FBI特工监守自盗：他从35起调查中偷走247万美元加密货币
原创 黑鸟 2026-11-09 23:26 广东
一个持有TOP SECRET级别的高级探员，如何用助记词撬开自己看管的加密钱包
一个FBI高级探员的自我崩塌
2026年7月29日下午一点半，FBI总部Robert F.Kennedy大楼的一间办公室里，一个男人崩溃了。
他叫Patrick Steven Yaroch，37岁，FBI Counterintelligence and Espionage Division（反情报与间谍部）的Supervisory Special Agent（监督特别探员），持有TOP SECRET（最高机密）安全许可，附带SCI（Sensitive Compartmented Information，敏感隔离信息）访问权限。
他找到的是前同事，当时在DOJ National Security Division（国家安全部）工作的一位朋友。他通过Signal发消息约见面，说要聊点个人的事。见面之后他直接开始掉眼泪，说自己做了一些非常糟糕的决定，跟加密货币钱包有关。
他告诉对方，自己闯进FBI的系统里翻找key，然后把钱包里的钱转到了自己名下。他说这事从2024年底就开始了，大概转了十几次，他也说不清具体多少，但不到一百万美元。
他说这些事一直在"eating him up inside"，不吐不快。朋友告诉他这事非常严重，赶紧找律师，立刻自首。
三个小时后，Yaroch联系了FBI总部要求面谈。他出现的时候神情恍惚，说自己"screwed up"。三十分钟前他刚在网上向FBI Security Division提交了一份self-report。
两天后，7月31日，FBI华盛顿外勤处带着搜查令上了他家。SWAT控制现场之后，Yaroch被允许留在家里配合调查。他主动交出了自己的iPhone 17 Pro，用Face ID帮探员解锁手机，还提供了PIN码。
同一天，FBI正式解雇了Yaroch。
而他最初交代的数字，跟最终认罪时承认的数字，差了两倍多。
根据2026年11月5日正式签署的Statement of Facts（事实陈述书，案号1:26-CR-208，弗吉尼亚东区联邦法院），Yaroch承认的犯罪事实远比他最初自述的严重。
时间跨度从2024年12月持续到2026年7月31日。他利用自己在FBI case management system（案件管理系统）和另一个仅供反情报调查使用的classified system（机密系统）中的访问权限，搜索加密货币凭证。
这些凭证存放在FBI系统里的原因各不相同。有些属于被调查对象本人控制的钱包，有些是FBI为了行动目的自己设立的operational wallet（行动钱包），还有一些属于其他刑事案件的victims（受害者）。
Yaroch找到了这些seed phrase（助记词），然后用它重建钱包，把里面的加密货币转到自己控制的地址。
最终统计的数字令人咋舌：大约100笔非法转账，涉及至少79个不同的钱包，横跨35起独立的FBI调查案件。非法所得总计$2,474,380.66。
他下手毫无章法。最小的一笔只转了81美分，最大的一笔超过$580,000。偷的对象也五花八门。有来自ADVERSARIAL NATION STATE 1和ADVERSARIAL NATION STATE 2这两个敌对国家行为体控制的钱包，有FBI正在调查的犯罪嫌疑人的钱包，有至少10名刑事案件受害者的钱包，甚至还有一个是FBI自己为了行动目的创建、由FBI自己注资的钱包。
换句话说，他不仅偷敌人的钱，偷嫌疑人的钱，还偷受害者等待追回的钱，连自家行动账户里的钱也没放过。
在传统银行体系里，你忘密码了可以重置，银行后台有你的账户记录。但加密货币不一样。你的资产不归任何机构托管，它们在blockchain（区块链）上，谁拥有private key（私钥），谁就能花这笔钱。
而seed phrase（助记词）就是私钥的人类可读版本。它通常是12个、15个、20个或24个英文单词，按特定顺序排列。只要你拿着这串单词，在任何钱包软件里输入它们，就能完整重建整个钱包，访问里面所有的资产。不需要经过任何中心化机构的审批，不需要第二个人授权，不需要双重签名。
调查探员在affidavit（宣誓书）里专门加了一个脚注，指出Yaroch在自述中把seed phrase说成了passphrase（通行短语），这两个概念其实不一样。seed phrase是解锁钱包的主钥匙，passphrase是额外叠加的安全措施，相当于第25个单词。输入不同的passphrase会从同一个seed phrase派生出完全不同的地址。Yaroch显然搞混了术语，但他实际操作的方式证明他心里清楚自己拿的是什么。
FBI在调查中收缴到一张3x5英寸的小纸条，上面手写着这些助记词。这张纸在7月29日晚上差点被探员收走，Yaroch当时同意交出，几分钟后又反悔要了回去。第二天搜查令执行时，他主动把这张纸指给了探员看。
他还买了一台Trezor hardware wallet（硬件钱包），原封未拆封。Trezor是行业里最主流的冷存储设备之一，意味着他本打算把资产离线保存，但还没来得及拆包就落网了。
洗钱链路：从BTC到Monero再到Sui
Yaroch不是那种偷完就放着不动的人。他做了一套相当完整的洗钱流程。
以2025年11月6日那笔被起诉的wire fraud（电汇欺诈）为例。当天他从FBI系统里翻出了VICTIM WALLET 1和VICTIM WALLET 2的凭证，用这些凭证重建了钱包，然后把里面的Bitcoin（BTC）转到了自己的YAROCH BITCOIN WALLET 1。
这笔交易被认定为跨州电汇，因为它经过了一个总部位于北京的cryptocurrency mining pool（矿池）处理。这也是wire fraud罪名成立的关键技术要素。
转账完成之后，洗钱操作就开始了。
11月7日到8日，他通过一个Virtual Asset Swapping Service（虚拟资产兑换服务）把BTC换成了其他币种。11月9日，他把一部分BTC转到自己的第二个Bitcoin wallet。然后继续通过兑换服务拆分配对。
11月29日，他把一部分BTC换成了Sui，转到自己控制的Sui地址。剩下的BTC被换成了Monero（XMR，门罗币）。
这个选择很有讲究。Monero是主流加密货币中匿名性最强的币种之一，它使用ring signature（环签名）和stealth address（隐匿地址）技术，交易的发送方、接收方和金额都被混淆。链上追踪在Monero面前基本失效。
然后他又通过其他虚拟资产服务商把XMR换成了Solana（SOL），再通过兑换服务转回Sui，最终汇入自己的YAROCH SUI WALLET。
这条链路的设计思路很清晰：用BTC作为入口，通过多次跨链兑换切断资金来源的链上痕迹，中间插入一个高匿名性的Monero作为混淆层，最后全部归集到Sui生态里。
资产归集：Kraken与Suilend
在Sui这条线上，Yaroch用了两个工具。
一个是Kraken，美国最大的合规加密货币交易所之一。他的Kraken账户完全通过手机上的App访问，用Face ID登录，他自己都记不住用户名和密码。账户绑定了TD Bank尾号8558的银行账户用于出入金。
7月31日探员打开他的Kraken账户时，余额约$188,570.58。其中$165,582.49是美元现金，$17,987.64是USDC（USD Coin，与美元1:1锚定的稳定币），剩下的是Squid（QUID，约合$4,998.59）和极少量的BTC（约$1.67）。
另一个是Suilend。这是一个构建在Sui blockchain上的DeFi（Decentralized Finance，去中心化金融）lending protocol（借贷协议）。用户可以把资产存进去赚利息，也可以抵押资产借出资金。
Yaroch用的是Slush钱包App管理这笔钱。他之前把这个App从手机上删掉了，搜查当天在他同意下重新下载。他通过Slush连接Suilend，用一个12个单词的seed phrase导入了账户。
探员查看时，Suilend里的总资产为$933,756.73，其中$933,691.54已经投入生息，$65.19留在账户钱包里没动。他选Suilend的理由说出来有点荒诞：他觉得那个logo长得像一滴水。
7月31日下午3点20分，Yaroch签署了consent to seize property form（同意没收财产表格）。FBI加密货币团队用从他家搜出的seed phrase，把Kraken和Slush/Suilend里的资金全部转到了US Government（美国政府）控制的钱包。总计转移了约$925,426.07。
但有$165,582.49留在Kraken里动不了。因为这笔钱是美元现金，不是加密货币，不能像链上资产那样用seed phrase直接转走。它只能在交易所内部交易，要法币出金需要经过银行渠道，而那涉及另一套合规流程。
还钱与跑路计划
偷来的钱并没有全部躺在钱包里生息。Yaroch用其中相当一部分偿还了个人债务。
2025年11月25日到2026年1月13日，他从自己的Sui钱包向Kraken账户转入资金，然后从Kraken出金到TD Bank账户，总计约$93,082。这些钱在他的几个TD Bank账户之间转来转去，然后被用于支付：
约$30,176还JP Morgan Chase信用卡
约$20,000付Pohanka Lexus车贷
约$18,576还CubiUpstart贷款
约$18,246还Lightstream贷款
约$17,500还TD Bank贷款
2026年1月到7月之间，又有六笔转账从Sui钱包进入Kraken，金额被涂黑。之后约$198,050从Kraken转到了他的TD Bank账户。
但他真正的野心远不止还清信用卡。
2026年5月28日，他在ChatGPT里输入："If I had a million dollars, how would you suggest investing it/spending it to maximize profit and return."ChatGPT的回复提到他37岁、有年轻家庭、想40岁退休、对在葡萄牙Dão产区买一个葡萄园过慢生活有兴趣。
6月4日他又问："If you had a bucket of money (around $1 million) and you wanted to leave the USA and become a resident or citizen of an EU country, what would you do?"ChatGPT直接推荐了葡萄牙，说这是"my top choice for your specific situation"。
6月15日，他给两位葡萄牙律师签了power of attorney（授权委托书），授权范围极其广泛：代为在葡萄牙税务海关总署注册、申请税号、登录财政门户网站获取密码、以及其他一切律师认为必要的行为。
他的手机里还有TAP Air Portugal的App，里面有一张9月3日从华盛顿飞里斯本、转机去波尔图、9月11日返回的机票。乘客是他、他妻子和孩子。
他还在ChatGPT上查过去土耳其转机要不要签证，还在起草一封邮件给希腊一家公司的高管，问一个职位的机会和当地生活情况。
而FBI Security Division的记录显示，他在2026年已经有三次未报告的出境旅行：5月14日飞德国没报备，5月25日从葡萄牙返回没报备，6月30日到7月5日去Grenada（格林纳达）也没报备。对一个持有TOP SECRET许可的探员来说，未报告出境本身就是安全违规。
为什么这个案子比看起来严重得多
表面上看，这是一个内鬼偷钱的故事。但Statement of Facts第35段把真实的损害写得很清楚。
Yaroch的行为compromised（损害）了多起针对犯罪集团和国家行为体的调查。他偷走了钱包里的钱，意味着FBI失去了对这些钱包资金流向的追踪能力。本来可以通过追踪链上交易发现更多关联钱包、传统银行账户、融资和洗钱路径，现在这条线索断了。
本来可以合法没收的加密货币被转走了。本来可以归还给无辜受害者的资产被二次盗取。而那些钱包的控制者，发现自己的钱包突然空了之后，必然会意识到有人从内部泄露了凭证。这直接暴露了FBI的sources and methods（线人来源和调查手法），让外国对手知道美国情报机构是怎么收集和存储加密货币凭证的。
一个持有最高级别安全许可的人，在最敏感的反情报部门工作，他掌握的不仅是几个钱包的助记词，还有整个调查体系的运作方式。当这些钱包的资金突然消失，对手不需要做任何技术分析，只需要推断FBI内部出了问题。
这就是为什么DOJ把wire fraud和money laundering这两项罪名追得这么紧，为什么量刑最高可达20年。这不只是一个贪腐案，这是一个国家安全事件。
这个案子暴露了一个深层问题：传统执法体系里的evidence chain of custody（证据保管链），在加密货币面前几乎失效。
现金、车辆、dp这些物理证据，锁在evidence vault（证据库）里，进出有登记，有监控，有双人授权。一个人很难悄无声息地把证据库里的现金搬走。
但加密货币证据不一样。它的全部就是一串seed phrase。这串文字存在FBI的case management system里，而像Yaroch这样有系统访问权限的人，可以搜索、查看、记住这些凭证。一旦他记住了那12个或24个单词，他就拥有了对那个钱包的完全控制权。在区块链上，这笔交易不可逆，没有客服可以申诉，没有解冻按钮。
他甚至不需要把助记词带出去。他只需要看过、记住，然后在自己的设备上输入同样的单词，钱包就重建了。
更讽刺的是，Yaroch最初的自我合理化是"take matters into his own hands"。他说自己在波士顿分局调查一个敌对国家行为体时，对FBI无法或不愿对这些人的加密账户采取行动感到沮丧。他把自己描述成一个"失控的好人"，觉得系统太慢，于是自己动手。
但这个"自己动手"的规模，从最初供述的10次转账不到100万，膨胀到认罪时承认的100次转账247万。他还偷了受害者的钱，偷了FBI自己行动钱包的钱，用赃款还车贷还信用卡，咨询ChatGPT怎么投资一百万，给葡萄牙律师签授权委托书，规划搬到欧洲买葡萄园。
这不是什么义警行为。这就是一起有预谋的内部盗窃。
Yaroch的量刑日期定在2027年3月4日。他面临最高20年联邦监禁。
被追回的$925,426.07已经转入政府控制的钱包。Kraken里剩下的$165,582.49美元现金还在那里，等待通过合规渠道处理。那些被盗的受害者能否拿回自己的钱，那些被破坏的调查能否修复，那些暴露的sources and methods能否补救，这些都没有答案。
一个FBI高级探员，拿着最高级别的安全许可，每天接触最敏感的国家机密，却在自己手机上用Face ID登录Kraken，用12个单词的seed phrase把将近一百万美元放进一个DeFi借贷协议里吃利息。他甚至删掉了Slush App以为这样就能掩盖痕迹，结果搜查当天在探员要求下又重新装了回来。
他以为自己在做一场完美的犯罪，从BTC换到Monero再换到Sui，跨越多条链切断追踪。
但最终让他落网的不是链上分析，不是区块链取证，而是他自己撑不住了，主动找前同事哭着说了出来。
黑鸟认为，技术洗钱链路设计得再精巧，心理防线崩塌的时候什么都挡不住。
同样还有一个刚判的案例，也挺有趣，相关阅读：一个帮美国政府修电脑的IT，把绝密文件烧进CD带给了埃塞俄比亚
往期：
本文转载自微信公众号「黑鸟」，查看原文。版权归原作者所有，如有侵权请联系删除。