.

Foto: CipherBlade

– Men av erfaring kan jeg si at svindlere i slike ringer, i den ekstremt konservative nedre enden, håndterer et tosifret millionbeløp (i dollar, journ.anm.).

Han forteller at midlene vanligvis blir konvertert til en annen kryptovaluta som del av en hvitvaskingsprosess, og at de gjerne også sendes til flere andre kontoer.

Poenget med å spre midlene litt rundt er å forvirre eventuelle etterforskere.

Til slutt vil kryptopenger på et tidspunkt bli omgjort til kontanter.

Ble advart

Tilbake til historien var ikke investeringen Tromsø-mannen gjorde bra nok for Anna.

Enda var det jo et stykke igjen til en hel bitcoin. Han var knapt halvveis.

Hun ga seg derfor ikke.

Anna:My friend, I have been advising you for some time to enlarge your capital. I have been predicting the market according to the standard of 1 bitcoin.
Anna:However, your current capital has not reached 1 bitcoin, so I need better data to judge.

Men så begynte mannen å fatte mistanke.

Den falske nettsiden.
– Jeg forstod på et tidspunkt at portalen var falsk, sier han til NRK.
­
Blant annet gikk det ikke an å ta penger ut fra denne nettsiden.
Fulgte ikke rådet.
– Jeg ble til og med advart mot å sette inn mer penger, før jeg hadde forvisset meg om at det gikk an å ta penger ut av denne portalen. Det rådet fulgte jeg ikke.
Fulgte ikke rådet.
– Det sier hvor psykologisk fanget jeg var.

Han tror grunnen til at han gikk på limpinnen, var at inngangen virket så uskyldig.

Bruken av det norske navnet «Steinar» tyder på at svindlerne hadde gjort sin research.

– Henvendelsen var klart rettet mot nordmenn.

– Føler du deg dum som gikk på dette?

– Jeg er jo kjempedum som ble svindlet på denne måten. For hadde jeg vært smart, hadde jeg ikke blitt svindlet.

– Men selvfølgelig – hvorfor var jeg sårbar for dette? Jeg er singel, og ønsker å få venner. Jeg har hatt stor glede av internasjonale venner tidligere i livet. Her så jeg nettopp muligheten til å knytte kontakt med noen fra et eksotisk sted.

Men historien slutter ikke her.

Kanskje kunne det hjelpe en politisak, om mannen fortsatte å holde kontakt med svindleren og samlet inn mer informasjon.

– Jeg meldte saka til politiet, men skjønte at dette beløpet var såpass lavt at politiet trolig ikke har ressurser til å etterforske det.

– Jeg hyret derfor en privatetterforsker. Jeg tenkte at om jeg klarte skaffe en del opplysninger på egen hånd, er det lettere for politiet å ta saken.

Nøstet opp i et stort spindelvev

NRK har snakket med privatetterforskeren, som sier han heter Fred Harrison og bor sentralt i London.

Harrison forteller at han jobber med datasikkerhet, og at cyberkriminalitet og svindel er hans spesialfelt.

Fred Harrison er privatetterforsker fra London.

PRIVATETTERFORSKER: På fritiden – mest som en hobby, påtar Harrison seg etterforskning av svindelsaker på vegne av private. Det har han gjort en tre års tid, forteller han.

Foto: Privat

Han opplyser at han så oppdraget fra Tromsø-mannen via en frilansside.

– Det som gjorde denne saken interessant for meg, var hele operasjonen rundt, som også inkluderte helt legitime tjenester, sier 20-åringen.

– De gjorde en god jobb med å skape en falsk følelse av potensiell profitt.

Han ble raskt klar over at dette var en del av noe større.

– Gjennom de verktøy jeg har tilgang til samt bekjente hos domeneregistratorer, kunne jeg nøste opp.

– Jeg fant mange nettsider som bruker de samme malene og det samme språket, forteller Harrison.

En rekke domeneadresser

Vi har forsøkt å verifisere innholdet i rapporten han har laget.

Mye av det som går an å verifisere, lar seg verifisere. Det gir Harrison støtte for å være en troverdig kilde.

Harrison har blant annet identifisert mange lignende svindel-nettsider. Han lister opp hele 89 domenenavn i sin rapport.

NRK har ikke klart å verifisere hele lista med domener. Men når vi har ettergått opplysninger i rapporten, har det dukket opp andre firmanavn som knyttes til svindel.

Alt dette gir inntrykk av en stor operasjon som krever mange personer.

Harrison mener akkurat denne svindelen involverer minst fem bakmenn.

– Jeg har vært i kontakt med mange som har opplevd å bli utsatt for denne type svindel. Noen har tapt betydelig større beløp, sier han til NRK.

– Hvem står bak?

– Vanskelig å si. De brukte mange falske navn. Men jeg antar de befinner seg i Asia.

Konfrontasjonen

Tromsø-mannen konfronterte i februar «Anna» med alt han har funnet ut.

Både navn, domene- og kontoradresser som Harrison hadde sporet opp.

«Du er avslørt», skrev han.

I et håp om å appellere til mottakerens samvittighet, forsøkte han å få midlene tilbake.

I en siste meldingsutveksling skrev han blant annet:

Mann fra Nord-Norge:I imagine you have never returned anything before, just collected, and collected from gullible people - people like me. But as we are both human we share some values. Courtesy and a good language is one of them.
Mann fra Nord-Norge:Now, please immediately return my money - as much as you see fit - to my wallet.

Men personen på andre siden innrømmet ingenting.

Anna sa hun var skuffet, og at hun ville ha fred.

Deretter forsvant hele nettsiden.

Hun sa det ikke var grunn til bekymring.

Anna:Don't worry, the platform is upgrading, this is also for the safety of customers' funds.

Også NRK har forsøkt komme i kontakt med personene bak.

I et forsøk på å få et tilsvar.

Anna.
Vi tok kontakt med «Anna» via WhatsApp.
Anna1
Først spurte vi om navnet.
Anna2
Hun svarte at hun het Anna og var fra Singapore.
Anna3
Vi sa deretter hvem vi var og spurte om hennes tilknytning til svindelsiden.
­
Det tok noen minutter før hun sendte neste melding.
­
Da svarte hun at hun ikke skjønte oss.
Anna5
Vi forsøkte dermed å være litt mer spesifikk.
Anna6
... men uten hell.
Anna7
Vi spurte deretter et direkte spørsmål om nummeret hennes.
Anna8
Men etter denne meldingen ble vi blokkert.

Tror ikke han får pengene tilbake

Mannen fra Tromsø innser at pengene etter all sannsynlighet er tapt.

– Jeg håper de blir brukt til festing og moro. For alternativet er at de også blir brukt til kriminell virksomhet, som narkohandel, våpenhandel eller menneskehandel. Det er de dystreste aspektene ved dette.

Brukes de på festing, da er ikke skaden mer enn at jeg blir svindlet.

NRK har snakket med eksperter som er glad for at slike historier kommer fram i lyset. På den måten kan vi alle lære.

Budskapet er at vi alle kan bli lurt i disse dager.

– Jeg tror mange historier ikke blir fortalt. Da blir vi alle mer utsatt, sier mannen selv.

– Om bare noen få mennesker leser dette og skjønner at de selv har gått i fella, er mye oppnådd for meg. Uavhengig av om jeg får pengene tilbake eller ikke, sier han.

NRK har vært i kontakt med politiet.

Lokalt politi henla saken først, men sendte den så videre til Økokrim.

Økokrim vil ikke kommentere om de ser nærmere på saken per nå.

Har du et tips?

Jeg interesserer meg for datasikkerhet, og vil gjerne høre fra deg om du har historier knyttet til svindel og/eller hacking. Jeg har tidligere blant annet skrevet om Telenor som opplever ny svindelbølgefenomenet «deepfake» og hackingen av Nordic Choice.

  • LES OGSÅ: