张洪强律师u币犯罪案件办案指导——《u币虚拟币犯罪案件的证据辩护》

U币交易案件存在取证难的特点，u商使用香港流量卡、VPN登录、使用“fei机”等境外聊天软件、使用苹+guo手机、使用现金交易，并且现金交易时还会进行易容伪装，存在取证难的特点。尤其是U币跑分案件，跨境或跨省，有组织作案，涉及到的“料方”、“车队”数量多且隐蔽，但是，作为U商，千万不要高估了自己的避险能力，区块链的去中心化、匿名性并不意味着公安机关完全无法追踪到犯罪嫌疑人，在U币的存放、使用、交易以及变现的过程中，相应的痕迹信息都可以通过网络监管发现蛛丝马迹。

本文作者： 张洪强律师，北京市京师（济南）律师事务所高级合伙人律师，刑事辩护部主任，专注于U币（泰达币）犯罪、虚拟币犯罪等新型网络犯罪研究，对U币交易、跑分、U币承兑涉嫌洗钱、掩隐、帮信犯罪有深入的研究和总结，著作《U币交易、跑分、承兑涉掩隐罪的风险以及化解》、《u币虚拟币犯罪案件的证据辩护》、《虚拟币犯罪办案经验总结》、《虚拟币投资诈骗案件办案经验总结》《非法获取虚拟币、网络盗窃u币、比特币、各类虚拟币、游戏币、游戏装备道具案件办案经验总结》等，对办理U币犯罪、虚拟币案件提供精准有效的指导。

一、 U商被抓的五个常见原因：

张洪强律师总结办理的U币犯罪案件，U币交易被追踪到、U商被抓的常见原因有以下几个方面：

1、与涉案的虚拟币钱包地址产生关联。

与涉案的虚拟币钱包地址的注册信息、登录ip地址、MAC地址、手机型号、手机号、位置等信息产生关联。

常见的钱包地址一般都是境外公司，注册钱包地址的信息一般都在境外，但是要注意的是，钱包公司一般在其官网上会有司法协助的入口，警方通过邮箱可以远程调取某一个钱包地址的注册信息、登录ip地址、登录的手机设备信息。

案例一：与钱包地址用户号的登录IP地址产生关联。

张洪强律师处理的一起U商跑分犯罪案件，警方抓了一个境外诈骗团伙，通过该诈骗团伙的聊天记录发现了一个车队上押退押的飞机聊天记录，显示给某车队的钱包地址xxxxxx退押5000U币。警方给某钱包公司发去远程查询要求，钱包公司将涉案的钱包地址的登录ip地址调出来给警方发过去，发现该钱包地址的登录IP地址大部分都是香港，但是其中有两次的登录IP地址是U商家人的，警方遂将U商抓获，并在他家里发现大量现金。

案例二：与涉案的某一个手机或者手机号产生关联。

某起案件，警方向钱包地址公司调取某一个钱包地址的用户号，查到该用户ID绑定过某一个132的手机号，查询到该手机号注册过一个支fu宝账号，通过支付bao号的转账记录锁定嫌疑人身份。

张洪强律师处理的某起u商案件，警方通过登录虚拟币钱包设备的UUID号锁定某一个作案用的手机，通过追踪该手机的信息发现嫌疑人信息。

案例三：与钱包地址的手续费缴费情况产生关联。

某起案件，通过调查钱包地址的TR-X手续费发现嫌疑人身份。

案例四:通过追踪钱包地址的相关相关交易地址锁定嫌疑人身份。

某起案件，办案机关锁定了一个钱包地址，查不到该钱包地址的相关信息，但是将该钱包地址在区块链浏览器上查询，发现该钱包地址与某一个钱包地址有多次转币记录，查询该钱包地址，发现嫌疑人信息。

2、与某一个聊天账号产生关联。

例如，从被扣押的手机中发现某一个“fei机”聊天账号的使用信息和聊天记录。

3、与某一笔银行流水或某一张银行卡产生关联。

4、与某一个同案犯产生关联。

二、U币虚拟币犯罪案件的证据辩护。

在涉虚拟币网络犯罪案件中，证据一般都是围绕资金流和网络痕迹，我们律师要做的工作就是从资金流和网络痕迹的证据中找到证据存在的问题，切断证据链，张洪强律师处理的毕某、王某、杨某等人网络犯罪案件中，就是因为切断了资金流证据和痕迹证据，才最终让检察院不公诉让他们无罪释放。

我们在办理此类案件时,首先要熟悉此类案件的证据体系,要将相关证据分组分类，很多人可能对此类案件比较陌生，我这里就简单说一下涉虚拟币网络犯罪的证据问题以及质证，此类犯罪的证据一般有以下几个方面：

（1）犯罪嫌疑人的口供、同案犯的口供、上家或下家的证言。

（2）虚拟币钱包的注册信息、地址信息、交易信息。

（3）通过计算机、手机及云取证方式获取以及分析的钱包地址关联的用户信息，例如邮箱名称、wei博账户、球球登录ip等

（4）交易平台的流转交易记录以及情况说明。

（5）网络游戏的充值提现记录。

（6）银行交易记录。

（7）微xin、球球以及飞fei等境外聊天软件的聊天记录。

（8）从扣押的电脑、手机、移动硬盘等硬盘中提取恢复的电子数据以及分析鉴定报告；犯罪嫌疑人其所控制的虚拟币地址、密钥以及利用犯罪嫌疑人的交易记录进行交易人员的虚拟地址分析。

（9）针对第三方交易平台、客户端、相关移动设备以及所采用的资金流动的相关支付行为等的目标性电子数据。

由于该类犯罪主要是在网络虚拟空间进行，所以在收集证据方面多是以电子证据为主，同其他网络犯罪所表现出的电子证据具有一定的共性，即具有易毁性、易篡改性，而且由于是虚拟空间内的犯罪很难留下足够的痕迹线索，再加上网络黑产从业人员一般都具有一定的反侦察能力，例如使用to-r或挂-梯发起交易，直接通过 U 盘等移动存储，以现金支付的方式场外进行的虚拟币交易等，网络黑产从业人员对网络及计算机的掌握程度远高于普通人，其对电子证据的销毁删除会更彻底，而且大部分会涉及原始性的电子数据，在加上网络黑产从业人员一般在被捉获后多有抵触情绪拒绝如实交代，这就导致虚拟币交易的交易行为、交易网络、资金流向证据链在很多案件中难以形成。

下面，我简单说一下，我们律师在为此类犯罪的被告人辩护时常用的审查证据链的思路和方法，我们在审查证据进行辩护时，主要考虑以下五个方面的证据能否形成证据链。

1、审查钱包地址与犯罪嫌疑人（被告人）的身份信息对应关联关系的证据链。

首先我们律师要审查证据，看能否切断收币钱包地址与犯罪嫌疑人身份的对应性证据。要指控犯罪首先要有证据证明收取赃款的虚拟币账户是犯罪嫌疑人的或者与犯罪嫌疑人有关，虚拟币的匿名性必然导致如何证明收取赃款的虚拟币账户是犯罪嫌疑人的是有难度的。在李某等人开设网络赌场案件中，玩家在游戏中投注只能使用虚拟币或以太—坊，玩家下注需要在某钱包地址中转入虚拟币或以太坊，侦查机关在开始时根据报案人提供的收币地址确定4个虚拟币钱包地址为收取赌资的账户，但最终因为证据问题，无法破解虚拟币钱包的匿名性，最终只认定一个虚拟币账户为收取赌资的账户。

2、审查钱包地址与犯罪嫌疑人的IP地址以及设备的MAC地址对应关联关系的证据链。

我们要掌握通过三角测量或目标流量的探测获取的源IP地址的证据的局限性，要注意使用to-r、v-pn的情况下有关IP地址的证据瑕疵以及关联性的问题，此外，在信息网络犯罪中，当犯罪行为与锁定的IP地址关联后，只是表明：

第一，犯罪行为与现实地址建立了可能的关联，但并不意味着必然的关联。如果存在利用IP地址随机分配等情形，则不能得出犯罪行为与锁定的IP地址的现实地点之间的必然关联。

第二，即便前述关联确立，亦不能直接建立现实地点与行为人之间的关联。即仍然需要在现实地点与行为人之间确定必然的关联性，以此才可以最终认定行为人与网络犯罪行为之间的关联性。我们一定要知道，仅有钱包地址，很难确定登录ip，仅有IP地址也无法直接建立现实地点与行为人之间的关联，无法简单的认定犯罪。大部分被判刑的都是有其他证据印证，例如自己认罪，或者从手机电脑等硬盘中的数据网络日志缓存日志等痕迹、聊天软件登录信息、发帖信息以及其他信息相印证。

3、审查虚拟币交易过程与犯罪嫌疑人的其他网络信息、网络痕迹形成对应或关联关系的证据链。

虚拟币仅仅是半匿名的，该协议并不知晓交易方真实姓名，但通过种种方法，仍可通过交易信息关联到现实中的人。在很多案件中，犯罪嫌疑人被抓并不是因为虚拟货币钱包地址与真实身份产生了对应关系，而是因为虚拟币交易过程中留下的各种网络痕迹通过取证分析与犯罪嫌疑人的身份产生了关联，我们律师在辩护时，要注意审查这些网络痕迹取证的合法性，用专业的知识和技巧尽力切断他们之间的关联性。例如在一起案件中，冯某因为将虚拟币卖给诈骗团伙被抓，被抓后，他很纳闷，他使用公共WiFi进行虚拟币交易，并且进行了一系列增强匿名性的操作，例如挂-梯交易、多次变换钱包地址、使用网络游戏充值再提现等，为什么还是会找到他？其实这是很多币圈的人都会遇到的困惑，在该案中，虽然冯某使用公共WiFi交易，但其笔记本电脑的某应用将其同公司服务器相连，使得其IP地址同某账号在该公司的服务器日志中关联，我们还要注意一种情况，即使犯罪嫌疑人不访问任何个人网站，存储在电脑中的Coo-kie信息也可以通过与之前浏览历史记录的coo-kie信息关联。

4、审查资金流向与犯罪嫌疑人（被告人）形成对应或关联关系的证据链。

虚拟币变现过程的资金流是破案的关键证据，很多案件就是因为找到在变现过程的证据才抓获犯罪嫌疑人，切断资金流的相关证据是我们能争取到撤案、不公诉或无罪的关键一环。

我们在办案中要注意，现在在很多案件中，虚拟币的变现过程有了反侦查的手段，例如在境外通过地下钱庄或赌场变现，或者线下现金交易，或者通过混币或an网，资金流向很难查清。

张洪强律师河南办理的一起网络诈骗案件，李某在球球上搜索群聊‘电信洗白’“专业洗白”，加入群，在群里发信息说提供洗钱服务，为电信网络诈骗团伙提供洗钱服务，他们购买了大量的银行卡黑卡提供给诈骗团伙，然后将银行卡里的钱全部通过火bi网购买了虚拟币，然后通过线下现金交易的方式将虚拟币卖给别人，然后将卖币所得的现金扣除佣金后交给诈骗团伙，他们为了逃避侦查采取线下现金的方式交易虚拟币，增加了匿名性，所以操作买卖虚拟币主犯的身份只是知道微xin名称，身份一直无法确认，涉案金额也无法查清。

在涉及虚拟币的网络犯罪中，由于虚拟币的匿名性以及黑产从业人员具有一定的反侦察能力，在资金的流转过程中多使用黑卡、地下钱庄、赌博网站或者混币、an网，要想将每一笔资金都形成指向犯罪嫌疑人的证据链是有难度的，张洪强律师处理的一起网络诈骗案中，他们将客户的入金全部从境外网站上购买了某虚拟币，公安机关认定的涉案金额是2000多万，但我们在辩护时发现，这2000多万的诈骗金额中有很大一部分的资金是没法形成资金流转的证据链的，最终检察院在公诉时认定的涉案金额改为700多万。

我们律师在办理网络犯罪案件时要重点审查：

（1）赃款流入的银行卡是否是犯罪嫌疑人所有或持有。要重点注意在赃款流转的过程中那些黑卡的问题，要看这些黑卡是否为犯罪嫌疑人持有，要审查证据中，是否有黑卡的扣押证据；还要注意取款人方面的证据问题，是否抓到取款人，是否有证据证明取款人与犯罪嫌疑人有关联。

（2）操作赃款的的支fu宝、网银或其他网络支付账户是否是犯罪嫌疑人持有和操作。在很多案中，赃款会流入多个支fu宝、网银等网络支付账户，我们律师在办理案件时，要重点审查是否有证据证明这些账户都是由犯罪嫌疑人所有或操作。在王某案中，赃款被转入5个支fu宝账户，之后全都流入网络赌博平台，没有任何证据证明这5个支fu宝账户由王某操作，那公安机关为何将王某抓获呢？原因就是网安侦查总队分析这5个支fu宝账户的登录IP地址轨迹，发现王某的球球号和邮箱以及支fu宝账号IP轨迹在不同时间点与这5个支fu宝账号多次吻合，以此来证明涉案的5个支fu宝账号使用者是王某。这一点是需要我们律师注意的，就是IP轨迹吻合问题，在很多案件中，都会出现这个问题，我们律师要注意的是，根据多个支付账号的IP地址轨迹吻合就来认定一个人是犯罪嫌疑人是一种推定，在租借虚拟专用服务器（VP-S）和虚拟专用网络（VP-N）的情况下，在同一个公共网络中多台计算机的IP地址是相同的，如果没有其他证据印证，是有可能切断资金流向证据的。

5、审查“人案关联”的证据链。即切断犯罪嫌疑人与同案犯之间的关联证据。涉及虚拟币的犯罪都呈现出黑色产业链的特征，犯罪嫌疑人与同案犯一般都互不认识，可能只是网友，互相之间连真实名字都不知道。网络犯罪中行为人之间意思联络形式多样化、联络主体虚拟化、共同行为模糊化，有时候要形成指向某一犯罪嫌疑人的证据链是有难度的，在很多案件中，公安机关只抓获黑色产业链一个环节上的犯罪嫌疑人，从这些被抓获的嫌疑人这里找证据指向其他环节的人，这就是我所说的网络犯罪中“由人到人”证据指向。

随着网络黑产从业者反侦察能力的提高，公安机关在取证时要找到“由人到人”的证据链越来越困难，一些境外聊天软件是端到端的加密，服务器不留痕迹，直接用ID登录，不需要绑定任何身份信息，极致安全私密、信息可以看后即焚、双向撤回、删除聊天信息，这些都为我们从证据上切断“由人到人”的证据链提供了条件和可能。

我们律师在处理案件时要审查证据中的聊天记录、转款记录、通话记录等，看是否有充分证据证明他们之间有预谋、有联系，争取切断“由人到人”的证据链。

我们要特别注意犯罪嫌疑人自己的口供以及同案犯的口供，上面已经说过，虚拟币犯罪由于虚拟币的匿名性以及电子证据的难以取证，取得指控犯罪的完整证据链是比较困难的，在很多案件中，犯罪嫌疑人的口供非常重要，很多案件的突破口就是通过口供。我们必须要审查犯罪嫌疑人自己口供的稳定性以及与其他同案犯的供述吻合以及存在矛盾的地方，当犯罪嫌疑人的供述存在反复以及翻供的情况下，该如何采信以及质证的问题是我们要办案时要掌握的。

涉虚拟币网络犯罪案件涉及技术性问题较多，存在证据取证困难，往往很难找到充分证据，证据难采信，犯罪客观事实尤其是涉案数额认定不易，犯罪主观证明较难，共犯联系松散难以认定，犯罪定性争议差别大等新问题，这都亟需律师提高自身法律素养和技术素养，并加强研究，只有我们掌握这类新型犯罪的特点以及辩护技巧，才有可能在这类犯罪的辩护中取得无罪或罪轻的结果。

本文为张洪强律师U币虚拟币犯罪案件办案经验总结。