Hydra Market. Rosyjski bazar, który skończył się konfiskatą serwerów

Nie będzie tu cebuli, mirrorów ani listy „gdzie poszli po Hydrze”. To temat dla ludzi, którzy lubią żyć w tygodniowym cyklu aktualizacji. Mnie interesuje coś innego: jak wyglądał największy rosyjskojęzyczny bazar w Torze, kiedy w kwietniu 2022 niemiecka policja zajęła serwery, a amerykański skarb państwa dopisał sankcje w tym samym dniu.

Hydra nie była angielskim następcą Silk Road. Była osobnym ekosystemem. Inny język, inna logistyka, inny rynek zbytu. Dopóki stała, angielskie fora i angielskie media traktowały ją jak oddzielny kontynent.

Rosyjski katalog od 2015

Według komunikatu BKA z 5 kwietnia 2022 Hydra Market działała w sieci Tor co najmniej od 2015. Była platformą rosyjskojęzyczną. Głównym towarem były narkotyki. W ofercie pojawiały się też skradzione dane, fałszywe dokumenty i płatne usługi cyfrowe. Nie rozpisuję katalogu. Wystarczy wiedzieć, że skala była inna niż przy typowym angielskim bazarze z kilku lat wcześniej.

BKA i frankfurcka ZIT (Zentralstelle zur Bekämpfung der Internetkriminalität) oceniły, że w samym 2020 roku obrót Hydry wyniósł co najmniej 1,23 miliarda euro. Amerykański Departament Skarbu w komunikacie OFAC z tego samego dnia mówił o ponad 1,3 miliarda dolarów przychodu w 2020 i o wzroście z poziomu poniżej 10 milionów w 2016. Liczą w różnych walutach i różnymi metodami, ale rząd wielkości jest ten sam. To nie był lokalny sklepik.

BBC, cytując niemieckich śledczych, podawało około 17 milionów kont klientów i ponad 19 tysięcy kont sprzedawców. Te liczby pochodzą z komunikatów służb, nie z niezależnego audytu. Traktuję je jak szacunki z akt, nie jak księgowość bazaru.

Model dostawy w rosyjskim undergroundzie często opierał się na „zakładkach”: sprzedawca chował paczkę w terenie, kupujący dostawał lokalizację po płatności. OFAC opisało ten schemat w komunikacie sankcyjnym. Nie jest to instrukcja. To opis logistyki, którą służby uznały za charakterystyczną dla platformy.

5 kwietnia 2022: serwery w Niemczech

Tego dnia ZIT i BKA ogłosiły zajęcie infrastruktury serwerowej Hydry znajdującej się w Niemczech. Serwis zniknął. W jego miejscu pojawiła się plansza o konfiskacie. Śledztwo, według BKA, trwało od sierpnia 2021 i angażowało kilka amerykańskich agencji.

Niemcy nie musiały „łamać Tora”. Musiały znaleźć hostinga. Relacje prasowe (m.in. BBC) mówią o wskazówce, że infrastruktura może stać w Niemczech, potem o miesiącach ustalania firmy i o nakazie wobec operatora. Klasyczny trop: infrastruktura w jurysdykcji, która odpowiada na papiery. Ten sam rodzaj błędu widać przy innych zamknięciach. Hansa padła przez zapomniane maszyny i logi. Hydra padła przez serwery, które dało się zająć fizycznie.

Przy okazji zajęto 543 bitcoiny przypisane rynkowi. BKA wyceniło je wtedy na około 23 miliony euro. Amerykański Treasury mówił o równowartości około 25 milionów dolarów. Elliptic publicznie potwierdziło ruch na łańcuchu odpowiadający tej konfiskacie. To ważne nie dlatego, że lubię liczby z komunikatów. Dlatego, że pokazuje, ile wartości dało się powiązać z adresami rynku, mimo że Hydra miała własną usługę mieszania transakcji (BKA nazywało ją „Bitcoin Bank Mixer”). Mieszanie utrudniało śledztwa. Nie uczyniło łańcucha niewidzialnym dla wszystkich.

W dniu zamknięcia OFAC wpisało Hydrę na listę sankcyjną. Równolegle sankcje dostała rosyjska giełda Garantex. Treasury wskazało ponad sto adresów kryptowalutowych powiązanych z Hydrą. Departament Sprawiedliwości USA oskarżył później Dmitrija Pawłowa w związku z hostingiem rynku. To osobna nitka akt. Tu zostawiam tylko fakt, że zamknięcie nie było samym niemieckim komunikatem prasowym.

Sankcje i luka po rynku

Hydra zniknęła w momencie, gdy wojna w Ukrainie i sankcje wobec Rosji były już tłem każdej rozmowy o rosyjskiej infrastrukturze finansowej. Nie twierdzę, że data konfiskaty wynikała wyłącznie z geopolityki. Twierdzę, że amerykańskie sankcje i niemieckie zajęcie serwerów poszły tego samego dnia i że tak to zostało zakomunikowane: jako ruch skoordynowany.

Po Hydrze w rosyjskojęzycznym undergroundzie powstała dziura. Część ruchu poszła na mniejsze platformy, część na komunikatory, część zniknęła z widoku publicznego. Nie mapuję następców. Cykl i tak znamy z angielskiej strony: nowy rynek, reputacja, potem exit scam albo plansza policji. Oś czasu mam w dossier o upadkach bazarów.

Ważniejsza lekcja jest nudniejsza. Największy bazar świata może stać latami, mieć miliardowy obrót i nadal zależeć od kilku szaf w centrum danych w kraju, który wydaje nakazy. Tor ukrywa ścieżkę klienta. Nie przenosi serwera poza prawo państwa, w którym fizycznie stoi.

Po co o tym pisać

Bo w polskim internecie „dark web” nadal bywa albo straszakiem, albo checklistą. Hydra jest w komunikacie BKA, w komunikacie Treasury, w analizach firm śledzących łańcuch. Da się o niej mówić jak o infrastrukturze i o jurysdykcji. Rosyjski język nie chronił przed niemieckim hostingiem. Mieszanie bitcoinów nie skasowało 543 monet, które dało się zająć.

Jeśli ktoś po tym tekście czyta o Silk Road, Hansie albo o tym, jak służby wchodzą w zaplecze ransomware (Operacja Cronos), dobry trop. Instrukcji zakupowej tu nie ma. Została historia rynku, który był za duży, żeby go ignorować, i na tyle konkretny w infrastrukturze, że wystarczył jeden dzień papierów, żeby go wyłączyć.