某天深夜，我接到一位家属的电话。
“邵律师，我弟弟一直在A地工作，为什么是1000公里外的B地公安把人抓走了？”
起初，家属对此也十分困惑。后来经多方打听才了解到，嫌疑人曾在B地使用手机登录账户转移虚拟货币。
也就是说，仅凭登录IP地址，B地公安便认定该地属于犯罪行为实施地，从而确立案件管辖权。
涉虚拟货币类刑事案件，由于涉案金额往往较大、罪与非罪界限相对模糊，在实践中也更容易引发管辖权争议。争夺管辖权、甚至人为制造管辖连接点的情况并不少见。此前媒体报道的黑吃黑虚拟货币盗窃案中，同一事实被两地公安分别立案侦查，便是典型例子。
在本人所代理的某涉案金额过亿的虚拟货币刑事案件当中也存在类似情况，当地公安以IP地址作为其司法管辖权的依据。
问题是——IP地址真的可以决定刑事案件的管辖权吗？
例如在盗窃罪、职务侵占罪等财产类犯罪中，如果行为人仅是在某地通过手机登录账户、完成虚拟货币转移操作，是否就可以据此认定该地属于“犯罪行为实施地”？这种做法是否具有充分的法律依据，或者是在程序上存在争议？
I 本文作者：邵诗巍律师
1、法律依据：信息网络犯罪的特殊管辖规则
公安机关在此类案件中以IP地址主张异地管辖，通常援引的是2022年“两高一部”发布的《关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》。
根据《意见》第二条：
“信息网络犯罪案件的犯罪地包括用于实施犯罪行为的网络服务使用的服务器所在地，网络服务提供者所在地，被侵害的信息网络系统及其管理者所在地，犯罪过程中犯罪嫌疑人、被害人或者其他涉案人员使用的信息网络系统所在地，被害人被侵害时所在地以及被害人财产遭受损失地等。”
在实务中，侦查机关通常据此形成如下逻辑：
第一步，定位IP地址，确定嫌疑人实施相关网络操作时使用的IP地址；
第二步，溯源服务器，确定该IP对应服务器的物理所在地；
第三步，据此认定服务器所在地属于犯罪地，从而由该地公安机关立案侦查。
然而，这一逻辑能够成立，有一个重要前提：相关案件必须属于“信息网络犯罪”。
如果案件本质上是盗窃、职务侵占等传统财产犯罪，仅仅在实施过程中使用了网络工具，那么能否直接适用信息网络犯罪的管辖规则？
2、IP地址确定管辖权的前提：必须属于“信息网络犯罪”
部分办案人员认为，只要犯罪过程中“涉及”信息网络，即可适用《意见》的扩张管辖规则——即使是在盗窃、职务侵占等传统犯罪的某个环节使用了手机、网络。
但根据《意见》，信息网络犯罪案件包括：
-
危害计算机信息系统安全犯罪案件；
-
拒不履行信息网络安全管理义务、非法利用信息网络、帮助信息网络犯罪活动的犯罪案件；
-
主要行为通过信息网络实施的诈骗、赌博、侵犯公民个人信息等其他犯罪案件。
所以，邵律师认为，“信息网络犯罪”应指以信息网络为犯罪空间的犯罪，即没有信息网络就不可能实施的犯罪，如非法控制计算机信息系统罪、破坏计算机信息系统罪等。这类犯罪的实行行为本身即发生在网络空间，犯罪地难以用传统物理连接点确定，因此需要特殊管辖规则。
虚拟货币的链上转移虽借助网络完成，但盗窃、职务侵占等罪的犯罪构成本身并不依赖信息网络。行为人转移虚拟货币的行为，本质是对犯罪所得的处置，而非犯罪实行行为本身。将传统犯罪的“涉网环节”等同于“信息网络犯罪”，是对《意见》适用范围的过度扩张，混淆了犯罪手段与犯罪类型的本质区别。
3、如果罪名改变，IP地址管辖是否仍然成立？
在一些涉虚拟货币案件中，还会出现另一种情况。
例如某些案件在立案阶段，公安机关以“非法获取计算机信息系统数据罪”等信息网络犯罪罪名立案。由于属于信息网络犯罪，侦查机关便可以依据服务器所在地等规则，主张异地管辖。
但随着侦查深入，或者在审查起诉阶段对证据重新审查后，案件性质可能发生变化。例如原本以信息网络犯罪立案的案件，最终被认定为职务侵占罪、盗窃罪等传统财产犯罪。
在这种情况下，问题就随之出现：
原本建立在IP地址基础上的管辖权，是否仍然成立？
如果仍然坚持按照最初的罪名处理，往往会面临事实认定困难、证据难以支撑的问题；
但如果变更为普通财产犯罪，原先依据“服务器所在地”建立的管辖基础又可能随之动摇，从而出现案件需要移送、指定管辖等程序问题。
从程序法的逻辑看，管辖权应当建立在犯罪事实的基础之上，而不应由立案时所选择的罪名反向决定。
如果先确定管辖，再通过罪名设置来维持管辖，就容易出现程序上的倒置。
4、IP地址是否等同于实际犯罪地？技术上存在哪些问题？
即便承认IP地址可以作为判断管辖的参考依据，从技术角度看，这一依据本身仍存在较大的不确定性。
1. 网络地址转换技术：一个公网IP可能对应多台设备
在家庭或公司Wi-Fi环境中，多台设备通常共享同一个公网IP地址。公安机关查询到的公网IP，往往只能指向某个网络出口位置，例如某栋楼或某个办公区域，并不能直接对应到具体设备。
如果需要进一步确定具体设备，通常还需要结合路由器的网络地址转换记录、终端设备信息以及精确时间戳等数据，才能确定内网IP与公网IP之间的对应关系。
2. 动态IP分配：IP地址可能随时间变化
手机通过移动网络上网时，IP地址通常由运营商动态分配。设备在不同基站之间切换或网络重新连接时，IP地址都可能发生变化。
因此，在认定案发时的网络位置时，往往需要结合基站日志、连接记录以及时间戳等数据进行综合判断。仅凭事后查询到的IP归属地信息，未必能够准确反映行为发生时的实际物理位置。
3. 云计算与内容分发网络：服务器所在地并不固定
许多虚拟货币交易平台或钱包服务使用内容分发网络（CDN）进行网络加速。在这种情况下，用户设备连接到的服务器IP，可能只是内容分发网络的边缘节点服务器，而不一定是平台真实的源服务器。
因此，IP归属地所指向的“服务器所在地”，与案件实际发生的行为地点之间，可能并不存在直接对应关系。
在这种技术背景下，如果仅凭IP归属地信息确定案件管辖地，容易出现一种情况：与案件缺乏实质联系的地区，仅因为服务器节点或网络出口位于当地，便取得案件管辖权。从程序审查角度看，这种做法也可能引发对管辖合理性的争议。
5、IP地址可以单独证明犯罪地吗？电子数据证据审查规则
《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（以下简称规定）第二十五条明确规定：
“认定犯罪嫌疑人、被告人的网络身份与现实身份的同一性，可以通过核查相关IP地址、网络活动记录、上网终端归属、相关证人证言以及犯罪嫌疑人、被告人供述和辩解等进行综合判断。”
这一规定确立的是综合判断原则。IP地址只是众多电子数据证据中的一种，其证明力需要与其他证据相互印证，而不能单独作为认定依据。
在电子数据取证中，通常需要结合网络活动记录（如服务器日志）、上网终端归属信息（例如网络地址转换记录）、精确时间戳等数据进行交叉比对，才能较为可靠地判断某一网络行为是否由特定设备实施。
同时，《规定》第二十三条还要求，在审查电子数据时，应当核查完整性校验值、原始存储介质的扣押和提取过程等情况，以确认电子数据的真实性与完整性，防止数据被篡改或污染。
在实践中，若要通过网络行为追溯到具体设备和具体行为人，往往需要形成多项电子数据相互印证的证据体系。例如：
-
手机或终端设备使用的IP地址记录，用以证明设备在特定时间接入网络；
-
网络地址转换记录（如通过Wi-Fi接入时的NAT映射信息），用于对应具体终端设备；
-
精确时间戳，用以确认网络行为发生的具体时间；
-
平台或服务器日志，用以记录相关账户操作或资金转移行为；
-
在涉及内容分发网络（CDN）等技术架构时，还需要进一步溯源至真实源服务器，以确认网络请求的真实路径。
如果缺乏上述数据之间的相互印证，仅凭IP归属地信息，无法独立、准确地锁定犯罪发生时的物理位置，以此为基础确定的管辖权也缺乏实质关联。
6、写在最后
在刑事诉讼中，案件的管辖是程序正义的重要保障。由哪个地区的司法机关立案侦查、审查起诉并最终审理案件，直接关系到侦查权的行使边界，也关系到被追诉人诉讼权利的实现。
因此，管辖权应当建立在与犯罪事实具有真实、具体联系的连接点之上。如果对管辖相关法律依据无限扩张解释，管辖规则就可能演变为争夺案件管辖权的手段，从而削弱管辖制度本身应有的约束功能，影响案件处理的公正性与可预期性。
