По данным федеральных властей, агент ФБР, занимавшийся поимкой шпионов, похитил криптовалюту на сумму 1 млн долларов у своего собственного подозреваемого

Злоупотребление доверительным доступом

41-летний Патрик Стивен Яроч был арестован 31 июля в своем доме в Эшберне, штат Вирджиния, после чего его доставили в следственный изолятор Александрии. В тот же день федеральные прокуроры подали уголовное обвинение в Окружной суд США по Восточному округу Вирджинии, обвинив его в межштатной перевозке похищенного имущества и сбыте похищенного имущества.

Оба пункта обвинения связаны с криптовалютой, которую, по утверждению прокуроров, он незаметно изъял из кошельков, принадлежащих объекту разведывательной деятельности, представляющему угрозу национальной безопасности. Яроч около восьми лет занимался расследованиями в сфере национальной безопасности в бостонском отделении ФБР, а в начале 2025 года перешел на руководящую должность в штаб-квартире ФБР.

Это назначение позволило ему работать в Отделе контрразведки и шпионажа, где он имел доступ к системам разведданных с высоким уровнем секретности. Дела, связанные с криптовалютой, обычно требуют от следователей изъятия учетных данных кошельков в качестве доказательств, что делает цепочку хранения и внутренний контроль доступа столь же важными, как и сам блокчейн.

Превращение семенных фраз в наличные

Согласно показаниям под присягой агента контрразведки Вашингтонского полевого отделения ФБР, Яроч обнаружил семенные фразы — слова для восстановления доступа, обеспечивающие полный контроль над криптовалютным кошельком, — во время работы над расследованием, связанным с иностранным объектом, в конце 2024 или начале 2025 года. Прокуроры утверждают, что он ввел эти фразы восстановления в кошельки, находящиеся под его контролем, и примерно 10–12 раз переводил средства со счетов подозреваемого.

Следователи отмечают, что предполагаемое хищение не было основано на сложных блокчейн-уловках или скрытых уязвимостях. Владение действительными фразами восстановления фактически означает владение криптовалютой. Как только эти слова вводятся в совместимое программное обеспечение кошелька, транзакции в цепочке блоков выглядят законными, поскольку сеть не может отличить уполномоченного владельца от лица, неправомерно получившего учетные данные.

Согласно показаниям под присягой, Яроч рассказал следователям, что, наблюдая за бездействием властей в отношении криптовалютной деятельности жертвы, он разочаровался и решил «взять дело в свои руки». Он также утверждал, что никогда не общался с кем-либо, связанным с этими кошельками, и подчеркнул, что большая часть средств оставалась на кошельках, находящихся под его контролем, а не была широко потрачена.

Признание до прибытия следователей

Расследование началось с того, что Яроч сам явился в ведомство, а не с того, что агенты отследили его деятельность в блокчейне. 28 июля он связался с сотрудником Отдела национальной безопасности Министерства юстиции через приложение Signal, а затем встретился с ним лично. Согласно показаниям под присягой, он растрогался, признал, что принял «очень неудачные решения, связанные с криптовалютными кошельками», и описал ситуацию как «разъедающую его изнутри». Сотрудник Министерства юстиции посоветовал ему нанять адвоката и немедленно сдаться властям.

Затем Яроч связался с штаб-квартирой ФБР и сообщил сотрудникам службы безопасности, что он «накосячил». Позже тем же вечером агенты прибыли к нему домой, чтобы изъять государственное имущество и отстранить его от работы. Он ненадолго передал письменный список фраз для восстановления кошельков, но затем отозвал свое согласие. По словам следователей, после этого он заявил: «Я облажался», а затем воспользовался своим правом хранить молчание. ФБР уволило его два дня спустя, в тот же день, когда он был арестован.

По следам блокчейна

Следователи отследили предполагаемые доходы через несколько платформ, а не обнаружили их спрятанными за сложными схемами отмывания денег. Примерно 188 570 долларов находились на счете Kraken, связанном со счетом в TD Bank, к которому, по утверждению прокуроров, Яроч получал доступ с помощью функции распознавания лиц на своём телефоне. Ещё 1,02 млн долларов были переведены в Suilend — децентрализованный протокол кредитования — через приложение под названием Slush в конце июля.

По данным следователей, Яроч заявил, что выбрал Suilend отчасти потому, что ему понравился логотип в виде капли воды, и разместил там средства для получения дохода, пока криптовалюта простаивала. Эта деталь привлекает внимание, поскольку протоколы кредитования в сфере децентрализованных финансов (DeFi) обычно оставляют постоянные записи в цепочке блоков, что дает следователям чёткую цепочку доказательств после установления владельца кошелька.

С согласия Яроча 31 июля ФБР перевело примерно 925 426 долларов с счетов Kraken и Suilend на кошельки, контролируемые государством. Еще 165 582 доллара остались на счете Kraken, поскольку остаток уже был конвертирован в доллары США и не мог быть возвращен с помощью той же процедуры перевода криптовалюты.

Планы Португалии вызывают новые вопросы

Анализ данных с телефона Яроча расширил рамки расследования за пределы предполагаемого хищения криптовалюты и затронул сферу генеративного искусственного интеллекта (ИИ). Следователи обнаружили переписку в ChatGPT за май и июнь, в которой он рассматривал, как примерно 1 миллион долларов мог бы обеспечить ему пенсию до 40 лет, позволяя жить на винограднике в Италии или Португалии. В других чатах он интересовался получением вида на жительство в Европейском союзе, при этом Португалия обсуждалась с учетом обстоятельств его семьи.

Следователи также обнаружили бронирование авиабилетов для Яроча, его жены и ребенка на рейс из Вашингтона в Лиссабон 3 сентября с обратным вылетом 11 сентября. Сообщается, что в телефоне были найдены доверенности, оформленные в середине июня, уполномочивающие португальских юристов решать вопросы, связанные с налогами и регистрацией. Агенты также выявили более ранние поездки в этом году в Германию, Португалию и Гренаду, которые, как утверждается, никогда не были раскрыты, несмотря на требования отчетности в рамках допуска к секретной информации.

Яроч отрицал намерение перевести криптовалюту за границу, заявив следователям, что поездка в Португалию была предназначена исключительно для посещения друзей.

Внимательное наблюдение за следующим заявлением

ФБР заявило, что, узнав об этих обвинениях, оперативно приняло меры: уволило Яроча и начало полномасштабное уголовное расследование. Дело теперь передается в федеральный суд в Александрии, где прокуратура будет добиваться предъявления обвинительного заключения, если вопрос не будет решен иным путем.

Среди документов, на которые следует обратить внимание в списке дел, вероятно, будут ходатайство о задержании, официальное обвинительное заключение или соглашение о признании вины, а также любые дополнительные обвинения, связанные с нераскрытыми зарубежными поездками или отчетностью по допуску к секретной информации. Личность объекта иностранной разведки и страна-противник по-прежнему не разглашаются, что позволяет предположить, что некоторые из наиболее важных деталей могут стать известны лишь на гораздо более позднем этапе расследования.