Wprowadzenie do problemu / definicja
Oszustwa inwestycyjne wykorzystujące kryptowaluty należą dziś do najgroźniejszych form cyberprzestępczości finansowej. W opisywanej sprawie chodzi o model określany mianem „pig butchering”, czyli długotrwałe budowanie relacji z ofiarą w kanałach cyfrowych, a następnie nakłanianie jej do lokowania środków na fałszywej platformie inwestycyjnej.
Znaczenie tej sprawy wzrosło po ekstradycji obywatela Chin do Stanów Zjednoczonych. Amerykańska prokuratura zarzuca mu udział w międzynarodowym schemacie, który miał doprowadzić do strat przekraczających 36,9 mln USD.
W skrócie
Według śledczych ofiary były przekonywane do wykonywania przelewów pod pozorem inwestycji w aktywa cyfrowe. Pieniądze miały trafiać na rachunki kontrolowane przez współsprawców, a następnie przechodzić przez kolejne etapy prania środków z wykorzystaniem spółek fasadowych, kont bankowych i portfeli kryptowalutowych.
- 174 zidentyfikowane ofiary miały stracić łącznie ponad 36,9 mln USD
- proceder obejmował działania w wielu jurysdykcjach
- środki miały być finalnie konwertowane do stablecoina USDT
- sprawa łączy elementy socjotechniki, fraudu inwestycyjnego i prania pieniędzy
Kontekst / historia
Schematy „pig butchering” od kilku lat należą do najszybciej rosnących kategorii oszustw finansowych wspieranych przez infrastrukturę cyfrową. Sprawcy inicjują kontakt przez media społecznościowe, komunikatory, SMS-y, połączenia telefoniczne lub aplikacje randkowe. Nie chodzi tu o klasyczne wykorzystanie luki technicznej, lecz o rozbudowaną kampanię socjotechniczną opartą na zaufaniu, fałszywej tożsamości i spreparowanym środowisku inwestycyjnym.
W analizowanej sprawie amerykańskie organy ścigania wskazują, że operacja była prowadzona z udziałem osób działających między innymi w USA i Kambodży. Podejrzany został oskarżony w sierpniu 2025 roku o spisek w celu prania pieniędzy, a po ekstradycji z Holandii stanął przed sądem federalnym w Kalifornii w październiku 2026 roku. Wcześniej winę przyznało już kilku współsprawców, a część z nich została skazana.
Analiza techniczna
Techniczny i operacyjny model tego typu oszustwa opiera się na kilku warstwach. Pierwszą jest pozyskanie ofiary i manipulacja. Sprawcy budują wiarygodną relację, prowadzą rozmowy przez dłuższy czas i stopniowo obniżają czujność celu. Często wykorzystują przygotowane scenariusze komunikacyjne oraz profile wyglądające na autentyczne.
Drugą warstwą jest fałszywa infrastruktura inwestycyjna. Z ustaleń śledczych wynika, że ofiary były kierowane do stron internetowych przypominających legalne platformy obrotu kryptowalutami. Takie serwisy zwykle prezentują fikcyjne salda, sztucznie generowane zyski, pozorne potwierdzenia transakcji i kontrolowane wykresy, co ma przekonać użytkownika, że środki rzeczywiście pracują.
Trzeci element to łańcuch transferu pieniędzy. Według materiału procesowego środki ofiar miały trafiać z rachunków bankowych w USA na konto prowadzone na Bahamach pod nazwą Axis Digital Limited. Następnie pieniądze miały być konwertowane przez Deltec Bank do stablecoina Tether i przesyłane do portfela aktywów cyfrowych kontrolowanego w Kambodży. Taki model łączy tradycyjny system bankowy z infrastrukturą kryptowalutową, utrudniając analizę przepływów i odzyskiwanie środków.
Czwarta warstwa to podział ról. W podobnych operacjach występują operatorzy kontaktu z ofiarą, administratorzy fałszywych platform, osoby odpowiedzialne za zakładanie spółek fasadowych, pośrednicy obsługujący rachunki bankowe oraz podmioty zajmujące się konwersją środków do aktywów cyfrowych. Taki model przypomina usługową strukturę znaną z innych obszarów cyberprzestępczości.
Konsekwencje / ryzyko
Najbardziej widocznym skutkiem są bezpośrednie straty finansowe, które w tej sprawie oszacowano na niemal 37 mln USD. Ryzyko nie ogranicza się jednak wyłącznie do utraty pieniędzy. Ofiary często przekazują również dane osobowe, dokumenty KYC, historię przelewów czy informacje o posiadanych aktywach, co może prowadzić do kolejnych nadużyć.
Z perspektywy sektora finansowego sprawa pokazuje, jak skutecznie grupy przestępcze wykorzystują stablecoiny i podmioty działające w wielu jurysdykcjach do warstwowania środków. Dla zespołów AML, banków, giełd i dostawców usług VASP oznacza to konieczność analizowania nie tylko pojedynczych transakcji, ale też wzorców behawioralnych, relacji między rachunkami i portfelami oraz aktywności powiązanych spółek.
To również zagrożenie hybrydowe. Łączy socjotechnikę, fałszywą infrastrukturę online, oszustwo inwestycyjne i pranie pieniędzy w środowisku kryptowalutowym. W praktyce odpowiedzialność za wykrywanie i ograniczanie takich kampanii spoczywa nie tylko na organach ścigania, ale także na platformach społecznościowych, dostawcach hostingu, rejestratorach domen i firmach zajmujących się threat intelligence.
Rekomendacje
Organizacje finansowe i zespoły bezpieczeństwa powinny traktować oszustwa inwestycyjne oparte na kryptowalutach jako obszar wymagający monitorowania na poziomie porównywalnym z phishingiem czy BEC. Skuteczna obrona wymaga połączenia analizy transakcyjnej, danych o infrastrukturze oraz sygnałów behawioralnych.
- rozwijać mechanizmy wykrywania przelewów wysokiego ryzyka do nowych lub nietypowych odbiorców
- korelować alerty AML z reputacją domen, hostingu oraz adresów portfeli kryptowalutowych
- identyfikować przypadki, w których klient został skontaktowany przez komunikator, media społecznościowe lub aplikację randkową
- wzmacniać procesy KYC i KYB wobec spółek obsługujących przepływy środków
- przygotować playbooki szybkiego reagowania obejmujące zamrażanie środków i współpracę z partnerami finansowymi
Z perspektywy użytkowników końcowych podstawowe zasady pozostają niezmienne. Nie należy ufać niezamówionym propozycjom inwestycyjnym, trzeba weryfikować legalność platformy oraz unikać przesyłania środków pod presją czasu. Każdy panel pokazujący szybkie i wysokie zyski powinien być traktowany z dużą ostrożnością, dopóki nie zostanie niezależnie zweryfikowany.
Podsumowanie
Ekstradycja podejrzanego w sprawie oszustwa kryptowalutowego o wartości 36,9 mln USD pokazuje, że międzynarodowa współpraca organów ścigania staje się coraz skuteczniejsza. Jednocześnie sama skala procederu potwierdza, że „pig butchering” pozostaje jednym z najbardziej dochodowych modeli cyberprzestępczości finansowej.
Dla branży cyberbezpieczeństwa to wyraźny sygnał, że nowoczesna obrona musi obejmować nie tylko techniczne wskaźniki zagrożeń, ale także analizę finansową, socjotechniczną i operacyjną. Tylko takie podejście zwiększa szanse na wykrywanie kampanii, które wykorzystują jednocześnie infrastrukturę internetową i mechanizmy prania pieniędzy.
Źródła
- https://www.bleepingcomputer.com/news/security/chinese-man-extradited-for-role-in-36-million-cryptocurrency-scam/
- https://www.justice.gov/opa/pr/chinese-national-extradited-alleged-role-multimillion-dollar-cryptocurrency-scam-targeting
- https://www.bleepingcomputer.com/news/security/five-plead-guilty-to-laundering-36-million-stolen-in-investment-scams/
- https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf