Ein ehemaliger FBI-Agent hat sich des Drahtbetrugs und der Geldwäsche schuldig bekannt, nachdem er laut Staatsanwaltschaft mithilfe von Zugangsdaten aus aktiven Fallakten rund 2,47 Millionen Dollar in Kryptowährungen gestohlen hatte – der Großteil davon aus Wallets, die dem FBI nicht gehörten. Ein Bundesrichter im östlichen Distrikt von Virginia nahm das Geständnis am 5. November an, und das Justizministerium kündigte die Anklage an.

Woher das gestohlene Krypto stammte

Laut dem Justizministerium nutzte Yaroch in FBI-Systemen hinterlegte Zugangsdaten, um Gelder aus Wallets zu entwenden, die von Ermittlungszielen oder feindseligen Nationalstaat-Akteuren kontrolliert wurden, sowie aus einer operativen FBI-Wallet. Nur die letzte davon gehörte dem FBI. Die übrigen Ziele waren Wallets, für die das FBI aufgrund seiner Ermittlungen Zugangsdaten verwahrte – keine Coins, die in der Ankündigung als in staatlicher Verwahrung beschrieben werden. Die Gesamtdifferenz als aus staatlichen Beschlagnahmekonten gestohlenes Krypto zu bezeichnen, würde daher das tatsächliche Geschehen verzerren.

Diese Unterscheidung hebt den Fall von einer früheren Angelegenheit ab, über die Coindoo berichtet hat, bei der ein NCA-Beamter Bitcoin aus einer Silk-Road-2.0-Ermittlung stahl. Diese Coins waren bereits beschlagnahmt. Die beiden Fälle teilen jedoch ein Kernelement: Ein vertrauenswürdiger Insider aus den Strafverfolgungsbehörden wandelte den Zugriff auf fallspezifisches Krypto in persönlichen Gewinn um – unabhängig vom Verwahrungsstatus der Gelder.

Wie der Fallzugang zu Ausgabemacht wurde

Der früheste Bericht über die Methode findet sich in einer Gerichtsaffidavit vom 1. August – einer beeideten schriftlichen Erklärung, die beim Gericht eingereicht wurde –, die von CourtListener archiviert wurde. Darin heißt es, Yaroch habe den Ermittlern gesagt, er durchsuchte FBI-Bestände, merkte sich Wallet-Passphrasen und überwies die Gelder dann in eine eigene Wallet.

Eine auswendig gelernte Passphrase genügte – aufgrund der Funktionsweise von Krypto-Wallets. Eine Adresse zeigt, wo sich Gelder befinden, kann aber keine Zahlung autorisieren. Eine nutzbare Passphrase oder ein anderes Wallet-Geheimnis kann das – und es funktioniert für jeden, der es besitzt, ganz gleich, ob diese Person ein rechtliches Anrecht auf die Assets hat. Sobald ein Ermittler das Geheimnis einsehen kann, erfordern die Prüfung der Beweise und die Ausgabe des Geldes denselben Zugriff.

Die Affidavit hielt Yarochs erste Version der Ereignisse fest. Die Ankündigung des Geständnisses beschreibt ein deutlich größeres Muster: rund 100 betrügerische Überweisungen mit Zugangsdaten, die mit 35 getrennten Ermittlungen verknüpft sind.

Was bis Ende Juli wiederbeschafft worden war

Die Affidavit enthält auch die einzigen Wiederbeschaffungszahlen in der öffentlichen Akte. Am 31. Juli verlegten die Ermittler etwa 925.400 Dollar von Konten unter Yarochs Kontrolle in staatlich kontrollierte Krypto-Wallets. Weitere rund 165.600 US-Dollar befanden sich zu diesem Zeitpunkt noch auf seinem Konto bei der Börse Kraken.

Beide Zahlen sind Beobachtungen aus einem einzigen Datum. Die November-Ankündigung nennt keine aktualisierte Wiederbeschaffungssumme; eine Subtraktion der Juli-Überweisung von der Betragseingabe im Geständnis zeigt daher nicht, was noch fehlt – insbesondere nach Asset-Umwandlungen und monatelang schwankenden Krypto-Bewertungen.

Die Beschlagnahme ist zugleich der stärkste Punkt zugunsten des FBI: Die Ermittler hatten einen Teil der Erlöse gesichert, bevor die Affidavit überhaupt eingereicht wurde – Monate vor dem Geständnis. Die Akte gibt jedoch nicht an, wie der Diebstahl entdeckt wurde oder wie lange er zuvor lief. Die Sperrung zeigt lediglich, dass die Gelder eingefroren wurden, bevor der Fall abgeschlossen war – nicht, dass die Überwachung die Überweisungen frühzeitig erkannte.

Die Verluste, die wiederbeschafftes Krypto nicht abdecken kann

Das Justizministerium erklärt außerdem, Yaroch habe Ermittlungen, Quellen und Methoden kompromittiert. Es identifiziert die betroffenen Fälle nicht und schätzt den operativen Schaden nicht. Dieser Schaden liegt außerhalb der Schlagzeilenzahl, die die Erlöse des Diebstahls misst. Die Rückgabe des Kryptos kann den finanziellen Verlust verringern; sie kann nicht zeigen, ob eine kompromittierte Ermittlung weiterhin tragfähig ist oder ob offengelegte Quellen und Methoden weiterhin verlässlich sind.

Der Kontrolltest für alle, die Wallet-Geheimnisse verwalten

Yarochs Methode wirft eine Frage auf für jede Organisation, die Wallet-Zugangsdaten speichert: Kann ein Mitarbeiter, der Beweise einsehen muss, auch alles beschaffen, was erforderlich ist, um die zugehörigen Gelder auszugeben?

Das National Institute of Standards and Technology definiert Least Privilege als die Beschränkung des Zugriffs auf das, was eine Person für ihre zugewiesene Arbeit benötigt. Seine Definition von Dual Authorization beschreibt Kontrollen, die mindestens zwei autorisierte Personen für den Zugriff auf bestimmte Ressourcen erfordern. Bei Wallet-Geheimnissen bestimmen beide Prinzipien, wer das Credential selbst offenlegen, kopieren oder verwenden kann. Eine zweite Genehmigung innerhalb eines internen Zahlungsworkflows schützt kaum, wenn ein Mitarbeiter die vollständigen Zugangsdaten abrufen und Gelder außerhalb dieses Workflows bewegen kann – was dem Weg entspricht, den Yaroch den Ermittlern beschrieb.

Dies sind Maßstäbe zur Beurteilung von Kontrollen, keine Erkenntnisse über das FBI. Die öffentliche Akte beschreibt weder die Speicherung der Zugangsdaten der Behörde noch ihre Zugriffswarnungen oder etwaige Änderungen nach dem Diebstahl.

Was die März-Strafzumessung klären könnte

Die Strafzumessung ist für den 4. März 2027 angesetzt, und Yaroch drohen bis zu 20 Jahre Gefängnis. Die Anhörung ist der nächste Zeitpunkt, an dem die Gerichtsakte eine Einziehungs- oder Entschädigungssumme festlegen könnte – die erste endgültige Abrechnung der gestohlenen Assets. Wie das FBI den Zugriff auf die betroffenen Zugangsdaten nun beschränkt und überwacht, ist eine separate Frage, die das Strafverfahren nicht beantworten muss.

Dieser Artikel erschien ursprünglich auf Coindoo.