Старший специальный агент подразделения контрразведки и шпионажа ФБР Патрик Стивен Ярох арестован по обвинению в перевозке между штатами и получении похищенного имущества: следствие считает, что он вывел около 1 млн $ в криптовалюте с кошельков, проходивших по его же расследованию. Взлома не понадобилось – допуск уровня Top Secret позволял прочитать фразы восстановления во внутренних системах бюро и запомнить их. О хищении в ФБР узнали , когда Ярох сам написал бывшему коллеге из Минюста и попросил о встрече. При обыске в его доме в Эшберне изъяли аппаратный кошелёк Trezor, рукописные фразы восстановления, португальскую доверенность и три паспорта, один из них дипломатический.
Как фразы восстановления попали из систем ФБР на личный кошелёк
С 2017 по 2025 год Ярох служил в бостонском отделении бюро, в группе национальной безопасности, работавшей против одной страны-противника. Помимо допуска уровня Top Secret у него был доступ к категории SCI.
В ноябре 2024 года ему по работе попались криптовалютные кошельки, связанные с этим расследованием. Дальше, как изложено в показаниях под присягой, всё обошлось без единой технической уловки: изучить, как устроены кошельки, завести собственный, найти во внутренних хранилищах бюро сведения о нужных учётных записях и запомнить фразы восстановления. Затем последовало от 10 до 12 переводов на свой кошелёк. Шифрование никто не вскрывал, уязвимости в протоколах не задействовались – сотруднику с таким допуском достаточно было прочитать строку на служебном экране.
Фраза восстановления (seed phrase) – последовательность из 12 или 24 слов по стандарту BIP39, из которой выводятся все закрытые ключи криптокошелька. Кто располагает фразой, тот распоряжается средствами, независимо от того, у кого физически находится устройство.
Top Secret и SCI – высший из трёх американских грифов секретности (российский аналог «особой важности») и отдельная категория доступа к сведениям с особым порядком обращения. Допуск к Top Secret сам по себе доступа к SCI не даёт.
Явка с повинной и отказ от беседы через два дня
Ярох связался через Signal с сотрудником Министерства юстиции, с которым работал ещё в Бостоне, и предложил встретиться. Встреча прошла на следующий день в штаб-квартире ФБР; по описанию в показаниях, собеседник Яроха почти сразу перевёл разговор в свой кабинет, потому что тот начал срываться. Ярох сказал, что происходящее съедает его изнутри и что он готов вернуть все деньги. После этого он подал сообщение о себе через внутреннюю форму Управления безопасности ФБР и признался сотрудникам штаб-квартиры, что серьёзно ошибся. Вечером агенты приехали к нему домой, где он повторил то же самое в куда более грубых выражениях.
Мотивом, по его собственной версии, была не корысть. Он рассказал коллегам, что не мог смириться с бездействием бюро в отношении этих счетов, описал своё тогдашнее состояние как потерю контроля над собой и решил действовать самостоятельно.
Готовность сотрудничать продержалась недолго. Уже переданный агентам листок с фразами восстановления Ярох попросил вернуть, продолжать беседу без адвоката отказался и просил дать ему ещё два дня. Следствие получило ордера и исполнило их : дом оцепил спецназ, при обыске изъяли iPhone, аппаратный кошелёк Trezor, рукописные фразы восстановления, доверенность португальских юристов от и три паспорта, среди которых оказался дипломатический. В тот же день бюро расторгло с ним трудовой договор.
Четыре запроса к ChatGPT с 28 мая по 26 июня
Самая говорящая часть материалов дела нашлась не в блокчейне, а в переписке с ChatGPT, сохранившейся на телефоне. Ярох спрашивал, как вложить или потратить миллион долларов с наибольшей отдачей, а – что следует предпринять человеку с такой суммой, чтобы уехать из США и получить вид на жительство или гражданство страны Евросоюза. Ещё через две недели, , его интересовало, нужна ли американцу виза при пересадке в Турции. он попросил помочь составить письмо руководителю о вакансии и жизни в Греции. В ответах фигурировали его возраст, жена, ребёнок и планы на недвижимость – подробности, которые он сообщил сам в предыдущих сеансах.
Часть этих сценариев к моменту ареста уже перешла в бумаги. Следствие нашло доверенность на двух португальских юристов, уполномоченных поставить Яроха на учёт в налоговом ведомстве и получить португальский налоговый номер. Отдельно вскрылись незадекларированные зарубежные поездки: Германия в мае, Португалия в том же месяце и Гренада в начале июля – каждая в нарушение правил бюро об отчётности.
1,02 млн $ в Suilend за пять дней до явки
Распорядился деньгами Ярох не менее странно, чем добыл их. , за пять дней до разговора с сотрудником Минюста, он перевёл около 1,02 млн $ в Suilend, добравшись туда через приложение-кошелёк Slush, которое затем удалил. Средства он разместил под проценты. На вопрос, почему выбор пал именно на этот сервис, Ярох ответил, что ему понравился логотип в виде капли воды.
Suilend – крупнейший протокол децентрализованного кредитования в сети Sui, запущенный в марте 2024 года командой, ранее сделавшей Solend для Solana. Вкладчик размещает активы и получает процент, заёмщик берёт средства под залог; операции остаются в публичном реестре блокчейна.
К моменту проверки позиция стоила меньше вложенного. На счёте Kraken лежала ещё одна сумма, преимущественно в обычных долларах, поступивших с привязанного банковского счёта. По согласию Яроха агенты перевели криптовалюту в кошельки под контролем правительства; долларовый остаток вывести в криптокошелёк было невозможно, и он остался на бирже.
| Где находились средства | Сумма |
|---|---|
| Позиция в Suilend на момент проверки | 933 756 $ |
| Счёт на бирже Kraken, всего | 188 570 $ |
| – из них в долларах США | 165 582 $ |
| – из них в токене Squid | около 5000 $ |
| – из них в биткоине | 1,67 $ |
| Переведено в кошельки правительства США | 925 426 $ |
Ни одна из этих цифр не равна сумме хищения. В показаниях под присягой оговорено, что похищенная криптовалюта перемешана с личными накоплениями Яроха, а курсы активов менялись всё время, пока средства лежали на счетах.
Почему в обвинении нет шпионажа и компьютерного мошенничества
Обвинение построено на разделах 2314 и 2315 федерального уголовного кодекса – общих нормах о перевозке и получении похищенного имущества. Ни шпионаж, ни компьютерное мошенничество, ни хищение государственной собственности в деле не фигурируют. Причина в статусе самих кошельков: правительству США они не принадлежали, а от этого зависит юридическая квалификация произошедшего.
Дело слушается в федеральном окружном суде Восточного округа Виргинии. Согласно карточке дела 1:26-mj-00300, вынесено постановление о временном содержании под стражей и назначен федеральный общественный защитник, прошло предварительное слушание.
Заключение
Если обвинение подтвердится, хищение оставалось незамеченным почти восемнадцать месяцев и вскрылось только потому, что исполнитель пришёл с повинной сам. Внутренние процедуры бюро не сработали ни разу – ни на обращении к сведениям об учётных записях, ни на переводах, ни на незадекларированных поездках. Ключ к чужому кошельку остаётся строкой текста, которую допущенный сотрудник видит на служебном экране и уносит в памяти: журналирование доступа тут бесполезно, а двойной контроль над такими материалами, судя по описанию, отсутствовал. Федеральные ведомства год от года изымают и отслеживают всё больше криптоактивов, так что вопрос о том, как именно у них хранятся ключи и фразы восстановления, теперь придётся закрывать отдельно от разбирательства по этому делу.