窃取比特币被控非法获取计算机信息系统数据罪，如何无罪辩护？-区块链涉刑事犯罪研究系列（五十三）

非法侵入计算机系统是窃取比特币的前置行为，这一行为是否由行为人实施是犯罪事实能否成立的关键前提。然而，由于该类案件多数情况下通过技术手段实施网络入侵，在隐匿、更换IP地址、MAC地址等行为的掩盖下，许多案件的侦破实际上并不是通过反追溯网络侵入路径来锁定行为实施者。相对而言，从“销赃”渠道，也就是通过出售比特币变现的渠道更容易锁定目标。这就导致，许多案件因技术原因在“侵入端”的证据是不完整的，甚至是空白的，无法证明是被告人实施了对计算机信息系统的入侵行为。

但这无疑是违反刑事诉讼规则的，公诉机关指控一名被告人犯罪，首先要能够证明这一行为是由被告人实施的。

最高检《人民检察院办理网络犯罪案件规定》（下称《网络犯罪规定》）中也已经明确了认定被告人与侵入行为人身份同一性所应达到的证据要求。

《网络犯罪规定》第十七条：“认定网络犯罪的犯罪嫌疑人，应当结合全案证据，围绕犯罪嫌疑人与原始存储介质、电子数据的关联性、犯罪嫌疑人网络身份与现实身份的同一性，注重审查以下内容：

（一）扣押、封存的原始存储介质是否为犯罪嫌疑人所有、持有或者使用；

（二）社交、支付结算、网络游戏、电子商务、物流等平台的账户信息、身份认证信息、数字签名、生物识别信息等是否与犯罪嫌疑人身份关联；

（三）通话记录、短信、聊天信息、文档、图片、语音、视频等文件内容是否能够反映犯罪嫌疑人的身份；

（四）域名、IP地址、终端MAC地址、通信基站信息等是否能够反映电子设备为犯罪嫌疑人所使用；

（五）其他能够反映犯罪嫌疑人主体身份的内容。”

在盗取比特币类案件中，较为常见的是以上五类证据内容中的第（一）、（三）类，即在锁定嫌疑人后，通过扣押的计算机设备调取入侵计算机系统使用的软件工具、入侵痕迹等，并通过确认设备使用人来确认身份同一性，或通过调取嫌疑人的聊天记录来确认侵入行为的准备、实施者的身份。

如果案件中缺乏《网络犯罪规定》的五类证据，甚至无法取得第（一）、（三）类证据，则不能证明非法侵入计算机信息系统的行为由被告人实施，也就无法证明窃取比特币的行为由被告人实施，则指控被告人实施窃取比特币的事实因不能证明被告人身份的同一性而不能成立。

二、审查犯罪数额能否达到“情节严重”的标准，如不能达到相应的标准，则应当认定无罪。

非法获取计算机信息系统数据罪的数额标准规定在最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（以下称《解释》）第一条：

“非法获取计算机信息系统数据或者非法控制计算机信息系统，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节严重”：

（一）获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上的；

（二）获取第（一）项以外的身份认证信息五百组以上的；

（三）非法控制计算机信息系统二十台以上的；

（四）违法所得五千元以上或者造成经济损失一万元以上的；

（五）其他情节严重的情形。

实施前款规定行为，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节特别严重”：

（一）数量或者数额达到前款第（一）项至第（四）项规定标准五倍以上的；

（二）其他情节特别严重的情形。”

盗窃比特币的案件中，我们主要看第一条第一款的第（三）项及第二款第（一）项的数额标准，即违法所得五千元以上或者造成经济损失一万元以上的属于“情节严重”，达到违法所得两万五千元以上或造成经济损失五万元以上的属于“情节特别严重”。其他类的数据数量标准与本类案件通常没有直接关系。

犯罪数额能否达到标准的问题，本质上是盗窃比特币犯罪数额如何认定的问题。

《解释》中实际上提供了两个可供选择的数额认定标准，一是“违法所得”，二是“造成经济损失”。具体到案件中，“违法所得”通常是行为人通过出售比特币销赃获得的犯罪收益，“造成经济损失”既包括被害人因遗失比特币导致的经济损失，也包括被害人因修复系统漏洞等增加的额外支出。

关于两个标准的适用，实务中通常存在先后顺序，即存在销赃行为且已查实的情况下，以行为人出售比特币的获利情况来认定违法所得；行为人未销赃或无法查实相关证据的，以被害人实际遭受的经济损失来认定。

因此，关于犯罪数额的审查与辩护，我们应当重点关注有无证据证明被告人存在销赃行为，以及被告人出售的比特币是否能够证明是其从被害人处窃取所得。

其一，关于被告人是否存在销赃的行为，应当审查在案证据中是否调取到交易所的交易记录及交易价格，是否调取到钱包转入、转出记录以及银行卡流水能否在时间、金额上一一对应。如果被告人采取线下现金交易方式销赃的，是否有交易对手的证词或聊天记录，钱包转入及转出记录，以及行为人的行动轨迹是否与交易现场相吻合则是认定事实的关键。

其二，关于行为人出售比特币是否来自于被害人，虚拟币钱包的转入及转出记录是关键证据。应结合被害人、行为人双方的钱包转出、转入记录，以及行为人出售比特币的时间、数额是否能够形成完整交易链条，并结合言词证据进行审查。如果交易链条不完整，则不能证实行为人出售的虚拟币来源于被害人。实践中，盗币者通常也是虚拟币投资者，存在交易自有虚拟币的情况。如果盗取的比特币与自有比特币形成了混同，则应当对交易进行区分。如不能区分，甚至交易时间先于盗取时间的，不应认定出售的比特币来源于被害人。

如果没有销赃证据无法计算违法所得的，应当审查现有证据能否客观证明被害人经济损失的客观性。被害人经济损失主要包括被害人取得比特币的成本，如交易取得的应证明其交易价格，如是挖矿取得的应当证明挖取比特币所付出的成本。如果存在修复系统漏洞等其他支出的，也应当提供相应的客观证据。

如果本案的证据不足以证明行为人的违法所得或被害人的经济损失情况，或经剔除与案件无关的交易金额后的犯罪数额不足5000元，或被害人经济损失不足10000元，则未达到非法获取计算机信息系统数据罪“情节严重”的标准，不构成犯罪。

三、审查证据能否达到主客观相一致的要求。

主客观相一致，是刑事诉讼法确立的基本的证据规则。根据《刑事诉讼法》第五十五条：

“对一切案件的判处都要重证据，重调查研究，不轻信口供。只有被告人供述，没有其他证据的，不能认定被告人有罪和处以刑罚；没有被告人供述，证据确实、充分的，可以认定被告人有罪和处以刑罚。”

在此类案件中，我们之所以强调主客观相一致，是因为此类网络犯罪案件的取证存在一定难度，部分案件的客观证据无法达到确实、充分的程度，从而高度依赖言词证据还原案件事实。但言词证据具有非常大的主观性，且容易因诱导或逼迫无法客观还原事实真相。而客观证据则能够如实反映行为人如何进行犯意联络、如何着手准备以及实施犯罪、如何销赃以及获利金额等关键事实。

根据刑事诉讼法的证据要求，证据要达到确实、充分要求的，主观证据应当能够与客观证据相互印证，被告人、嫌疑人供述的内容应当与客观证据反映的内容相一致。否则，如果只有被告人口供而没有其他客观证据印证的，或是虽然有主客观证据但主客观证据不能相互印证的，案件证据不能采信，从而达到事实不清、证据不足的无罪效果。