一名前FBI探员承认电信欺诈和洗钱罪名。检方称，他利用现役案件卷宗中的凭证窃取了约247万美元的加密货币——其中大部分来自FBI并不拥有的钱包。弗吉尼亚州东区一名联邦法官于11月5日接受了认罪，美国司法部随后公布了相关指控。

被窃加密货币的来源

据司法部称，Yaroch利用FBI系统中持有的凭证，从调查对象或敌对国家行为者控制的钱包中转走资金，此外还包括一个FBI运营钱包。只有最后这一项属于FBI。其余目标都是FBI因调查而持有凭证的钱包——并非公告中所述处于政府托管状态的代币。因此，将全部金额描述为从政府扣押账户中窃取的加密货币，会歪曲事实真相。

这一区别使本案与Coindoo此前报道的一起案件有所不同——在该案中，一名NCA官员从一项Silk Road 2.0调查中窃取了比特币，而那些代币此前已被扣押。不过两案确有一个共同的核心特征：受信任的执法部门内部人员将接触涉案加密货币的机会转化为个人利益，无论这些资金当时的托管状态如何。

案件访问权限如何变成了消费能力

对作案手法最早的记录出现在一份8月1日的法庭宣誓书中——这是一份提交至法庭的书面宣誓声明——由CourtListener存档。记录显示，Yaroch向调查人员供述，他搜索了FBI持有的内容，记下钱包口令，然后将资金转入自己的钱包。

记住口令就足以得手，这正是加密货币钱包的运作方式。地址只能标识资金所在位置，却无法授权付款；而一个可用的口令或其他钱包密钥可以——并且对任何持有它的人都有效，无论此人是否对资产拥有合法权利。一旦调查人员能够查看密钥，检查证据和动用资金所需的访问权限便是同一套。

宣誓书记录了Yaroch最初的说法。而认罪公告则描述了一个范围大得多的模式：约100笔欺诈转账，涉及与35项独立调查相关的凭证。

截至7月底已追回的资金

宣誓书还载有公开记录中仅有的追回数据。7月31日，调查人员将约92.54万美元从Yaroch控制的账户转移至政府控制的加密货币钱包。当时，他的Kraken交易所账户中还有约16.56万美元的美元资金。

这两项数据均来自同一日期的观察。11月的公告未提供最新的追回总额，因此从认罪金额中减去7月的转移金额，并不能反映仍然缺失的部分——尤其是在资产经过转换以及加密货币估值数月波动之后。

此次扣押也是对FBI最有利的一点：调查人员在宣誓书提交之前、即认罪前数月，就已锁定部分收益。不过，记录并未说明这起盗窃是如何被发现的，也未说明其在被发现前持续了多久。冻结所表明的是，资金在案件了结之前已被锁定——而非监控及早发现了这些转账。

已追回的加密货币无法弥补的损失

司法部还表示，Yaroch危害了多项调查以及线人和办案方法。它既未指明受影响的案件，也未估计行动层面的损失。这类损害不在此头条数字之内——该数字衡量的是盗窃所得。归还加密货币可以减少财务损失，却无法表明受损的调查是否仍然可行，或暴露的线人和办案方法是否仍可信赖。

对任何持有钱包密钥者的控制测试

Yaroch的手法为任何存储钱包凭证的组织提出了一个问题：需要查验证据的员工，是否也能获得动用相关资金所需的全部要素？

美国国家标准与技术研究院将最小权限定义为将访问权限限制在完成分配工作所需的范围内。其对双重授权的定义则描述了要求至少两名授权人员才能访问特定资源的控制措施。对于钱包密钥而言，这两项原则都适用于谁可以透露、复制或使用凭证本身。如果一名员工能够取回完整凭证并在内部付款流程之外转移资金——正如Yaroch向调查人员描述的路径——那么流程内的第二次审批几乎起不到保护作用。

这些是评估控制措施的基准，而非针对FBI的调查结论。公开记录并未描述FBI的凭证存储方式、其访问警报机制或盗窃发生后所做的任何改变。

3月量刑可能确定的事项

量刑定于2027年3月4日，Yaroch面临最高20年的监禁。此次听证是法庭记录下一步可能确定没收或赔偿金额的节点，这将提供对被盗资产的首份最终核算。至于FBI如今如何限制和监控对相关凭证的访问，则是一个刑事案件无需回答的另一个问题。

本文最初发表于 Coindoo.