Eski FBI yöneticisi, soruşturmalardaki kripto cüzdanlardan 2,4 milyon doları aşan varlığı çaldığını kabul etti
FBI karşı istihbarat biriminde görevli bir supervisory special agent, kurum sistemlerindeki cüzdan anahtarlarını kullanarak 35 soruşturmaya bağlı 79 cüzdandan kripto varlık aktardığını kabul etti. Savcılık, olayın birden fazla soruşturmayı tehlikeye attığını söylüyor.
ABD Federal Soruşturma Bürosu'nun (FBI) merkezinde, Karşı İstihbarat ve Casusluk Bölümü'nde supervisory special agent olarak görev yapan 37 yaşındaki Patrick Steven Yaroch, yürüttüğü ve erişebildiği soruşturmalardaki kripto para cüzdanlarından 2,4 milyon doları aşan varlık çaldığını kabul etti. The Record'un 6 Kasım tarihli haberine göre Yaroch, wire fraud ve kara para aklama suçlamalarıyla 20 yıla kadar hapis cezasıyla karşı karşıya; cezasının mart ayında açıklanması bekleniyor.
Kurumun kendi anahtarlarıyla yapılan hırsızlık
Habere göre Yaroch, kıdeminin sağladığı yetkiyle FBI sistemlerinde tutulan ve cüzdanlardaki varlıkları hareket ettirmek için gereken kod ve parolalara erişti. Aralık 2024'ten itibaren 35 farklı soruşturmaya bağlı 79 cüzdandan toplam 100 transfer yaptı; tek seferde aktarılan tutar 81 sentten 580 bin doları aşan miktarlara kadar değişiyor. Cüzdanların bir bölümünün en az iki "hasım ülke" tarafından, bir bölümünün ise 10 suç mağduruna ait olduğu belirtiliyor; ülke adları açıklanmadı.
Savcılık, çalınan kimlik bilgilerinin kötüye kullanılmasının birden fazla FBI soruşturmasını tehlikeye attığını, cüzdanları kontrol eden taraflara soruşturmaların varlığını ve yöntemlerini ifşa etmiş olabileceğini vurguladı. Yaroch'un kredi kartı ve kredi borçlarını kapatmak için hareket ettiği, temmuz ayında ise daha önceki bir görevinden tanıdığı bir Adalet Bakanlığı çalışanına itirafta bulunduğu aktarılıyor.
Neden önemli?
Olay, el konulan veya izlenen dijital varlıkların anahtarlarının kurum içinde nasıl saklandığına dair klasik bir insider threat örneği. Tek bir yetkili kullanıcının, onay mekanizmasına takılmadan yaklaşık iki yıl boyunca yüzlerce bin dolarlık transfer yapabilmesi; ayrıcalıklı erişimin izlenmesi ve görev ayrılığı eksikliklerine işaret ediyor. Aynı risk, kripto varlık saklayan bankalar, borsalar ve el koyma yetkisi olan kamu kurumları için de geçerli.
Ne yapılmalı?
- Kripto cüzdan anahtarları, seed ifadeleri ve imzalama yetkileri için tek kişinin işlem yapamayacağı çoklu onay (multisig veya MPC) yapısı kurun.
- Anahtar kasalarına ve gizli bilgi yönetim sistemlerine erişimi "ihtiyaç kadar" ve süreli yetkiyle sınırlayın; her erişimi kayıt altına alın.
- Ayrıcalıklı kullanıcı davranışlarını (olağan dışı saat, sık küçük transfer, ilgisiz dosyalara erişim) izleyen UEBA kurallarını devreye alın.
- Zincir üstü izleme ile kurum kontrolündeki cüzdanlardan beklenmeyen çıkışları otomatik alarm olarak üretin.
- Görev ayrılığını ve periyodik erişim gözden geçirmelerini denetim planına ekleyin; insider threat programını yalnızca teknik değil, insan kaynakları süreçleriyle de destekleyin.
