Осмотр онлайн-криптокошелька заявителя / потерпевшего (по материалам и уголовным делам о хищениях в сфере оборота криптовалют): процессуальный и криминалистический аспекты

Размещено на http://allbest.ru

Осмотр онлайн-криптокошелька заявителя / потерпевшего (по материалам и уголовным делам о хищениях в сфере оборота криптовалют): процессуальный и криминалистический аспекты

Дарья Игоревна Шнейдерова

Аннотация. Статья посвящена особенностям тактики подготовки и проведения осмотра онлайн-криптокошельков по материалам проверки и уголовным делам о хищениях в сфере оборота криптовалют, представленных в Республике Беларусь мошенничеством, вымогательством, а также хищением путем модификации компьютерной информации. Обосновывается авторская позиция целесообразности осмотра криптовалютного онлайн-кошелька заявителя путем исследования компьютерной информации, анализируются особенности выбора места, времени, технических средств и участников следственного действия. Автор приводит алгоритм действий, составляющих подготовительный, рабочий и заключительный этапы осмотра компьютерной информации.

Ключевые слова: осмотр, компьютерная информация, криптовалюта, онлайн-криптокошелек, хищение, хэш, транзакция, идентификатор, обозреватель, электронная почта

онлайн криптокошельки мошенничество хищение модификация компьютерная

INSPECTION OF ONLINE CRYPTOCURRENCY WALLET OF THE APPLICANT / INVOLVED (ON MATERIALS AND CRIMINAL CASES ON THEFT IN THE SPHERE OF CRYPTOCURRENCY TRAFFIC): PROCEDURAL AND CRIMINALISTICS ASPECTS

Darya I. Shneiderova

Развитие информационно-технологической сферы, сопряженное с внедрением новых цифровых продуктов в жизнь современного человека, прямо пропорционально отражается и на появлении новых способов и средств совершения устоявшихся видов хищений, которые из бытовой области большей своей частью переходят в компьютерно-информационную. На территории Республики Беларусь с момента легализации и придания имущественного статуса криптовалютам положениями Декрета Президента Республики Беларусь от 21 декабря 2017 г. № 8 «О развитии цифровой экономики» последние стали признаваться предметом преступных посягательств, в частности хищений, среди которых выделяются такие составы, как вымогательство, мошенничество и хищение путем модификации компьютерной информации [1].

Одним из источников криминалистической методики расследования отдельных видов и групп преступлений, а соответственно, и тактики проведения по ним следственных действий выступает накопленный практический опыт, который в отношении хищений в сфере оборота криптовалют еще не имеет сформировавшейся и относительно устойчивой базы знаний ввиду отсутствия их систематизации и обобщения. В связи с этим выявляется необходимость в разработке тактических рекомендаций по проведению отдельных следственных действий с целью устранения разносторонности подходов и пробелов в их проведении сотрудниками правоохранительных органов на стадиях как рассмотрения заявления о совершенном преступлении, так и расследования возбужденного уголовного дела.

Криптокошелек - основной инструмент, позволяющий хранить открытые адреса, хэши транзакций, покупать, переводить и обменивать криптовалюты, непосредственный осмотр которого позволит сотруднику правоохранительных органов убедиться, во-первых, что кошелек действительно принадлежит заявителю (потерпевшему) ввиду его привязки к почтовому адресу и (или) мобильному номеру, сохраненных реквизитов банковских платежных карт, наличия данных об ІР-адресах авторизированных устройств, обычно используемых владельцем, во-вторых, установить хэш (ID, идентификатор) неправомерной транзакции, сведения об отправителе и получателях, количестве криптовалют, времени ее проведения, статусе подтверждения (как правило, ввиду того, что хэш представляет собой сложную многосимвольную запись из букв и цифр, заявитель (потерпевший) не может воспроизвести его по памяти при получении у него объяснений (допросе) и представляет либо в виде записи на листке, либо в виде скриншота из кошелька, либо не предоставляет вообще, ссылаясь на возможность демонстрации при последующем осмотре кошелька).

Вся система функционирующих на сегодняшний день криптокошельков (как одновалютных, так и мультивалютных) представлена двумя группами - кошельки с «холодным» и «горячим» хранением, разница между которыми базируется на необходимости постоянного доступа к сети Интернет для работы с таким криптоинструментом, а также на виде материального носителя закрытых ключей для подтверждения транзакций. Так, к кошелькам с «горячим» хранением относятся онлайн-кошельки и локальные программные кошельки, к кошелькам с «холодным» хранением - аппаратные, программные без доступа к сети и бумажные. Из представленных разновидностей криптокошельков популярностью пользуются именно онлайн-кошельки, т.к. они просты в использовании, в т.ч. лицами с низким уровнем компьютерной грамотности, доступны с любого устройства, подключенного к сети Интернет (компьютер, планшет, смартфон). Однако за счет этих качеств такие кошельки более иных разновидностей подвержены преступным посягательствам ввиду низкой степени защиты личных данных владельцев, а также хакерских атак на сервер криптосервиса, где хранятся все приватные ключи, что вызывает необходимость отразить тактические особенности осмотра данного вида криптокошелька.

Криптокошелек потерпевшего - отправная точка в процессе работы по заявлению о совершенном хищении, поскольку он либо выступает средством совершения хищения в случае несанкционированного доступа к кошельку с последующим переводом криптовалют на счет преступника (в этом случае имеют место признаки хищения путем модификации компьютерной информации), либо используется его владельцем для перевода средств злоумышленнику под влиянием обмана (признаки мошенничества), либо выполнения установленного требования под угрозой совершения в отношении него, его семьи и близких родственников противоправных действий (признаки вымогательства). В связи с вышеизложенным возникает целесообразность обследования криптокошелька путем проведения одного из доступных на соответствующей стадии досудебного производства следственных действий, круг которых по материалам проверки ограничен положениями ч. 2 ст. 173 Уголовно-процессуального кодекса Республики Беларусь (далее - УПК) [2].

Выбор следственного действия зависит не только от стадии производства, но и от специфики объекта обследования. УПК предусматривает несколько видов следственного осмотра, классифицируемых в зависимости от объекта, среди которых применительно к рассматриваемой группе хищений можно выделить осмотр места происшествия, осмотр предметов и осмотр компьютерной информации. Доступность их проведения распространяется на стадии проверки поступившего заявления о совершенном преступлении, а также расследования возбужденного уголовного дела.

Онлайн-криптокошелек как объект осмотра специфичен ввиду совокупности следующих характеризующих его признаков: является объектом цифровой среды, функционирующим только в сети Интернет; не имеет привычного человеческому восприятию материального выражения; привязан к своему носителю, без которого, как и любая иная компьютерная информация, существовать не может; имеет возможность связи с владельцем через удаленный доступ от сервера-хранителя (т.е. воспользоваться кошельком можно с любого устройства, подключенного к глобальной сети, несмотря на то, что сам кошелек хранится на сервере обслуживающей его компании). Исходя из представленных признаков, исследование онлайн-криптокошелька целесообразно проводить путем осмотра компьютерной информации, т.к. центральным объектом выступают цифровые данные, а не место происшествия или материальный предмет. Однако анализ практической работы показывает, что возможна вариативность применения разных видов осмотра, в т.ч. в совокупности, в зависимости от сложившейся ситуации.

Так, если следственно-оперативная группа выбыла по сообщению, поступившему через дежурную службу или по линии «102» к месту нахождения заявителя и, как следствие, пользовательского устройства, с которого осуществлялся доступ к онлайн-криптокошельку, то после получения объяснений и исходя из описанной заявителем ситуации, в которой усматриваются признаки одного из состава хищений, следует проводить осмотр места происшествия с описанием в протоколе помещения, где расположено пользовательское устройство (комната в жилом доме, квартире, офисное помещение, рабочий кабинет), характеристик такого устройства и возможности доступа с него к сети Интернет, а также результатов осмотра онлайн-криптокошелька на месте следственного действия.

Охват осмотром места происшествия указанных обстоятельств, в частности осмотр онлайн-кошелька, возможен благодаря его универсальности, позволяющей действовать оперативно и избежать излишнего документооборота. Кроме того, целесообразность проведения в данной ситуации осмотра места происшествия продиктована необходимостью зафиксировать не только данные о неправомерной транзакции онлайн-криптокошелька, но и иную информацию, подтверждающую осуществление заявителем каких-либо действий с онлайн-кошельком (история посещений браузера, сохраненные вкладки, пароли от аккаунта, иные файлы с входными данными) либо указывающую на способ реализации хищения (наличие скачанных и установленных вирусных программ, электронных писем с угрозами, переписок в чатах с мошенниками и т.д.). Также следует помнить, что если возникнет необходимость изъятия пользовательского устройства для назначения компьютерно-технической экспертизы (ноутбуки, системные блоки) или экспертизы радиоэлектронных устройств (мобильные телефоны, планшеты) по материалам проверки, то произвести такое изъятие можно в рамках осмотра места происшествия, т.к. обыск и выемка - следственные действия, проводимые только по возбужденному уголовному делу.

В случае, когда заявитель сообщил о преступлении в правоохранительные органы путем личного обращения, вид осмотра онлайн-криптокошелька будет зависеть от нескольких критериев: наличия технической возможности доступа к криптокошельку с места нахождения правоохранительного органа, доступность сведений для входа в аккаунт онлайн-криптокошелька, обеспечение присутствия обладателя компьютерной информации и его согласия на осмотр. Если подразделение правоохранительного органа, в который обратился заявитель, оснащено выделенным для данных целей компьютерным устройством (стационарный компьютер, ноутбук, мобильный телефон), имеющим выход в сеть Интернет, заявитель согласен на проведение осмотра онлайн-криптокошелька и готов предоставить необходимые для авторизации данные, то после получения объяснений целесообразно незамедлительно произвести осмотр онлайн- криптокошелька путем осмотра компьютерной информации с указанием в протоколе характеристик рабочего устройства сотрудника. Если техническая возможность произвести вышеописанные действия отсутствует либо заявитель не может предоставить данные для доступа к кабинету кошелька (например, в случае, если не помнит, но такая информация сохранена на его пользовательском устройстве), то следует прибегнуть к осмотру места происшествия по месту нахождения устройства заявителя.

Однако когда устройство заявителя мобильно (планшет, мобильный телефон, ноутбук), имеет доступ к сети Интернет вне зависимости от места физического нахождения, может быть предоставлено сотруднику правоохранительных органов, его следует осмотреть по месту расположения подразделения правоохранительного органа путем комплексного осмотра предметов и компьютерной информации в присутствии заявителя (владельца криптокошелька), поскольку объектом выступает не только онлайн- криптокошелек, но и устройство заявителя с используемым им программным обеспечением. К такому же варианту действий необходимо прибегать и в том случае, если устройство было изъято в рамках осмотра места происшествия, но осмотр онлайн-криптокошелька не производился, например, по причине отсутствия подключения к глобальной сети.

Вопросы определения места, времени и необходимых технических средств решаются в процессе подготовительного этапа по производству одного из указанных видов осмотра. Кроме того, сотрудником должен быть определен круг лиц, привлекаемых к участию в осмотре, который зависит от вышеописанных условий. При любых обстоятельствах присутствие заявителя является обязательным, что продиктовано нормами УПК по производству осмотра жилища, а также осмотра компьютерной информации, доступ к которой осуществляется посредством аутентификации пользователя либо которая содержит информацию о частной жизни лица (ст. 204-204¹ УПК). Если осмотр онлайн-криптокошелька планируется проводить в рамках осмотра места происшествия с устройства, расположенного в жилище заявителя, то должно быть обеспечено присутствие понятых согласно ч. 7 ст. 204 УПК. Участие специалиста, обладающего знаниями в сфере IT-технологий, программирования и функционирования криптовалют, является не обязательным, но целесообразным, поскольку последний может оказать лицу, производящему осмотр, квалифицированную помощь в получении доступа к кошельку, безопасной фиксации и изъятии необходимых данных.

Непосредственная работа с объектами осмотра производится в рамках рабочего этапа, который применительно к осмотру онлайн-криптокошелька состоит из стадий получения доступа к рабочему кабинету кошелька и исследования представленной в нем информации. Рассмотрим организацию рабочего этапа на примере осмотра личного онлайн-криптокошелька автора на платформе Blockchain.com. Доступ к онлайн-кошельку осуществляется либо через браузер (вводится доменное имя ресурса, указанное заявителем, - https://www.blockchain.com/), либо через специализированное приложение на смартфоне и заключается в прохождении процедур идентификации и аутентификации пользователя. Одноступенчатая авторизация производится через ввод логина либо идентификатора кошелька - Wallet ID (присваивается каждому аккаунту при регистрации, идентифицирует владельца кошелька и не применяется для расчетов), а также пароля. Система ресурса Blockchain.com, как и многие другие, в целях безопасности до введения пароля запрашивает подтверждение используемого устройства через прикрепленную к онлайн-кошельку почту (может быть использован ввод пароля из СМС, направленного на прикрепленный к кошельку абонентский номер). Для такого подтверждения лицу, производящему осмотр, необходимо выполнить совместно с владельцем кошелька переход к ресурсу привязанного e-mail, чтобы обеспечить активацию предоставленной в письме ссылки для дальнейшей авторизации. При успешности произведенных процедур перед участниками осмотра должна появиться стартовая веб-страница аккаунта онлайн-кошелька, где размещаются ссылки к его доступным разделам (рис. 1).

Рис. 1. Интерфейс аккаунта онлайн-криптокошелька Blockchain.com Примечание: источник - личный аккаунт автора.

К примеру, стартовая страница онлайн-кошелька сервиса Blockchain.com содержит данные об общем балансе в одной из валют (по умолчанию в долларах), портфель с доступными к хранению видами валют, панель с данными о количестве на счету по каждой из них в отдельности, график курса выбранной криптовалюты за разные периоды времени, командное меню со ссылками для перехода к веб-страницам «Дом» (стартовая страница), «Цены» (актуальные курсы криптовалют, предлагаемые биржей Blockchain.com), «Вознаграждения» (доход от депозитов), к функциональным страницам «Отправить», «Получить», «Обмен», «QR-код кошелька» для доступа с мобильного устройства, «Настройки профиля».

При выборе какой-либо из криптовалют пользователю открывается окно с отображением ее баланса на счету, а также история всех транзакций с указанием хэша, даты их проведения, адресов отправителя и получателя, суммы операции (рис. 2).

Рис. 2. Интерфейс веб-страницы вкладки «Bitcoin-кошелек» [3]

Переход по вкладкам командного меню «Настройки профиля» способствует получению следующих данных: вкладка «Общие сведения» содержит информацию о приватном ID кошелька, привязанных к данному аккаунту картах и банках; вкладка «Безопасность» позволяет выяснить, какой адрес электронной почты и номер мобильного телефона (его же можно получить и по вкладке «Предпочтения») привязаны к кошельку (рис. 3); вкладка «Кошельки и адреса» отображает доступные к использованию для каждого вида криптовалюты публичные адреса (как ранее использованные, так и вновь созданные), которые владелец может передавать иным лицам для зачисления средств на свой кошелек.

Рис. 3. Интерфейс веб-страницы вкладки «Безопасность» Примечание: источник - личный аккаунт автора.

Получение вышеприведенной информации видится достаточным для определения дальнейших действий по материалам проверки или возбужденному уголовному делу. К примеру, целесообразно в рамках этого же осмотра с помощью онлайн-обозревателя блокчейна (такой сервис доступен и на платформе Blockchain.com - Explorer) провести анализ указанной заявителем как на неправомерную транзакции (через ввод хэша в поисковую строку), в рамках которой могут быть получены сведения об адресах всех входов и выходов данной транзакции (цепочка переходов по адресам выхода поможет установить конечный адрес нахождения криптовалют). Кроме того, обозреватели с расширенным функциональным набором способствуют установлению информации об основном адресе кошелька, к которому привязан анализируемый, и всех совершенных по нему транзакций (такая информация может иметь значение для установления взаимосвязей с иными возбужденными уголовными делами), наименований бирж, обменников, игровых платформ, с которыми он взаимодействовал когда-либо (например, обозреватель Wallet Explorer), что может привести к обнаружению реквизитов банковской карты преступника, если им когда-либо выводились денежные средства через обмен криптовалют, а в последующем и его личности. Обозреватель Crystal Explorer в большинстве случаев указывает, какой платформе принадлежит тот или иной адрес кошелька (такие сведения необходимы для направления запроса платформам с целью установления владельцев кошельков), а сервис Тгасеег.со отображает информацию о преступной активности с определенных адресов криптокошельков.

Дальнейшему исследованию следует подвергнуть и привязанный к аккаунту онлайн-криптокошелька заявителя почтовый ящик с целью обнаружения сообщений о входе с посторонних устройств (в них содержится информация об ІР-адресе устройства, осуществляющего доступ, его местоположении) либо писем с активными ссылками для авторизации, в случаях хищений путем модификации компьютерной информации. Если такие сообщения отсутствуют или уже были прочитаны посторонним лицом, то следует предположить, что преступник мог иметь доступ и к электронной почте заявителя либо преступление могло быть совершено знакомым потерпевшему лицом с его устройства (в таком случае целесообразно направить компании-владельцу почтового сервиса запрос об установлении ІР-адресов устройств, осуществлявших доступ к почте заявителя).

Если в мерах безопасности онлайн-криптокошелька установлена авторизация через код по СМС, то необходимо проверить мобильный телефон заявителя для выяснения наличия соответствующего сообщения. При его отсутствии можно предположить, что имел место перехват либо на мобильном устройстве была установлена переадресация входящих сообщений, либо такое сообщение было удалено лицом, имевшим доступ к устройству потерпевшего.

Результаты проведенного осмотра должны быть подробно зафиксированы в соответствующем протоколе в рамках заключительного этапа следственного действия. Следует обратить внимание, что во вводной части протокола осмотра компьютерной информации или протокола осмотра предметов и компьютерной информации, кроме общеустановленных сведений (дата, время, место, участники, лицо, производящее осмотр) и граф с разъяснением прав и обязанностей участников, должно быть отражено согласие заявителя на осмотр его онлайн-криптокошелька или в целом содержимого устройства, технических характеристик использованных компьютерных устройств, наименований и версий программ для доступа к сети Интернет, операционной системы (в случае осмотра места происшествия такие сведения могут быть отражены в описательной части протокола). Последовательность действий, производимых в процессе получения доступа к аккаунту онлайн-криптокошелька, начиная с ввода доменного имени ресурса, а также все переходы по активным вкладкам кошелька с отражением имеющей значение для расследования информации в рамках непосредственного осмотра его содержимого должны найти отражение в описательной части протокола. К протоколу целесообразно прилагать диск или флеш-карту со скриншотами веб-страниц: стартовой страницы сервиса онлайн-криптокошелька, интерфейса кошелька, страницы с данными о балансе, транзакциях, привязанных к кошельку данных (адрес электронной почты, абонентский номер, публичные адреса), сообщениях из почтового ящика, результатами обозревателей и иные, которые могут иметь значение для расследуемого события. Также представляется целесообразным дублировать сохраненные скриншоты и на бумажном носителе в целях обеспечения наглядности для последующей работы по материалам проверки и уголовному делу.

Таким образом, при выборе вида осмотра в целях исследования онлайн-криптокошелька заявителя следует исходить из способа поступления сообщения о совершенном преступлении, наличия технической возможности проведения следственного действия в помещении правоохранительного органа или по месту нахождения пользовательского устройства, круга необходимых к привлечению участников, а также вопросов обеспечения оперативности и качественного получения необходимой информации, путей ее дальнейшего использования.

Список источников

1. О развитии цифровой экономики: декрет Президента Республики Беларусь от 21 декабря 2017 г. № 8 (ред. от 18.03.2021) // Национальный центр правовой информации Республики Беларусь «ЭТАЛОН». URL: https://etalonline.by/document/?regnum=pd1700008 (дата обращения: 15.05.2022).

2. Уголовно-процессуальный кодекс Республики Беларусь от 16 июля 1999 г. № 295-3: принят Палатой Представителей 24 июня 1999 г.; одобр. Советом Респ. 30 июня 1999 г. (ред. от 26.05.2021) // Национальный центр правовой информации Республики Беларусь «ЭТАЛОН». URL: https://etalonline.by/ document/?regnum=hk9900295 (дата обращения: 15.05.2022).

3. Обзор биткоин кошелька Blockchain. URL: https://cryptonist.ru/blog/goryachie-koshelki/obzor-blockchain/ (дата обращения: 15.05.2022).

Размещено на Allbest.ru