汇聚辩护原创，分发辩护指引；剖析证据运用，研究法律适用。
编者按
本文作者结合Web3从业者涉嫌职务侵占的真实案例，围绕仅凭IP地理标注确立刑事管辖这一实务争议展开分析，厘清IP地址的证据效力边界，剖析网络场景下犯罪行为实施地的认定难点，为电子数据审查与刑事案件管辖判断提供实务参考。感谢邵诗巍律师的来稿！
虚拟货币职务侵占案中，IP归属地能否作为管辖权依据？
摘要
Web3从业者涉嫌职务侵占，办案机关能否仅凭IP归属地和同日转币、卖币记录主张管辖？从城市标注来源、操作记录关联到犯罪行为实施地，逐步审查证据能证明什么。
引言
根据2018年最高人民检察院、公安部《关于公安机关办理经济犯罪案件的若干规定》，非国家工作人员利用职务便利实施经济犯罪的，由犯罪嫌疑人工作单位所在地公安机关管辖；犯罪行为实施地或犯罪嫌疑人居住地管辖更为适宜的，也可以由上述地点的公安机关管辖。
在邵律师代理的一起Web3从业者涉嫌职务侵占案当中（案件信息已脱敏），办案单位认定：1月1日，涉案iPhone手机有操作转币、变卖涉案虚拟币的记录，同日该设备的IP记录被标注为A地。除此之外，办案机关未提供其他能够建立本案与A地管辖联系的依据，而是据上述记录主张对本案具有管辖权。
根据以上办案单位的逻辑，其选择的管辖连接点是"犯罪行为实施地"，推理链条可以还原为三步：
设备IP定位显示A地→涉案设备当时位于A地→该设备在A地实施了本案犯罪行为。
所以，本文就围绕这一认定思路展开讨论：仅凭设备的IP地理标注及同日涉案操作记录，能否认定犯罪行为实施地，并据此确立刑事案件的管辖？
一、IP归属地能否证明涉案手机的实际位置？
办案机关从"设备IP地址显示A地"推导出"涉案设备当时位于A地"。这一步看似是成立的，但实际上，在技术层面，IP地址与设备的物理位置之间存在多个中间环节，并不能直接画等号。
（一）IP地理标注并非终端设备的精确定位
IP地址是设备联网时使用的网络地址，其功能是标识网络通信的节点，而非定位设备的物理位置。苹果公司在其官方资料【1】中明确说明："IP地址不传达确切位置的相关信息，但可透露你的大致位置。"换言之，IP地址在设计上就不承担精确定位的功能。
那么，办案机关所称"IP显示A地"，这一结论从何而来？通常有以下几种途径：一是将IP地址输入第三方地址库（如网站查询工具或商业数据库），由数据库返回该IP的归属城市或区域；二是交易平台在记录访问日志时，调用自身或第三方地址库自动标注城市信息，导出数据时一并导出；三是向电信运营商调取该IP在特定时刻的分配和接入记录，核实实际接入地点。
前两种方式本质上都是地址库查询。IP地址库是通过统计和推算方式建立的映射关系，其标注的是IP地址段的"归属区域"，而非某一时刻某台设备的实际位置。阿里云在其技术文档中解释【2】，移动网络中终端通过网关接入互联网，多个终端可以共享公网IP，而公网地址池的服务范围可能覆盖全省，因此"用户所在城市与公网IP的地域归属，不能简单等同"。只有第三种方式——运营商的历史接入记录——才有可能提供特定时刻的网络接入地点信息，但这需要办案机关实际调取并提供相应证据。
（二）网络出口地址与终端设备位置可能存在偏差
即使确认涉案iPhone在1月1日使用了某个IP地址访问境外虚拟货币交易平台，该IP地址对应的地理位置也未必就是这部手机的位置。原因在于网络地址转换（NAT）机制的普遍存在。华为官方技术资料解释【3】，NAT"允许多台私网主机共享一个公网IP地址访问公网"。以常见的Wi-Fi联网场景为例，手机通过路由器上网时，交易平台记录到的是路由器的公网IP，而非手机本身的地址。在移动网络场景下，运营商的网关同样会将大量用户的流量映射到有限的公网IP地址上。因此，平台日志中记录的IP，是手机对外访问时经过的网络出口地址，而这个出口的地理位置与手机的物理位置之间，可能一致，也可能不一致。
需要注意的是，本案涉及的虚拟货币交易平台位于境外，访问境外平台是否涉及代理或VPN的使用，同样是需要通过本案证据查明的事实问题。
此外，如果涉案设备使用了VPN或代理服务，交易平台记录到的将是代理服务器的IP地址，与设备的实际位置可能完全无关。苹果公司的iCloud专用代理功能即为一例——请求经过中继后，网站记录的IP属于中继环节而非终端。当然，苹果明确规定【4】该功能在中国大陆境内无法使用，不能因为涉案手机是iPhone就推定使用了此功能。但这一技术原理说明，IP地址与终端位置之间确实可能因代理机制而脱节。是否存在其他代理或VPN的使用，需要由本案证据确定。
（三）IP地理标注的来源与可靠性需要核实
回到本案，关键问题是：鉴定意见或办案机关据以认定"A地"的依据究竟是什么？
在该案当中，鉴定机构在分析IP归属地时，并未展示自行查询IP地址库的过程，而是直接筛选了送检Excel文件中已有的城市字段。例如，1月1日对应的IP有若干条记录，鉴定意见中均显示城市为"A地"，但并未交代：最初是谁、通过什么方式、使用哪个地址库、在什么时间将这些记录的城市标注为"A地"。如果这一标注来源于交易平台导出数据时的自动填充，那么它的性质就是平台调用地址库的查询结果，而非对设备实际位置的独立验证。
因此，对于IP地址的地理标注，至少需要核实以下问题：
送检数据中的城市字段由谁生成？是否依据IP地址库生成？若是，采用的是哪个地址库、哪个版本？查询时间是案发当时还是事后？地址库的归属信息在此期间是否发生过更新？如果办案机关未能回答这些问题，仅凭地址库的标注结果就认定设备位于A地，其证据基础是不充分的。
二、即使查明手机所在地，能否据此认定犯罪行为实施地？
即使退一步，假设现有证据足以证明涉案iPhone在1月1日确实位于A地，但是，从"设备在A地"到"犯罪行为在A地实施"，还需要进一步进行两个层面的论证。
（一）同日登录与交易记录，尚不足以直接确定涉案操作的发生地点
行为人在1月1日涉案设备有登录交易平台的记录，也有变卖涉案虚拟币的记录。但同一天出现的登录记录和交易记录，并不能直接等同于就是同一次会话、同一台设备完成的同一次操作。
举个例子：
假设1月1日上午9点，iPhone登录交易平台，平台记录的IP经查询显示为A地；同日下午5点，同一账户发生了卖出涉案虚拟币的交易。这两条记录直接证明的是：上午发生过一次登录，下午发生过一次交易。
但是并不能直接证明：下午交易时，操作是否仍然来自同一台设备？该设备是否仍在使用同一IP地址？手机是否已经移动到其他地点？
要建立登录记录与交易记录之间的关联，需要比对二者的精确时间、时区、登录账户、设备标识（如设备指纹、UA信息）、会话ID及交易编号等信息。
根据《最高人民法院关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》第二十五条要求，对网络身份与现实身份的同一性，应当结合IP地址、网络活动记录、终端归属、证人证言及犯罪嫌疑人供述等进行综合判断。这一规定虽然不是专门的地理定位规则，但它确立的审查方法同样适用于此：IP地址只是综合判断的材料之一，不能省略人与设备、设备与操作之间的对应关系。
换言之，办案机关需要证明的其实不是"这部手机当天在A地"，而是"本案的犯罪操作是在A地通过这部手机完成的"。前者是设备的位置问题，后者是行为的归属问题，二者之间并非同一概念。
（二）涉案操作发生地能否构成犯罪行为实施地，仍需法律论证
进一步而言，即使能够证明涉案设备在A地完成了变卖虚拟币的操作，"设备操作地"能否直接等同于"犯罪行为实施地"，在法律适用上也并非不言自明。
职务侵占罪的犯罪行为是"利用职务上的便利，将本单位财物非法占为己有"。在传统场景中，犯罪行为实施地通常指向行为人实际控制、转移单位财物的地点。
而在涉及虚拟货币的案件中，行为人通过线上操作完成转币和变卖，操作行为的发生涉及终端设备所在地、交易平台服务器所在地、区块链网络节点等多个地理节点，尤其是本案中，虚拟货币交易平台的服务器位于境外，虚拟币的变卖指令虽然可能从境内终端发出，但交易的撮合与执行发生在境外服务器上，犯罪行为的实施实际上横跨境内与境外，这使得"犯罪行为实施地"的认定更加难以简单地指向终端设备的所在地。
哪一个或哪几个应当被认定为犯罪行为实施地，现行法律和司法解释并未给出明确的针对性规定。
如果援引针对计算机网络犯罪规定（法释〔2021〕1号）或信息网络犯罪的管辖规定（法发〔2022〕23号）来扩展连接点，这些规定列举的犯罪地包括：用于实施犯罪行为的网络服务使用的服务器所在地、网络服务提供者所在地、被侵害的信息网络系统及其管理者所在地、犯罪过程中使用的信息网络系统所在地，以及被害人被侵害时所在地和财产遭受损失地等。
可以看到，这些连接点指向的是服务器、系统、服务提供者等具体的基础设施或主体，而非笼统的"设备上网时的IP归属地"。IP地址是用来查明这些连接点的技术线索，但它本身不是上述任何一个连接点。不能因为查到一个IP地址归属于A地，就将其直接认定为服务器所在地或信息网络系统所在地。如果办案机关要主张这些连接点中的某一个，需要另行证明相应的具体事实。
当然，职务侵占罪是否属于上述规定的适用范围——即是否属于"针对或者主要利用计算机网络实施的犯罪"或"主要行为通过信息网络实施的"犯罪——本身尚存争议，限于本文主题，对此不作延展。但即便适用，上述分析表明，IP地址的地理标注也不能直接充当这些规定所要求的管辖连接点。
三、结语
虚拟货币相关案件具有天然的跨境属性——交易平台服务器位于境外，交易记录存储于境外系统，办案机关往往难以直接向境外平台调取完整的服务器日志、账户操作记录等关键证据。在这一现实困境下，IP地址作为少数可以在境内获取的技术信息，容易被赋予超出其实际证明力的权重，成为办案单位确立管辖、构建案件事实的核心甚至唯一依据。
然而，如本文所分析，从IP地址的地理标注到管辖权的成立，中间需要经过技术事实的核实、证据链条的补强以及法律连接点的论证，每一步都不能被省略或替代。取证困难不能成为降低证明标准的理由；恰恰相反，证据来源越有限，对现有证据的审查就应当越严格。
刑事诉讼中，管辖不仅是程序问题，更关乎被告人的法定权利。案件由有管辖权的机关办理，是程序正义的起点，而非可以事后补正的技术瑕疵。正因如此，管辖权的确立应当经得起与实体问题同等严格的审查。
