Slom Imperije Incognito: Kako je Naivnost Jednog Programera i Phishing Napad Srušio Narko-Carstvo Dark Web-a

Sveobuhvatna analiza uspona, tehničkih i ljudskih grešaka, FBI infiltracije i nezapamćene iznude na ilegalnom tržištu

Vizija i Rođenje Tržnice “Incognito”

Marta 2020. godine, na Tajvanu, dvadesetogodišnji softverski inženjer i kripto-developer po imenu Lin Rui-Jang (Lin Rui-Yang) nacrtao je naizgled jednostavan dijagram na svom računaru pod nazivom “Workflow”. Dijagram je detaljno opisivao relacije između prodavaca, kupaca, baze podataka, PGP ključeva za enkripciju, API tokena i centralnih servera. Međutim, Lin nije planirao razvoj standardne e-commerce platforme. Njegov cilj bio je pokretanje potpuno anonimizovanog dark web tržišta pod nazivom Incognito Marketplace — naziv osmišljen kao ironična aluzija na privatni režim Google Chrome pregledača.

Ilegalna tržišta na dark web-u predstavljaju sakrivene Web servise kojima se ne može pristupiti putem standardnih pretraživača poput Chrome-a ili Firefox-a, niti ih pretraživači indeksiraju. Ona funkcionišu unutar preklopljenih mreža (overlay networks), pre svega Tor (The Onion Router) mreže, koristeći domene sa ekstenzijom .onion. Iako je sama upotreba Tor mreže zakonski dozvoljena radi zaštite privatnosti i zaobilaženja cenzure, obavljanje transakcija na dark web tržištima — koja nude opojne droge, oružje, hakerske alate i ukradene identitete — predstavlja teško krivično delo.

Lin, koji je na internetu delovao pod pseudonimom Pharaoh, proučavao je istorijat i greške prethodnih giganta darknet-a, kao što su Silk Road i AlphaBay. Shvatio je da platforme koje nude “sve i svašta” (uključujući oružje i eksplozive) privlače preveliku pažnju međunarodnih službi za sprovođenje zakona. Zato je odlučio da Incognito usmeri isključivo na narkotike i maksimalnu zaštitu privatnosti, sa vizijom da stvori “sigurno okruženje za kupovinu supstanci”.

Tehnički kontekst: Kako funkcioniše Tor mreža i .onion servisi Tor mreža preusmerava internet saobraćaj kroz dobrovoljnu mrežu sačinjenu od više hiljada releja (nodes). Saobraćaj se obmotava u više slojeva enkripcije (odudarno konceptu glavice luka). Svaki relej skida samo jedan sloj enkripcije kako bi saznao adresu sledećeg čvora, sprečavajući bilo koji pojedinačni čvor da zna i izvor i odredište saobraćaja. Pokretanje skrivene usluge (.onion) omogućava serveru da prihvata dolazne veze bez otkrivanja svoje stvarne IP adrese.

Izgradnja Mreže, PGP Ekosistem i Operativni Model

Novembra 2020. godine, na popularnom dark web forumu Dread (ekvivalent Reddit-a za mračnu mrežu), pojavio se novi podforum d/IncognitoMarket. Tajanstveni administrator kreirao je uvodne objave sa smernicama o tome šta je dozvoljeno na platformi, nakon čega je obrisao nalog. Ubrzo potom, nalog pod nazivom Incognito Official preuzeo je komunikaciju objasnivši da je to bio test posvećenosti anonimnosti i poručivši: “Korisnici će kupovati drogu i nestajati — bez praćenja i bez tragova.” Pharaoh se ubrzo nametnuo kao glavni autoritet iza projekta.

Da bi privukao probrane prodavce (vendors) i sprečio prevare, Incognito je uveo rigorozan proces selekcije. Prodavci poput “Bena” (pseudonim nemačkog uzgajivača i prodavca kanabisa koji je kasnije postao jedan od najvećih na sajtu) morali su da prođu proces apliciranja koji je podrazumevao slanje takozvane “biografije prodavca” (CV):

Istorijat prodaje sa drugih dark web tržišta.

Preporuke i ocene reputacije.

Digitalno potpisane PGP poruke radi potvrde identiteta.

Uplata kaucije (vendor bond) u iznosu od $300 do $1.500 u kriptovalutama Bitcoin (BTC) ili Monero (XMR).

Kriptografski stub: PGP (Pretty Good Privacy) i asimetrična enkripcija PGP koristi asimetričnu kriptografiju koja se oslanja na par ključeva: Javni ključ (Public Key) i Privatni ključ (Private Key). Javni ključ se deli sa svima i služi da bilo ko šifruje poruku namenjenu vlasniku. Privatni ključ se drži u strogoj tajnosti i njime se dekodira primljena poruka ili stavlja digitalni potpis. Na dark web-u, komunikacija izvan PGP enkripcije smatra se kardinalnim sigurnosnim propustom, jer omogućava administratorima servera ili presretačima da pročitaju adrese za dostavu i lične podatke.

Sistem je bio dizajniran tako da kupcima pruži poverenje. Incognito tim je aktivno rešavao sporove i izbacivao prevarante. U jednom poznatom slučaju, prodavac pod nadimkom WSB nudio je nerealno niske cene. Nakon što su se pritužbe nagomilale, Incognito tim je blokirao WSB-a, zaplenio sredstva sa njegovog računa i refundirao sve oštećene kupce, čime je platforma stekla ogromno poverenje zajednice.

Prekretnica: Pad Hydre i Ogroman Priliv Korisnika

Dana 5. aprila 2022. godine, nemačka federalna policija (BKA) u saradnji sa američkim Ministarstvom pravde (DOJ) i FBI-jem izvela je jednu od najvećih zaplena u istoriji interneta — ugašena je Hydra Market. Hydra je bila najveće i najduže aktivno ilegalno tržište na svetu, sa dominacijom u zemljama ruskog govornog područja.

Gašenje Hydre stvorilo je masovan vakuum moći u dark web ekonomiji. Stotine hiljada kupaca i hiljade prodavaca tražili su novu stabilnu platformu. Incognito je bio savršeno pozicioniran. U periodu od aprila do juna 2022. godine, mesečni obim transakcija na Incognito platformi skočio je sa oko $700.000 na preko 2 miliona dolara mesečno.

Finansijski model Escrow i bankarskog sistema

Dark web tržišta retko prodaju sopstvenu robu; ona deluju kao posrednici i zarađuju na provizijama. Incognito je primenjivao finansijski model zasnovan na Escrow (depozitnom) sistemu:

Uplata: Kupac uplaćuje sredstva (npr. $1.000 u BTC ili XMR) na jedinstvenu depozitnu adresu koju generiše platforma. Sredstva se odlažu u novčanik pod kontrolom sajta.

Provizija: Platforma automatski uzima svoju proviziju (koja je na Incognitu iznosila 5%).

Kreditiranje prodavca: Preostali iznos ($950) pripisuje se internom saldu prodavca, ali se stvarna isplata na eksterni novčanik vrši tek kada kupac potvrdio prijem pošiljke i prodavac zatraži povlačenje (withdrawal).

Sa mesečnim obimom od 2 miliona dolara, sam Incognito tim (Pharaoh) ostvarivao je čist profit od najmanje $100.000 mesečno samo od provizija, ne računajući zadržana depozitna sredstva u escrow novčanicima.

Anatomija Istrage: Kako je FBI Razbio Enkripciju i OpSec

Nakon pada Hydre, američke federalne agencije usmerile su resurse na potencijalne naslednike, a Incognito je bio pri vrhu liste targeta. Samo dan nakon gašenja Hydre, FBI je pokrenuo zvaničnu istragu pod vođstvom specijalnog agenta Marka Rubina.

Kupovina radi dokazivanja krivičnog dela (Controlled Buy)

Agent Rubin je napravio tajni nalog na Incognitu i naručio 5 grama narkotika u vrednosti od $170 u Bitcoin-u. Paket je stigao šest dana kasnije na kontrolisanu adresu. Hemijska analiza potvrdila je autentičnost supstance, čime je sudski dokazano da Incognito predstavlja aktivno ilegalno tržište i legitimnu metu za dalju operaciju.

Osnove analize blockchain-a i pranja novca

Tehnička raščlanjenost: Bitcoin novčanik vs. Adrese i KYC granica

Bitcoin novčanik (Wallet): Kolekcija privatnih ključeva koja upravlja sredstvima.

Adrese (Addresses): Jednokratni alfagrafski nizovi generisani iz novčanika za prijem uplate. Incognito je za svakog kupca i svaku transakciju generisao novu Bitcoin adresu (HD wallets – Hierarchical Deterministic). To onemogućava lak uvid u ukupan saldo, ali svi tragovi vode ka zajedničkim ulaznim transakcijama u novčaniku administratora (Master Wallet).

Pharaoh je primenjivao višeslojnu tehniku pranja novca:

Sredstva iz glavnog novčanika sajta prebacivana su kroz nekoliko posredničkih novčanika.

Zatim su slana na anonimne servise za razmenu (swapping services / instant exchanges).

Tamo je Bitcoin menjan u Monero (XMR) — kriptovalutu koja koristi prstenaste potpise (ring signatures) i skrivene adrese (stealth addresses) kako bi transakcije učinila nepratljivim na blockchain-u.

Tako oprani Monero slao se na zvanične berze (exchanges) gde se menjao za američke dolare i prebacivao na bankovne račune.

Ovaj sistem bio je tehnički izuzetno čvrst. Međutim, slaba karika svake kriptografije jeste ljudski faktor i narušavanje operativne bezbednosti (OpSec).

Niz Fatalnih OpSec Grešaka Lin Rui-Janga

Zlatno pravilo Operativne Bezbednosti (OpSec)

“Nikada nemoj mešati svoj privatni, legalni identitet sa ilegalnim mrežnim identitetom. Čak i pojedinačna transakcija od nekoliko dolara može srušiti kompletnu arhitekturu anonimnosti.”

Pharaoh je napravio seriju katastrofalnih grešaka koje su FBI-ju omogućile da dođe do njegovog pravog imena:

1. Objava na forumu Dread (Maj 2022)

Ljut što mu je jedan servis za razmenu kriptovaluta konfiskovao sredstva pod sumnjom na ilegalno poreklo, Pharaoh je na forumu Dread javno napisao pritužbu. U njoj je detaljno naveo tačno vreme transakcije i tačan iznos u Bitcoin-ima. FBI radna grupa, koja je pratila njegov nalog, uporedila je ove podatke sa javnim blockchain-om i odmah identifikovala tačnu Bitcoin adresu. Ta adresa pripadala je novčaniku koji je FBI nazvao “Admin Wallet 1”.

2. Kupovina domena na Namecheap-u — Greška od 22,90 dolara

Forenzikom “Admin Wallet 1”, FBI je utvrdio da je iz njega delimično plaćeno kupovanje četiri domena na servisu Namecheap. Tri domena bila su namenjena promociji dark web tržišta, dok je četvrti bio Linov lični portfolio sajt.

Tri domena plaćena su uglavnom preko naloga sa kripto-berze koja zahteva KYC (Know Your Customer) verifikaciju. Međutim, za četvrti domen falio je mali iznos novca, pa je iz “Admin Wallet 1” doplaćeno svega 0.000501 BTC (oko $22,90). Ova jedna jedina transakcija neraskidivo je povezala vlasnika KYC verifikovanog naloga na berzi sa novčanikom koji je primao direktan profit sa Incognito sajta.

Preko KYC podataka berze i servisa Namecheap, FBI je dobio ime i prezime: Lin Rui-Jang (23), tajvanski državljanin. Od tog trenutka, istražitelji su imali potpunu kontrolu i tajno infiltrirali njegove naloge.

3. Korišćenje ličnog Gmail naloga i zaplena servera (Jul 2022)

Rano ujutru 19. jula 2022. godine, Incognito serveri neočekivano su otišli offline. Lin je u panici počeo da pretražuje Google kako da reši problem sa serverima, zaboravivši da je i dalje ulogovan u svoj lični Gmail nalog.

FBI je pre toga tajno zaplenio servere Incognito sajta (koje je Lin iznajmljivao od preprodavca iz Istočne Evrope, a koji su fizički bili locirani u Evropi). FBI ne samo da je skinuo kompletnu bazu podataka sajta (kupce, prodavce, PGP poruke i Bitcoin adrese), već je uživo posmatrao Linove pretrage na Google-u. Pregledom Linovog Gmail naloga, FBI je pronašao neoboriv dokaz (smoking gun): mejl od 12. marta 2020. godine u kome je Lin sam sebi poslao prvobitni nacrt dijagrama “Workflow” za uspostavljanje Incognito sajta.

Pokolj od strane Hakera: Phishing sa “XA” Aplikacijom

Iako je FBI tajno prikupljao dokaze, Lin naizgled nije bio svestan da je provaljen, pa je nastavio sa radom. U međuvremenu se dešava potpuno neočekivan obrt sa treće strane.

Lin je bio izuzetno aktivan na mreži Twitter (X), gde se pod svojim pravim imenom hvalio uspešnim kripto trgovinama, slikao VIP nivo 3 na Binance berzi i ponosno prikazivao svoje skupe Bored Ape NFT-eve. Time je postavil idealnu metu za grupu sajber-kriminalaca i hakerskih prevaranata.

Inženjering napada: Phishing, Socijalni inženjering i Trojanac Hakeri su kompromitovali naloge zaposlenih u poznatom kripto investicionom fondu Fabric VC. Kontaktirali su Lina početkom 2024. godine sa ponudom da investiraju u njegove legalne projekte. Kako bi premostili “jezičku barijeru” (pošto Linov engleski nije bio savršen), zahtevali su da se sastanak održi preko njihove specijalizovane aplikacije za video konferencije sa ugrađenim prevođenjem u realnom vremenu.

Aplikacija je bila trojanski konj (Trojan virus). Kada je Lin 8. februara 2024. godine — dok je boravio u radnoj poseti Karipskoj državi Sveta Lucija kao radnik tajvanskog ministarstva spoljnih poslova — preuzeo i instalirao aplikaciju, hakeri su dobili potpun pristup njegovom računaru.

U roku od nekoliko minuta, hakeri su mu ispraznili sve kripto novčanike, ukrali Bored Ape NFT vredan preko $130.000 i zaplenili milione u kriptovalutama sa njegovih privatnih računa (a potencijalno i sredstva novčanika Incognito sajta). Hakeri nisu ni slutili da su upravo opljačkali vlasnika jednog od najvećih narkokartela na internetu i time pokrenuli domino efekat koji će uništiti Incognito.

Exit Scam, Reketiranje Zajednice i Konačni Pad

Opljačkan i bez finansijskih sredstava, Lin je doneo očajničku odluku. Dana 20. februara 2024. godine, prodavci i kupci na Incognitu primetili su da isplate (withdrawals) više ne prolaze. Srećnici su primetili da sajt generiše lažne logove transakcija.

Vlasnik foruma Dread, pod pseudonimom HugBunter, javno je upozorio zajednicu da je Incognito izvršio takozvani Exit Scam — situaciju u kojoj vlasnici sajta otimaju sva depozitna sredstva kupaca i prodavaca (procenjeno na 5 do 10 miliona dolara) i nestaju. HugBunter je takođe otkrio da je Pharaoh pokušao da ga potkupi sa $20.000 kako bi obrisao negativne objave.

Nezapamćena iznuda (Mass Blackmail)

Nakon što pokušaj zataškavanja nije uspeo, Lin prelazi na najradikalniji potez u istoriji dark web-a. Na naslovnoj strani Incognito sajta osvanula je poruka u kojoj Lin javno ucenjuje celokupnu korisničku bazu:

Poruka iznuđivača na Incognito sajtu:

“Imamo preko 550.000 privatnih narudžbina, 860.000 kripto adresa, PGP poruke i tekstualne adrese za dostavu u nešifrovanom obliku. Ako ne platite taksu za brisanje podataka (od $100 za kupce do $20.000 za prodavce), svi vaši podaci biće javno objavljeni na internetu i predati policiji!”

Lin je napravio i automatizovani portal gde su žrtve mogle da ukucaju svoj PGP ključ i uplate novac kako bi navodno obrisale svoje podatke. Međutim, ono što iznuđivani prodavci i kupci nisu znali jeste da je FBI već odavno posedovao kompletnu bazu podataka zaplenjenu još tokom racije na servere. Platili oni ili ne, podaci su već bili u rukama policije.

Hapšenje na aerodromu

Dana 18. maja 2024. godine, Lin Rui-Jang je doleteo na međunarodni aerodrom Džon F. Kenedi (JFK) u Njujorku. Mislio je da je njegov identitet i dalje tajna za američke vlasti. Međutim, agenti FBI-ja i HSI-ja (Homeland Security Investigations) dočekali su ga odmah po izlasku iz aviona i stavili mu lisice.

Hronološki Pregled Ključnih Događaja

Zaključak i Lekcije iz Sajber-Bezbednosti

Priča o Linu Rui-Jangu i Incognito sajtu spaja kompleksne sfere tehnologije, psihologije i kriminala. Zaplena platforme i hapšenje njenog kreatora nosi ključne lekcije za IT profesionalce, ali i za opštu javnost:

Složenost OpSec-a: Nemoguće je održati apsolutnu anonimnost ako se u bilo kom trenutku pomešaju privatne i ilegalne mrežne strukture. Greška od svega $22,90 pri kupovini domena bila je dovoljna da sruši višemilionsku imperiju.

Ranjivost Kriptovaluta: Uprkos uverenju da je Bitcoin anoniman, blockchain je javna baza podataka koja se forenzički može analizirati godinama unazad. Monero pruža veći nivo privatnosti, ali ulazne i izlazne tačke (exchanges, KYC) uvek ostaju najslabija karika.

Ljudski Faktor i Socijalni Inženjering: Čak i vrhunski programer i administrator ilegalnog sajta pao je na banalni trojanski konj pod maskom poslovnog sastanka. Sophisticated phishing napadi i dalje predstavljaju najefikasnije oružje u sajber-prostoru.

Nakon hapšenja u Njujorku, Lin se suočava sa optužnicama za vođenje kontinuiranog kriminalnog poduhvata (Continuing Criminal Enterprise), trgovinu narkoticima, pranje novca i zaveru, za šta je predviđena minimalna kazna od 20 godina zatvora do doživotne robije. Slučaj Incognito ostaje zabeležen kao jedan od najdramatičnijih i najpoučnijih slomova u istoriji mračne mreže.