Ex agente FBI colpevole di furto crypto: rubati 2,47 milioni di dollari da 35 indagini, più del doppio della prima stima

Patrick Steven Yaroch, ex agente dell’FBI di 37 anni residente ad Ashburn, in Virginia, si è dichiarato colpevole giovedì 5 novembre 2026 di frode telematica e riciclaggio: ha sottratto circa 2,47 milioni di dollari in criptovalute da wallet a cui blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il Bureau aveva avuto accesso nelle proprie indagini. Secondo il comunicato della Procura federale del Distretto Orientale della Virginia, ha eseguito circa 100 trasferimenti fraudolenti con credenziali legate a 35 distinte indagini dell’FBI. La giudice federale Patricia Tolliver Giles ha accolto l’ammissione di colpevolezza ad Alexandria. La sentenza è fissata per il 4 marzo 2027 e l’imputato rischia fino a 20 anni di carcere.

La cifra è molto più alta della prima ricostruzione pubblica di questo furto di criptovalute da parte di un agente dell’FBI. Quando Yaroch fu arrestato a fine luglio, gli atti di accusa parlavano di circa 1 milione di dollari spostati con una decina di trasferimenti, come riportò allora Decrypt. L’ammissione di colpevolezza fissa invece i proventi a circa 2.474.380,66 dollari, con un numero di trasferimenti dieci volte superiore. I procuratori non hanno spiegato pubblicamente come sia stato costruito il dato più alto.

Nelle parole della Procura, Yaroch «pled guilty today to wire fraud and money laundering related to using his access to steal cryptocurrency», cioè si è dichiarato colpevole di frode telematica e riciclaggio per aver usato il suo accesso per rubare criptovalute. Quell’accesso gli veniva dal lavoro: un sistema dell’FBI in cui il Bureau custodiva le credenziali dei wallet raccolte durante le indagini su altre persone.

Come funzionava il furto: 35 indagini, circa 100 trasferimenti

Yaroch è entrato nella divisione di Boston dell’FBI nel 2017 e vi è rimasto fino all’inizio del 2025, in una squadra dedicata a quella che i procuratori definiscono «uno Stato nazionale ostile». Il comunicato non indica il Paese. Nel febbraio 2025 è passato alla divisione di controspionaggio e spionaggio dell’FBI, dove ha lavorato fino al 31 luglio 2026. Quell’incarico gli dava accesso a sistemi dell’FBI che contenevano credenziali di criptovalute raccolte dal Bureau durante le sue indagini.

Secondo i documenti giudiziari riassunti dalla Procura, a partire da dicembre 2024 al più tardi ha usato quelle credenziali per prelevare monete da tre tipi di wallet: quelli controllati dai soggetti di altre indagini, quelli controllati da attori statali ostili e almeno un wallet creato dall’FBI stesso per un’operazione. Nel corso dello schema i trasferimenti sono stati circa 100.

Poi è arrivato il riciclaggio. Dopo aver spostato le monete rubate, le ha convertite in un’altra criptovaluta e le ha fatte passare per altre transazioni per nasconderne l’origine. Tra il 25 novembre 2025 e il 13 gennaio 2026 ha inviato circa 93.082 dollari a uno dei suoi conti, ha fatto circolare il denaro tra altri conti e lo ha usato per saldare i propri debiti: carte di credito, rate dell’auto e altri prestiti.

Estinguere i debiti non era l’intero piano. Il comunicato riferisce che ha chiesto a ChatGPT come ottenere il massimo dai suoi investimenti e dove vivere nell’Unione europea. Dopo che il chatbot gli ha suggerito un vigneto in Portogallo, il 15 giugno 2026 ha firmato una procura perché avvocati portoghesi lo rappresentassero davanti all’Autorità tributaria e doganale del Paese, lo registrassero, ottenessero il suo codice fiscale e ritirassero la password del suo portale finanziario. Ha poi organizzato un viaggio in Portogallo per settembre 2026. Il resoconto di Decrypt dell’agosto aggiunge che aveva detto agli agenti di non avere intenzione di trasferire denaro in Portogallo.

Da 1 milione a 2,47 milioni di dollari: cosa dicono gli atti e cosa no

La prima ricostruzione del caso viene dalla denuncia penale presentata dopo l’arresto del 31 luglio 2026. Decrypt ha riferito il 3 agosto che l’atto lo accusava di trasporto interstatale e ricettazione di beni rubati e descriveva circa 1 milione di dollari spostati con una decina di trasferimenti tra l’inizio del 2025 e luglio 2026. Quel milione era la versione fornita dallo stesso Yaroch agli inquirenti, secondo Decrypt. La denuncia aggiungeva che possedeva un nulla osta di livello Top Secret, aveva memorizzato seed phrase ottenute dai sistemi dell’FBI e aveva creato un proprio wallet per ricevere le monete.

Nulla nei documenti pubblici indica che sia stato scoperto da un allarme interno. Secondo il resoconto di agosto di Decrypt, il 28 luglio ha contattato un dipendente del Dipartimento di Giustizia sull’app di messaggistica Signal chiedendo un incontro per «questioni personali»; nella sede centrale dell’FBI, scrivono i procuratori, «immediately started to break down as he told his story», cioè è subito crollato mentre raccontava la sua storia. L’articolo di Decrypt sull’ammissione di colpevolezza descrive lo stesso episodio come un’autodenuncia: il 29 luglio ha parlato a un ex collega della Divisione sicurezza nazionale del Dipartimento di Giustizia di «very poor decisions», decisioni molto sbagliate, riguardo a wallet crypto, e poi si è presentato da solo alla sede centrale dell’FBI.

Decrypt riporta anche il movente da lui dichiarato: la frustrazione perché il Bureau «could not or would not act», non poteva o non voleva agire, contro i conti crypto di un avversario. È la sua versione, e il comunicato sull’ammissione di colpevolezza non la riprende. Agli inquirenti aveva detto di aver eseguito da 10 a 12 trasferimenti per meno di 1 milione di dollari, cifre ben lontane da quelle dell’ammissione di colpevolezza.

Perquisendo la sua abitazione due giorni dopo la confessione, secondo Decrypt gli agenti hanno sequestrato un hardware wallet Trezor, tre passaporti e un foglietto con alcune seed phrase. Decrypt elenca inoltre un conto Kraken da circa 188.600 dollari, per lo più in dollari statunitensi e USDC, e circa 933.800 dollari depositati su Suilend, un protocollo di prestito della rete Sui, raggiunti tramite l’app di wallet Slush.

Secondo Decrypt, gli agenti hanno trasferito circa 925.000 dollari da quei conti a wallet controllati dal governo. I circa 165.600 dollari tenuti in dollari statunitensi su Kraken non si sono potuti spostare nello stesso modo. Sono cifre di seconda mano, tratte dagli atti di agosto: nessuna compare nel comunicato sull’ammissione di colpevolezza.

Le fonti non spiegano del tutto la differenza. I due conteggi non misurano la stessa cosa: la cifra di agosto poggiava su quanto Yaroch aveva raccontato agli agenti su circa 10 trasferimenti, mentre l’ammissione di colpevolezza copre circa 100 trasferimenti elencati nei documenti del tribunale. Non è indicato come ogni trasferimento sia stato valutato, al prezzo del giorno del furto o in un momento successivo. Restano ignoti anche questi punti: se i 925.000 dollari già recuperati verranno conteggiati in un eventuale risarcimento, quali blockchain e token, oltre a Sui e Kraken, siano coinvolti, che tipo di wallet avesse predisposto l’FBI per la sua operazione e quali indirizzi siano stati usati. Nessun indirizzo on-chain è stato pubblicato.

Secondo i procuratori, fonti e metodi dell’FBI sono stati compromessi

I procuratori descrivono un danno che va oltre il denaro. Nella dichiarazione concordata dei fatti, Yaroch riconosce che le sue azioni hanno compromesso diverse indagini dell’FBI, sia su gruppi criminali sia su avversari statali, e hanno impedito ai dipendenti del Bureau di svolgere il proprio lavoro in materia di sicurezza pubblica e nazionale.

Sempre secondo il comunicato, la sua condotta ha anche «compromised FBI sources and methods used in foreign intelligence collection and criminal investigations», ossia ha compromesso fonti e metodi dell’FBI usati nella raccolta di intelligence estera e nelle indagini penali. Svuotare il wallet di un bersaglio può far capire al bersaglio che quel wallet era sorvegliato e che qualcuno ne possedeva le chiavi. Il comunicato non dà dettagli su quali operazioni siano state colpite.

Il caso è stato annunciato da Theophani K. Stamos, First Assistant US Attorney del Distretto Orientale della Virginia, e da Daniel S. Wierzbicki, responsabile della divisione di controspionaggio dell’ufficio FBI di Washington. Hanno collaborato la sezione National Security Cyber del Dipartimento di Giustizia e l’Ufficio dell’ispettore generale, regione Medio Atlantico. Il numero del procedimento è 1:26-CR-208.

Come le agenzie americane custodiscono le crypto sequestrate, e dove il caso si rompe

Le crypto sequestrate o raccolte non sono un mucchio di contanti in una stanza delle prove. Chi detiene la chiave privata o la seed phrase di un wallet può spostarne il contenuto, da qualsiasi luogo, senza toccare alcun oggetto fisico. Un investigatore che ottiene la frase di recupero di un sospettato ha lo stesso potere del sospettato. La nostra guida alla sicurezza della seed phrase spiega perché quella sequenza di parole è il wallet stesso.

Il sistema dell’FBI a cui Yaroch poteva accedere conteneva credenziali e, secondo la denuncia di agosto così come riportata da Decrypt, lui memorizzava le seed phrase e ricostruiva i wallet sul proprio dispositivo. I documenti pubblici non mostrano alcuna seconda approvazione né alcun allarme: il comunicato non dice se un secondo funzionario dovesse autorizzare un trasferimento, se gli accessi fossero registrati o se un controllo interno abbia segnalato i movimenti avvenuti tra dicembre 2024 e luglio 2026. Per quanto emerge dai resoconti di Decrypt sugli atti, lo schema è venuto alla luce perché si è autodenunciato.

Esistono modelli di custodia pensati per impedire che una sola persona agisca da sola. Un wallet multisig richiede più firme prima che i fondi si muovano. I servizi che frazionano la chiave, come l’offerta di calcolo multi-parte presentata in anteprima da Google per le banche a ottobre, distribuiscono una chiave tra più parti, in modo che nessuna la possieda per intero. Se l’FBI usi l’uno o l’altro per le monete che raccoglie non è noto, e nulla in questo caso mostra che il Bureau abbia cambiato le proprie regole.

I beni confiscati sono un passaggio distinto. Quando un tribunale ordina la confisca, le monete possono passare allo U.S. Marshals Service, che a sua volta si affida ad appaltatori. Anche quella catena è stata messa alla prova: Decrypt ha riferito il 5 marzo 2026 che John Daghita, figlio del presidente di CMDSS, un’azienda con un contratto con il Marshals Service, era stato arrestato a Saint Martin in un’operazione congiunta dell’FBI e della gendarmeria francese. L’investigatore blockchain ZachXBT lo aveva accusato a gennaio di aver sottratto circa 46 milioni di dollari di crypto custodite dal Marshals Service. Sono accuse, e Daghita non è descritto come un agente federale.

I precedenti: gli agenti di Silk Road e un caveau del Secret Service

Yaroch non è il primo agente federale a impossessarsi di crypto passate da un’indagine. Nel caso Silk Road, Carl Force, ex agente della Drug Enforcement Administration, si è dichiarato colpevole di estorsione, riciclaggio e ostruzione ed è stato condannato nell’ottobre 2015 a sei anni e mezzo. Shaun Bridges, ex agente del Secret Service, che nel gennaio 2013 aveva preso circa 350.000 dollari in bitcoin da conti di Silk Road, ha ricevuto cinque anni e 11 mesi nel dicembre 2015, come ha riportato CBS San Francisco. Entrambi sono stati condannati dal giudice federale Richard Seeborg.

Un caso più piccolo è più vicino a questo per metodo. Anthony Joseph Evans, agente speciale del Secret Service a Phoenix, nei primi mesi del 2022 accedette alle crypto su un hardware wallet custodito nel caveau delle prove dell’agenzia e ne spostò circa 56.000 dollari su due wallet che controllava, secondo la Procura federale dell’Arizona. Nel dicembre 2024 si è dichiarato colpevole di appropriazione di beni altrui da parte di un dipendente federale. L’accordo prevedeva al massimo un anno e un giorno di carcere e imponeva un risarcimento, compreso l’eventuale aumento di valore delle monete prima della sentenza.

Il caso Yaroch si distingue per la scala. Evans arrivò a un solo hardware wallet custodito in un caveau; Yaroch ha raggiunto le credenziali di 35 indagini, tra cui casi di sicurezza nazionale, tramite un sistema informatico del Bureau, nell’arco di almeno 19 mesi.

Cosa succede ora: la sentenza del 4 marzo 2027

Yaroch sarà condannato il 4 marzo 2027 e rischia fino a 20 anni di carcere. La pena spetta alla giudice, che terrà conto delle linee guida federali sulla determinazione della pena (US Sentencing Guidelines) e degli altri fattori previsti dalla legge; il comunicato non dà alcuna indicazione su cosa chiederà l’accusa.

Nel comunicato non compare alcun importo di risarcimento o di confisca, e i termini dell’accordo non sono pubblici. Non si dice se l’imputato stia collaborando. Alle 18:00 UTC del 6 novembre Coindaro non aveva trovato alcuna dichiarazione dell’FBI sulle proprie procedure di custodia, né una revisione annunciata dal Congresso o dall’ispettore generale del Dipartimento di Giustizia, oltre all’aiuto fornito nel caso.

La domanda vale per chiunque detenga crypto: chi altro può raggiungere le chiavi. Un conto su un exchange, come quello su Kraken sequestrato qui, resta presso un’azienda che custodisce le chiavi per conto del cliente, come spiega la nostra guida al funzionamento degli exchange centralizzati. Questo è stato un insider con accesso legittimo, una perdita di natura diversa dall’attacco hacker a Binance che a ottobre l’FBI ha attribuito al gruppo nordcoreano TraderTraitor. Il prossimo passo pubblico sarà l’udienza per la sentenza ad Alexandria, a marzo.