Digitalna zamka veka: Kako je Operacija Bayonet srušila mračni internet

U analima međunarodnog visokotehnološkog kriminala i kibernetičke bezbednosti, malo koja policijska akcija nosi težinu, kompleksnost i gejming-stratešku genijalnost kao Operacija Bayonet (Operation Bayonet) iz 2017. godine. U trenutku kada su korisnici ilegalnih darknet tržnica verovali da ih slojevi enkripcije, anonimne mreže i kriptovalute čine nedodirljivim, međunarodna koalicija policijskih agencija — na čelu sa holandskom Nacionalnom jedinicom za visokotehnološki kriminal (NHTCU), američkim FBI-jem, DEA-om i Evropolom — izvela je najlukaviju zasedu u istoriji interneta.

Ne samo da su nadležni organi zaplenili jednu od najvećih platformi za trgovinu narkoticima, oružjem i ukradenim podacima, već su tajno preuzeli rukovođenje samim sajtom. Mesec dana policajci su se pretvarali da su administratori darknet tržišta Hansa, rešavali korisničke pritužbe, održavali sistem i istovremeno sakupljali kompromitujuće podatke hiljada prodavaca i kupaca širom sveta.

Ovo je detaljna priča o padu giganta AlphaBay-a, preuzimanju Hanse i tehnološkoj operaciji koja je zauvek razbila mit o potpunoj anonimnosti na mračnom vebu.

1. Zlatno doba darknet tržnica i lažni osećaj sigurnosti

Nakon što su američke vlasti 2013. godine uhapsile Rosa Ulbrihta (Ross Ulbricht), kreatora čuvenog Silk Road-a, delovalo je da je darknetu zadat smrtni udarac. Međutim, efekat je bio suprotan: nastao je takozvani Hydra efekat. Na mestu jednog palog kralja iznikle su desetine novih, još naprednijih platformi.

Do 2017. godine, mračnim internetom dominirala su dva imena:

AlphaBay: Neosporni vladar ekosistema, pokrenut krajem 2014. godine pod vođstvom misterioznog administratora Alpha02. Sa preko 400.000 registrovanih korisnika, 40.000 prodavaca i dnevnim prometom od preko pola miliona dolara, AlphaBay je bio devet puta veći od originalnog Silk Road-a.

Hansa Market: Treće po veličini ilegalno tržište u svetu, poznato po izuzetno profesionalnom dizajnu, brzoj korisničkoj podršci, naprednom sistemu depozita (escrow) i reputaciji sigurne luke za trgovce iz Evrope.

Kako funkcioniše zaštita na Darknetu?

Temelj ove ilegalne industrije čine tri ključna tehnološka stuba:

Tor mreža (.onion): Koristi koncept takozvanog “luk preusmeravanja” (onion routing). Podaci korisnika se šifruju u više slojeva i prolaze kroz tri nasumična čvora (ulazni, srednji i izlazni/rendezvous čvor). Svaki čvor skida samo jedan sloj enkripcije, znajući jedino odakle su podaci došli i kuda sledeće idu, čime se sakriva stvarna IP adresa korisnika i servera.

PGP enkripcija (Pretty Good Privacy): Standard za komunikaciju gde kupci i prodavci šifruju svoje adrese za dostavu. Čak i ako administratori sajta vide poruku, ne mogu je pročitati bez privatnog ključa primaoca.

Kriptovalute (Bitcoin, Monero): Omogućavaju finansijske transakcije van tradicionalnog bankarskog sistema.

Međutim, koliko god koda i enkripcije utkali u sistem, najslabija karika kibernetičke bezbednosti uvek ostaje ljudski faktor i operacionalna greška (OPSEC).

2. Fatalna greška administratora Hanse

U jesen 2016. godine, istraživači rumunske kompanije za kibernetičku bezbednost Bitdefender (koja je sarađivala sa Evropolom) naišli su na neobičan trag u jednom holandskom podatkovnom centru. Pronašli su staging server — razvojno okruženje koje su programeri koristili za testiranje novih funkcionalnosti pre nego što ih puste u rad.

Glavni propust administratora Hanse bio je neshvatljiv: razvojni server nije bio sakriven iza Tor mreže, već se nalazio na javnom, otvorenom internetu (clearnet) bez adekvatne zaštite.

Bitdefender je odmah obavestil Evropol, koji je podatak prosledio holandskoj policiji. Tim NHTCU-a (National High Tech Crimes Unit) reagovao je munjevito:

Upadom u podatkovni centar i postavljanjem mrežnih uređaja za prisluškivanje, policija je zabeležila kompletan saobraćaj sa razvojnog servera.

Otkrili su da je ovaj server direktno komunicirao sa glavnim produkcionim serverom Hanse (koji je bio na Toru), kao i sa četiri dodatna servera u Nemačkoj.

Napravljene su forenzičke kopije diskova “bit-po-bit”, čime je policija u ruke dobila digitalno blago: kompletnu bazu podataka sa istorijom transakcija, hesirane lozinke, izvorne kodove i nešifrovane poruke korisnika.

IRC zabilješke i razotkrivanje identiteta

Na jednom od nemačkih servera istražitelji su pronašli ključni dokaz — preko 17.000 privatnih IRC (Internet Relay Chat) poruka između dvojice glavnih administratora koji su koristili nadimke HL i Ron Swanson.

U višegodišnjim ćaskanjima, administratori su pravili dečije greške: pominjali su privatne detalje, imena, pa čak i svoju kućnu adresu. Istražitelji su ubrzo utvrdili da se iza ovih nadimaka kriju dvojica nemačkih državljana. Pored toga, policija je zaplenila i njihove privatne PGP ključeve.

3. Zid i proboj: Tragom Bitcoina do Litvanije

Taman kada je policija slagala mozaik, administratori Hanse su posumnjali da se nešto čudno dešava. Iznenada su ugasili kompromitovane servere u Holandiji i Nemačkoj i prebacili celokupnu infrastrukturu na novu, nepoznatu lokaciju. Trag je na trenutak postao hladan.

Hapšenje administratora bez kontrole nad serverima nije dolazilo u obzir — sajt bi nastavio da radi pod kontrolom njihovih moderatora ili bi bio oboren, a dokazi bi nestali. Policiji je trebala nova lokacija servera.

Spas za istražitelje ležao je u analizi blockchain-a. Pregledom starih poruka pronađena je Bitcoin adresa koju su administratori koristili za plaćanje hosting usluga. Koristeći napredne alate za forenziku kriptovaluta (Chainalysis Reactor), holandska policija je uočila novu transakciju sa te adrese ka servisu BitPay.

Budući da je BitPay imao predstavništvo u Holandiji, policija je izdala sudski nalog i dobila podatke o primaocu uplate. Administratori su uplaćivali kompjuterske servere u gradu Vilnjusu, u Litvaniji.

4. Konferencija u Hagu i rađanje “Operacije Bayonet”

U maju 2017. godine, u sedištu Evropola u Hagu, sastali su se predstavnici FBI-ja, DEA-e, holandske i nemačke policije.

Amerikanci su ponosno objavili da su locirali kreatora AlphaBay-a, Alpha02 (Aleksandra Kasesa – Alexandre Cazes), u Bangkoku i da spremaju njegovo hapšenje. Planirali su da u potpunosti ugase AlphaBay.

Tada je holandski tehnički savetnik izašao za govornicu i izneo predlog koji je šokirao prisutne:

“Šta ako ne ugasimo Hansu? Šta ako tajno uhapsimo njene administratore, preuzmemo servere u Litvaniji i mi nastavimo da vodimo sajt? Kada Amerikanci ugasiti AlphaBay, stotine hiljada kriminalaca pobegneće upravo na Hansu. Mi ćemo ih dočekati raširenih ruku i uloviti u najveću digitalnu zamku u istoriji.”

Ideja je izazvala žestoke debate. Pitanja etike i zakonitosti bila su ogromna: da li država sme da vodi ilegalnu tržnicu, procesuirajući prodaju droge i oružja, dok posmatra kriminalne aktivnosti bez trenutnog zaustavljanja?

Ipak, potencijalni dobitak — potpuno uništenje poverenja u ekosistem mračnog interneta — prevagnuo je. Zvanično je odobrena Operacija Bayonet.

5. Izvođenje operacije: Korak po korak

Korak 1: Pad kralja AlphaBay-a (5. jul 2017.)

Američki i tajlandski agenti izveli su sinhronizovanu akciju u Bangkoku. Da Kases ne bi stigao da zaključa svoj laptop ili uništi šifrovane diske, tajlandska policajka u civilu inscenirala je lakšu saobraćajnu nesreću udarivši kapiju njegove vile autom.

Kada je Kases istrčao napolje da vidi šta se događa, specijalci su upali u kuću. Na spratu su pronašli njegov unlocked MacBook na kojem je Kases u tom trenutku radio kao administrator AlphaBay-a. Prikupljeni su svi pristupni ključevi, a AlphaBay je bez upozorenja ugašen.

Podzemlje je verovalo da je vlasnik napravio “exit scam” — pobegao sa stotinama miliona dolara u kriptovalutama svojih korisnika.

Korak 2: Tajno preuzimanje Hanse (20. jun – 2. jul 2017.)

Nemačka policija je u potpunosti tajno uhapsila dvojicu administratora Hanse (HL i Ron Swanson). Suočeni sa neoborivim dokazima, pristali su na saradnju i predali pristupne šifre za Tox mrežu preko koje su komunicirali sa svojim moderatorima.

Istovremeno, holandski agenti su odleteli u Litvaniju, prekopirali ceo server Hanse i kreirali identičan klon sajta na serverima holandske policije u Dribbergenu.

U jednoj maloj sali za sastanke u Dribbergenu, holandski inženjeri i policajci radili su danonoćno, spavajući po sat ili dva dnevno među kutijama pice i limenkama energetskih napitaka, kako bi preraspodelili kod i preusmerili saobraćaj Hanse na policijski server. U jednom trenutku, prosuta limenka soka zamalo je uništila laptop na kome su se nalazili ključni podaci operacije.

Kada je preusmeravanje završeno, stvarni serveri u Litvaniji su isključeni, a Hansa je nastavila da radi na holandskom policijskom serveru. Niko u podzemlju nije primetio razliku.

6. Policija u ulozi administratora: Kako je zamka funkcionisala?

Od trenutka preuzimanja, holandski policajci postali su podrška, administratori i moderatori na Hansi. Svakodnevno su rešavali konflikte između kupaca i prodavaca (poput slučaja nesrećnog kupca Danijela koji se žalio na prodavca Dutch Candy Shop jer mu nije stigao naručeni ekstazi), odgovarali na karte za podršku i brinuli se da sajt radi bez greške.

Ali, iza kulisa, kod sajta je izmenjen tako da eliminiše sve slojeve anonimnosti:

Beleženje lozinki i IP adresa: Policija je promenila kod za prijavu tako da prikuplja nehesirane lozinke korisnika u trenutku kucanja, kao i njihove prave IP adrese ako bi napravili grešku u korišćenju Tora.

Uklanjanje EXIF podataka (zamka za fotografije): Kada bi prodavci kačili slike droge ili oružja, Hansa je ranije automatski brisala geolokacijske metadata podatke (EXIF). Policija je “slučajno” pokvarila tu opciju i izbrisala postojeću bazu slika. Prodavci su ponovo okačili hiljade slika svojih proizvoda — ali ovog puta, fotke su sadržale tačne GPS koordinate napravljene telefonima i aparatima u njihovim stanovima i skladištima!

Prikriveni Excel fajl sa pratećim kodom: Kupcima i prodavcima je ponuđena nova opcija za preuzimanje “automatskog dnevnika narudžbina” u formatu .txt. U stvarnosti, radilo se o posebno konstruisanom Microsoft Excel fajlu koji je, prilikom otvaranja na računaru korisnika, zaobilazio Tor i slao direktan mrežni signal (ping) ka policijskom serveru, otkrivajući pravu IP adresu i lokaciju kupca!

Presretanje PGP poruka: Budući da su imali privatne PGP ključeve sajta, policajci su presretali sve nešifrovane adrese za dostavu pre nego što bi bile prosleđene prodavcima. Zabeležili su više od 10.000 adresa kupaca širom sveta.

Masovni egzodus sa AlphaBay-a na Hansu

Kada je AlphaBay ugašen 5. jula, desilo se upravo ono što je predviđeno. Priliv korisnika na Hansu skočio je sa uobičajenih 1.000 na preko 8.000 novih korisnika dnevno. Prodavci sa AlphaBay-a su u panici otvarali naloge na Hansi, ostavljajući svoje PGP ključeve, Bitcoin adrese i narudžbine direktno u hands-on sistemu holandske policije.

Zbog preopterećenja servera, policijski administratori su na kratko čak morali da obustave registraciju novih korisnika kako bi sajt ostao stabilan i uverljiv!

7. Krah i efekti Operacije Bayonet

Dana 20. jula 2017. godine, zavesa je konačno pala. Holandska policija i Evropol ugasili su Hansu i na naslovnoj stranici postavili zvanično obaveštenje o zapleni sa logotipima svetskih policijskih agencija.

____________________________________________________________________

   THIS HIDDEN SITE HAS BEEN SEIZED BY THE DUTCH NATIONAL POLICE

         IN COOPERATION WITH FBI, DEA, AND EUROPOL

____________________________________________________________________

Bilans operacije:

Preko 27.000 do 38.000 ilegalnih transakcija zabeleženo je i forenzički dokumentovano pod policijskom kontrolom.

Prikupljeni su podaci o više od 10.000 pojedinačnih kupaca i hiljadama najvažnijih prodavaca (high-value targets).

Evropol je prosledio više od 600 operativnih izveštaja policijama širom sveta, što je u narednim godinama dovelo do hiljada hapšenja na lokalnim nivoima.

Zaplenjeni su milioni dolara u kriptovalutama.

8. Zaključak i lekcije: Psihološki rat protiv podzemlja

Operacija Bayonet nije bila samo tehnološki trijumf, već i vrhunska psihološka operacija (PSYOPS). Pre ove akcije, kriminalci na darknetu verovali su da je tehnologija na njihovoj strani i da su organi reda uvek korak iza.

Preuzimanjem i vođenjem Hanse, policija je poslala zastrašujuću poruku:

Više ne možete verovati niti jednom sajtu na mračnom internetu. Ne znate da li poruku šaljete administratoru ili policajcu u civilu. Ne znate da li je prodavac sa kojim trgujete stvarna osoba ili policijska zamka.

Uništenje poverenja — ključnog elementa bez kojeg ilegalna trgovina ne može da funkcioniše — pokazalo se daleko efikasnijim od jednostavnog gašenja servera. Operacija Bayonet ostaje upisana u istoriji kao prekretnica u borbi protiv visokotehnološkog kriminala i dokaz da u digitalnom svetu nijedna enkripcija ne može nadmudriti spregu vrhunske taktike, strpljenja i ljudske greške.

Izvori i referentna literatura:

Wired Magazine: “Operation Bayonet: Inside the Sting That Hijacked an Entire Dark Web Drug Market” (Pouzdani detaljni izveštaj o toku operacije).

Europol Press Release (2017): “Massive blow to criminal Dark Web activities after globally coordinated operation”.

The Record / Click Here Podcast: “The ‘game-changing’ attitude behind a very creative dark web takedown” — intervju sa Matijsom van Amelsfortom (Matthijs van Amelsfort), šefom NHTCU.

Wikipedia / UNODC Reports: Operation Bayonet (darknet) & AlphaBay Seizure records.