Расследование преступлений, совершенных с использованием криптовалюты. Учебное пособие

Сбор информации осуществляется также с использованием инфор-

мационных систем субъектов финансово-экономической деятельности,

баз данных МВД России, а также конфиденциального аппарата и возмож-

ностей подразделений Оперативно-поисковых бюро и Бюро специальных

технических мероприятий МВД России.

Во исполнение распоряжения следователя в территориальные ор-

и Управления уголовного розыска МВД России соответствующих субъ-

ектов Российской Федерации по уголовным делам направляются пору-

чения на проведение оперативно-розыскных мероприятий по уста-

новлению местонахождения похищенного имущества, объектов вложе-

ния похищенных денежных средств, устанавливаются обсто-ятельства преступного происхождения денежных средств, недвижимого имуще-

ства и других материальных ценностей.

Кроме того, должно устанавливаться имущественное положение родственников лица, совершившего преступление, приобретенного в пе-

риод его преступной деятельности. Немаловажную роль на данном этапе работы следователей играет взаимодействие с оперативными подраз-

делениями, которое осуществляется путем:

получения информации о связях подозреваемых, их родст-

венников;установления периодичности их выездов за границу, а также пе-

ремещения внутри страны, цели поездок;определения размера их доходов, полученных законным путем,

которые сопоставляются с расходами и имеющимся имуществом.

51

При несоответствии организуется выполнение дополнительных про-

верочных мероприятий.

При проведении опросов и допросов родственников и друзей запо-

дозренного лица, в числе иных вопросов устанавливаются объекты иму-

щества, находящегося в собственности. Следователи направляют запросы в различные организации (Государственная инспекция по безопасности дорожного движения, Государственная инспекция по мало-мерным судам,

Гостехнадзор, Росреестр, Федеральная служба государственной регистра-

ции, кадастра и картографии, Федеральная налоговая служба (об участии в юридических лицах), Пенсионный фонд РФ, кредитные организации и т.д.) с целью установления наличия у подозреваемых (обвиняемых) дви-

жимого и недвижимого имущества, денежных средств на счетах, вкладах

или на хранении в банках и иных кредитных организациях.

После получения и оценки сведений следователь в порядке ст. 115

УПК РФ с согласия руководителя следственного органа должен незамед-

для обеспечения исполнения приговора в части гражданского иска, взыс-

кания штрафа, других имущественных взысканий или возможной конфис-

кации имущества, указанного в ч. 1 ст. 104.1 УК РФ.

Особое внимание следует обращать на принимаемые органом дозна-

ния меры, направленные на возмещение вреда, причиненного преступле-

нием.

Необходимо запросить у криптобиржи информацию о представлен-

ных документах регистрируемых лиц, чья деятельность проверяется в свя-

зи с расследованием преступления. Кроме того, необходимо запросить у криптобиржи IP-адрес компьютера либо смартфона, с использованием

которых то или иное лицо выходило в сеть «Интернет» при регистрации

52

или подаче электронной заявки, номер контактного телефона, а также электронной почты и точное время подачи заявки.

Зная IP-адрес мошенника и точное время подачи электронной заяв-

ки, можно установить фактический адрес, где находился подозреваемый

в данный момент.

Используя электронные ресурсы https://whoer.net/ru/checkwhois

либо www.2ip.ru, необходимо установить провайдера сети «Интернет»,

например: IP: 31.173.80.241; Провайдер: PJSC MegaFon; Хост:N/A;

ОС:Win7; Браузер:Chrome 80.0; DNS 85.26.158.1852 Russian Federation.

По возможности следует оперативно обратиться с письменным заяв-

лением к интернет-провайдеру для получения в электронной форме жур-

налов соединений с «Интернет» с электронного устройства клиента или из его ЛВС как минимум за три месяца, предшествовавшие факту хи-

щения денежных средств.

Кроме того, следует оперативно обратиться в суд с ходатайством в отношении получателя денежных средств с указанием известных рекви-

зитов получателя о взыскании неосновательно полученного обогащения и процентов за пользование денежными средствами (глава 60 ГК РФ),

а также с ходатайством о принятии судом мер по обеспечению иска в виде ареста денежных средств на счете получателя в сумме неоснова-

тельно полученного обогащения. К исковому заявлению необходимо приложить копию заявления о возбуждении уголовного дела либо ко-

пию талона, содержащего порядковый номер из книги учета сообщений о преступлениях, содержащей отметку правоохранительного органа о его приеме.

У потерпевшего могут быть изъяты следующие документы:

копия лицензии на операционную систему ПК;

53

копия чека на приобретение операционной системы ПК;

описание используемого ПО (перечень использованного лицензи-

онного ПО на рабочем месте, информация о версии операционной систе-

мы и наличии критических обновлений, рекомендуемых разработчиком операционной системы);

копия договора на оказание телематических услуг информацион-

но-телекоммуникационной сети «Интернет»;

описание организации доступа в сеть «Интернет» на рабочем

месте;

копия чека на оказание доступа в сеть «Интернет» на повременной

основе;

копия заявления в правоохранительные органы;

копия лицензии на антивирусное ПО;

копия чека на антивирусное ПО;

описание по антивирусной защите рабочего места (наличие уста-

новленного на жестком диске автоматизированного рабочего места клиен-

та антивирусного программного обеспечения и актуальность его баз,

частота обновления, сканирования, наличие сведений о проявлении на ав-

томатизированном рабочем месте клиента вредоносных программ);

описание системы защиты информации (наличие или отсутствие персонального межсетевого экрана у клиента, сведения об использовании рабочего места в иных целях, кроме осуществления платежно-расчетных операций, в частности интернет-серфинга, сведения о порядке хранения

ииспользования ключевых носителей);

договоры на открытие и обслуживание банковских счетов, догово-

ры о предоставлении услуг ДБО;

54

сведения о точном месте открытия и месте нахождения счета фи-

зического лица;сведения о паспортных данных физического лица (в том числе ко-

пия паспорта и иного удостоверения личности — при наличии);технический носитель информации, содержащий записи видеока-

мер, имеющие отношение к хищению (до процессуального изъятия ори-

гинала технического носителя информации следует обеспечить сохран-

ность записей);документы, отражающие статистику соединений с системой элек-

тронных расчетов банка посредством ДБО «клиент-банк», с указанием учетных записей, внешних IP-адресов клиента и точного времени соеди-

нений в период осуществления несанкционированного перевода;журналы авторизации по электронным средствам платежа в бан-

коматах, данные о телефонах и адресах электронной почты, на которые было настроено оповещение об инцидентах, номера телефонов и адреса электронной почты, с которых поступали сообщения мошенников

(при наличии), данные, указанные на подложных сайтах (при наличии);сведения о подключенных уведомительных услугах банка (СМС-

уведомление, голосовая авторизация, уведомление на электронную почту,

привязка к выделенному IP-адресу и других имеющихся услугах) с при-

ложением копий документов, акцептованных банком при предоставлении указанных услуг.

При осуществлении элементов сделок с криптовалютой с использо-

ванием систем дистанционного банковского обслуживания, может быть получена следующая информация:

дата (день, месяц, год) и время (часы, минуты, секунды) осуществ-

ления действия клиента;

55

идентификатор (идентификаторы) клиента;

идентификатор (код) осуществляемого действия клиента;

идентификатор устройства клиента, с использованием которого клиент осуществляет доступ к программному обеспечению и автоматизи-

рованным системам с целью осуществления переводов денежных средств и которым при наличии технической возможности могут являться IP-

адрес, MAC-адрес, номер sim-карты, номер телефона и (или) иные иден-

тификаторы;

используемый клиентом браузер;

используемая клиентом операционная система;

запрашиваемый клиентом URL;

адрес страницы, с которой зашел клиент;

географическое положение клиента;

технический заголовок HTTP;

материалы, подготовленные службой безопасности банка по ито-

гам проведения внутренних проверок.

В целях соблюдения оптимальных сроков расследования по уголов-

ным делам, а также с целью оперативного получения ответа на исходящий запрос следователя от провайдеров в нем следует указывать, что в случае непредоставления или несвоевременного предоставления запрашиваемой информации виновное лицо может быть привлечено к административной ответственности в соответствии со ст. 17.7 Кодекса Российской Федера-

ции об административных правонарушениях.

Получив на основании запроса от соответствующего интернет– провайдера сведения о клиенте и его адресе, можно планировать прове-

дение оперативно-розыскных мероприятий и следственных действий

56

по соответствующему адресу. В подтверждение совпадения полученно-

го IP-адреса с IP-адресом предполагаемого преступника необходимо провести такие следственные действия, как осмотр, в частности элек-

тронных носителей информации: компьютеров, мобильных телефонов,

планшетов и других. Обнаруженные на их поверхности следы пальцев рук следует направить на дактилоскопическую экспертизу для иденти-

фикации лица.

В случае снятия денежных средств из банкомата необходимо напра-

вить запрос в банк на получение видеозаписи лица, осуществившего опе-

рации по обналичиванию.

Типичные следственные и процессуальные действия первоначально-

го этапа расследования:

установление, опрос и дальнейший допрос потерпевших (предста-

вителей потерпевшей стороны);осмотр места происшествия в помещении (жилище), где потер-

певший осуществлял вход в компьютеры либо другие портативные устройства. Здесь необходимо отметить, что специфика осмотра места происшествия, в отличие от кражи в жилище, будет заключаться в том,

что необходимо осмотреть только устройство. Если это дистанционный компьютер, можно его осмотреть на месте, а если это, к примеру, ноутбук,

то нет необходимости выезжать по месту жительства потерпевшего,

а осмотреть его в служебном кабинете с участием специалиста. Чаще все-

го осмотр места происшествия проводится по месту осуществления пре-

ступной деятельности подозреваемого;оперативно-розыскные мероприятия параллельно со следственны-

ми действиями в целях установления виновных лиц, мест их возможного

57

нахождения и установления технических средств и других объектов, с по-

мощью которых совершались преступные действия;получение решения суда на получение информации о соедине-

ниях между абонентами и (или) абонентскими устройствами (ст. 186.1

УПК РФ);получение информации о соединениях между абонентами

и/или абонентскими устройствами;

выемка технических средств связи с последующим осмотром предметов с участием специалиста;

обыск и выемка. При невозможности изъятия носителей информа-

ции либо по иным причинам технического или процессуального характера специалистом производится создание образа файловой системы или по-

секторное копирование (клонирование) информации с электронных носи-

телей. При изъятии мобильных телефонов оптимально получить ДАПМ памяти мобильного устройства, для чего специалист может использовать специализированные комплексы «Мобильный Криминалист», «UFED»

или «XRY». В случае невозможности получить ДАМП памяти мобильное устройство необходимо перевести в режим «полет» и как можно быстрее доставить в экспертные подразделения для получения информации. Кроме того, при изъятии мобильных устройств необходимо выяснить данные для входа в систему — пароли;

осмотр, который может быть проведен в кабинете следователя

сиспользованием его рабочего компьютера. В протоколе осмотра описы-

вается внешний вид сайта и все действия, выполняемые следователем при переходе по ссылкам и пунктам меню. Необходимо учитывать время осмотра (так как информация на сайте динамическая и может постоянно

58

изменяться), т.е. каждое действие по фиксации информации обязательно должно иметь привязку ко времени. Нужно зафиксировать и указать в протоколе часовой пояс или время UTC (Всемирное координированное время; указывается адрес каждого окна сайта (берется из заголовка строки браузера). Для определения IP–адреса сайта можно воспользоваться спе-

циальным интернет-сервисом, который по доменному имени укажет

IP-адреса, например, ресурс http://ipwhois.net/website_ip.php. Страницы сайта копируются с помощью штатных средств интернет-браузеров, меню

«сохранить страницу как» или используют специализированное про-

граммное обеспечение для копирования всего содержимого сайта. В про-

токоле необходимо указать технические средства (компьютер) и про-

граммное обеспечение, которое применялись при осмотре и копировании файлов. Скопированные файлы записываются на не перезаписываемый носитель и оформляются в качестве приложения к протоколу осмотра.

Следует помнить, что на страницах социальных сетей и сайтах видеоро-

лики обычно не хранятся. На них размещаются только ссылки для про-

смотра или скачивания. Сами ролики хранятся на серверах компаний,

предоставляющих соответствующие услуги. Однако в правовом понима-

нии размещение ссылок на ресурсе конкретного пользователя необходимо рассматривать как размещение соответствующих файлов, так как их акти-

вация приводит к получению необходимой информации. Гарантией до-

стоверности происхождения скопированной информации является участие при производстве следственного действия понятых;

осмотр памяти средств электросвязи, ЭВМ и электронных носите-

лей информации, обнаруженных в ходе обысков и других следственных

59

действий, с целью получения доказательств, установления связей задер-

жанного и иной криминалистически значимой информации;опросы возможных свидетелей или очевидцев. Необходимо отме-

тить, что данные преступления чаще всего осуществляются в отсутствие идеальных следов, показания свидетелей носят косвенный характер и сво-

дятся к общим данным, характеризующим личность подозреваемого

ипредполагаемый род его деятельности;

в случае установления подозреваемого обыски проводятся по ме-

сту осуществления преступной деятельности и месту жительства (если данные объекты не совпадают), что также является немаловажным, так как помимо доказательств, изобличающих вину, которые находятся

вЭВМ, есть и другие традиционные следы преступления;

назначение и производство всех необходимых судебных экспертиз

(компьютерно-технической, радиотехнической, бухгалтерской дактило-

скопической, трассологической и др.), выбор которых зависит от конкрет-

ной следственной ситуации и материальных следов, обнаруженных в ходе проведения осмотров и обысков.

К проблемным вопросам, возникающим при расследовании уголов-

ных дел указанной выше категории следует отнести невозможность уста-

новления владельцев биткойн-кошельков, так как, при регистрации счета криптовалюты «биткойн» и других криптовалют («Лайткоин», «Ливико-

ин» и др.), которых множество в сети «Интернет», необходимо ввести только адрес электронной почты и пароль к счету (к примеру на сайте www.blockchain.com) без предоставления каких-либо анкетных данных о регистрирующемся лице. Следует также отметить, что серверы, на кото-

рых находятся счета криптовалюты, размещены, как правило, за террито-

60