Hansa Market. Bazar przejęty przez policję, który działał dalej

blackweb.pl 7 min
hansa-market operation-bayonet alphabay tor dark-web historia

20 lipca 2017 użytkownicy Hansa Market zobaczyli planszę holenderskiej policji. Dla części z nich był to drugi taki ekran w ciągu dwóch tygodni. Najpierw zniknął AlphaBay, wtedy największy bazar w sieci Tor. Teraz przestała działać Hansa, do której uciekli jego sprzedawcy i klienci.

Problem polegał na tym, że Hansa nie należała już wtedy do swoich administratorów. Od 20 czerwca prowadziła ją policja.

Przez 27 dni zamówienia przechodziły przez serwery kontrolowane przez holenderski Team High Tech Crime. Konta dało się zakładać, depozyty działały, moderatorzy odpowiadali na wiadomości. Serwis wyglądał tak samo jak wcześniej. Po drugiej stronie siedzieli jednak śledczy, którzy kopiowali dane i czekali na ruch po zamknięciu konkurencji.

To była cierpliwa pułapka. Jej najważniejszym elementem nie okazało się złamanie Tora. Policja przejęła miejsce, któremu ludzie ufali, i pozwoliła im samym przynieść brakujące informacje.

Bazar po Silk Road

Hansa wystartowała w 2015 roku. Weszła w przestrzeń, którą po zamknięciu Silk Road zapełniały kolejne rynki: Agora, Evolution, AlphaBay i dziesiątki mniejszych serwisów. Model był już znany. Sprzedawca wystawiał ofertę, kupujący wpłacał bitcoiny do depozytu, a po dostawie zwalniał środki. Reputację budowały komentarze i historia transakcji.

Nie trzeba było znać nazwiska sprzedawcy. Wystarczał nick, stare konto i kilka stron dobrych opinii. Ta proteza zaufania działała do chwili, w której administrator znikał z pieniędzmi albo serwer przejmowały służby.

Hansa miała własny regulamin. Zakazywała między innymi ofert broni i materiałów przedstawiających seksualne wykorzystywanie dzieci. Głównym towarem pozostawały narkotyki. Były też fałszywe dokumenty, skradzione dane oraz złośliwe oprogramowanie. Holenderska prokuratura podała po operacji, że na rynku widniało około 40 tysięcy ofert. W 2016 roku działało tam 1765 sprzedawców.

Serwis nie był największy. AlphaBay miał znacznie większy katalog i setki tysięcy kont. Hansa wystarczająco długo trzymała się jednak bez większego skandalu, żeby zdobyć coś cenniejszego od zasięgu: opinię przewidywalnego miejsca. W podziemnym handlu to dużo. Czasem za dużo.

Serwer, który nie powinien odpowiadać

Śledztwo ruszyło jesienią 2016 roku od informacji o serwerze powiązanym z Hansą. Według relacji funkcjonariuszy opublikowanej później przez WIRED chodziło o środowisko używane do prac nad serwisem. Nie było ukryte tak dobrze jak produkcyjna część rynku.

Policja dostała dostęp do infrastruktury w holenderskim centrum danych i obserwowała jej połączenia. Trop prowadził dalej, do maszyn w Niemczech i na Litwie. W starych logach komunikatora administratorzy zostawili dane, które dało się połączyć z dwiema osobami z niemieckiego Siegen.

To mało efektowny rodzaj błędu. Nie ma złamanej kryptografii ani tajnej podatności w Torze. Jest zapomniany serwer, archiwalne logi i kilka informacji, które przetrwały dłużej, niż zakładali właściciele.

20 czerwca 2017 niemiecka policja zatrzymała dwóch podejrzanych administratorów, w wieku 30 i 31 lat. W tym samym czasie zabezpieczono serwery na Litwie. Holendrzy przenieśli dokładną kopię Hansa Market na własną infrastrukturę. Według prokuratury kupujący i sprzedawcy nie zauważyli zmiany.

Policja nie postawiła planszy z odznaką. Zalogowała się jako administrator.

27 dni pod nowym zarządem

Przejęcie serwera dawało dostęp do bazy, kodu i panelu. Nie odsłaniało automatycznie każdego człowieka za pseudonimem. Połączenia nadal szły przez Tor, a część wiadomości użytkownicy szyfrowali za pomocą PGP. Śledczy zaczęli więc zmieniać działający serwis.

Hansa oferowała wygodną funkcję szyfrowania wiadomości w przeglądarce. Kupujący mógł wkleić adres dostawy, a serwis miał zaszyfrować tekst kluczem sprzedawcy. Po przejęciu rynku policja zapisywała wiadomość, zanim następowało szyfrowanie. Dla użytkownika wynik wyglądał prawidłowo. W bazie śledczych zostawał tekst jawny.

To różnica między użyciem PGP u siebie a powierzeniem szyfrowania cudzej stronie. Kłódka mogła działać bez zarzutu. Problem leżał przed kłódką.

Policja przechwytywała też nazwy użytkowników i hasła. Funkcja usuwająca metadane ze zdjęć została zmieniona tak, aby najpierw zachować oryginalny plik. Według funkcjonariuszy część fotografii zawierała informacje o miejscu wykonania. Sprzedawca widział później oczyszczony obraz i nie miał powodu podejrzewać, że pierwsza wersja została skopiowana.

Holenderska prokuratura informowała o dziesiątkach tysięcy przechwyconych wiadomości dotyczących zamówień. W wielu z nich znajdowały się adresy dostawy. Około 10 tysięcy zagranicznych adresów przekazano Europolowi. Ponad 500 adresów w Holandii trafiło do firm pocztowych i kurierskich, aby przesyłki można było zatrzymać.

W czasie przejęcia naliczono ponad 50 tysięcy transakcji. Prokuratura podawała też średnio około tysiąca zamówień dziennie. Te liczby opisują różne zdarzenia w systemie, więc nie należy ich sumować jak liczby paczek. Pokazują za to skalę ruchu, który odbywał się na oczach policji.

Zamknięcie AlphaBay

Plan miał drugą część. Amerykańskie służby pracowały równolegle nad AlphaBay. 5 lipca w Tajlandii zatrzymano Alexandre’a Cazesa, którego Departament Sprawiedliwości uznał za twórcę i administratora rynku. Infrastruktura AlphaBay została wyłączona, ale szczegóły operacji przez kilkanaście dni trzymano w tajemnicy.

Użytkownicy nie dostali informacji, dokąd iść. Zrobili to, co zwykle po zniknięciu rynku: przenieśli się do miejsca z dobrą reputacją.

Przed zamknięciem AlphaBay Hansa notowała około tysiąca odwiedzających dziennie. Później ruch wzrósł do ośmiu tysięcy. Na rynek przyszli nowi kupujący, sprzedawcy i moderatorzy. W jednym z późniejszych postępowań DOJ opisał użytkownika, który 10 i 13 lipca pisał do administratorów Hansa z prośbą o pracę przy sporach i obsłudze. Rozmawiał z holenderską policją, która udawała właścicieli bazaru.

AlphaBay był więc hałasem, który skierował ludzi do cichej pułapki. Zamknięcie jednego rynku zwykle wzmacniało następny. Tym razem następny był już zajęty.

Kiedy policja prowadzi sklep

Operacja miała zgodę holenderskiego wymiaru sprawiedliwości. Zostaje niewygodne pytanie: jak długo policja może utrzymywać przestępczą infrastrukturę, skoro za jej pośrednictwem nadal zawierane są transakcje?

Holenderskie służby twierdziły, że reagowały na większe zamówienia, informowały właściwe państwa i próbowały zatrzymywać przesyłki. Nie mogły jednak przechwycić każdej paczki. Utrzymywały rynek online, bo każda kolejna doba przynosiła dane o kupujących i sprzedawcach. W tym samym czasie ludzie składali prawdziwe zamówienia na prawdziwe narkotyki.

Policja chciała rozbić sieć, więc przez kilka tygodni pozwoliła jej pracować. W praktyce oznaczało to dalsze zamówienia na narkotyki. Tego kosztu nie da się schować w przypisie technicznym.

20 lipca Hansa została zamknięta. Na kontach zabezpieczono ponad tysiąc bitcoinów, wycenianych wtedy przez prokuraturę na około dwa miliony euro. Użytkownicy zobaczyli planszę wyjaśniającą, że przez ostatnie tygodnie rynek kontrolowały służby.

Co zostało w bazie

Po latach dane z Hansa trafiły również do badań naukowych. Zespół opisujący bazę podczas konferencji USENIX Security w 2022 roku miał dostęp do 64 głównych tabel i 76 tabel kopii zapasowych. Zidentyfikował ponad 419 tysięcy rekordów użytkowników, 123 tysiące ofert i ponad 258 tysięcy opinii.

Autorzy od razu zaznaczyli ograniczenie: przejęta baza nie jest pełnym zapisem życia rynku. Część starszych zamówień usuwano, kopie miały luki, a stan serwera z 20 lipca nie odtwarza każdej wcześniejszej operacji. To ważne, bo liczby z dark webu lubią rosnąć przy każdym kolejnym cytowaniu.

Baza pokazuje za to, czym naprawdę był taki rynek. Pod warstwą Tora działała zwykła aplikacja z tabelami użytkowników, zamówień, wiadomości i ocen. Anonimowość zależała od całego procesu. Wystarczył błąd administratora, cudza funkcja szyfrowania albo zdjęcie przesłane w złym miejscu, aby pseudonim zaczął łączyć się z człowiekiem.

Zaufanie po operacji Bayonet

Hansa nie zakończyła handlu w Torze. Po jej zamknięciu pojawiły się następne rynki. Część upadła podczas policyjnych operacji, część po kradzieży depozytów, inne zniknęły bez wyjaśnienia. Mechanizm wrócił, bo popyt nie zniknął wraz z jedną bazą danych.

Zmienił się jednak rodzaj podejrzenia. Wcześniej użytkownik bał się przede wszystkim exit scamu albo przejęcia serwera. Po Hansa musiał brać pod uwagę, że sprawny serwis, aktywny support i poprawnie działający depozyt mogą należeć do policji. Brak planszy o zajęciu przestał znaczyć, że zajęcia nie było.

Tor podczas tej operacji nie przestał działać. Ukrywał połączenia użytkowników z usługą. Nie potrafił sprawdzić, kto administruje usługą ani co jej kod robi z tekstem przed zaszyfrowaniem. To zadanie nigdy do niego nie należało.

Hansa została rozpoznana przez błędy w infrastrukturze, przejęta razem z kodem, a potem wykorzystana jako punkt obserwacyjny. Tor nadal ukrywał trasy połączeń. Użytkownicy zostawiali dane gdzie indziej: na serwerze deweloperskim, w wiadomości przed szyfrowaniem, w haśle, w fotografii albo w adresie dostawy. Policja potrzebowała czasu i kontroli nad aplikacją. Dostała jedno i drugie.

Źródła

Powiązane

← Archiwum