Как полиция Нидерландов тайно управляла Hansa Market и превратила бегство с AlphaBay в ловушку
Летом 2017 года пользователи одного из крупнейших darknet markets продолжали покупать товары, продавцы принимали заказы, внутренняя переписка работала, аккаунты открывались как обычно, а внешне сама площадка почти не изменилась. Было только одно отличие, о котором не знали ни покупатели, ни большинство продавцов: настоящие администраторы Hansa Market уже находились под арестом, серверная инфраструктура была захвачена, а управление площадкой перешло к полиции Нидерландов.
Правоохранительные органы могли выключить Hansa сразу. Вместо этого они сделали противоположное. Площадку оставили работать, перенесли на подконтрольные полиции серверы и в течение нескольких недель наблюдали за происходящим изнутри. Затем произошло почти идеальное совпадение двух международных расследований: США готовились уничтожить AlphaBay, крупнейший darknet market того времени. Когда AlphaBay внезапно исчез, тысячи его пользователей начали искать замену и массово пришли на Hansa, не подозревая, что входят на рынок, которым уже управляют правоохранительные органы. FBI позднее прямо называло совместную операцию против AlphaBay и Hansa одной из наиболее сложных и скоординированных операций против darknet markets на тот момент.
История Hansa стала одним из редких случаев, когда полиция не просто наблюдала за нелегальным рынком и не просто конфисковала его серверы. На некоторое время правоохранительные органы фактически превратились в администрацию действующей площадки. Они видели внутренние процессы, получали сведения о заказах и пользователях и дождались момента, когда уничтожение другого крупного рынка само направит новую аудиторию прямо в их руки.
Материал подготовлен на основе информации из открытых источников. Часть сведений, дат, оценок и описаний событий может быть неполной, устаревшей или не соответствовать действительности. Мы стараемся сопоставлять данные из разных источников, однако не можем гарантировать абсолютную точность всей опубликованной информации.
Hansa до захвата
К 2017 году Hansa входил в число крупнейших международных darknet markets. Europol называл его третьим по размеру криминальным рынком даркнета на момент операции. Площадка использовала Tor, принимала криптовалюту и служила посредником между продавцами и покупателями различных незаконных товаров и услуг. В отличие от некоторых универсальных рынков, Hansa не разрешал продажу оружия и материалов с сексуальным насилием над детьми, однако торговля наркотиками составляла значительную часть его активности.
Официальные данные голландской прокуратуры позволяют представить масштаб площадки непосредственно перед закрытием. На Hansa размещалось около 40 тысяч объявлений, а в течение предыдущего года на рынке действовали 1765 различных продавцов. В обычный период через площадку проходило примерно тысяча заказов в день. Это ещё не был уровень AlphaBay, который обслуживал более 200 тысяч пользователей и около 40 тысяч продавцов, однако Hansa был достаточно большим, чтобы после исчезновения лидера рынка стать одним из наиболее очевидных направлений миграции его аудитории.
Именно эта роль сделает Hansa особенно ценным для полиции. Но первоначально голландские следователи не знали, что через несколько месяцев получат возможность использовать площадку в качестве ловушки для пользователей другого рынка. Расследование началось как отдельная операция.
2016 год. Первый след
В 2016 году Europol передал голландским властям техническую зацепку, полученную при содействии компании Bitdefender. Она позволила начать поиск инфраструктуры Hansa. Europol позднее официально подтвердил, что именно этот материал стал отправной точкой голландского расследования. Последующая работа позволила обнаружить серверы, связанные с площадкой, и установить связь с двумя предполагаемыми администраторами в Германии.
Более подробная картина появилась позднее благодаря интервью сотрудников National High Tech Crime Unit изданию WIRED. По их рассказу, исследователи обнаружили сервер, связанный с разработкой Hansa. В отличие от основной скрытой инфраструктуры, он оказался доступен таким образом, что позволил определить его реальное расположение. Наблюдение за ним привело следователей к другим частям системы. Полиция получила копии серверных данных, включая огромные объёмы внутренней информации и переписки.
Особенно важной оказалась переписка предполагаемых администраторов. Несмотря на псевдонимы пользователей и использование Tor, внутри полученного массива сохранились разговоры, содержащие сведения, которые помогли связать аккаунты администраторов с реальными людьми. В позднейшей реконструкции WIRED фигурируют около 17 тысяч сообщений между двумя предполагаемыми операторами Hansa. В некоторых из них присутствовали настоящие имена, а в одном случае и домашний адрес. Именно сочетание технической ошибки и обычной человеческой переписки позволило следствию выйти за пределы псевдонимов.
Но операция едва не закончилась значительно раньше.
Hansa исчезает из-под наблюдения
Пока полиция изучала найденную инфраструктуру, серверы Hansa внезапно перестали отвечать по прежнему расположению. По воспоминаниям голландских следователей, администрация перенесла рынок на другую инфраструктуру. Сотрудники полиции не знали наверняка, произошло ли это из-за подозрений администрации или являлось обычной миграцией, но результат был одинаковым: возможность быстро получить полный контроль над площадкой исчезла.
К этому моменту реальные предполагаемые администраторы уже были известны немецким властям. Более того, они находились в поле зрения Германии в рамках отдельного дела, связанного с сайтом Lul.to, где продавались пиратские электронные книги и аудиокниги. Самым простым вариантом было арестовать подозреваемых и закрыть Hansa после обнаружения новой инфраструктуры.
Голландская полиция решила иначе.
Именно здесь расследование перестало быть обычной операцией по закрытию darknet market. Следователи захотели не просто уничтожить Hansa, а заменить его администрацию собой. Для этого необходимо было одновременно убрать настоящих операторов, получить доступ к актуальной инфраструктуре и сделать всё так, чтобы тысячи пользователей площадки не поняли, что произошло.
На протяжении следующих месяцев полиция продолжала искать серверы.
Апрель 2017 года. Hansa находят второй раз
Новая возможность появилась весной 2017 года. По реконструкции WIRED, следователи сопоставили криптовалютную операцию с информацией, которая ранее присутствовала в переписке администраторов. Анализ привёл к платёжному сервису, а затем к хостинговой компании в Литве. Таким образом полиция получила новый след к актуальной инфраструктуре Hansa.
Официальные материалы подтверждают конечный результат: серверы Hansa действительно находились в Литве, а международное расследование затронуло инфраструктуру в Нидерландах, Германии и Литве. К этому времени план уже заключался не в простом выключении сайта. Полиция готовилась полностью перехватить управление рынком.
И примерно тогда же голландская сторона узнала о другом расследовании, которое радикально увеличивало ценность такого плана.
США приближались к AlphaBay.
AlphaBay. Главный рынок мира
AlphaBay был намного крупнее Hansa. Площадка появилась в конце 2014 года и за несколько лет превратилась в крупнейший darknet market своего времени. По данным FBI, перед закрытием AlphaBay заявлял о более чем 200 тысячах пользователей и 40 тысячах продавцов. На рынке находилось свыше 250 тысяч объявлений, связанных с наркотиками и токсичными химическими веществами, и более 100 тысяч предложений других незаконных товаров и услуг. Для сравнения, Silk Road во время закрытия в 2013 году насчитывал около 14 тысяч объявлений.
Американское расследование вышло на 25-летнего гражданина Канады Александра Казеса, жившего в Таиланде. Власти США связывали его с аккаунтами Alpha02 и Admin и считали создателем и главным администратором AlphaBay. Операция требовала международной координации: серверы и связанные активы находились в разных странах, а самого Казеса необходимо было задержать так, чтобы получить доступ к важным цифровым устройствам до того, как они окажутся заблокированы или зашифрованы.
Когда американская и голландская группы сопоставили свои планы, появилась редкая возможность. Если Hansa окажется под контролем полиции раньше, чем исчезнет AlphaBay, пользователи крупнейшего рынка мира сами начнут искать альтернативу. Hansa уже был одним из крупнейших вариантов.
Вместо двух независимых закрытий возникла единая стратегия.
20 июня. Настоящие администраторы исчезают
20 июня 2017 года началась ключевая часть операции. Немецкие правоохранительные органы задержали двух предполагаемых администраторов Hansa. Официально голландская прокуратура описывала их как мужчин 30 и 31 года из Германии. После ареста они содержались под стражей и могли контактировать только со своими адвокатами.
Операция была заранее синхронизирована. Пока немецкая полиция проводила задержания, голландские сотрудники приступили к захвату серверной инфраструктуры в Литве. По позднейшему рассказу участников операции WIRED, задержания специально старались провести в момент, когда компьютеры подозреваемых были доступны следствию. После сигнала из Германии начался перенос Hansa на инфраструктуру, подготовленную полицией Нидерландов.
Официальная версия голландской прокуратуры описывает произошедшее достаточно ясно: сразу после ареста администраторов литовские серверы и связанная с ними инфраструктура были изъяты, после чего точная копия Hansa была перенесена на серверы в Нидерландах. Покупатели и продавцы могли продолжать пользоваться сайтом и не видели, что управление площадкой перешло к полиции и прокуратуре.
По реконструкции WIRED, полный перенос занял примерно три дня. Даже модераторы Hansa сначала не заметили подмены администрации. Для пользователя сайт выглядел так же, как раньше. Каталог оставался на месте, аккаунты работали, продавцы продолжали получать заказы.
Hansa не был закрыт.
Он сменил владельца.
Полиция входит в административную панель
Получив контроль, голландские следователи оказались в положении, которое редко возникает даже во время крупных киберопераций. Они больше не наблюдали за рынком снаружи. Они контролировали его программный код, серверы и административные функции.
Официальная голландская прокуратура позднее сообщила, что полиция получила возможность перехватывать имена пользователей и пароли, десятки тысяч незашифрованных сообщений о заказах и, во многих случаях, адреса доставки. Эти сведения собирались во время обычной работы рынка, пока пользователи считали Hansa безопасной анонимной площадкой.
Позднейшие интервью участников операции раскрыли дополнительные детали. Следователи изменяли отдельные функции сайта таким образом, чтобы информация становилась доступна до применения предусмотренной площадкой защиты. Например, когда пользователь полагался на встроенные функции Hansa для шифрования сообщения, полиция могла получить текст до того, как он превращался в зашифрованные данные. Аналогично исследовалась информация, содержащаяся в загружаемых продавцами изображениях.
Здесь возникает важное различие, которое позднее часто терялось в пересказах этой истории. Полиция не взломала сам PGP и не «сломала Tor». Она получила контроль над конечной системой, на которой пользователь вводил информацию до её шифрования или после её расшифровки. Для сообщений, которые участники самостоятельно шифровали до отправки, ситуация принципиально отличалась от использования встроенной функции сайта.
История Hansa оказалась демонстрацией старого принципа информационной безопасности: сильное шифрование мало помогает, если противник контролирует устройство или сервис в точке, где данные существуют в открытом виде.
Рынок продолжает торговать
Эта часть операции остаётся одной из самых необычных. После перехвата управления Hansa продолжал работать как реальный darknet market. Покупатели размещали заказы. Продавцы их принимали. Транзакции продолжались. Значительная часть торговли была связана с наркотиками.
Голландская прокуратура сообщила, что после перехода Hansa под контроль полиции на площадке были зарегистрированы более 50 тысяч транзакций. В среднем рынок обрабатывал около тысячи заказов ежедневно. Эти показатели и более поздние подсчёты отдельных исследователей могут различаться из-за того, что под «транзакцией» и «заказом» учитывались разные события, поэтому корректнее использовать официальные цифры без попытки свести их к одному показателю.
Продолжение работы рынка создавало очевидный вопрос: полиция фактически знала, что через подконтрольную ей инфраструктуру совершаются незаконные сделки, но сознательно не закрывала её сразу. Позднее сотрудники, участвовавшие в операции, объясняли WIRED эту логику тем, что соответствующие сделки всё равно переместились бы на другой рынок, тогда как сохранение Hansa давало возможность установить продавцов и покупателей. Это было обоснованием самих участников операции, а не бесспорной оценкой её этической стороны.
В Нидерландах часть информации использовалась и непосредственно для предотвращения отдельных поставок. Прокуратура сообщала, что более 500 голландских адресов доставки передали почтовым и курьерским компаниям с целью перехвата отправлений. Некоторые посылки действительно удалось обнаружить.
Но главный урожай операции полиция ещё только собиралась получить.
AlphaBay пока продолжал работать.
Начало июля. Ловушка подготовлена
Американская и голландская операции теперь были связаны временем. Правоохранительные органы не хотели преждевременно раскрывать захват Hansa. Если пользователи узнают, что один из крупнейших рынков контролируется полицией, они просто уйдут на другие ресурсы. Поэтому исчезновение AlphaBay также некоторое время не объясняли публично.
Это подтверждается официальным сообщением прокуратуры Нидерландов: уничтожение AlphaBay намеренно сохраняли в тайне, чтобы не помешать продолжающемуся расследованию Hansa.
4 июля AlphaBay перестал нормально работать. На следующий день, 5 июля 2017 года, власти Таиланда по запросу США задержали Александра Казеса. В разных официальных материалах момент технического отключения площадки описывается как события «начала июля», тогда как дата ареста Казеса установлена точно: 5 июля. 12 июля его нашли мёртвым в тайской тюрьме; американские власти сообщили о предполагаемом самоубийстве.
Для пользователя AlphaBay всё выглядело как внезапное исчезновение огромного рынка. О масштабах международной операции публично ещё не объявляли.
Началась миграция.
Пользователи AlphaBay идут на Hansa
Это был момент, ради которого голландские следователи не выключили площадку 20 июня.
Тысячи продавцов и покупателей AlphaBay начали искать новый рынок. Одним из очевидных кандидатов был Hansa. FBI позднее прямо написало, что после закрытия AlphaBay его пользователи и продавцы массово перешли на Hansa, считая, что их личности там будут скрыты. В действительности Hansa уже несколько недель находился под контролем голландской полиции.
Масштаб миграции хорошо виден по официальной статистике Нидерландов. До исчезновения AlphaBay Hansa посещали примерно тысяча человек в день. После отключения конкурента показатель вырос приблизительно до восьми тысяч посетителей ежедневно. То есть трафик увеличился примерно в восемь раз.
Для полиции это был результат, который было практически невозможно получить обычным расследованием. Вместо поиска пользователей крупнейшего darknet market по всему интернету значительная часть этой аудитории сама зарегистрировалась или продолжила деятельность на площадке, инфраструктуру которой уже полностью контролировали правоохранительные органы.
FBI позднее характеризовало стратегию предельно ясно: AlphaBay закрыли, его пользователи «хлынули» на Hansa, где их уже ждали голландские партнёры.
Именно поэтому операция против AlphaBay и Hansa стала намного более значимой, чем два одновременно конфискованных сайта. Один рынок использовали для усиления эффекта от уничтожения другого.
Пользователь видел Hansa. Полиция видела пользователя
Внешне ничего необычного не происходило. Продавец заходил в аккаунт. Покупатель выбирал объявление. Они общались и оформляли заказ. С точки зрения интерфейса это всё ещё был привычный darknet market.
С точки зрения полиции ситуация выглядела противоположно.
Следователи находились внутри системы и могли наблюдать за тем, как пользователи создают аккаунты, совершают сделки и общаются. Нидерландская прокуратура официально сообщила о перехвате пользовательских имён и паролей, а также десятков тысяч сообщений между продавцами и покупателями. Во многих заказах удалось установить адрес доставки.
Позднейшая техническая реконструкция показывает, насколько далеко заходило наблюдение. Полиция использовала доступ администратора для сбора информации, которую обычный внешний наблюдатель не увидел бы. Некоторые пользователи полагались на сам сайт для выполнения защитных операций и тем самым предоставляли информацию инфраструктуре до того, как она становилась защищённой.
Это одна из ключевых причин, почему история Hansa до сих пор остаётся важной. Tor продолжал скрывать сетевое соединение пользователя. Криптографические алгоритмы продолжали работать. Но пользователи доверяли самому сайту.
А сайт уже принадлежал полиции.
10 тысяч адресов
20 июля голландские власти раскрыли часть результатов операции. Около 10 тысяч иностранных адресов покупателей Hansa были переданы Europol для последующей отправки правоохранительным органам соответствующих стран. Более 500 адресов внутри Нидерландов отдельно передали почтовым и курьерским службам для попыток остановить отправления.
Важно не превращать эти цифры в утверждение, будто полиция установила личности каждого пользователя Hansa. Этого официальные документы не говорят. Адрес доставки мог быть связан с конкретным заказом, но аккаунты, наблюдавшиеся во время операции, имели разный объём идентифицирующей информации.
Позднейшее расследование WIRED сообщало, что полиция получила определённые данные примерно о 420 тысячах аккаунтов Hansa. Эта цифра относится именно к данным об аккаунтах, а не к 420 тысячам полностью идентифицированных людей. Официально подтверждённый результат, который можно сформулировать без оговорок, значительно конкретнее: были перехвачены пользовательские данные и сообщения, а Europol получил около 10 тысяч иностранных адресов доставки.
И эти данные не отправились в архив после закрытия рынка.
Они стали материалом для новых расследований.
20 июля. Hansa наконец закрывается
20 июля 2017 года операция перестала быть тайной. Полиция отключила Hansa и заменила обычную страницу площадки специальным сообщением о расследовании. В тот же день США, Нидерланды и Europol публично объявили результаты скоординированных действий против AlphaBay и Hansa.
К этому моменту с первоначального перехвата управления Hansa прошёл месяц. Сам скрытый режим полноценного управления после завершения переноса площадки на голландские серверы продолжался примерно 27 дней, согласно позднейшей реконструкции участников операции. Именно поэтому в разных источниках можно встретить формулировки «месяц под контролем полиции» и «27 дней полицейского управления». Они описывают разные точки отсчёта: операция по захвату началась 20 июня, перенос занял около трёх дней, а окончательно Hansa выключили 20 июля.
Для пользователей появилась неприятная ретроспективная неопределённость. Теперь любой человек, использовавший Hansa после 20 июня, должен был исходить из того, что его действия могли наблюдаться правоохранительными органами.
Особенно болезненным это было для бывших пользователей AlphaBay. Многие пришли на Hansa именно потому, что первая площадка внезапно исчезла.
Получалось, что бегство от полицейской операции привело часть аудитории прямо внутрь другой полицейской операции.
Почему AlphaBay закрыли раньше
Если рассматривать Hansa отдельно, решение не выключать захваченный рынок выглядит необычно. В связке с AlphaBay стратегия становится понятнее.
Американские следователи знали, что закрытие крупнейшего darknet market неизбежно вызовет миграцию. Такое происходило и раньше. После исчезновения Silk Road пользователи просто переходили к новым площадкам. Само закрытие сайта не уничтожало сообщество продавцов и покупателей.
В 2017 году правоохранительные органы впервые получили возможность использовать этот предсказуемый механизм против самих пользователей.
Hansa находился под контролем полиции ещё до падения AlphaBay. Поэтому вместо попытки остановить миграцию её позволили произойти. Голландская прокуратура прямо сообщала, что информация о судьбе AlphaBay сохранялась в тайне именно для того, чтобы исследование Hansa могло продолжаться без помех.
Так обычная слабость операций против darknet markets превратилась в их преимущество. Раньше правоохранители закрывали один рынок и наблюдали, как аудитория уходит к следующему.
Теперь следующий рынок уже принадлежал им.
Операция Bayonet
Совместные действия получили название Operation Bayonet. В официальных американских материалах этим названием обозначалась операция против AlphaBay, включавшая координацию с захватом Hansa голландскими властями. Europol выполнял центральную роль в обмене информацией между многочисленными государствами.
Масштаб международного взаимодействия был значительным. В операции против AlphaBay участвовали структуры США, Таиланда, Нидерландов, Литвы, Канады, Великобритании и Франции при поддержке Europol. Параллельное расследование Hansa требовало сотрудничества Нидерландов, Германии и Литвы. Серверы находились в одних странах, подозреваемые жили в других, а пользователи находились по всему миру.
В результате правоохранительные органы одновременно устранили крупнейший рынок мира и один из его главных альтернативных центров. Но настоящая ценность Hansa заключалась в том, что перед уничтожением площадка почти месяц работала как разведывательная система.
Данные начинают работать после закрытия
Закрытие Hansa 20 июля не означало завершение дела. Огромный массив полученной информации начал расходиться между различными правоохранительными ведомствами. Europol ожидал, что действия против AlphaBay и Hansa породят сотни новых расследований по всему миру. FBI также прямо говорило о вероятности появления множества новых дел благодаря собранным данным.
Одним из хорошо документированных примеров стали события в Нидерландах в марте 2018 года. Голландская полиция задержала четырёх человек, которых связывала с крупным продавцом Hansa под псевдонимом Doug-Heffernan и рядом других аккаунтов. Прокуратура прямо сообщила, что именно информация, полученная во время захвата Hansa, помогла установить предполагаемых людей, стоявших за этими аккаунтами. После операции 2017 года они исчезли с Hansa, но через несколько месяцев, по версии следствия, создали новые продавецкие аккаунты на Dream Market. Полиция продолжила наблюдение и впоследствии провела задержания.
Этот случай хорошо показывает реальную продолжительность операции. Для пользователя Hansa закончился 20 июля 2017 года. Для следователей он продолжал существовать в виде накопленных данных ещё месяцы и годы.
Именно поэтому seizure banner не всегда означает конец расследования.
Иногда это только момент, когда скрытая часть операции становится публичной.
Полиция не взламывала Tor
Вокруг истории Hansa со временем появилось несколько упрощённых объяснений. Одно из наиболее распространённых сводится к тому, что полиция якобы «взломала Tor» и благодаря этому обнаружила рынок.
Доступные материалы этого не подтверждают.
Исследование началось с обнаружения связанной серверной инфраструктуры и ошибок, позволивших выйти на реальные хосты. Затем анализ серверов и внутренней переписки помог установить предполагаемых администраторов. Когда рынок перенесли, полиция продолжила расследование и снова нашла инфраструктуру, на этот раз в Литве. Tor как протокол не требовалось ломать. Следователи нашли ошибки вокруг системы, которую Tor защищал.
Это различие важно. Сильная анонимизирующая технология не устраняет человеческие ошибки, плохо изолированную инфраструктуру, платежные следы или информацию, оставленную администраторами в переписке.
Hansa пал не потому, что Tor внезапно перестал выполнять свою функцию.
Проблемой оказалась вся система вокруг него.
Полиция не взламывала PGP
Второй распространённый миф касается шифрования сообщений. После публикации информации о перехвате переписки иногда утверждалось, что операция продемонстрировала возможность полиции расшифровывать PGP.
Это также неверно.
Следователи получили административный контроль над самим сайтом. Если пользователь вводил обычный текст и полагался на встроенный механизм Hansa, который должен был затем его зашифровать, сервер мог сохранить копию текста до шифрования. Криптографический алгоритм при этом не ломался.
Поэтому ситуация принципиально отличалась от сообщения, зашифрованного пользователем самостоятельно до того, как оно попало на Hansa. Полиция использовала контроль над площадкой, а не неизвестный способ математического взлома PGP.
Эта деталь стала одним из наиболее важных технических уроков операции. Пользователь может правильно использовать Tor и надёжное шифрование, но если доверяет выполнение критической операции сервису, который уже контролирует противник, свойства всей системы меняются.
Hansa не был создан полицией
Ещё одно заблуждение возникает из-за знаменитой формулировки «полицейский darknet market». Полиция Нидерландов не создавала Hansa как приманку с самого начала.
Это была действующая площадка с настоящими администраторами, продавцами и многолетней историей. Следователи получили контроль над существующим рынком 20 июня 2017 года после задержания предполагаемых администраторов и изъятия инфраструктуры. Уже после этого точная копия сайта была перенесена на подконтрольные полиции серверы.
То, что произошло дальше, больше напоминало тайную замену экипажа корабля во время плавания. Судно продолжало идти по тому же маршруту, пассажиры не заметили смены капитана, но в рубке уже находились совершенно другие люди.
AlphaBay не закрывали случайно одновременно с Hansa
Совпадение двух операций тоже не было случайностью. Расследования начинались независимо, но после того как голландская полиция подготовила захват Hansa, а американские власти приблизились к AlphaBay, действия были скоординированы.
Официальные американские и европейские материалы подчёркивают именно эту координацию. Europol выступал связующим центром, а закрытие AlphaBay произошло так, чтобы голландская сторона могла продолжать скрытое наблюдение за Hansa.
Результат оказался почти учебным примером управления миграцией пользователей. После исчезновения одного рынка аудитория сделала именно то, что обычно делает аудитория закрытого darknet market: пошла к конкуренту.
Только конкурент уже был ловушкой.
Что операция изменила
До Hansa классическая модель полицейской операции выглядела относительно просто. Найти администратора, обнаружить сервер, изъять инфраструктуру, показать seizure banner. Пользователь заходил утром и видел, что рынок исчез.
Hansa продемонстрировал другой подход. Обнаруженную инфраструктуру можно не уничтожать сразу. При определённых юридических условиях её можно превратить в источник разведданных и продолжить наблюдение за системой изнутри.
Для darknet-сообщества это создавало гораздо более серьёзную проблему доверия. После обычного закрытия хотя бы понятно, какой рынок контролирует полиция: тот, на котором висит соответствующий баннер. После Hansa возникал другой вопрос: а что, если рынок, который работает сегодня абсолютно нормально, уже захвачен?
Именно психологический эффект Europol и голландские власти также называли частью результата операции. Пользователи, считавшие darknet markets практически недосягаемыми для полиции, получили доказательство того, что правоохранительные органы способны находиться внутри инфраструктуры длительное время, не раскрывая своего присутствия.
Парадокс заключался в том, что внешне безопаснее всего Hansa выглядел именно тогда, когда был полностью скомпрометирован.
Хронология операции
2016 год. Europol при содействии Bitdefender передаёт полиции Нидерландов техническую зацепку по Hansa. Расследование приводит к инфраструктуре рынка и двум предполагаемым администраторам в Германии.
Конец 2016 года. Следователи получают значительный объём серверных данных и внутренней переписки. Администрация Hansa позднее переносит инфраструктуру, и полиция временно теряет возможность быстро захватить действующий рынок.
Весна 2017 года. Следствие снова выходит на серверную инфраструктуру Hansa, на этот раз в Литве. Начинается подготовка к скрытому захвату.
20 июня 2017 года. В Германии задерживают двух предполагаемых администраторов. Серверы Hansa и связанная инфраструктура изымаются. Начинается перенос точной копии рынка на серверы полиции Нидерландов.
Примерно 23 июня. По позднейшей реконструкции участников операции, перенос завершён. Hansa полностью работает на подконтрольной полиции инфраструктуре. Пользователи и большинство участников площадки об этом не знают.
Начало июля. США начинают финальную фазу операции против AlphaBay. Информация о происходящем не раскрывается публично, чтобы не помешать наблюдению за Hansa.
4–5 июля. AlphaBay перестаёт работать. 5 июля в Таиланде задерживают Александра Казеса, которого США считают создателем и администратором площадки.
Следующие дни. Значительная часть пользователей AlphaBay переходит на Hansa. Число ежедневных посетителей Hansa увеличивается примерно с одной тысячи до восьми тысяч.
12 июля. Казес умирает в тайской тюрьме; американские власти сообщают о предполагаемом самоубийстве.
20 июля. Hansa отключают. Вместо магазина пользователи видят страницу полиции. В тот же день США, Нидерланды и Europol публично раскрывают масштаб операций против Hansa и AlphaBay.
Месяц, когда Hansa существовал дважды
История Hansa особенно необычна тем, что в течение нескольких недель существовало как будто две версии одной площадки.
Для пользователя это был прежний darknet market. Те же аккаунты, каталог, интерфейс и продавцы. Сделки продолжались, сообщения отправлялись, заказы оформлялись.
Для полиции это была система наблюдения.
Это различие практически невозможно было определить по внешнему виду сайта. Именно поэтому операция оказалась настолько эффективной. Она использовала главное условие существования любого централизованного darknet market: пользователь должен доверять администрации.
20 июня администрация изменилась.
Доверие осталось.
Наследие Hansa
Hansa не был крупнейшим darknet market в истории. По масштабам его значительно превосходили и AlphaBay, и позднее Hydra. Но в истории противостояния правоохранительных органов и анонимных рынков Hansa занимает особое место.
Операция показала, что закрытие сайта является только одним из вариантов. Иногда для расследования значительно ценнее оставить его работающим. Она показала, что даже полноценный Tor-сервис может быть раскрыт без взлома Tor, если ошибки в инфраструктуре или действия администраторов создают другие точки входа. Она показала, что криптография защищает содержимое только в тех точках, где пользователь действительно контролирует процесс шифрования.
И главное, она показала, насколько предсказуемо ведёт себя рынок после уничтожения лидера.
После Silk Road пользователи перешли на другие площадки. После AlphaBay они сделали то же самое. Разница заключалась лишь в том, что в июле 2017 года полиция заранее знала, куда придёт значительная часть этой аудитории. Потому что уже находилась там.
20 июня настоящие администраторы Hansa потеряли контроль над рынком. Ещё месяц тысячи пользователей продолжали заходить на сайт так, будто ничего не произошло. А 20 июля они узнали, кто всё это время сидел по другую сторону административной панели.
Комментарии