Пантеон даркнета, или что ждет глубинный интернет после череды закрытий нелегальных рынков

В конце сентября Министерство юстиции США и Европол объявили об успешном проведении одной из крупнейших в истории операций по пресечению преступной деятельности в даркнете. В ходе нее американские и европейские правоохранители арестовали 179 предполагаемых торговцев наркотиками и изъяли $6,5 млн наличными и в криптовалюте.

В операции под кодовым названием DisrupTor приняли участие власти США, Канады, Великобритании, Австрии, Кипра, Германии, Нидерландов, Швеции и Австралии.

Помимо крупных денежных сумм, правоохранители конфисковали более 500 кг запрещенных веществ, в том числе 111 кг фентанила. По словам директора ФБР Кристофера Рэя, этого количества фентанила хватило бы примерно на 5,5 млн смертельных доз.

Подробности и обстоятельства произошедшего пока остаются неизвестными, но по информации Минюста США, эта операция стала возможной благодаря закрытию даркнет-рынка Wall Street Market (WSM) в мае 2019 года. После его ликвидации правоохранители получили необходимые для идентификации продавцов данные.

Случившееся с WSM стало одним из звеньев в произошедшей за последние несколько лет череде закрытий целого ряда рынков в глубинном интернете. Причины остановки работы при этом оказывались связанными не только с вмешательством правоохранительных органов, но и с экзит-скамами. Наиболее значимые из этих событий и предлагает вспомнить Forklog.

Wall Street Market

В мае 2019 года Европол объявил о завершении операции, проведенной совместно Федеральной уголовной полиции Германии, Национальной полицией Нидерландов, ФБР, Министерством внутренней безопасности США и рядом других организаций.

Ее результатом стало закрытие WSM, пользовательская база которого насчитывала 1,15 млн человек, из которых 5400 значились как продавцы запрещенных веществ, краденных данных, поддельных документов и зловредного ПО. На сайте WSM были размещены 63 тысячи предложений, что делало его одной из крупнейших подобных платформ.

В ходе операции немецкие правоохранители провели три ареста и изъяли 550 тысяч евро наличными, шестизначную сумму в биткоине и Monero, несколько автомобилей, компьютеров, жестких дисков и других вещественных доказательств.

Тогда же Европол сообщил о закрытии платформы Silkkitie (Valhalla), которая базировалась в Финляндии и работала с 2013 года. Часть ее пользователей после этого перебралась на другие рынки, в том числе и на WSM. В ходе ликвидации Silkkitie правоохранители также изъяли крупную сумму в биткоинах.

История с WSM оказалась примечательной тем, что незадолго до того, как стало известно о закрытии платформы, ее администраторы совершили экзит-скам, присвоив более $14 млн пользовательских средств.

Подозрения, что они собираются предпринять такой шаг, появились за несколько недель до заявления Европола, когда средства с основных биткоин-кошельков WSM начали перемещаться на сторонние адреса. Предыдущие кошельки использовались в качестве эскроу-системы: покупатели вносили на них средства, которые продавцы могли вывести после определенного периода времени по завершении сделки при условии отсутствия жалоб.

Как утверждали администраторы WSM, это был временный шаг, на который они вынужденно пошли из-за проблем с сервером. Тот якобы не синхронизировался с блокчейном биткоина, делая невозможным вывод средств.

Вскоре сайт WSM был удален из каталога даркнет-ресурсов Deep Dot Web, а пользователи, очевидно смирившись с потерей средств, начали менять названия продаваемых товаров, предупреждая других о том, что с этой платформой дел лучше не иметь.

Но и это было не все. Один из администраторов под псевдонимом Med3l1n начал шантажировать пользователей, угрожая передать правоохранителям адреса кошельков, которые они использовали для взаимодействия с платформой. За молчание он требовал 0,05 BTC. Как предположил исследователь даркнета @5auth, Med3l1n оказался в числе сотрудников WSM, не получивших свою часть присвоенных биткоинов.

Most likely a customer support staff member who didn’t get a cut of the other stolen cryptocurrency.

— Caleb (@5auth) April 20, 2019

Вероятно, попытки получить хоть что-то с пользователей оказались не слишком успешными, поскольку через несколько дней этот же модератор перешел на новый уровень шантажа, опубликовав на форуме Dread данные для входа в панель администратора WSM. Это дало доступ к бэкенду платформы и, соответственно, данным пользователей любому желающему, в том числе и сотрудникам правоохранительных органов.

Of much greater concern to users: The same mod has posted his login credentials to Dread. This gives anyone the ability to sign in to WSM as the mod and access all information pertaining to users and their orders that isn’t encrypted. He also gave the server IP address up. pic.twitter.com/YD3kuBAYk5

— Patrick Shortis (@Patrick_Shortis) April 24, 2019

Любопытными по своему содержанию оказались размышления о вероятных причинах экзит-скама операторов WSM. По мнению многих участников дискуссий в социальных сетях, их следовало искать в анонсированном ранее закрытии платформы Dream Market, еще одного крупного и популярного в то время даркнет-рынка.

В обычных условиях прекращение работы Dream Market стало бы прекрасной новостью для конкурирующих площадок, на которые отправились бы его многочисленные пользователи. Однако в тот же день, когда прозвучало объявление о закрытии платформы, Европол, ФБР и другие правоохранительные ведомства провели массовые аресты оперировавших в даркнете продавцов.

По всей видимости, администраторы WSM поняли, что резкое увеличение пользовательской базы привлечет ненужное внимание властей. В этих обстоятельствах наиболее безопасным выходом для них и стал экзит-скам как альтернатива вероятным длительным тюремным срокам.

Dream Market

В апреле 2019 года Окружная прокуратура Манхэттена сообщила об аресте представителей группировки Sinmed, крупнейшего продавца наркотических веществ на Dream Market. Как тогда заявили представители ведомства, Sinmed продавала жителям 43 штатов поддельный препарат «Ксанакс», который сам по себе ведет к быстрой зависимости, отмыв при помощи криптовалют $2,3 млн, вырученных в процессе его реализации.

Today we’re announcing the takedown of a storefront on the dark web that made, sold, and shipped fake Xanax 💊 to buyers in 43 states, and laundered $2.3M of the proceeds using cryptocurrency.

Watch Live: https://t.co/Qg6EpGwyVl pic.twitter.com/dPxE8mFP9Z

— Cyrus Vance, Jr. (@ManhattanDA) April 16, 2019

Сообщение совпало с объявлением администраторов Dream Market о предстоящем закрытии платформы по причине непрекращающихся DOS-атак. Но еще в марте некоторые обозреватели жизни даркнета предположили, что работавший с конца 2013 года рынок скомпрометирован правоохранительными органами, и призвали пользователей не входить в свои аккаунты.

Вымирание в даркнете: как и почему исчезают биткоин-маркетплейсы в сети Tor

Косвенным подтверждением этому служит то, что еще в августе 2017 года аккаунты нескольких продавцов на Dream Market были взяты под контроль сотрудниками полиции Нидерландов. Никаких официальных заявлений по этому поводу правоохранительные органы не делали, однако исследователи предполагали, что это стало возможным благодаря тому, что для авторизации на Dream Market наркоторговцы использовали те же данные, что и на других платформах.

Одним из тех, кто попал под «колпак», оказался француз Гал Валлериус. Арестован он был в том же 2017 году в аэропорту Атланты, когда направлялся на чемпионат мира среди обладателей пышных бород и усов.

Гал Валлериус. Фото: Bleeping Computer.

Следствие установило, что Валлериус, использовавший в даркнете псевдоним OxyMonster, создал на Dream Market собственную систему по приему чаевых, отказавшись от использования внутренней платежной системы маркетплейса, которая задействует механизм анонимизации транзакций.

Отследив движение по счетам OxyMonster, полиция установила, что 15 из 17 исходящих транзакций из его коробки для чаевых были осуществлены на кошельки на LocalBitcoins. Также была установлена схожесть между авторскими стилями Валлериуса и OxyMonster в Twitter и Instagram.

Во время ареста у Валлериуса был изъят ноутбук, на котором полиция обнаружила дополнительные улики, свидетельствующие о его причастности к распространению наркотиков, включая PGP-ключ, которым он подписывал сообщения, учетные данные на Dream Market и биткоин-кошельки, связанные с аккаунтами OxyMonster. Француз имел аккаунты и на других даркнет-маркетплейсах, включая Evolution, Valhalla, TradRoute, Hansa и AlphaBay.

В июне 2018 года Валлериус признал свою вину в распространении наркотиков, а в октябре 2019 года суд в Майами приговорил его к 20 годам тюремного заключения.

AlphaBay, Hansa и другие соучастники преступлений

Это был не первый раз, когда крупнейший рынки даркнета закрывались практически одновременно. После громкого падения Silk Road в 2013 году, аналогичная судьба в ноябре 2014 года постигла его преемника Silk Road 2.0 и другие нелегальные платформы, закрытые в рамках масштабной международной операции Onymous.

История Silk Road: как биткоин вывел даркнет-экономику на новый уровень

Позже схожую судьбу разделили Agora, которая добровольно прекратила деятельность в 2015 году, а затем и AlphaBay, доминировавший в течение 2015-2016 годов. Последний в 10 раз превосходил Silk Road по своим размерам и был ликвидирован правоохранительными органами в 2017 году. Его закрытие назвали крупнейшей на то время операцией против нелегального онлайн-рынка в истории. При этом утверждалось, что произошло оно по прямому распоряжению президента США Дональда Трампа.

«Он [Трамп] дал нам несколько указаний. Одно из них заключалось в закрытии международных преступных организаций, действующих в интернете. Именно об этом мы и хотим сегодня сообщить – о закрытии крупнейшего на сегодняшний день сайта в даркнете», — сказал тогда бывший генеральный прокурор США Джефф Сешнс.

В ходе операции против AlphaBay была установлена личность администратора сайта – им оказался резидент Канады Александр Казес. В июле 2017 года он был арестован в Таиланде и в скором времени найден мертвым в одной из тюрем Бангкока. Предположительная причина смерти Казеса — самоубийство.

Одной из платформ, на которую мигрировали пользователи AlphaBay, была Hansa, однако там их уже поджидали сотрудники полиции Нидерландов. В истории с Hansa примечателен тот факт, что получив осенью 2016 года наводку, правоохранители решили не просто ликвидировать один из нелегальных рынков, а тайно его захватить и нанести удар по всей индустрии даркнета. Операция, в которой также приняли участие правоохранительные органы США, Германии и Литвы, получила кодовое название «Штык» и завершилась не получившим огласки арестом администраторов Hansa и последующим взятием платформы под контроль властей.

Терпеливый сбор информации и наблюдение за деятельностью Hansa принесли свои плоды в апреле 2017 года, когда один из администраторов использовал для осуществления транзакции биткоин-адрес, ранее засветившийся в чате пользователей маркетплейса. При помощи ПО Chainalysis было установлено, что криптовалюта прошла через компанию в Нидерландах и осела на счете другой фирмы в Литве.

Это позволило осуществить арест подозреваемых и начать скачивать данные с серверов и переводить их на подконтрольные полиции Нидерландов, а также переписать код сайта, чтобы иметь возможность следить за действиями пользователей. Произошедших перемен последние попросту не заметили.

Герт Рас и Маринус Бокело — руководители операции «Штык». Фото: Wired.

Полиция Нидерландов заявила, что операция по захвату Hansa оказалась самой успешной атакой против даркнет-площадок в истории. Правоохранители получили информацию о 420 тысячах пользователей, в том числе около 10 тысяч домашних адресов, и передали их в Европол для распространения по всем полицейским отделениям в Европе и мире. Также они арестовали 10 членов руководства Hansa и вывели около 1200 биткоинов (подробнее об этой истории читайте по ссылке).

Еще одним примером успешной совместной деятельности правоохранительных органов из разных стран стало закрытие CyberBunker – одного из крупнейших в мире хостера даркнет-сайтов, в том числе упоминавшегося выше Wall Street Market.

Располагавшийся в ранее принадлежавшем немецкой армии хорошо укрепленном подземном бункере глубиной в пять этажей на границе Германии и Бельгии, CyberBunker был детищем эксцентричного голландца Германа-Йохана Зента (Herman-Johan Xennt). За чуть более высокую цену Зент гарантировал максимально надежную защиту материалов клиентов, даже если в них содержится деликатный или запрещенный контент.

CyberBunker предлагал клиентам «пуленепробиваемый» хостинг. Фото: The New Yorker.

В начале 2000-х основанная Зентом компания участвовала в массовых спам-рассылках фишинговых сайтов и предоставляла хостинг для сайтов по продаже лекарств без рецептов. Тогда же CyberBunker хостила проект WikiLeaks Джулиана Ассанжа.

Другой известный клиент, The Pirate Bay, хостился на CyberBunker вплоть до 2010 года, когда суд Гамбурга обязал компанию прекратить сотрудничество с пиратским сайтом.

В 2014 году проект хостил даркнет-платформу Cannabis Road, а с 2016 по 2018 год — форум Fraudsters, занимающийся мошенничеством с поддельными паспортами и деньгами.

С 2015 по 2018 годы среди клиентов CyberBunker была даркнет-площадка Flugsvamp, на которую приходилось до 90% всей онлайн-торговли запрещенными веществами в Швеции.

Самым же крупным клиентом стал WSM — с 2016 по 2019 годы оборот проданных на нем препаратов превысил 36 млн евро.

Зент был арестован 26 сентября 2019 года в результате рейда немецкого спецназа. Впервые в истории Германии полиция задержала не самих торговцев в даркнете, а тех, кто сделал их преступления возможными (подробнее об этой истории читайте по ссылке).

Владелец и оператор CyberBunker Герман-Йохан Зент. Фото: The Sunday World.

В этой же категории «соучастников преступлений» оказался и информационный сайт о даркнете Deep Dot Web. В мае 2019 года власти США предъявили его предполагаемым совладельцам и администраторам, гражданам Израиля Тэлу Прихару и Майклу Фану, обвинения в отмывании денег. Предполагается, что они размещали реферальные ссылки на рынки незаконных товаров в даркнете и зарабатывали на комиссиях (2-4%) с осуществляемых пользователями покупок. По мнению следствия, с ноября 2014 года по апрель 2019 года Прихар и Фан заработали 8155 BTC.

Одним из последних маркетплейсов, канувших в небытие, стал Empire Market. По некоторым сведениям, его администраторы еженедельно переводили организатору DDoS-атак до $15 тысяч за ненападение, но появился другой заинтересованный нападающий, вынудив их закрыть рынок.

Бизнес-модели и методы защиты могут меняться, но изобретательности создателям даркнет-рынков не занимать. Как показывает история, после закрытия одного рынка его место под солнцем занимают несколько конкурирующих, спеша удовлетворить спрос на незаконные товары, а правоохранители вновь начинают охоту.

Подписывайтесь на новости ForkLog в Telegram: ForkLog FEED — вся лента новостей, ForkLog — самые важные новости и опросы.