Z portfela zniknęło 7,6 mln zł. Seed był na telefonie zabezpieczonym przez KAS

Ponad 2,1 mln USDT zniknęło z portfela należącego do znanego streamera Szymoola. Mężczyzna twierdzi, że nie zatwierdzał transakcji, a fraza pozwalająca przejąć kontrolę nad jego kryptowalutami znajdowała się w telefonie zabezpieczonym kilka miesięcy wcześniej przez Krajową Administrację Skarbową.

Największe kontrowersje budzi data transferu. Do wypłaty miało dojść dokładnie w dniu, w którym informatycy zakończyli badanie urządzeń streamera. Osiem dni później wykonano kolejny przelew, a jeden z cyfrowych śladów miał prowadzić do adresu IP lokalizowanego w Opolu.

Na razie nie jest to dowód na udział funkcjonariuszy lub pracowników urzędu. Zbieżność okoliczności sprawia jednak, że sprawa może stać się jednym z najgłośniejszych polskich postępowań dotyczących kryptowalut i bezpieczeństwa dowodów cyfrowych.

Telefon i tablet Szymoola trafiły w ręce KAS

20 listopada 2025 roku funkcjonariusze Krajowej Administracji Skarbowej zatrzymali Szymona Bessera, znanego w internecie jako Szymool. Według ustaleń Zero.pl zabezpieczono wówczas należące do niego urządzenia: iPhone’a 16 Pro Max oraz iPada Pro.

Sprzęt miał zostać przekazany informatykom w celu skopiowania i zbadania znajdujących się na nim danych. Czynności były częścią postępowania dotyczącego promocji internetowych kasyn, które nie mogą legalnie oferować swoich usług graczom przebywającym w Polsce.

O zatrzymaniu streamera informowały już w listopadzie media. Szymool został zwolniony po przesłuchaniu, ale według ówczesnych doniesień zastosowano wobec niego zakaz opuszczania Polski. Rzecznik FAME MMA przedstawiał działania KAS jako rutynowe czynności związane z prowadzonym postępowaniem.

Sam Besser nie przyznaje się do zarzucanych mu czynów i uważa się za niewinnego. Postępowanie dotyczące promocji hazardu jest odrębną sprawą od zgłoszonego przez niego zniknięcia kryptowalut.

24 słowa dawały dostęp do milionów

Według relacji Szymoola jego telefon i tablet były zalogowane na to samo konto iCloud. W zsynchronizowanej aplikacji Notatki miała znajdować się 24-wyrazowa fraza odzyskiwania, czyli seed phrase pozwalająca odtworzyć portfel kryptowalutowy.

Taka fraza działa jak klucz główny. Osoba, która ją pozna, nie potrzebuje już telefonu właściciela, kodu blokady, odcisku palca ani hasła do aplikacji. Może wpisać słowa na innym urządzeniu, odtworzyć portfel i samodzielnie podpisać transakcję.

Szymool twierdzi, że frazę znał wyłącznie on. Jeżeli rzeczywiście była zapisana w notatce synchronizowanej przez iCloud, potencjalny dostęp do środków nie musiał jednak wymagać fizycznego użycia zabezpieczonego telefonu. Wystarczyłby dostęp do konta, kopii danych albo innego zsynchronizowanego urządzenia.

To jednocześnie brutalne przypomnienie, dlaczego frazy seed nigdy nie powinno się przechowywać w chmurze, e-mailu, komunikatorze ani zwykłej aplikacji do notatek.

1 kwietnia z portfela znika 2,1 mln USDT

Do najważniejszej transakcji doszło 1 kwietnia 2026 roku. Z portfela powiązanego ze Szymoolem wysłano dokładnie 2 111 263,74962 USDT. W momencie przelewu kryptowaluty były warte około 2,1 mln dolarów, czyli ponad 7,6 mln zł.

Transakcja została zapisana w sieci Ethereum. Blockchain pozwala więc potwierdzić kwotę transferu, godzinę jego wykonania oraz adresy nadawcy i odbiorcy.

Publiczny rejestr nie ujawnia jednak, kto wpisał frazę seed i zatwierdził operację. Adres portfela nie zawiera imienia, nazwiska ani danych urządzenia, z którego podpisano transakcję. Szymool zapewnia, że nie wykonał przelewu i nikogo do niego nie upoważnił. W tym czasie miał przebywać na Malcie, natomiast zabezpieczone urządzenia nadal znajdowały się w Polsce.

Zaskakująca zbieżność dat

Według informacji przekazanych Zero.pl przez streamera i jego pełnomocnika informatycy zakończyli badanie telefonu oraz tabletu dokładnie 1 kwietnia, a więc w dniu transferu 2,1 mln USDT.

Urządzenia miały następnie zostać zwrócone funkcjonariuszce związanej z Opolskim Urzędem Celno-Skarbowym.

To najmocniejsza poszlaka przedstawiona przez Szymoola, ale nadal nie rozstrzyga sprawy. Nie podano dokładnej godziny zakończenia badania sprzętu i jego przekazania. Nie wiadomo więc, czy nastąpiło to przed transferem kryptowalut, czy już po nim.

Kolejny przelew i adres IP z Opola

Na głównej transakcji historia się nie kończy.

9 kwietnia, czyli osiem dni później, z portfela, na który trafiło ponad 2,1 mln USDT, przesłano kolejne 10 tys. USDT. Środki miały następnie zostać wymienione na bitcoiny.

Szymool przedstawił również analizę, według której jedna z operacji była powiązana z adresem IP lokalizowanym w Opolu. W tym samym mieście znajduje się urząd prowadzący czynności oraz miejsce, w którym miał być badany sprzęt streamera.

Także ten ślad trzeba traktować ostrożnie. Geolokalizacja IP zwykle wskazuje przybliżony obszar, siedzibę operatora lub węzeł sieciowy. Nie identyfikuje konkretnej osoby. Użytkownik mógł również korzystać z VPN-u, serwera pośredniczącego albo zdalnie sterowanego komputera.

Innymi słowy: Opole jest interesującym tropem, ale nie jest dowodem winy pracownika urzędu czy funkcjonariusza.

USDT miały zostać zamrożone

Dobra wiadomość dla streamera jest taka, że większość środków prawdopodobnie nie została jeszcze bezpowrotnie utracona.

Według informacji Zero.pl skradzione USDT zostały zamrożone i nie można ich obecnie dalej przesyłać. Szymool miał zgłosić sprawę zarówno polskim, jak i maltańskim organom. Służby na Malcie miały następnie skontaktować się z firmą Tether, emitentem USDT.

W przeciwieństwie do natywnego bitcoina USDT jest tokenem kontrolowanym przez centralnego emitenta. Tether może zablokować określone adresy i uniemożliwić transfer znajdujących się na nich tokenów. Firma wielokrotnie potwierdzała, że wykonuje takie operacje we współpracy z organami ścigania.

W niektórych postępowaniach Tether nie tylko zamrażał środki, ale także unieważniał tokeny znajdujące się na zablokowanym adresie i ponownie wydawał je prawowitemu właścicielowi. To właśnie taki scenariusz może umożliwić Szymoolowi odzyskanie milionów, o ile jego własność oraz nieautoryzowany charakter transakcji zostaną formalnie potwierdzone.

Czy kryptowaluty mogła przejąć osoba mająca dostęp do telefonu?

Na obecnym etapie nie można tego wykluczyć. Nie można też uznać tego za udowodnione.

Istnieje kilka alternatywnych scenariuszy. Fraza seed mogła zostać wcześniej skopiowana, wykraść ją mogło złośliwe oprogramowanie, mogła znajdować się na innym zsynchronizowanym urządzeniu albo ktoś mógł uzyskać dostęp do konta iCloud. Możliwe jest również, że została ujawniona jeszcze przed zabezpieczeniem sprzętu.

Rozstrzygające będą nie same screeny czy geolokalizacja IP, lecz pełny materiał cyfrowy: logi iCloud, historia logowań, dane urządzeń, godziny wykonywania kopii, lista osób mających kontakt ze sprzętem, zapis użytych narzędzi informatycznych oraz dalsza droga USDT na blockchainie.

Kluczowy będzie łańcuch dowodowy

W przypadku zabezpieczonego telefonu powinno być możliwe dokładne ustalenie, kto odebrał urządzenie, gdzie je przechowywano, kiedy je uruchamiano i komu je przekazywano.

Kodeks postępowania karnego wymaga, aby protokół zatrzymania rzeczy lub przeszukania zawierał między innymi dokładną godzinę rozpoczęcia i zakończenia czynności, listę zabezpieczonych przedmiotów oraz wskazanie polecenia sądu lub prokuratora.

Standardy informatyki śledczej wymagają natomiast zachowania integralności danych i ścisłego łańcucha dowodowego. NIST podkreśla, że dane cyfrowe można stosunkowo łatwo zmienić, dlatego kluczowe jest dokumentowanie ich pozyskania, kopiowania, badania i przekazywania.

Sprawa Szymoola trafia zresztą w szerszy problem polskich procedur. Rzecznik Praw Obywatelskich zwracał uwagę, że obecne przepisy dotyczące przeszukiwania elektronicznych nośników danych nie odpowiadają realiom współczesnego świata, a procedury oględzin telefonu nie zapewniają wystarczającej ochrony przed arbitralnym dostępem do prywatnych informacji.

Poważne oskarżenie, ale jeszcze nie dowód

Na podstawie dostępnych informacji można potwierdzić, że ponad 2,1 mln USDT zostało przetransferowane w sieci Ethereum. Można również analizować dalszą drogę środków i ustalić daty poszczególnych operacji.

Nie przedstawiono jednak publicznie dowodu pozwalającego stwierdzić, kto poznał frazę seed i kto podpisał transakcję. Nie ma również opublikowanego stanowiska KAS ani prokuratury odnoszącego się do zarzutów streamera.

Jeżeli logi urządzeń, dokumentacja ich zabezpieczenia i dane on-chain potwierdzą wersję Szymoola, będziemy mieli do czynienia z bezprecedensowym skandalem dotyczącym bezpieczeństwa mienia znajdującego się pod kontrolą państwowych instytucji.

Jeżeli nie, źródła wycieku frazy trzeba będzie szukać gdzie indziej.

Na razie jedno jest pewne: 24 słowa zapisane w telefonie dawały dostęp do fortuny, której ruchu nie dało się później ukryć przed blockchainem.

Indeks Strachu i Chciwości