علیرضا طباطبایی، وکیل سایبری: پذیرش ریسک بازار، مسئولیت صرافی را از بین نمی‌برد 

از خود این دو قرار شروع کنیم. آیا با دو تصمیم قضایی متعارض مواجه هستیم؟

با احتیاط باید از واژه «تعارض» استفاده کنیم. از نظر فنی این اسناد «قرار» هستند، نه رأی محکومیت یا برائت، و موضوع دو پرونده نیز یکسان نیست. در پرونده نخست، شرکت از اشخاصی شکایت کرده بود که مطالبی درباره وضعیت آن منتشر کرده بودند. بازپرس برای بررسی کذب بودن مطالب، ظاهراً به این جمع‌بندی رسیده که ادعای ناتوانی مجموعه در اعاده وجوه در مقطعی خلاف واقع نبوده است.

در پرونده جدید سؤال این بوده که آیا وضعیت ایجادشده و رفتار مدیران واجد عناصر جرایم مورد شکایت بوده یا خیر و بازپرس به نتیجه منفی رسیده است. بنابراین ممکن است یک مجموعه در مقطعی قادر به استرداد تمام یا بخشی از دارایی کاربران نباشد، اما برای اثبات کلاهبرداری، خیانت در امانت یا جرم عمدی مدیران آن دلیل کافی وجود نداشته باشد.

نقطه اتصال دو قرار این پرسش است: علت واقعی ناتوانی در استرداد چه بوده؟ اگر اصل ناتوانی در مقطعی پذیرفته شده، نباید فوراً مدیران را مجرم دانست؛ باید منشأ کسری یا عدم دسترسی، زمان ایجاد آن، زمان اطلاع مدیران و تصمیم‌های بعدی آنها مشخص شود.

پس صرف اینکه صرافی پول یا رمزارز کاربر را پس ندهد، کلاهبرداری یا خیانت در امانت نیست؟

قطعا نه. یکی از خطاهای رایج در پرونده‌های اقتصادی، تبدیل خودکار «عدم پرداخت» به «کلاهبرداری» است. برای تحقق کلاهبرداری باید رفتار متقلبانه، فریب کاربر، تسلیم مال بر اثر فریب و بردن مال اثبات شود. اگر صرافی هنگام دریافت دارایی ذخایر کافی داشته و بعداً حادثه‌ای خارجی واقعا بخشی از منابع را مسدود کرده باشد، صرف توقف برداشت برای اثبات کلاهبرداری کافی نیست.

اما اگر مدیران از کسری جدی اطلاع داشته‌اند، آن را پنهان کرده‌اند، درباره سلامت مالی یا نقدشوندگی اطلاعات اطمینان‌بخش خلاف واقع داده‌اند و هم‌زمان از کاربران جدید دارایی گرفته‌اند، تحلیل کیفری از یک تاریخ مشخص تغییر می‌کند.

در خیانت در امانت نیز عدم استرداد به‌تنهایی تمام عناصر جرم را نمی‌سازد. باید رابطه قراردادی کاربر و پلتفرم و اختیاری که پلتفرم درباره دارایی داشته روشن شود. سپس باید پرسید دارایی واقعاً موجود اما موقتاً غیرقابل دسترس است، به پلتفرم خارجی منتقل شده، برای فعالیت یا بدهی شرکت مصرف شده، به اشخاص وابسته رسیده یا برای پاسخ‌گویی به گروه دیگری از مشتریان استفاده شده است. هر پاسخ، اثر حقوقی متفاوتی دارد.

در قرار جدید بر فقدان سوءنیت تأکید شده است. سوءنیت را در چنین پرونده‌ای چگونه می‌توان سنجید؟

در جرایم عمدی، هر نتیجه زیان‌بار مساوی جرم نیست. ماده ۱۴۴ قانون مجازات اسلامی نیز بر علم مرتکب به موضوع و قصد رفتار مجرمانه تأکید دارد. با این حال، سوءنیت معمولاً از اعتراف صریح به دست نمی‌آید؛ از رفتار خارجی و اسناد هم‌زمان با بحران استنباط می‌شود.

مهم‌ترین ابزار، ساختن خط زمانی است: نخستین زمان اختلال یا کسری، زمان اطلاع مدیران، نخستین برداشت‌های ناموفق، اطلاع‌رسانی رسمی، میزان واریزهای جدید پس از آگاهی مدیران، انتقالات مدیران و اشخاص وابسته، زمان محدودکردن دریافت منابع و موجودی واقعی کیف پول‌ها و حساب‌ها در هر مرحله.

بعد باید پرسید مدیران وقتی از مشکل باخبر شدند چه کردند. محدودکردن دریافت منابع، اطلاع‌رسانی شفاف، حفظ دارایی‌ها و تلاش برای بازیابی آنها قرائنی به نفع مدیران است. ادامه جذب منابع در شرایط آگاهی از ناتوانی در پاسخ‌گویی، همراه با ارائه تصویری عادی از برداشت، نیازمند بررسی متفاوتی است. فعال بودن واریز یا معامله به خودی خود جرم نیست، اما می‌تواند قرینه مهمی باشد.

جنگ، حمله سایبری، تحریم و توقف سرویس‌دهنده خارجی می‌توانند مسئولیت را منتفی کنند؟

می‌توانند بسیار مؤثر باشند، اما بیان «فورس‌ماژور» پایان تحقیق نیست. باید میان علت ایجاد بحران و رفتار مدیران پس از بحران تفکیک کرد و رابطه مستقیم حادثه خارجی با عدم امکان اجرای تعهد را نشان داد.

سرور وب‌سایت، پایگاه داده، زیرساخت معاملاتی، کلید خصوصی و خود دارایی ثبت‌شده روی بلاکچین مفاهیم متفاوتی‌اند. ممکن است وب‌سایت از دسترس خارج شود اما دارایی در کیف پول‌های تحت کنترل مجموعه موجود باشد. بنابراین باید مشخص شود چه سامانه‌ای آسیب دیده، آیا کلیدها یا دارایی جابه‌جا شده‌اند، نسخه پشتیبان وجود داشته و مشکل برداشت پیش از حادثه وجود داشته یا پس از آن ایجاد شده است. اگر کسری پیش از جنگ یا حمله وجود داشته باشد، حادثه بعدی نمی‌تواند همه مشکلات قبلی را توضیح دهد. برعکس، وجود پشتوانه کامل تا لحظه حادثه قرینه‌ای مهم به نفع مدیران است.

در قرار به پذیرش ریسک از سوی کاربران رمزارز اشاره شده است. ایراد این استدلال چیست؟

باید پرسید کدام ریسک: کاهش قیمت، اختلال شبکه، تغییر مقررات، تحریم، هک یا ناتوانی متولی در تحویل اصل دارایی؟ اینها از نظر حقوقی یکسان نیستند. اگر قیمت بیت‌کوین کاهش یابد، زیان ناشی از بازار اصولاً بخشی از ریسک سرمایه‌گذاری است. اما اگر یک بیت‌کوین در حساب کاربر ثبت شده و پلتفرم نتواند آن را تحویل دهد، سؤال دیگر قیمت نیست؛ سؤال این است که دارایی کجاست.

کاربر ممکن است ریسک بازار و بخشی از ریسک عملیاتی را مطابق قرارداد پذیرفته باشد، اما از این نمی‌توان نتیجه گرفت هر نوع اداره یا مصرف دارایی از سوی متولی را پذیرفته است. همان‌طور که پذیرش ریسک سقوط قیمت سهم، رضایت به برداشت شخصی مدیر از حساب شرکت نیست.

آیا شرایط استفاده می‌تواند مسئولیت پلتفرم را کاملا سلب کند؟

شروط قراردادی در تعیین حدود تعهد و فورس‌ماژور اهمیت دارند، اما قرارداد نمی‌تواند رفتار عمدی و غیرقانونی را مشروع کند. اگر ثابت شود شخصی برخلاف اختیار قراردادی دارایی دیگری را تصاحب کرده یا از طریق فریب مال گرفته است، عبارت «کاربر ریسک را پذیرفت» عناصر جرم را از بین نمی‌برد.

از سوی دیگر، عدم احراز جرم مساوی عدم مسئولیت مدنی نیست. ممکن است بازپرس دلیل کافی برای کلاهبرداری یا خیانت در امانت نبیند، اما دادگاه حقوقی در دعوایی دیگر شرکت را به استرداد دارایی یا جبران خسارت ملزم کند. مسئولیت کیفری، مدنی و قراردادی عناصر و هدف یکسانی ندارند.

پرونده‌های خارجی چه درسی برای این بحث دارند؟

درس مشترک این است که صرف شکست پلتفرم یا توقف برداشت، مبنای محکومیت کیفری نیست. در FTX موضوع اصلی انتقال میلیاردها دلار از وجوه مشتریان به Alameda، مصرف آنها و ارائه اطلاعات خلاف واقع درباره امنیت و جداسازی سپرده‌ها بود. سم بنکمن‌فرید در سال ۲۰۲۴ به ۲۵ سال حبس محکوم شد.

در Celsius نیز مدیرعامل درباره امنیت دارایی‌ها و وضعیت مالی اطلاعات خلاف واقع داده بود و در مواردی از سپرده مشتریان برای حمایت مصنوعی از توکن CEL استفاده شد. الکس ماشینسکی در سال ۲۰۲۵ به ۱۲ سال حبس محکوم شد. گزارش QuadrigaCX نیز استفاده از حساب‌های جعلی، به خطر انداختن دارایی مشتریان و خروج منابع برای مصارف شخصی را مستند کرد.

پرونده Binance متفاوت است و عمدتاً به نقض عامدانه الزامات مبارزه با پول‌شویی، انتقال پول بدون مجوز و تحریم‌ها مربوط بود، نه ناتوانی در بازگرداندن دارایی. این پرونده نشان می‌دهد میزان علم، کنترل و تصمیم مدیریتی پلتفرم اهمیت دارد، نه اینکه هر اختلال برداشت را بتوان خیانت در امانت دانست.

برای روشن‌شدن وضعیت اکسکوینو چه تحقیقاتی لازم است؟

باید دفاتر مالی و حساب‌های بانکی، آدرس و تاریخچه کیف پول‌های سرد و گرم، حساب‌های شرکت نزد سرویس‌دهندگان خارجی، مانده بدهی به کاربران در تاریخ‌های کلیدی، مکاتبات داخلی، زمان اطلاع مدیران، واریزهای جدید، انتقالات اشخاص وابسته، مستندات حمله سایبری و اطلاعیه‌های منتشرشده برای کاربران بررسی شود.

در هر مقطع زمانی باید بدهی به کاربران، دارایی موجود، دارایی قابل دسترس، دارایی مسدود، واریز جدید و برداشت‌ها کنار هم قرار گیرد. همچنین باید چهار وضعیت از هم جدا شود: دارایی موجود و قابل دسترس؛ موجود اما موقتاً غیرقابل دسترس؛ دارایی‌ای که ارزشش کاهش یافته؛ و حالتی که دارایی متناظر با مطالبات اساساً وجود ندارد. عبارت کلی «مشکل برداشت» مشخص نمی‌کند با کدام وضعیت مواجهیم.

چرا اطلاعیه‌های شرکت در این بررسی مهم‌اند؟

چون علم و فریب احتمالی با مقایسه آنچه مدیران می‌دانستند و آنچه هم‌زمان به کاربران می‌گفتند سنجیده می‌شود. اطلاعیه‌های اطمینان‌بخش به خودی خود نه جرم را ثابت می‌کنند و نه خلاف واقع بودنشان محرز است؛ اما باید وضعیت واقعی مالی در تاریخ هر اطلاعیه با محتوای آن تطبیق داده شود.

آیا قرار منع تعقیب را می‌توان گواهی سلامت مالی شرکت دانست؟

خیر. مطابق ماده ۲۶۵ قانون آیین دادرسی کیفری، قرار منع تعقیب ممکن است به دلیل جرم نبودن عمل یا فقدان ادله کافی برای انتساب جرم صادر شود. چنین قراری لزوماً به معنای انجام کامل تعهدات، نبود بدهی، سلامت مالی یا فقدان مسئولیت مدنی نیست؛ فقط می‌تواند بگوید برای انتساب عنوان کیفری مورد شکایت به اشخاص معین، ادله کافی احراز نشده است.

جمع‌بندی شما از این دو قرار چیست؟

از این دو قرار نه مجرمیت مدیران اکسکوینو را نتیجه می‌گیرم و نه بی‌مسئولیتی کامل آنان را. قرار نخست نشان می‌دهد ادعای ناتوانی در بازگرداندن وجوه در یک مقطع، در آن پرونده کذب تشخیص داده نشده است. قرار دوم می‌گوید بازپرس با توجه به تحقیقات و عواملی مانند جنگ، حملات سایبری، تحریم و مشکلات زیرساختی، ادله کافی برای احراز سوءنیت و رفتار مجرمانه ندیده است.

میان این دو گزاره باید پاسخ داد ناتوانی از چه زمانی و چرا ایجاد شد، دارایی کاربران کجا بود، مدیران چه زمانی مطلع شدند، آیا پس از آن واریز جدید پذیرفتند و چه تصویری از وضعیت واقعی ارائه کردند. این پاسخ‌ها مرز بحران کسب‌وکار و رفتار کیفری را مشخص می‌کنند.

سه گزاره را نباید مترادف گرفت: شرکت نتوانسته دارایی را مسترد کند؛ شرکت مسئول جبران خسارت است؛ مدیران شرکت مرتکب جرم شده‌اند. ریسک رمزارز می‌تواند کاهش ارزش دارایی را توضیح دهد، اما به‌تنهایی توضیح نمی‌دهد اصل دارایی مشتری کجاست و متولی آن پس از اطلاع از بحران با دارایی‌های موجود و سپرده‌های جدید چه کرده است.