济南网络犯罪律师张洪强：网络盗窃虚拟币案办案经验总结

张洪强律师办案技巧指导—《非法获取虚拟币、网络盗窃u币、比特币、各类虚拟币、游戏币、游戏装备道具案件办案经验总结》

非法获取虚拟货币案件的侦查与取证工作较为复杂，涉及网站架构、日志分析、恶意代码分析、虚拟货币追溯等多种知识，电子证据勘察不充分、不全面，很难提取到足够电子证据，导致很多案件的犯罪嫌疑人（被 告人）因证据不足被释放，并且盗窃虚拟币案件存在定性争议大的特点，是定盗窃罪还是非法获取计算机信息系统数据罪直接关系到被告人刑期的长短，例如盗窃价值200万的虚拟货币，按照盗窃罪要判10年以上有期徒刑或无期徒刑，按照非法获取计算机信息系统数据罪，最高才判七年。

本文作者： 张洪强律师，北京市京师（济南）律师事务所高级合伙人律师，刑事辩护部主任，专注于网络盗窃犯罪、虚拟币犯罪辩护研究，擅长通过对电子证据的精准把握以及虚拟币犯罪的特点，对律师办理网络盗窃案件提供精准有效的指导，张洪强律师办理过盗窃比特币等虚拟币案件，对网络盗窃虚拟币案件无罪、改判案例的原因和辩护思路、办案技巧有系统的收集、总结和研究。

例如，①某虚拟币盗窃案，某公安分局认定犯罪嫌疑人开发编译一款恶意APP窃取某公司持有的数字货币服务器的私钥，通过私钥盗取该公司存储的数字货币，被盗数字货币价值3000余万元，该犯罪嫌疑人被逮捕，最终检察院以事实不清、证据不足将犯罪嫌疑人释放并不公诉。

②某虚拟货币网络盗窃案，警方认定犯罪嫌疑人通过网络技术手段渗透入侵虚拟货币网站，非法获取虚拟币，后在某交易所变卖成泰达币，再将泰达币变换成人民币，最终检察院以事实不清、证据不足对犯罪嫌疑人不公诉撤案。

③赵某盗窃虚拟货币案件，刑期由10年改判4年，就是因为二审法院将罪名改判了，某区法院一审被判决赵某构成盗窃罪，判决10年有期徒刑，罚金10万，市中级法院将罪名改判为非法获取计算机信息系统数据罪，将刑期由10年改判为4年，将罚金由10万改判为2万。

④肖某盗窃虚拟货币案件，刑期由五年改判一年六个月，也是因为二审法院改判了罪名。某区法院一审判决被告肖某构成破坏计算机信息系统罪，判决肖某有期徒刑5年，市中级法院二审将罪名改判为非法获取计算机信息系统数据罪，判处有期徒刑一年六个月。

要想从专业角度争取到证据不足、罪名不成立，需要律师具备计算机网络犯罪方面的专业知识，对于律师的要求相比较传统的犯罪更高。如果我们律师不具备这方面的专业知识，在与犯罪嫌疑人（被告人）沟通时可能会出现障碍，王某网络盗窃案，当庭拒绝律师辩护，法官问原因，被告人说律师不懂这方面的专业知识，存在沟通障碍，就是因为此。所以，我们律师必须掌握此类案件的专业知识和经验技巧，才有可能争取到无罪和罪轻的结果。

除了罪名争议之外，虚拟货币的价格如何界定？按被害人买入价，被告变卖价，还是案发时的市场价格？谁来做价格鉴定？这些问题在虚拟货币盗窃案中都存在争议。

张洪强律师办理网络犯罪案件经验总结：

一、从证据上争取不批捕、不公诉、罪名不成立。

1、从电子证据上找到他人作案的可能性，排除被告人的嫌疑。

有些网站因为存在漏洞，可能存在被多名黑客入侵的情况，我们在办理案件时要防止因为办案机关疏忽，将其他黑客的侵入行为算到我方身上的可能。如果在入侵时间、入侵方式、入侵路径上存在其他黑客入侵的可能性，则说明不能排除他人入侵可能性，在其他证据不足的情况下，不能简单的将被告人认定为入侵者。

例如一起虚拟货币网络盗窃案，警方起诉意见书认定实施盗窃的时间是2019年10月22日，但是犯罪嫌疑人对该服务器进行入侵的时间是2019年9月25日，中间间隔了近一个月，并且被盗公司的服务器后台日志显示，在2019年10月16日，有一个美国的IP地址异常访问了该公司网站的最高权限，2019年10月23日，有一个香港的IP地址异常访问了该公司网站的最高权限。该案无法排除其他黑客入侵的可能性，最终检察院认为事实不清、证据不足，对犯罪嫌疑人不起诉撤案。

我们律师在办理案件时，可以从以下几个方面来审查是否存在别人入侵的可能性。

①被害人陈述的入侵时间、入侵方式、入侵路径与犯罪嫌疑人供述的入侵攻击时间是否一致。

②审查被入侵系统与作案设备上各种日志记录在时间、日期上是否存在一致性。

③审查入侵时间与入侵后果产生之前是否存在他人侵入或攻击的行为。

④审查犯罪嫌疑人供述的入侵方式、入侵路径是否与侦查机关查明的一致。不同的黑客有不同的入侵思路，入侵路径也多不相同。

2、是否有证据证明犯罪嫌疑人有入侵的行为。如果入侵痕迹关联到被告人的证据不能形成证据链，则有可能争取到罪名不成立。

很多虚拟币盗窃案件证据不足的原因就是没有提取到充分的电子证据，主要包括：服务器日志、网站日志记录中提取到的相关痕迹与被告人之间是否具有一致性或关联性。

（1）服务器日志中，非正常用户登录服务器的用户名、客户端名、客户端IP地址与被告人是否存在一致或相关联。还要注意，日志中发现的入侵IP，可能是跳板肉鸡，不一定是入侵者的真实IP。

（2）安全日志、FTP日志和www日志等日志记录是否被清除，是否能提取到入侵者的IP地址、入侵时间、端口、http状态、浏览器等。稍微有些经验的黑客入侵者会删除相关日志记录，很多案件不会从日志中提取到入侵者的ip等信息。一旦入侵者获得了系统 root 权限, 就可以轻易地修改、删除操作系统所保存的日志记录, 甚至伪造现场, 从而掩盖入侵留下的痕迹。

（3）律师要注意:证据链中断的情形。一旦证据链中断，就不会形成相关直接证据。

3、盗窃使用的工具软件以及植入的木马程序中的信息与被告人是否一致或产生关联。

（1）是否有证据证明犯罪嫌疑人有植入木马或后门程序的行为。

（2）警方是否提取到黑客使用过或留下的工具软件，如入侵、扫描、嗅探、攻击工具软件，是否通过网站源文件与服务器日志找到可疑木马文件。

（3）这些工具软件、木马程序中是否提取到入侵者的个人虚拟身份信息，如球球号码、电子邮箱、木马收信地址、回传地址、远程控制地址等是否与被告人产生一致性或关联。

（4）使用工具软件、木马的ip地址、虚拟身份等信息是否与被告人一致或产生关联性。

（5）根据使用木马的时间是否找到被创建的文件夹、被修改的网页文件等，从被创建的文件夹、被修改的网页文件中是否能发现线索。

4、虚拟币流向路径关联到被告人的证据是否形成证据链。

要审查虚拟货币账户、钱包地址、IP地址等网络痕迹与被告人的关联性证据。如果不能形成证据链，就有可能从证据上切断涉案资金、虚拟货币的交易网络、交易行为以及资金流向与被告人的对应或关联关系。

例如在陕西毛某一案，第三级收款账户的钱如何转出，以及尾号为TH5Y提币地址如何变现都未查清，警方在补充侦查报告中，称查清难度大，无法查清，便草草结案。

还有某起虚拟币网络盗窃案，警方在被入侵服务器上提取到犯罪嫌疑人对该服务器有xss攻击记录，便将犯罪嫌疑人抓获，但因最终没有发现虚拟币的流转证据以及变现证据，将犯罪嫌疑人释放撤案。

我们律师在办理案件时需要注意，由于数字货币具有具有强匿名特点，持有者信息则为公钥与私钥字符串，系统生成的不同账户、地址不存在关联性。在这种特性之下，用户的真实身份很难去追踪和验证。尽管用户在区块链网络中的行为都是公开透明的，凭借这些交易行为确实可以利用大数据分析技术来对交易双方的真实身份进行推断，但这种方式的推断具有很大的主观性,容易找到辩护的空间。

我们还需要注意一种情况就是在一些案件中，犯罪嫌疑人可能会使用混币器、联合币（共享发送）、暗钱包、隐形地址等方式混币，分离交易中的输入和输出地址，即割裂输入地址和输出地址之间的关系，目的是提高加密货币的隐私性和匿名性，使其更难追踪加密货币的用途以及它属于谁。

我们在辩护时，在对证据进行审查与质证时，要有专业的思维，来审查数字货币账户与犯罪嫌疑人之间的关联性证据。从以下三个方面入手:

（1）能否阻断钱包地址与犯罪嫌疑人（被告人）的身份信息对应关联关系的证据链。

（2）能否阻断断钱包地址与犯罪嫌疑人的IP地址以及设备的MAC地址对应关联关系的证据链。

（3）能否阻断比特币交易过程与犯罪嫌疑人的其他网络信息、网络痕迹形成对应或关联关系的证据链。

关于这三个方面的内容我已经说过多次，这里就不在重复。

我们律师要注意一些反侦查手段的实施，例如使用黑卡、地下钱庄、跑分平台、虚拟货币OTC场外交易、暗网、混币等手段，导致的证据链中断无法追溯的情况，随着反侦查能力的提高，查清资金流转路径、流转金额难度越来越大。

例如，张洪强律师办理的李某网络犯罪案件，涉及到比特币的流转证据问题，公安机关起诉意见书认定涉案赃款是2000多万，但我们根据资金流水的证据，最终让检察院在起诉时，将金额降低为700多万。

二、从性质上争取最轻的罪名认定。

在司法实务中，对非法获取比特币的行为存在定性争议。最高法院的已经明确，此类盗窃比特币、游戏币等虚拟货币的案件按照非法获取计算机信息系统罪定罪。

2014年，最高人民法院大法官胡云腾、周加海、周海洋在《人民司法》发表《<关于办理盗窃刑事案件适用法律若干问题的解释>的理解与适用》一文，明确表明对于盗窃虚拟财产的行为，如确需刑法规制，可以按照非法获取计算机信息系统数据等计算机犯罪定罪处罚，不应按盗窃罪处理。其理由有四：

一是认为虚拟财产与金钱财物等有形财产、电力燃气等无形财产存在明显差别；

二是认为虚拟财产的法律属性是计算机信息系统数据；

三是对盗窃虚拟财产的行为适用盗窃罪会带来一系列棘手问题，特别是盗窃数额的认定，目前缺乏能够被普遍接受的计算方式；

四是从境外刑事立法和司法来看，鲜有将盗窃虚拟财产的行为以盗窃罪论处。

最高法院法官的该文章表示，最高司法机关的倾向是将盗窃虚拟货币的案件定性为非法获取计算机信息系统罪。在审判实务中，很多地方法院都是按照非法获取计算机信息系统罪来对盗窃虚拟币的行为定罪处罚。

两个政策依据：

①《最高人民法院研究室关于利用计算机窃取他人游戏币非法销售如何定性问题的研究意见》明确指出通过控制他人计算机信息系统，进而非法获取他人网络游戏虚拟货币，对其应以非法获取计算机信息系统数据罪定罪量刑；明确指出，虚拟财产不是财产，根据国家相关规定，虚拟财产只能用于获取虚拟服务，不能用于交易，不符合财产所具有的交易这一基本特征。

②2017 年 9 月 4 日央行等七部委《关于防范代币发行融资风险的公告》: 代币或“虚拟货币”是不由货币当局发行，不具有法偿性与强制性等货币属性，不具有与货币等同的法律地位，不能也不应作为货币在市场上流通使用。也就是说，根据我国的规定，包括，比特币在内的相关虚拟货币，都不是真正的货币。

2021年5月21日，国务院金融稳定发展委员会召开第五十一次会议指出，要打击比特币挖矿和交易行为，即现在是比特币交易为违法违规的，比特币不符合财产所具有的交易这一基本特征。

此外，如果将盗窃虚拟货币的案件定盗窃罪，则无法认定涉案虚拟货币的价值，也无法全面准确评估被害人因此遭受的损失的金额。

最后，要说的是网络盗窃各类虚拟币、游戏币、游戏装备的案件，属于新型高科技犯罪，如果想在此类案件中，为犯罪嫌疑人（被告人）争取到无罪和最轻的处罚，我们律师就必须掌握此类计算机网络犯罪的专业知识。这类案件对我们律师的要求要远远高于传统犯罪。

本文为张洪强律师办案经验总结。