数字藏品被盗 中国法怎么看？

近来，海外用户NFT被盗的案例屡见不鲜。根据公开报道，纽约某画廊老板T在去年（2021年）12月30日发布的一条推文中写道，他被盗走了以太坊钱包中的15个NFT，总价值220万美元。“我被黑了！我所有的无聊猿都不见了！”他在推特中写道。

作为新诞生的事物，NFT和虚拟货币在司法实践处理中存在争议，其争点一方面在于盗窃NFT是否能被认定为盗窃财产，另一方面在于当行为人利用该计算机实施的目的行为又构成其他犯罪时，应如何适用刑法。

基于目前NFT盗窃猖獗，国内未出现相关判例，今天飒姐团队就以此为契机，对盗窃NFT的行为进行法律分析。

常见的盗窃NFT方法

NFT被盗是因为所属钱包的秘钥被泄露或用户在不知情的情况下授权了非法转账的交易行为，具体包括三种情况：

用户的密钥脱离用户的控制范围，例如通过云存储，将密钥信息上传，或者误发在公共社交媒体上，即所谓的“密钥触网”。

用户登录虚假平台。当黑客搭建虚假网站，而其域名又和常规知名网站相近时，用户很可能没有注意网址域名的细微改动而输入账号密码登录，黑客在获得密钥后进而利用智能合约盗取NFT。

存储密钥的设备被入侵，例如用户点开含木马的钓鱼邮件或者文档秘钥存储设备，被黑客借助该木马实施远程爆破。

本案主要涉及第三种犯罪方法。那么在此情形下，应当认定黑客利用计算机网络搭建虚假网站盗取NFT的行为应判处盗窃罪还是破坏计算机信息系统罪呢？

关于盗窃NFT的法律分析

假设我国公民某甲遇到了与前文提到的某画廊老板T类似的遭遇，我国公民某甲的NFT被盗窃，那么根据我国刑法，该盗窃NFT的行为涉嫌的主要罪名是盗窃罪和破坏计算机信息系统罪。

而在司法实践中，盗窃虚拟财产的案件大多数以破坏计算机信息系统罪定罪处刑。但是，飒姐团队认为，一般来说，以盗窃罪来认定盗窃NFT的行为，更符合罪责刑相适应原则。

法律适用上的争议

《刑法》第二百六十四条规定，盗窃罪是指盗窃公私财物，数额较大的，或者多次盗窃、入户盗窃、携带凶器盗窃、扒窃。在本文讨论的场景中，行为人客观上实施了窃取他人NFT的行为，主观上以非法占有或者非法获利为目的，且达到了数额较大的标准，应当认定为盗窃罪。

同时，根据《刑法》第二百八十六条，破坏计算机信息系统罪是指违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的行为。本案中，行为人编辑钓鱼邮件，远程对画廊老板T/某甲的计算机进行了干扰与控制，主观上具有故意，同样触犯了破坏计算机信息系统罪。

对于同时触犯两个罪名应当如何适用法律，《刑法》第二百八十七条规定，利用计算机实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪的，依照本法规定定罪处罚。

然而，《刑法》第二百八十七条规定的“依照本法规定定罪处罚”究竟是指按照计算机有关犯罪定罪处罚，还是按照金融诈骗等目的行为构成的犯罪定罪处罚，至今并没有明确的结论。

该条文规定存在模糊之处，现存也没有司法解释对其加以明晰。因此，在这里我们试图探究该规定的定义范围，并对与侵入计算机信息系统盗窃NFT的犯罪行为进行定性分析。

学界争鸣

目前存在两种学理观点。第一种观点认为，该条是约束司法工作人员的提示性规定，即不能仅仅因为行为人利用计算机实施犯罪就认定为计算机犯罪行为。计算机犯罪与实质犯罪行为是手段和目的关系，应当按照实质构成的犯罪定罪。

另一种观点认为，应当结合具体案情，准确理解和适用法律选择牵连犯、想象竞合犯、数罪并罚的有关规定加以解释。当行为人利用计算机实施的犯罪同时构成危害计算机信息系统安全犯罪和金融诈骗、盗窃等其他犯罪时，应当对被告人从一重罪定罪处罚。

对盗窃NFT行为的法律分析

回到破坏计算机信息系统罪的规定，“造成计算机信息系统不能正常运行”是本罪的结果要件。若行为人以盗窃为目的，对计算机信息系统实施非法控制，但是没有影响到计算机系统的正常运行，则该行为可能构成盗窃罪；若通过代码破坏了计算机信息系统，则可能构成破坏计算机信息系统罪和其他犯罪的牵连犯罪，从一重处。照此逻辑进行规定，更能符合罪责刑相适应原则。

最高法院2021年初发布第145号指导案例（被告人张某某等非法控制计算机信息系统案）的裁判要点，同样可以作为支撑此观点的有力论证。

该案的基本案情是，自2017年7月开始，被告人张某某等人经事先共谋，为赚取赌博网站广告费用，在马来西亚吉隆坡市租住的某房间内，相互配合，对存在防护漏洞的目标服务器进行检索、筛查后，向目标服务器植入木马程序（后门程序）进行控制，再使用“菜刀”等软件链接该木马程序，获取目标服务器后台浏览、增加、删除、修改等操作权限，将添加了赌博关键字并设置自动跳转功能的静态网页，上传至目标服务器，提高赌博网站广告被搜索引擎命中几率。截止2017年9月底，被告人张某某等人链接被植入木马程序的目标服务器共计113台，其中部分网站服务器还被植入了含有赌博关键词的广告网页。

该裁判要点指出，通过修改、增加计算机信息系统数据，对该计算机信息系统实施非法控制，但未造成系统功能实质性破坏或者不能正常运行的，不应当认定为破坏计算机信息系统罪。

例如，2007年的“熊猫烧香”计算机病毒制造者及主要传播者李某等4人，利用其控制的大量“肉鸡”向被害人的计算机信息系统发动DDOS攻击以索要钱财，导致被害人计算机信息系统瘫痪，影响到了计算机信息系统的正常运作，应以破坏计算机信息系统罪论处。而黑客实施了秘密窃取他人财物和信息的行为，且未造成计算机信息系统的异常运作，且主观上以非法占有或者非法获利为目的，就应当认定为盗窃罪。

因此，若窃取NFT的行为未造成“计算机信息系统不能正常运行”这一结果，那么该行为符合盗窃罪的构成要件。

写在最后

根据《中国人民银行、工业和信息化部、中国银行业监督管理委员会等关于防范比特币风险的通知》、《中国人民银行、中央网信办、工业和信息化部等关于防范代币发行融资风险的公告》，虚拟货币作为商品在市场上具有交易价值。

虚拟货币通过计算机经过特定的计算方式生成，需要付出劳动及经济成本。而大部分人获取虚拟货币的方式亦是通过金钱作为对价相互转让，即虚拟货币具有经济价值，因此可以适用有关的侵害财产类犯罪。

同样，NFT作为一种不可分的虚拟商品，也具有经济价值，应当落入虚拟财产的范畴。因此，行为人以非法占有为目的，通过钓鱼软件窃取数额较大的NFT，应当认定为盗窃罪。