Осмотр онлайн-криптокошелька заявителя / потерпевшего (по материалам и уголовным делам о хищениях в сфере оборота криптовалют): процессуальный и криминалистический аспекты
Дарья Игоревна Шнейдерова
Аннотация. Статья посвящена особенностям тактики подготовки и проведения осмотра онлайн-криптокошельков по материалам проверки и уголовным делам о хищениях в сфере оборота криптовалют, представленных в Республике Беларусь мошенничеством, вымогательством, а также хищением путем модификации компьютерной информации. Обосновывается авторская позиция целесообразности осмотра криптовалютного онлайн-кошелька заявителя путем исследования компьютерной информации, анализируются особенности выбора места, времени, технических средств и участников следственного действия. Автор приводит алгоритм действий, составляющих подготовительный, рабочий и заключительный этапы осмотра компьютерной информации.
Ключевые слова: осмотр, компьютерная информация, криптовалюта, онлайн-криптокошелек, хищение, хэш, транзакция, идентификатор, обозреватель, электронная почта
онлайн криптокошельки мошенничество хищение модификация компьютерная
INSPECTION OF ONLINE CRYPTOCURRENCY WALLET OF THE APPLICANT / INVOLVED (ON MATERIALS AND CRIMINAL CASES ON THEFT IN THE SPHERE OF CRYPTOCURRENCY TRAFFIC): PROCEDURAL AND CRIMINALISTICS ASPECTS
Darya I. Shneiderova
Abstract. The article is devoted to the peculiarities of the tactics of preparing and conducting an inspection of online crypto wallets based on the materials of the audit and criminal cases of theft in the sphere of cryptocurrency traffic, represented in the Republic of Belarus by fraud, extortion, and theft by modifying computer information. The author's position on the expediency of inspecting the applicant's cryptocurrency online wallet by examining computer information is substantiated, the features of the choice of place, time, technical means and participants in the investigative action are analyzed. The author provides an algorithm of actions that make up the preparatory, working and final stages of inspecting computer information, and also draws attention to the need to use additional means of fixing progress and results, and determines further ways and methods for studying the data obtained by means of their analysis through public Internet resources. It is based on example of a cryptocurrency online wallet of the Blockchain.com service.
Keywords: inspection, computer information, cryptocurrency, online crypto wallet, theft, hash, transaction, explorer, identifier, browser, e-mail
Развитие информационно-технологической сферы, сопряженное с внедрением новых цифровых продуктов в жизнь современного человека, прямо пропорционально отражается и на появлении новых способов и средств совершения устоявшихся видов хищений, которые из бытовой области большей своей частью переходят в компьютерно-информационную. На территории Республики Беларусь с момента легализации и придания имущественного статуса криптовалютам положениями Декрета Президента Республики Беларусь от 21 декабря 2017 г. № 8 «О развитии цифровой экономики» последние стали признаваться предметом преступных посягательств, в частности хищений, среди которых выделяются такие составы, как вымогательство, мошенничество и хищение путем модификации компьютерной информации [1].
Одним из источников криминалистической методики расследования отдельных видов и групп преступлений, а соответственно, и тактики проведения по ним следственных действий выступает накопленный практический опыт, который в отношении хищений в сфере оборота криптовалют еще не имеет сформировавшейся и относительно устойчивой базы знаний ввиду отсутствия их систематизации и обобщения. В связи с этим выявляется необходимость в разработке тактических рекомендаций по проведению отдельных следственных действий с целью устранения разносторонности подходов и пробелов в их проведении сотрудниками правоохранительных органов на стадиях как рассмотрения заявления о совершенном преступлении, так и расследования возбужденного уголовного дела.
Криптокошелек - основной инструмент, позволяющий хранить открытые адреса, хэши транзакций, покупать, переводить и обменивать криптовалюты, непосредственный осмотр которого позволит сотруднику правоохранительных органов убедиться, во-первых, что кошелек действительно принадлежит заявителю (потерпевшему) ввиду его привязки к почтовому адресу и (или) мобильному номеру, сохраненных реквизитов банковских платежных карт, наличия данных об ІР-адресах авторизированных устройств, обычно используемых владельцем, во-вторых, установить хэш (ID, идентификатор) неправомерной транзакции, сведения об отправителе и получателях, количестве криптовалют, времени ее проведения, статусе подтверждения (как правило, ввиду того, что хэш представляет собой сложную многосимвольную запись из букв и цифр, заявитель (потерпевший) не может воспроизвести его по памяти при получении у него объяснений (допросе) и представляет либо в виде записи на листке, либо в виде скриншота из кошелька, либо не предоставляет вообще, ссылаясь на возможность демонстрации при последующем осмотре кошелька).
Вся система функционирующих на сегодняшний день криптокошельков (как одновалютных, так и мультивалютных) представлена двумя группами - кошельки с «холодным» и «горячим» хранением, разница между которыми базируется на необходимости постоянного доступа к сети Интернет для работы с таким криптоинструментом, а также на виде материального носителя закрытых ключей для подтверждения транзакций. Так, к кошелькам с «горячим» хранением относятся онлайн-кошельки и локальные программные кошельки, к кошелькам с «холодным» хранением - аппаратные, программные без доступа к сети и бумажные. Из представленных разновидностей криптокошельков популярностью пользуются именно онлайн-кошельки, т.к. они просты в использовании, в т.ч. лицами с низким уровнем компьютерной грамотности, доступны с любого устройства, подключенного к сети Интернет (компьютер, планшет, смартфон). Однако за счет этих качеств такие кошельки более иных разновидностей подвержены преступным посягательствам ввиду низкой степени защиты личных данных владельцев, а также хакерских атак на сервер криптосервиса, где хранятся все приватные ключи, что вызывает необходимость отразить тактические особенности осмотра данного вида криптокошелька.
Криптокошелек потерпевшего - отправная точка в процессе работы по заявлению о совершенном хищении, поскольку он либо выступает средством совершения хищения в случае несанкционированного доступа к кошельку с последующим переводом криптовалют на счет преступника (в этом случае имеют место признаки хищения путем модификации компьютерной информации), либо используется его владельцем для перевода средств злоумышленнику под влиянием обмана (признаки мошенничества), либо выполнения установленного требования под угрозой совершения в отношении него, его семьи и близких родственников противоправных действий (признаки вымогательства). В связи с вышеизложенным возникает целесообразность обследования криптокошелька путем проведения одного из доступных на соответствующей стадии досудебного производства следственных действий, круг которых по материалам проверки ограничен положениями ч. 2 ст. 173 Уголовно-процессуального кодекса Республики Беларусь (далее - УПК) [2].
Выбор следственного действия зависит не только от стадии производства, но и от специфики объекта обследования. УПК предусматривает несколько видов следственного осмотра, классифицируемых в зависимости от объекта, среди которых применительно к рассматриваемой группе хищений можно выделить осмотр места происшествия, осмотр предметов и осмотр компьютерной информации. Доступность их проведения распространяется на стадии проверки поступившего заявления о совершенном преступлении, а также расследования возбужденного уголовного дела.
Онлайн-криптокошелек как объект осмотра специфичен ввиду совокупности следующих характеризующих его признаков: является объектом цифровой среды, функционирующим только в сети Интернет; не имеет привычного человеческому восприятию материального выражения; привязан к своему носителю, без которого, как и любая иная компьютерная информация, существовать не может; имеет возможность связи с владельцем через удаленный доступ от сервера-хранителя (т.е. воспользоваться кошельком можно с любого устройства, подключенного к глобальной сети, несмотря на то, что сам кошелек хранится на сервере обслуживающей его компании). Исходя из представленных признаков, исследование онлайн-криптокошелька целесообразно проводить путем осмотра компьютерной информации, т.к. центральным объектом выступают цифровые данные, а не место происшествия или материальный предмет. Однако анализ практической работы показывает, что возможна вариативность применения разных видов осмотра, в т.ч. в совокупности, в зависимости от сложившейся ситуации.
Так, если следственно-оперативная группа выбыла по сообщению, поступившему через дежурную службу или по линии «102» к месту нахождения заявителя и, как следствие, пользовательского устройства, с которого осуществлялся доступ к онлайн-криптокошельку, то после получения объяснений и исходя из описанной заявителем ситуации, в которой усматриваются признаки одного из состава хищений, следует проводить осмотр места происшествия с описанием в протоколе помещения, где расположено пользовательское устройство (комната в жилом доме, квартире, офисное помещение, рабочий кабинет), характеристик такого устройства и возможности доступа с него к сети Интернет, а также результатов осмотра онлайн-криптокошелька на месте следственного действия.
Охват осмотром места происшествия указанных обстоятельств, в частности осмотр онлайн-кошелька, возможен благодаря его универсальности, позволяющей действовать оперативно и избежать излишнего документооборота. Кроме того, целесообразность проведения в данной ситуации осмотра места происшествия продиктована необходимостью зафиксировать не только данные о неправомерной транзакции онлайн-криптокошелька, но и иную информацию, подтверждающую осуществление заявителем каких-либо действий с онлайн-кошельком (история посещений браузера, сохраненные вкладки, пароли от аккаунта, иные файлы с входными данными) либо указывающую на способ реализации хищения (наличие скачанных и установленных вирусных программ, электронных писем с угрозами, переписок в чатах с мошенниками и т.д.). Также следует помнить, что если возникнет необходимость изъятия пользовательского устройства для назначения компьютерно-технической экспертизы (ноутбуки, системные блоки) или экспертизы радиоэлектронных устройств (мобильные телефоны, планшеты) по материалам проверки, то произвести такое изъятие можно в рамках осмотра места происшествия, т.к. обыск и выемка - следственные действия, проводимые только по возбужденному уголовному делу.
В случае, когда заявитель сообщил о преступлении в правоохранительные органы путем личного обращения, вид осмотра онлайн-криптокошелька будет зависеть от нескольких критериев: наличия технической возможности доступа к криптокошельку с места нахождения правоохранительного органа, доступность сведений для входа в аккаунт онлайн-криптокошелька, обеспечение присутствия обладателя компьютерной информации и его согласия на осмотр. Если подразделение правоохранительного органа, в который обратился заявитель, оснащено выделенным для данных целей компьютерным устройством (стационарный компьютер, ноутбук, мобильный телефон), имеющим выход в сеть Интернет, заявитель согласен на проведение осмотра онлайн-криптокошелька и готов предоставить необходимые для авторизации данные, то после получения объяснений целесообразно незамедлительно произвести осмотр онлайн- криптокошелька путем осмотра компьютерной информации с указанием в протоколе характеристик рабочего устройства сотрудника. Если техническая возможность произвести вышеописанные действия отсутствует либо заявитель не может предоставить данные для доступа к кабинету кошелька (например, в случае, если не помнит, но такая информация сохранена на его пользовательском устройстве), то следует прибегнуть к осмотру места происшествия по месту нахождения устройства заявителя.
Однако когда устройство заявителя мобильно (планшет, мобильный телефон, ноутбук), имеет доступ к сети Интернет вне зависимости от места физического нахождения, может быть предоставлено сотруднику правоохранительных органов, его следует осмотреть по месту расположения подразделения правоохранительного органа путем комплексного осмотра предметов и компьютерной информации в присутствии заявителя (владельца криптокошелька), поскольку объектом выступает не только онлайн- криптокошелек, но и устройство заявителя с используемым им программным обеспечением. К такому же варианту действий необходимо прибегать и в том случае, если устройство было изъято в рамках осмотра места происшествия, но осмотр онлайн-криптокошелька не производился, например, по причине отсутствия подключения к глобальной сети.
Вопросы определения места, времени и необходимых технических средств решаются в процессе подготовительного этапа по производству одного из указанных видов осмотра. Кроме того, сотрудником должен быть определен круг лиц, привлекаемых к участию в осмотре, который зависит от вышеописанных условий. При любых обстоятельствах присутствие заявителя является обязательным, что продиктовано нормами УПК по производству осмотра жилища, а также осмотра компьютерной информации, доступ к которой осуществляется посредством аутентификации пользователя либо которая содержит информацию о частной жизни лица (ст. 204-2041 УПК). Если осмотр онлайн-криптокошелька планируется проводить в рамках осмотра места происшествия с устройства, расположенного в жилище заявителя, то должно быть обеспечено присутствие понятых согласно ч. 7 ст. 204 УПК. Участие специалиста, обладающего знаниями в сфере IT-технологий, программирования и функционирования криптовалют, является не обязательным, но целесообразным, поскольку последний может оказать лицу, производящему осмотр, квалифицированную помощь в получении доступа к кошельку, безопасной фиксации и изъятии необходимых данных.
Непосредственная работа с объектами осмотра производится в рамках рабочего этапа, который применительно к осмотру онлайн-криптокошелька состоит из стадий получения доступа к рабочему кабинету кошелька и исследования представленной в нем информации. Рассмотрим организацию рабочего этапа на примере осмотра личного онлайн-криптокошелька автора на платформе Blockchain.com. Доступ к онлайн-кошельку осуществляется либо через браузер (вводится доменное имя ресурса, указанное заявителем, - https://www.blockchain.com/), либо через специализированное приложение на смартфоне и заключается в прохождении процедур идентификации и аутентификации пользователя. Одноступенчатая авторизация производится через ввод логина либо идентификатора кошелька - Wallet ID (присваивается каждому аккаунту при регистрации, идентифицирует владельца кошелька и не применяется для расчетов), а также пароля. Система ресурса Blockchain.com, как и многие другие, в целях безопасности до введения пароля запрашивает подтверждение используемого устройства через прикрепленную к онлайн-кошельку почту (может быть использован ввод пароля из СМС, направленного на прикрепленный к кошельку абонентский номер). Для такого подтверждения лицу, производящему осмотр, необходимо выполнить совместно с владельцем кошелька переход к ресурсу привязанного e-mail, чтобы обеспечить активацию предоставленной в письме ссылки для дальнейшей авторизации. При успешности произведенных процедур перед участниками осмотра должна появиться стартовая веб-страница аккаунта онлайн-кошелька, где размещаются ссылки к его доступным разделам (рис. 1).