Бывшему 41-летнему агенту контрразведки ФБР предъявлены обвинения в краже криптовалюты на сумму почти в 1 миллион долларов из криптокошелька стороны-противника, расследованием которой он сам занимался. Его метод заключался в том, чтобы запомнить сид-фразу (мнемоническую фразу) кошелька, не оставляя никаких бумажных следов, после чего он примерно за 10–12 транзакций перевел средства на свой счет, и более года это оставалось незамеченным. 31 июля он был арестован у себя дома в Ашберне, штат Вирджиния, ему предъявлены два федеральных обвинения: «межгосударственная транспортировка краденого» и «получение краденого». ФБР на данный момент вернуло около 925 000 долларов.
Услышав это, больше всего, наверное, интересно, как опытный агент был разоблачен, и здесь происходит самый неожиданный поворот сюжета: его не раскрыли в ходе расследования, он сдался сам. Три дня назад он через Signal договорился о встрече с представителем Министерства юстиции, сел и «сломался», сказав, что принял «ужасное решение по поводу этого криптокошелька» и что это «непрерывно мучило его». Еще более абсурдно то, что полиция обнаружила в его телефоне план побега, который он советовался с ChatGPT.
Ловец шпионов, совершивший хищение при исполнении служебных обязанностей
Обвиняемого зовут Патрик Стивен Ярох, 41 год, супервайзирующий специальный агент ФБР. Около восьми лет он занимался расследованиями в сфере национальной безопасности в Бостонском отделении, а в начале 2025 года был переведен в штаб-квартиру ФБР в отдел контрразведки и борьбы со шпионажем, получив доступ к системам с высокоограниченной секретной информацией.
Согласно его собственным показаниям следователям, в ноябре 2024 года, занимаясь делом по контрразведке, он получил доступ к криптовалютному счету противника. Но он не остановился на этапе «доступа»: он изучил криптовалюты, создал собственный кошелек, а затем снова зашел в базу данных ФБР, нашел информацию о криптосчете противника и запомнил по порядку слова сид-фразы.
В письменных показаниях под присягой он выразился более прямо — он «зашел в системы ФБР и нашел ключи, необходимые для перевода средств». Затем он перевел деньги с этих враждебных счетов на один и тот же свой кошелек примерно за 10–12 транзакций, набрав почти миллион долларов. Он сказал, что сам точно не знает сумму, так как она смешалась с его личными инвестиционными доходами, но точно меньше миллиона.
Здесь стоит остановиться на двух деталях. Первая: в показаниях под присягой постоянно используется множественное число — «враждебные счета», «поиск информации в базах данных ФБР о враждебных криптосчетах». Другими словами, в базе ФБР хранятся учетные данные кошельков не одной цели, и они хранятся в виде, доступном для прямого поиска агентом и в открытом виде, чтобы можно было запомнить сид-фразу. Теоретически, он мог запомнить не только один. Вторая: следователь специально добавил сноску, поправив его: Ярох назвал сид-фразу «passphrase», что терминологически неверно. Это указывает на то, что Ярох, будучи сотрудником контрразведки, имел лишь поверхностное понимание криптотерминологии.
Следователи также отметили, что это не какой-то изощренный хакерский метод, не было ни уязвимостей, ни атак. Получив сид-фразу, получаешь доступ к кошельку: введя слова в любой кошельковый софт, перевод в блокчейне выглядит легитимным, сеть не отличает настоящего владельца от того, кто просто получил ключи.
Что касается того, как эти враждебные сид-фразы изначально попали в базу ФБР и почему они хранились в форме, доступной для запоминания, — в показаниях под присягой об этом не говорится, а иностранная цель и ее государственная принадлежность засекречены.
Ярох нашел для себя оправдание: ему не нравилось, что власти бездействовали в отношении криптоактивности этой цели, поэтому он решил «взять дело в свои руки». Он также подчеркнул, что никогда не связывался ни с кем, связанным с этими счетами, и деньги просто лежали, не тратясь. Все это его личная версия.
Мечтал уйти на пенсию до 40 лет и выращивать виноград в Португалии
Получив деньги, он начал планировать остаток жизни. Но этот эксперт по контрразведке записывал процесс планирования, строчка за строчкой, в ChatGPT.
Восстановленные из его телефона диалоги за май-июнь показывают, что он спрашивал, как выйти на пенсию до 40 лет с миллионом долларов и жить на виноградниках в Италии или Португалии; также спрашивал, как получить вид на жительство в ЕС, отдельно обсуждал Португалию с учетом семейной ситуации.
Все сопутствующие действия совпадали: на 3 сентября уже были забронированы билеты для всей семьи из Вашингтона в Лиссабон, обратно — на 11 сентября; в середине июня он подготовил доверенность для португальского юриста на оформление налогов и регистрации. Следователи также обнаружили, что в этом году он ездил в Германию, Португалию и Гренаду. По правилам безопасности о таких поездках нужно было сообщать, но он ни разу этого не сделал. На вопросы он упорно заявлял, что не планировал переводить деньги за границу, а поездка в Португалию была просто для встречи с друзьями.
Перевел деньги в Suilend, потому что понравился логотип
Способ перевода средств Ярохом нельзя назвать скрытным. Около 188 500 долларов хранились на Kraken, привязанном к счету в TD Bank, с входом по Face ID с телефона. Еще 1,02 миллиона долларов в конце июля через приложение Slush были переведены в децентрализованный кредитный протокол Suilend в сети Sui.
Причина выбора Suilend довольно нелепа: по словам следователей, он сказал, что отчасти потому, что ему понравился логотип в форме капли, и хотел получить немного дохода от депозита, просто оставив монеты там. Проблема в том, что DeFi-кредитные протоколы оставляют постоянную запись в блокчейне. Как только принадлежность кошелька установлена, дальнейшее отслеживание становится прямым путем.
31 июля, с его согласия, ФБР перевело около 925 000 долларов с Kraken и Suilend на кошелек, контролируемый правительством. Еще 165 500 долларов остались на Kraken — они уже конвертированы в доллары США, и их нельзя вернуть тем же криптографическим методом перевода.
Он не дождался, пока расследование нагрянет к нему, а сначала связался с Минюстом
28 июля днем Ярох самостоятельно через Signal связался со старым коллегой из отдела национальной безопасности Министерства юстиции и на следующий день в полдень встретился с ним в штаб-квартире ФБР. Согласно записям в показаниях под присягой, при встрече он эмоционально сломался, признался, что принял ужасное решение по поводу криптокошелька, сказал, что это непрерывно мучило его и он хотел «излить душу»; собеседник посоветовал ему срочно нанять адвоката и немедленно сдаться.
Тем же днем он сам обратился в штаб-квартиру ФБР с просьбой о встрече и онлайн подал отчет о добровольной сдаче в службу безопасности, при встрече сказав, что «все испортил». Вечером следователи прибыли к нему домой в Ашберн, отстранили его от должности и изъяли государственное имущество. В это время он отдал бумажку с записанной сид-фразой, но через несколько минут отозвал согласие и забрал ее обратно, лишь повторяя «я все испортил», после чего воспользовался правом хранить молчание. 31 июля ФБР официально уволило его; в тот же день, после его сотрудничества по переводу средств обратно на государственный кошелек, следователи на месте арестовали его.
Свое добровольное признание он объяснил чувством стыда и осознанием своей ошибки. Насколько это было угрызениями совести, а насколько — осознанием приближающегося расследования и желанием первым сознаться, в показаниях под присягой выводов не делается, и нам не нужно судить за него.
Что этот случай напоминает обычным людям
Во-первых, история чатов действительно может стать вещественным доказательством в суде. Все те вопросы, которые Ярох задавал ChatGPT — как выйти на пенсию, как иммигрировать, на какой виноградник поехать — в итоге попали в дело строка за строкой. Вам кажется, что это просто окно для случайных вопросов, но на самом деле оно абсолютно незащищено.
Во-вторых, о чем стоит задуматься отрасли: в базах данных ФБР в открытом виде хранятся сид-фразы кошельков противника, агент может напрямую их найти, запомнить, перевести почти миллион долларов, более года не сработало ни одной тревоги, и в итоге все раскрылось только потому, что у него заговорила совесть. Когда мы обсуждаем безопасность криптоактивов, мы привыкли следить за тем, не рухнет ли биржа, не потеряется ли холодный кошелек, но редко задумываемся, что даже у правоохранительных органов хранение изъятых учетных данных может быть настолько небрежным. И как эти сид-фразы изначально попали в базу ФБР, и почему они хранились в форме, доступной для запоминания одним человеком?
