Een voormalig FBI-agent heeft schuld gepleegd aan fraude en witwassen nadat aanklagers zeiden dat hij gegevens uit actieve dossierbestanden gebruikte om zo'n $2,47 miljoen aan cryptocurrency te stelen — merendeels uit portemonnees die niet in het bezit waren van de FBI. Een federale rechter in het oostelijke district van Virginia aanvaardde de schuldbekentenis op 5 november, en het ministerie van Justitie maakte de aanklachten bekend.

Waar de gestolen crypto vandaan kwam

Volgens het ministerie van Justitie gebruikte Yaroch gegevens die in FBI-systemen stonden opgeslagen om fondsen te nemen uit portemonnees die werden beheerd door onderzochte personen of vijandige natiestaten, en ook uit een operationele portemonnee van de FBI. Alleen die laatste was eigendom van het bureau. De overige doelen waren portemonnees waarvoor de FBI vanwege haar onderzoeken de inloggegevens had — geen munten die volgens de aankondiging in overheidsbewaring verkeerden. Het volledige bedrag als crypto uit overheidsinbuigeaccounts te omschrijven zou daarom de werkelijkheid vertekenen.

Dat onderscheid maakt deze zaak anders dan een eerdere kwestie die Coindoo behandelen, waarin een NCA-medewerker Bitcoin stal uit een Silk Road 2.0-onderzoek. Die munten waren al in beslag genomen. De twee zaken delen wel één kernkernmerkelijk: een vertrouwde insiders binnen de wetshandhaving die toegang tot zaakgerelateerde crypto omzette in persoonlijk gewin, wat de bewaarsstatus van de fondsen ook was.

Hoe zaaktoegang tot bestedingsmacht werd

De vroegste beschrijving van de methode staat in een gerechtelijke beëdigde verklaring van 1 augustus — een beëdigde schriftelijke verklaring ingediend bij de rechtbank — gearchiveerd door CourtListener. Daarin staat dat Yaroch aan onderzoekers vertelde dat hij FBI-bezittingen doorzocht, wachtzinnen van portemonnees uit zijn hoofd leerde en de fondsen vervolgens naar een eigen portemonnee overbracht.

Een uit het hoofd geleerde wachtzin was voldoende vanwege de werking van crypto-portemonnees. Een adres identificeert waar fondsen zich bevinden, maar kan geen betaling autoriseren. Een bruikbare wachtzin of ander portemonneegeheim kan dat wel — en het werkt voor wie het ook vasthoudt, of die persoon al dan niet rechtmatig eigenaar van de activa is. Zodra een onderzoeker het geheim kan inzien, vereisen het onderzoeken van het bewijsmateriaal en het uitgeven van het geld dezelfde toegang.

De beëdigde verklaring legde Yarochs eerste versie van de gebeurtenissen vast. De aankondiging van de schuldbekentenis beschrijft een veel breder patroon: ongeveer 100 frauduleuze overboekingen met gegevens verbonden aan 35 afzonderlijke onderzoeken.

Wat er eind juli was teruggekregen

De beëdigde verklaring bevat ook de enige terugvorderingscijfers in het openbare dossier. Op 31 juli brachten onderzoekers circa $925.400 over van accounts onder controle van Yaroch naar door de overheid beheerde crypto-portemonnees. Ongeveer $165.600 in Amerikaanse dollars stond op dat moment nog op zijn account bij de exchange Kraken.

Beide cijfers zijn waarnemingen van één enkele datum. De aankondiging van november geeft geen bijgewerkt totaal aan terugvorderingen, dus het aftrekken van de overboeking van juli van het bedrag in de schuldbekentenis laat niet zien wat er nog ontbreekt, vooral na conversies van activa en maanden van wisselende cryptovalutas.

De inbeslagname is ook het sterkste punt in het voordeel van de FBI: onderzoekers hadden een deel van de opbrengsten veiliggesteld nog vóórdat de beëdigde verklaring werd ingediend, maanden vóór de schuldbekentenis. Het dossier vermeldt echter niet hoe de diefstal werd ontdekt of hoe lang die al aan de gang was. Wat de bevriezing aantoont, is dat fondsen werden geblokkeerd voordat de zaak was afgehandeld — niet dat monitoring de overboekingen vroegtijdig opving.

De verliezen die teruggekregen crypto niet kan dekken

Het ministerie van Justitie zegt ook dat Yaroch onderzoeken, informatiebronnen en methoden heeft gecompromitteerd. Het identificeert de betrokken zaken niet en schat de operationele schade niet in. Die schade valt buiten de kopcijfer, dat de opbrengsten van de diefstal meet. Het teruggeven van de crypto kan het financiële verlies beperken; het kan niet aantonen of een gecompromitteerd onderzoek nog levensvatbaar is of dat blootgestelde bronnen en methoden nog betrouwbaar zijn.

De controletest voor iedereen die portemonneegeheimen beheert

Yarochs methode roept één vraag op voor elke organisatie die portemonneegegevens opslaat: kan een medewerker die bewijsmateriaal moet onderzoeken ook alles bemachtigen wat nodig is om de bijbehorende fondsen uit te geven?

Het National Institute of Standards and Technology definieert least privilege als het beperken van toegang tot wat een persoon voor het toegewezen werk nodig heeft. De definitie van dual authorization beschrijft controles waarbij minstens twee geautoriseerde personen toegang tot bepaalde middelen moeten hebben. Voor portemonneegeheimen bepalen beide principes wie het geheim zelf kan onthullen, kopiëren of gebruiken. Een tweede goedkeuring binnen een interne betalingsworkflow beschermt weinig als één medewerker de volledige inloggegevens kan ophalen en fondsen buiten die workflow kan verplaatsen — wat overeenkomt met de route die Yaroch aan onderzoekers beschreef.

Dit zijn ijkpunten voor het beoordelen van controles, geen bevindingen over de FBI. Het openbare dossier beschrijft niet hoe het bureau de inloggegevens opslaat, zijn toegangswaarschuwingen of welke wijzigingen er na de diefstal zijn doorgevoerd.

Wat de strafmaat van maart kan beslechten

De strafmaat is vastgesteld op 4 maart 2027, en Yaroch riskeert maximaal 20 jaar gevangenisstraf. De zitting is het volgende moment waarop het gerechtelijk dossier een bedrag voor verbeurdverklaring of schadevergoeding kan vaststellen, wat de eerste definitieve afrekening van de gestolen activa zou opleveren. Hoe de FBI nu de toegang tot de betrokken inloggegevens beperkt en controleert, is een afzonderlijke vraag die het strafproces niet hoeft te beantwoorden.

Dit artikel verscheen oorspronkelijk op Coindoo.