Бывший агент ФБР Патрик Стивен Ярох признал, что похитил криптоактивы почти на $2,47 млн из кошельков жертв мошенничества и подозреваемых по делам бюро. Кража криптовалюты агентом ФБР затронула 35 расследований, включая дела о государственных хакерских группах. Для команд, работающих с цифровыми активами и расследованиями инцидентов, это неприятное напоминание: самый защищённый контур легко обходится человеком, которому уже выдали доступ.
Ярох использовал служебные учётные данные и кодовые фразы, найденные в системах управления делами ФБР и на внутренней платформе обмена данными, сообщает BleepingComputer. Получив доступ к криптокошелькам, он переводил средства на собственные адреса, а затем менял их на другие цифровые активы, пытаясь разорвать цепочку происхождения денег.
На момент описываемых событий Яроху было 37 лет. С 2017 по 2025 год он служил в подразделении национальной безопасности Бостонского отделения ФБР, а с февраля 2025-го по июль 2026 года работал в штаб-квартире бюро — в подразделении контрразведки и борьбы со шпионажем. Это не история о внешнем взломщике, который нашёл открытую базу в интернете: доступ к чувствительным данным был частью его профессиональных полномочий.
29 июля Ярох сам сообщил о хищениях сотрудникам подразделения национальной безопасности Минюста США и штаб-квартиры ФБР. В тот же день его отправили в административный отпуск, а 31 июля задержали дома и уволили из бюро. На прошлой неделе он признал вину по обвинениям в мошенничестве с использованием средств связи и отмывании денег.
Около ста переводов по делам ФБР
По данным Минюста США, схема не ограничилась одной ошибкой или единичным переводом. Ярох провёл около 100 несанкционированных операций, используя данные, связанные с 35 отдельными расследованиями ФБР. Общая сумма незаконно полученных средств составила $2 474 380,66.
Следствие выделяет период с 25 ноября 2025 года по 13 января 2026-го: за это время Ярох перевёл примерно $93 тыс. на один из своих счетов, затем гонял средства между другими кошельками и направлял их на личные расходы. Среди них — платежи по кредитным картам, автокредиту и другим займам. Такой набор трат особенно показателен: блокчейн-транзакции могут казаться удобным способом спрятать источник средств, но конвертация в обычные платежи оставляет привычный финансовый след.
Кража криптовалюты агентом ФБР в этом случае стала одновременно провалом контроля доступа и проблемой сохранности доказательств. Секретные фразы и ключи к кошелькам — это не просто техническая деталь дела. В руках следствия они открывают доступ к активам, которые могут быть арестованы, возвращены потерпевшим или использованы как доказательство. Любое неучтённое перемещение способно испортить цепочку хранения доказательств, осложнить суд и поставить под сомнение работу по связанным эпизодам.
Прокуратура также заявила, что действия Яроха скомпрометировали несколько расследований против преступных групп и противников США, а также источники и методы, применявшиеся в уголовных делах и при сборе внешней разведывательной информации. Публичных деталей по конкретным делам власти не раскрыли, и это логично: дополнительная конкретика здесь могла бы создать ещё одну проблему безопасности.
Инсайдерский риск нельзя закрыть одним журналом аудита
Для бизнеса эта история ценна не экзотическим сюжетом про агента и криптокошельки, а знакомой механикой инсайдерского риска. Организация может иметь многофакторную аутентификацию, сегментацию сети, SIEM и строгие политики, но всё это слабо помогает, если один сотрудник получает доступ к секретам, может единолично распоряжаться активами и не сталкивается с быстрым независимым контролем.
В системах, где хранятся приватные ключи, seed-фразы, токены облачных аккаунтов или доступы к платёжной инфраструктуре, полезно разделять полномочия на уровне процесса, а не только документа. Перевод активов должен требовать подтверждения несколькими сторонами; доступ к ключевому материалу — быть ограниченным по времени и цели; а журналы событий — уходить в контур, который не может тихо переписать тот же администратор. Для разработчиков это означает, что секреты нельзя превращать в «просто строку в тикете» или вложение в кейс-менеджменте.
Отдельный урок — мониторинг несанкционированных действий привилегированных пользователей. Речь не о тотальной слежке за сотрудниками, а о понятных сигналах риска: выгрузке секретов по несвязанным делам, обращении к активам вне назначенного расследования, сериях переводов на новые адреса, аномальном доступе в нерабочее время. Чем чувствительнее данные, тем меньше должна быть ставка на личную репутацию владельца доступа.
В материалах дела упоминаются и планы Яроха переехать с семьёй в Португалию в начале сентября. Следователи нашли билеты в Лиссабон и документы о доверенности двум португальским юристам для получения налогового номера. Среди цифровых следов оказался запрос к ChatGPT о переезде в Евросоюз при наличии примерно $1 млн и желании рано выйти на пенсию. Сам по себе запрос к ИИ ничего не доказывает, но в контексте финансовых операций он стал одним из элементов картины, которую удалось собрать следствию.
Приговор Яроху назначен на 4 марта. По каждому из двух пунктов обвинения — мошенничество с использованием средств связи и отмывание денег — ему грозит до 20 лет заключения. Кража криптовалюты агентом ФБР показывает, что цифровые активы не отменяют старую проблему доверенного доступа: технология усложняет след, но не заменяет разделение полномочий, независимый аудит и контроль над теми, кто имеет ключи от самых чувствительных систем.
