Patrick Steven Yaroch, un exagente del FBI de 37 años, se declaró culpable de fraude electrónico y lavado de dinero por sustraer aproximadamente US$2.474.380,66 en criptomonedas de billeteras vinculadas a 35 investigaciones de la agencia estadounidense. El Departamento de Justicia de EE. UU. (DOJ) informó de que realizó cerca de 100 transferencias, incluida al menos una desde una billetera creada por el propio FBI.
Yaroch presentó su declaración el 5 de noviembre ante un tribunal federal de Alexandria, en el Distrito Este de Virginia. La admisión de culpabilidad no equivale todavía a una condena: la sentencia está prevista para el 4 de marzo de 2027 y el exagente se enfrenta a una pena máxima de 20 años de prisión por los cargos reconocidos.
Acceso a credenciales y transferencias a sus propias billeteras
Según el DOJ, Yaroch utilizó credenciales almacenadas en sistemas del FBI para acceder a fondos digitales incautados o vinculados a investigaciones. Los movimientos comenzaron, como muy tarde, en diciembre de 2024 y continuaron hasta el 31 de julio de 2026.
Entre las billeteras afectadas había fondos pertenecientes a personas investigadas por el FBI, activos relacionados con actores vinculados a Estados adversarios de Estados Unidos y, al menos, una billetera que la propia agencia había creado para una operación. Para dificultar el rastreo, el exagente convirtió parte de las criptomonedas en otros activos digitales y las distribuyó mediante nuevas transacciones.
Los documentos citados en los informes sobre el caso no detallan qué criptomonedas fueron sustraídas ni a qué investigaciones concretas correspondía cada billetera.
Yaroch trabajó en la División de Boston del FBI desde 2017 hasta comienzos de 2025. En febrero de ese año se incorporó a la División de Contrainteligencia y Espionaje, donde tenía acceso a sistemas que almacenaban credenciales de billeteras digitales reunidas durante investigaciones.
Parte del dinero se destinó a deudas y a un posible traslado a Portugal
Entre noviembre de 2025 y enero de 2026, unos US$93.082 fueron enviados a una cuenta utilizada para pagar tarjetas de crédito, las cuotas de un vehículo y otras deudas, según los documentos citados por CryptoSlate.
El exagente también llegó a estudiar la posibilidad de abandonar Estados Unidos. El 4 de junio de 2026 preguntó a ChatGPT cómo utilizar cerca de US$1 millón para mudarse a un país de la Unión Europea. Entre las sugerencias apareció la compra de un viñedo en Portugal. La consulta, según los informes, se refería a inversión y residencia; no hay indicios de que el chatbot le recomendara cometer el robo.
El 15 de junio autorizó a abogados en Portugal a tramitar un número de identificación fiscal y tenía reservado un viaje para septiembre, que finalmente no realizó. Los investigadores también encontraron viajes anteriores al extranjero que no habría declarado, pese a las normas de seguridad aplicables a su puesto.
La cifra aumentó desde la primera confesión
A finales de julio, Yaroch contactó con un antiguo compañero de la División de Seguridad Nacional del DOJ y después acudió a una sede del FBI para explicar lo ocurrido. Las fuentes sitúan el primer contacto entre el 28 y el 29 de julio. En ese momento habría reconocido entre 10 y 12 transferencias por un importe inferior a US$1 millón.
La declaración de culpabilidad eleva ahora el alcance admitido a unas 100 operaciones y US$2,47 millones. Yaroch dijo a los investigadores que estaba frustrado porque el FBI no actuaba, o no podía actuar, contra cuentas de criptomonedas vinculadas a un adversario y que decidió “tomar el asunto en sus propias manos”. Los fiscales sostienen que el esquema también perseguía su enriquecimiento personal.
El FBI lo despidió el 31 de julio. Ese mismo día registró su vivienda y confiscó una billetera física Trezor, tres pasaportes y un papel con frases semilla. Durante el registro, los agentes trasladaron aproximadamente US$925.000 en criptomonedas desde cuentas que controlaba Yaroch en Suilend a billeteras del Gobierno. Otros US$165.600 estaban depositados en dólares en Kraken y requerían un procedimiento separado. Los registros públicos citados no aclaran si ese importe ya fue recuperado.
La sentencia de marzo determinará la pena definitiva y el alcance de las medidas sobre los fondos restantes. El caso pone de relieve el riesgo que implica concentrar credenciales de activos digitales en sistemas gestionados por terceros, incluso cuando ese tercero es una autoridad pública.
