Một cựu đặc vụ phản gián 41 tuổi của FBI bị cáo buộc đã đánh cắp gần 1 triệu đô la tiền điện tử từ ví mã hóa của phe đối thủ trong chính vụ án gián điệp mà anh ta xử lý. Thủ đoạn của anh ta là ghi nhớ cụm từ khôi phục (seed phrase) vào trong đầu, không để lại bất kỳ dấu vết tài liệu nào, chia thành khoảng 10 đến 12 lần chuyển vào tài khoản của mình, hơn một năm không bị phát hiện. Vào ngày 31 tháng 7, anh ta bị bắt tại nhà ở Ashburn, Virginia, phải đối mặt với hai cáo buộc liên bang "vận chuyển tài sản ăn cắp xuyên tiểu bang" và "nhận tài sản ăn cắp". FBI hiện đã thu hồi được khoảng 925.000 đô la.
Nghe đến đây, điều khiến người ta tò mò nhất có lẽ là với tư cách là một đặc vụ, anh ta đã bại lộ như thế nào, và đây cũng là điểm đảo ngược nhất của vụ án: anh ta không bị điều tra phát hiện, mà là tự mình ra đầu thú. Ba ngày trước, anh ta dùng Signal hẹn gặp người của Bộ Tư pháp, vừa ngồi xuống đã sụp đổ, nói rằng mình "đã đưa ra một quyết định cực kỳ tồi tệ trong chuyện ví mã hóa này", việc này "luôn giày vò anh ta". Điều phi lý hơn nữa là, cảnh sát đã lục lại từ điện thoại của anh ta, thấy kế hoạch chạy trốn mà anh ta đã tham vấn với ChatGPT.
Người bắt gián điệp, lại tự mình trộm cắp
Bị cáo tên là Patrick Steven Yaroch, 41 tuổi, đặc vụ phụ trách của FBI. Anh ta đầu tiên làm điều tra an ninh quốc gia khoảng tám năm tại chi nhánh Boston, đầu năm 2025 chuyển về trụ sở chính FBI, vào bộ phận phản gián và gián điệp, có được quyền truy cập vào hệ thống tình báo bị hạn chế cao độ.
Theo lời khai của anh ta với nhà điều tra, vào tháng 11 năm 2024 khi xử lý vụ án phản gián, anh ta đã tiếp cận được tài khoản mã hóa của phe đối thủ. Tiếp theo anh ta không dừng lại ở bước "tiếp cận" này: anh ta đã nghiên cứu về tiền điện tử, tự tạo một ví, sau đó quay lại tìm kiếm thông tin về tài khoản mã hóa của phe đối thủ trong cơ sở dữ liệu của FBI, và ghi nhớ từng chuỗi cụm từ khôi phục (seed phrase) trong đó.
Trong bản tường trình có tuyên thệ, anh ta nói còn thẳng thắn hơn — anh ta "đã vào hệ thống FBI, tìm thấy khóa cần thiết để chuyển tiền". Sau đó, anh ta chia thành khoảng 10 đến 12 lần chuyển tiền từ các tài khoản đối thủ này vào cùng một ví mang tên mình, tích lũy đến gần 1 triệu đô la. Anh ta nói bản thân cũng không rõ cụ thể là bao nhiêu, vì nó đã trộn lẫn với lợi nhuận đầu tư cá nhân của anh ta, nhưng chắc chắn dưới một triệu.
Có hai chi tiết đáng dừng lại ở đây. Một là bản tường trình dùng toàn bộ là số nhiều — "các tài khoản đối thủ", "tìm kiếm thông tin về các tài khoản mã hóa của đối thủ trong cơ sở dữ liệu của FBI". Nói cách khác, trong kho của FBI lưu trữ không chỉ thông tin xác thực ví của một mục tiêu, mà còn có thể được một đặc vụ trực tiếp tìm kiếm, trực tiếp nhìn thấy cụm từ khôi phục dạng văn bản rõ. Về lý thuyết, những gì anh ta có thể ghi nhớ và lấy đi, không chỉ của một người này. Thứ hai là điều tra viên đặc biệt thêm một chú thích cuối trang để sửa anh ta: Yaroch gọi cụm từ khôi phục (seed phrase) là "passphrase", dùng từ sai. Điều này cho thấy Yaroch tuy là một người làm phản gián, nhưng hiểu biết về thuật ngữ mã hóa chỉ là nửa vời.
Nhà điều tra cũng chỉ rõ, đây không phải là thủ đoạn hacker cao siêu gì, không có lỗ hổng, không có tấn công. Có được cụm từ khôi phục đồng nghĩa với nắm được ví, chỉ cần nhập các từ đó vào bất kỳ phần mềm ví nào, trên chuỗi trông giống như một giao dịch bình thường, mạng lưới không phân biệt được ai là chủ nhân thực sự, ai là người có chìa khóa.
Còn việc những cụm từ khôi phục của đối thủ này ban đầu vào kho của FBI như thế nào, và tại sao lại được lưu trữ dưới dạng có thể được tìm kiếm, có thể bị ghi nhớ và lấy đi — bản tường trình không nói, mục tiêu nước ngoài liên quan và quốc gia sở thuộc được che kín toàn bộ để bảo mật.
Lý do Yaroch tự đưa ra cho mình là: anh ta không thể chịu được việc chính phủ mãi không hành động đối với hoạt động mã hóa của mục tiêu này, nên đã "tự mình ra tay". Anh ta còn nhấn mạnh chưa từng liên hệ với bất kỳ ai liên quan đến các tài khoản này, số tiền cũng để đó chưa tiêu. Tất cả đều là lời khai một phía của anh ta.
Muốn nghỉ hưu trước 40 tuổi, đến Bồ Đào Nha trồng nho
Tiền đã vào tay, anh ta bắt đầu tính toán cho phần đời còn lại. Nhưng chuyên gia phản gián này lại đánh máy toàn bộ quá trình tính toán, từng dòng một, cho ChatGPT.
Các cuộc trò chuyện được khôi phục từ điện thoại của anh ta vào tháng 5, 6 cho thấy, anh ta đã hỏi cách nghỉ hưu trước 40 tuổi với 1 triệu đô la, sống cuộc sống trong vườn nho ở Ý hoặc Bồ Đào Nha; cũng hỏi cách lấy thẻ cư trú EU, còn kết hợp tình hình gia đình chuyên sâu bàn về Bồ Đào Nha.
Các hành động đi kèm đều khớp hoàn toàn: vé máy bay khứ hồi cho cả gia đình từ Washington đến Lisbon vào ngày 3 tháng 9, trở về ngày 11 tháng 9 đã được đặt; giữa tháng 6 chuẩn bị một ủy quyền, để luật sư Bồ Đào Nha giúp anh ta xử lý thuế và đăng ký. Nhà điều tra còn tìm thấy anh ta năm nay đã đến Đức, Bồ Đào Nha và Grenada, theo quy định của giấy phép an ninh, tất cả các chuyến đi này đều phải báo cáo, anh ta không báo một lần nào. Trước lời chất vấn, anh ta khăng khăng khẳng định không có ý định chuyển tiền ra nước ngoài, nói đến Bồ Đào Nha chỉ để thăm bạn.
Chuyển tiền vào Suilend vì thích logo
Cách thức Yaroch chuyển tiền không thể nói là bí mật. Khoảng 188.500 đô la được đặt trong một tài khoản Kraken liên kết với tài khoản ngân hàng TD Bank, đăng nhập bằng Face ID trên điện thoại. Ngoài ra, 1,02 triệu đô la vào cuối tháng 7 thông qua một ứng dụng tên là Slush, đã được chuyển vào giao thức cho vay phi tập trung Suilend trên chuỗi Sui.
Lý do chọn Suilend cũng khá vô lý: Theo lời thuật lại của nhà điều tra, anh ta nói một phần vì thích logo hình giọt nước, gửi tiền vào đó kiếm chút lợi nhuận, để tiền điện tử tạm thời nằm đó. Vấn đề là, giao thức cho vay DeFi sẽ để lại hồ sơ vĩnh viễn trên chuỗi, một khi xác định được chủ sở hữu ví, việc theo dõi xuống dưới sẽ là một con đường rõ ràng.
Vào ngày 31 tháng 7, với sự đồng ý của chính anh ta, FBI đã chuyển tổng cộng khoảng 925.000 đô la từ Kraken và Suilend vào ví do chính phủ kiểm soát. Còn 165.500 đô la vẫn ở lại Kraken — phần này đã được đổi thành đô la Mỹ, không thể sử dụng cùng một quy trình chuyển tiền mã hóa để thu hồi.
Anh ta không đợi cuộc điều tra gõ cửa, mà liên hệ Bộ Tư pháp trước
Chiều ngày 28 tháng 7, Yaroch chủ động liên hệ qua Signal với một đồng nghiệp cũ tại Bộ phận An ninh Quốc gia của Bộ Tư pháp, trưa ngày hôm sau gặp mặt tại trụ sở chính FBI. Theo ghi chép trong bản tường trình, vừa gặp mặt anh ta đã mất kiểm soát cảm xúc, thừa nhận mình đã đưa ra một quyết định tồi tệ về ví mã hóa, nói việc này luôn giày vò anh ta, muốn "trút bầu tâm sự"; đối phương bảo anh ta nhanh chóng mời luật sư, lập tức ra đầu thú.
Chiều cùng ngày, anh ta lại chủ động liên hệ trụ sở chính FBI yêu cầu gặp mặt trao đổi, còn nộp một báo cáo tự thú trực tuyến cho bộ phận an ninh, vừa gặp người đã nói mình "làm hỏng chuyện rồi". Tối hôm đó, điều tra viên đến nhà anh ta ở Ashburn, đình chỉ công tác của anh ta, thu hồi tài sản của chính phủ. Trong lúc đó, anh ta đưa tờ giấy ghi cụm từ khôi phục ra, vài phút sau lại rút lại sự đồng ý lấy về, chỉ lặp đi lặp lại "tôi làm hỏng rồi", sau đó viện dẫn quyền im lặng không nói thêm gì. Ngày 31 tháng 7, FBI chính thức sa thải anh ta; cùng ngày, sau khi anh ta hợp tác chuyển tiền trở lại ví của chính phủ, điều tra viên đã bắt giữ anh ta tại chỗ.
Lời giải thích của anh ta cho việc tự thú là xấu hổ, là biết mình đã làm sai. Còn trong đó có bao nhiêu phần là lương tâm cắn rứt, bao nhiêu phần là phát hiện cuộc điều tra sắp tới muốn tranh thủ thú tội trước, bản tường trình không đưa ra kết luận, cũng không cần phán đoán thay anh ta.
Đối với người bình thường, vụ án này nhắc nhở điều gì
Thứ nhất, lịch sử trò chuyện thực sự có thể trở thành bằng chứng tại tòa. Những lời Yaroch hỏi ChatGPT — cách nghỉ hưu, cách di cư, đến vườn nho nào — cuối cùng từng dòng một đi vào hồ sơ vụ án. Bạn nghĩ đó chỉ là khung chat hỏi qua loa, thực tế không hề có phòng thủ gì cả.
Thứ hai, điều đáng để ngành nghề suy nghĩ hơn nữa: Trong cơ sở dữ liệu của FBI, lưu trữ dạng văn bản rõ cụm từ khôi phục ví của phe đối thủ, một đặc vụ có thể trực tiếp tìm kiếm, ghi nhớ nó và lấy đi, chuyển đi gần triệu đô la, hơn một năm không kích hoạt bất kỳ cảnh báo nào, cuối cùng vẫn phải dựa vào lương tâm bất an của anh ta tự khai ra. Khi thảo luận về an ninh tài sản mã hóa, chúng ta thường tập trung vào việc sàn giao dịch có sập không, ví lạnh có mất không, nhưng ít khi nghĩ đến, ngay cả chứng cứ liên quan vụ án do cơ quan thực thi pháp luật nắm giữ, việc canh giữ có thể lỏng lẻo đến mức này. Và những cụm từ khôi phục này ban đầu rơi vào kho của FBI như thế nào, và tại sao lại được lưu trữ dưới dạng một người có thể ghi nhớ và lấy đi?
