Выявление и доказывание преступлений, совершенных с использованием криптовалют, имеет специфические особенности, требует специальных знаний и владения методиками, отличными от применяемых при производстве по иным категориям дел. Судьям целесообразно учитывать некоторую специфику доказывания при рассмотрении таких уголовных дел.

В уголовно-процессуальном законодательстве отсутствуют специальные нормы, закрепляющие особенности производства по делам анализируемой категории. Однако действующие нормы применимы в том числе для придания статуса доказательств электронным следам, оставшимся от преступлений, совершенных с использованием криптовалют.

Специфика выявления и доказывания таких деяний заключается в следующем:

1) сложность установления факта совершения преступлений с использованием криптовалют. Как правило, такие деяния устанавливаются в ходе расследования преступлений, совершенных традиционными способами, конспирация которых осуществлялась в том числе путем использования виртуальных активов;

2) проблематичность, а иногда невозможность установления владельца криптокошелька;

3) распространенность деятельности ПУВА вне поля правового регулирования, непроведение верификации клиентов и несоблюдение принципов КУС и AML, что затрудняет, а иногда исключает получение правоохранительными органами и ПФР сведений о владельцах криптокошельков, арест и конфискацию криптовалюты;

4) использование преступниками ПУВА, находящихся в других юрисдикциях, что усложняет получение необходимой информации в силу сложностей при исполнении международных запросов о правовой помощи между некоторыми странами;

5) отсутствие реальных адресов и анонимность владения ПУВА, нахождение их в третьих странах;

6) использование преступниками средств анонимизации и шифрования;

7) создание нового криптокошелька для совершения каждой преступной транзакции;

8) сложности установления стоимости криптовалют по курсу национальной валюты на день совершения преступления, характера и размера вреда, причиненного преступлением;

9) проблематичность, а иногда невозможность ареста и конфискации криптовалюты, отмены транзакции, обращения в доход государства виртуальных активов, добытых преступным путем;

10) неурегулированность в большинстве стран процессуальных особенностей обнаружения, закрепления, изъятия электронных и иных следов преступлений, совершенных с использованием виртуальных активов;

11) недостаточное владение должностными лицами компетентных органов знаниями и навыками выявления, пресечения и расследования рассматриваемых преступлений.

Методика доказывания преступлений, совершенных с использованием криптовалют, зависит от сложившейся следственной ситуации и поведения подозреваемого/обвиняемого:

1) подозреваемый/обвиняемый сотрудничает со следствием;

2) подозреваемый/обвиняемый отказывается от сотрудничества с правоохранительными органами.

В практике повсеместно встречаются случаи отказа привлеченного к уголовной ответственности содействовать конфискации, аресту и возврату криптовалюты, полученной преступным путем или предназначенной для совершения преступлений. Нередко виртуальные активы остаются у преступников даже после постановления в отношении них обвинительного приговора и назначения им наказания в виде реального лишения свободы.

Доказательства причастности к преступлениям, совершенным с использованием виртуальных активов.

Как правило, доказательствами по уголовным делам о преступлениях, совершенных с использованием криптовалют, помимо иных, судами признаются:

— результаты осмотра электронных устройств;

— заключения различных видов экспертиз (прежде всего, компьютерных), объектами которых являлась информация о владении и использовании криптовалюты, содержащаяся на электронных устройствах;

— результаты осмотра и экспертизы холодного/аппаратного криптокошелька;

— результаты осмотра информации об истории и характере криптовалютных транзакций, совершаемых в преступных целях;

— показания специалиста, разъясняющего характер информации о транзакциях, сведения о криптокошельке и т. д.;

— показания эксперта, участвовавшего при производстве экспертиз электронных устройств, изъятых у подозреваемого/обвиняемого;

— ответы ПУВА, которыми пользовались подозреваемые/обвиняемые, на запросы правоохранительных органов и ПФР, и результаты их осмотра;

— ответы компании, предоставляющей услуги мобильной связи, на запросы о том, на кого зарегистрированы номера телефонов, к которым привязаны криптокошельки;

— результаты осмотра телефонной книги в смартфоне подозреваемого на предмет наличия сведений о возможной причастности к преступлению;

— сведения о геолокации/биллинге фигурантов, использующих номера телефонов, к которым привязан криптокошелек;

— информация о переписке и телефонных переговорах, в которых содержались данные, относящаяся к совершенному преступлению;

— сведения о времени и месте удаленного подключения к информационным ресурсам, используемом для этого оборудовании, в том числе модели, сетевом и физическом адресе, серийном номере электронного устройства;

— результаты осмотра контента в социальных сетях, группах в мессенджерах, в которых размещалась информация об использовании криптовалютного адреса/кошелька;

— результаты осмотра переписок организатора финансирования терроризма, отправителя и получателя средств;

— протоколы допросов подозреваемого/обвиняемого, свидетелей об обстоятельствах совершения преступлений;

— результатах обыска/выемки, осмотра места происшествия, в ходе которых были найдены носители с указанием приватного ключа (записка, блокнот, тетрадь и т. д.);

— сведения об IP, IMEI и MAC-адресах электронных устройств, с которых осуществлялся доступ к крипокошелькам;

— результаты обыска/выемки в офисе ПУВА, допросов его сотрудников;

— информация из кредитных организаций о финансовых операциях с деньгами, в которые была конвертирована криптовалюта, и результаты ее осмотра;

— выписки по банковским и электронным счетам, принадлежащим подозреваемым/обвиняемым;

— протокол осмотра сведений о банковских операциях, в ходе которого обвиняемый указал на поступления, являющиеся результатом конвертации криптовалюты, добытой преступным путем, в фиатные деньги;

— результаты бухгалтерских и иных экспертиз, произведенных с целью анализа фиатных финансовых операций фигурантов;

— фото- и видеоматериалы, на которых зафиксировано обналичивание средств;

— результаты экспертиз по извлечению информации из заблокированных электронных устройств;

— иные доказательства.

Все действия должностных лиц с криптовалютой должны быть пошагово зафиксированы в протоколе с приложением фототаблицы и/или видеозаписи, в том числе реквизиты криптокошельков и криптовалюты, наименование и другие сведения о криптобирже/обменнике, информация о транзакциях.

Важно учитывать особенности установления времени совершения транзакций, которое по делам о преступлениях против собственности и ряду иных категорий является временем совершения преступления, входящем в предмет доказывания согласно ст. 73 УПК РФ. Время совершения преступления устанавливается путем изучения транзакций хеш-кода пользователями и их осмотра. В открытых блокчейнах представлена информация о точном времени осуществления операции. При фиксации факта совершения транзакций необходимо обращать внимание на точность указания в процессуальных документах сведений о них. Важно учитывать, что время в блокчейне указывается по Гринвичу (среднее солнечное время меридиана, проходящего через прежнее место расположения Гринвичской королевской обсерватории около Лондона). Время по Гринвичу составляет: — 3 часа от часового пояса Москвы и Минска; + 6 часов от часового пояса Астаны и Бишкека; + 5 часов от часового пояса Ашхабада, Душанбе и Ташкента; + 5:30 от часового пояса Нью-Дели, + 8 часов от часового пояса Пекина. Неточности при указании времени совершения транзакции могут повлечь за собой искажение обстоятельств преступления, возникновение/опровержение алиби и существенно отразиться на доказывании[345].

Без обнаружения, фиксации и придания статуса доказательств электронно-цифровым следам, оставленным в результате совершения преступлений этой категории, в ходе предварительного расследования, их выявление и доказывание возможно исключительно в случае содействия подозреваемого/обвиняемого[346].

Следы совершения преступлений с использованием криптовалют могут содержаться на электронных устройствах, находящихся в пользовании подозреваемого/обвиняемого: смартфонах, планшетах, компьютерах. В последствие они подлежат осмотру в рамках ОРМ и/или следственных действий и в процессе производства компьютерной экспертизы.

Для документирования факта совершения преступлений с использования криптовалют, их последующего ареста и конфискации[347], помимо традиционных следственных действий и оперативно-розыскных мероприятий необходимо отследить транзакцию. При этом в целях дальнейшего использования полученной информации в качестве доказательства по уголовному делу все действия оперуполномоченного/следователя должны быть пошагово зафиксированы в протоколе с приложением фототаблицы и/или видеозаписи.

Сведения об открытых транзакциях может просмотреть любой пользователь на сайтах обозревателей блоков бесплатно. В открытых блокчейнах отображаются следующие сведения, которые могут использоваться в доказывании:

— дата и время совершения транзакций;

— адреса кошельков отправителя и получателя (открытый ключ);

— количество отправленной/полученной криптовалюты;

— сумма комиссии за осуществление транзакции;

— зашифрованный идентификатор транзакции (хеш, TXID, который подтверждает достоверность транзакции и служит для ее проверки).

Как правило, штатные и универсальные обозреватели блоков не имеют функции визуализации транзакций, а предоставляют сведения лишь в виде текста со сложной структурой, расшифровка которого вручную весьма трудозатратна. Кроме того, общедоступные обозреватели транзакций не предусматривают функции постановки интересующего криптокошелька на контроль и не всегда позволяют отнести отдельные криптокошельки к ПУВА, а значит, не позволяют получить информацию об участниках транзакций. Установить связь между конкретными криптокошельками, идентифицировать криптоадрес позволяют специальные сервисы, доступ к которым, как правило, предоставляется за отдельную плату.

В России разработан эффективный сервис анализа криптовалютных транзакций «Прозрачный блокчейн», принадлежащий Российской Федерации в лице Росфинмониторинга, доступ к которому предоставляется правоохранительным органам бесплатно. Помимо функций отслеживания и визуализации транзакций, он обладает собственной аналитической моделью скоринговой оценки и уникальной базой данных криптокошельков, позволяет связать их с конкретными криптобиржами и обменниками. Сервис автоматически собирает и анализирует информацию из Интернета, включая социальные сети и «теневой Интернет» (англ. — DarkNet), в онлайн-режиме, распределяет полученную информацию по заданным критериям. В актуальной версии ПБ позволяет отслеживать криптовалютные транзакции с использованием более 30 популярных криптовалют. Скриншоты из «Прозрачного блокчейна» могут быть приобщены к протоколам следственных действий в качестве фототаблицы и признаются доказательствами на практике[348].

В целях закрепления электронных следов совершения преступления с использованием виртуальных активов важно скопировать информацию с электронных устройств лиц, причастных к совершению преступления. Копирование информации возможно как с изъятием, так и без изъятия электронных устройств.

Особенности изъятия электронных носителей информации при производстве следственных действий закреплены в ст. 164.1 УПК РФ. Согласно ч. 2, 3 ст. 164.1 УПК РФ, электронные носители информации изымаются в ходе производства следственных действий с участием специалиста, которым может быть произведено копирование содержащихся на них сведений по решению следователя, по ходатайству законного владельца или обладателя. С учетом возможности дистанционного перевода криптовалюты на подконтрольный подозреваемому/обвиняемому криптокошелек, передача участникам уголовного судопроизводства и иным лицам скопированной информации с изымаемых электронных устройств по рассматриваемой категории уголовных дел нецелесообразна.

В ходе осмотра электронных устройств может быть обнаружена важнейшая информация, имеющая решающее значение для привлечения лица к уголовной ответственности, обеспечения возможности ареста и конфискации криптовалюты. Так, в ходе осмотра телефонов, изъятых у подозреваемого в незаконном сбыте наркотических средств в составе ОПГ, была обнаружена программа, предназначенная для хранения и накопления криптовалюты различных видов (криптокошелек)[349].

В ходе осмотра электронных устройств фиксируются электронные следы, указывающие:

— на использование владельцем криптовалютных кошельков и сервисов;

— на письма с криптобирж и обменников, подтверждающие открытие криптокошелька и его использование;

— на сведения о транзакциях;

— на наличие в истории браузера поисковых запросов криптовалютной тематики;

— на письма из службы поддержки криптобирж и обменников;

— на следы хранения сведений об открытых и закрытых ключах (в устройствах могут храниться файлы с сохраненными паролями доступа, открытыми и приватными ключами);

— на переписку подозреваемого/обвиняемого с соучастниками преступления или потерпевшими, участниками террористических организаций;

— на факты размещения в свободном доступе, а также в закрытых группах социальных сетей и мессенджеров постов о сборе средств на криптовалютные кошельки или совершенных транзакциях;

— на иные сведения, свидетельствующие о совершенном преступлении, позволяющие установить связь конкретного лица с криптокошельком, обеспечить арест, замораживание (блокирование) криптовалюты.

Следы отдельных операций с криптовалютой могут быть выявлены на этапе конвертации. Связующим звеном между кредитной организацией, с помощью которых злоумышленники получают возможность получить фиатные деньги из криптовалюты, являются криптовалютные биржи и обменники, в которые можно послать запрос.

В целях соблюдения требований об идентификации ПУВА требуют следующие сведения о своих клиентах:

— фамилию, имя, отчество, дату рождения клиента;

— сведения о документах, удостоверяющих личность, их копию;

— о гражданстве, почтовом адресе;

— фото пользователя;

— номере телефона, адресе электронной почты.

Кроме того, большинство ПУВА собирают следующую информацию о своих клиентах:

— IP-адрес;

— сведения об использовании VPN, реальном IP-адресе при использовании программ анонимизации адресов;

— геолокацию;

— об устройстве, которым клиент пользуется при использовании площадки;

— статистику, предпочтения, активность и т. д.

В ответ на запрос компетентных органов, ПУВА, соблюдающие требования законодательства также могут предоставить:

— номер счета получателя средств, дата и время его создания;

— статус обменной операции (исполнена/закрыта);

— сумма ввода и вывода (сумма обмена в цифровой валюте и количество полученных за сделку фиатных денег).

В результате изучения этих сведений можно получить доказательства принадлежности криптокошелька, с использованием которого совершались преступные транзакции, конкретному лицу. Необходимо учитывать, что все указанные сведения могут быть недостоверными в случае применения истинным владельцем криптокошелька средств аномизации, подменных адресов или дропов.

С учетом децентрализованности блокчейна единственным способом получения сведений о владельце криптокошелька, ареста, блокировки (замораживания) криптовалюты, связанной с совершением преступления, помимо оперативно-розыскных мероприятий, является взаимодействия с провайдерами услуг виртуальных активов. Именно через обращение к информации, хранящейся у этих организаций, можно идентифицировать участников криптовалютных транзакций.

С учетом того, что информация о транзакциях криптовалюты не относится к сведениям, составляющим банковскую тайну (по смыслу ст. 29 и 165 УПК РФ), в России применяются следующие способы получения информации от криптобирж и обменников:

1) получение правоохранительными органами необходимых сведений из криптобирж и обменников путем направления запроса соответствующему ПУВА, многие из которых, несмотря на отсутствие закрепления обязанности соблюдать требования ПОД/ФТ в нормах права, осуществляют верификацию пользователей и сотрудничают с правоохранительными органами в целях противодействия преступлениям;

2) путем проведения оперативно-розыскных мероприятий или следственных действий. Такой способ применяется в случае отказа ПУВА сотрудничать с правоохранительными органами;

3) направление по закрытым каналам связи международного запроса в ПФР страны, в которой зарегистрирован ПУВА, через Росфинмониторинг;

4) направление запроса об оказании международной правовой помощи компетентным органом одного государства другому. На практике запросы, направляемые правоохранительными органами в таком порядке, исполняются гораздо дольше запросов, направляемых по закрытым каналам связи подразделениями финансовой разведки.

В случае отказа незарегистрированных или работающих в отсутствие правового регулирования ПУВА предоставлять сведения о владельцах криптокошельков, на практике раскрытие преступления, совершенного с использованием виртуальных активов[350], иногда становится невозможным.

Особенности допроса при рассмотрении уголовных дел о преступлениях, совершенных с использованием криптовалют

В ходе допросов участников уголовного судопроизводства по делам о преступлениях, совершенных с использованием криптовалют, помимо обстоятельств совершения преступления, важно обращать особое внимание на установление следующей информации:

— сведения о фактах владения криптокошельком;

— вид криптовалюты;

— открытый и приватный ключи от криптокошелька;

— вид криптокошелька, способ доступа к нему;

— электронные устройства, используемые для доступа к криптокошельку;

— места и способы хранения паролей от криптокошельков;

— используемые ПУВА;

— способы конвертации криптовалюты в фиатные деньги;

— кредитные организации и счета в них, используемые для конвертации;

— курс и платформа для обмена криптовалюты на фиатные деньги;

— место хранения криптовалюты, полученной преступным путем, или предназначающейся для совершения преступлений.

Особенности назначения и проведения экспертиз по делам о преступлениях с использованием криптовалют

В целях обнаружения и фиксации электронных следов, позволяющих установить и доказать факт использования виртуальных активов для совершения преступлений, обнаруженные электронные устройства направляются на компьютерную экспертизу.

В ходе производства компьютерных экспертиз могут быть получены сведения о наличии в памяти изъятого оборудования:

— файлов, содержащих электронную переписку (в том числе при помощи программ персональной связи и почтовых клиентов);

— пользовательских графических, видео, текстовых файлов, а также файлов архивов, напрямую относящихся к преступной деятельности;

— следов работы программного обеспечения для совершения операций с криптовалютой и сведений об электронных кошельках (в том числе ключи доступа и журналы транзакций);

— программного обеспечения для совершения операций с криптовалютой и сведения об электронных кошельках (ключи доступа и журнал транзакций);

— иная информация, имеющая значение для дела.

Для получения криминалистически значимой информации перед экспертами ставятся следующие вопросы.

1. Имеется ли на объекте исследования пользовательская информация (истории посещения, сохраненные логины и пароли и т. д.), в том числе удаленная, программного обеспечения для просмотра веб-станиц (браузеры)?

2. Имеется ли на объекте исследования информация, в том числе удаленная, об обмене текстовыми сообщениями, аудиозаписями, фотографиями и другими мультимедиа через приложения для мгновенного обмена сообщениями?

3. Имеются ли на объекте исследования файлы, содержащие графические изображения и видеофайлы, в том числе удаленные, созданные в период с… по… (указывается предполагаемый период преступной деятельности)?

4. Имеются ли на объекте исследования файлы, в том числе удаленные, с расширением DOC, DOCX, RTF, XLS, XLSX, PDF, TXT, созданные в период с… по… (указывается предполагаемый период преступной деятельности)?

5. Имеется ли на объекте исследования программное обеспечение, в том числе удаленное, для совершения операций с криптовалютой (некастодиальные программные криптокошельки zenwallet, electrum и т. п.) и платежными системами? Если таковые имеются, то какая пользовательская информация содержится в приложениях (файлы с открытыми и приватными ключами, историей транзакций и другой пользовательской информацией)?

6. Имеются ли на объекте исследования файлы «Wallet.dat»?

7. Имеются ли на объекте исследования файлы, в том числе удаленные, с расширением RAR, ZIP, TAR, 7Z, S7Z, TAR.GZ, TGZ, TAR.Z, TAR.BZ2, TBZ2, TAR.LZ, TLZ.TAR.XZ, TXZ, TAR.ZST, ZIPX, созданные в период..? (указывается предполагаемый период преступной деятельности)

8. Имеется ли на объекте исследования пользовательская информация, в том числе удаленная, (идентификаторы, сообщения и пр.) приложений почтовых клиентов?

9. Установлен ли на устройстве дескоптный криптокошелек?

10. Имеются ли на дескоптном криптокошельке виртуальные активы и в каком размере?

11. Имеются ли в электронном устройстве электронные следы использования браузерных криптокошельков, основанных на технологии облачного хранения?

12. Имеются ли на браузерном криптокошельке виртуальные активы и в каком размере?

13. Имеются ли на устройстве приложения для управления криптовалютами?

14. Установлено ли на устройстве специальное программное обеспечение (приложения), используемые для совершения транзакций в цифровой валюте?

15. Имеется ли на объекте исследования пользовательская информация, в том числе удаленная, (файлы журналов и т. п.) программного обеспечения IP-телефонии (VoIP)?

16. Имеется ли на объекте исследования иное программное обеспечение, в том числе удаленное, если да, какое именно?