Операция RapTor: крушение крупнейшей в истории даркнет-империи

Минюст США отчитался о крупнейшей в истории операции по закрытию даркнет-маркетплейса: задержаны и арестованы 270 человек по всему миру, изъяты $200 млн, около двух тонн наркотических веществ и 180 единиц огнестрельного оружия. GetBlock AML Research раскрывает детали сложной операции, которая проводилась одновременно на четырех континентах в обстановке строжайшей секретности и конспирации.

Преступники эволюционируют

Времена, когда даркнет-маркетплейсы напоминали сайты из начала 2000-х, давно прошли. Это можно понять, если изучить деятельность площадки Incognito Market. Именно она стала ключевым объектом расследования в операции RapTor. Маркетплейс появился в 2020 году и сразу же начал активно привлекать клиентов. Внешне Incognito Market мало чем отличается от Amazon или других популярных торговых платформ: у маркетплейса современный дизайн, продуманная система рекламы, пользовательские страницы, оперативная служба поддержки, система рейтинга продавцов и отзывов на товары.

Главная страница Incognito Market

Продавцы на Incognito Market торговли преимущественно наркотическими веществами, рецептурными медицинскими препаратами и их подделками. Чтобы стать селлером на платформе нужно было внести специальный регистрационный сбор, а также оплачивать 5% налог с каждой продажи. Администраторы маркетплейса тратили заработанные средства на поддержку и развитие платформы: оплачивали сервера и платили сотрудникам. Все финансовые операции проводились в криптовалюте, в основном использовались Monero (XMR) и биткоин (BTC).

Каталог товаров Incognito Market

Долгое время пользователям Incognito Market удавалось скрывать финансовые потоки именно за счет анонимности Monero, которая качественно скрывает получателей и отправителей криптовалюты, а также суммы переводов.

Двойной агент

В ходе операции RapTor стало известно, что маркетплейсом Incognito Market руководил Руй-Сян Линь, 23-летний гражданин Тайваня, который скрывался под псевдонимом “Фараон”. Оперативники установили, что Линь являлся владельцем платформы, так как лично управлял персоналом, выплачивал зарплаты сотрудникам и получал всю прибыль от работы маркетплейса.

Руй-Сян Линь не был темной лошадкой, ранее он работал в Министерстве иностранных дел Тайваня, где обучал сотрудников правоохранительных методам отслеживания незаконных операций с использованием криптовалют и цифровых активов. То есть помогал правоохранителям выявлять платформы-аналоги Incognito Market.

Руй-Сян Линь, владелец и администратор Incognito Market

Линь был задержан в мае 2024 года в аэропорте имени Джона Кеннеди в Нью-Йорке (США). После задержания он признал свою вину по всем пунктам обвинений (сговор с целью распространения наркотических веществ, отмывание средств и сговор с целью продажи фальсифицированных и неправильно маркированных лекарственных препаратов).

Контролируемый крах

За несколько месяцев до задержания Линя и других действующих лиц Incognito Market начали массово покидать пользователи. Это было связано с тем, что платформа отключила поддержку BTC. Также появились неизвестные, которые выдавали себя за администраторов Incognito Market и шантажировали пользователей. Неизвестные угрожали передать правоохранительным органам данные пользователей и требовали с них вознаграждение в криптовалюте.

После этих инцидентов количество незаконных криптовалютных транзакций Incognito Market и их объемы значительно снизились. Это сыграло на руку правоохранительным органам, которым стало проще отслеживать деятельность даркнет-маркетплейса.

От SilkRoad до наших дней

Закрытие Incognito Market стало крупнейшей победой правоохранителей с незаконной продажей наркотических веществ в даркнете более чем за десять лет. В 2013 году аналогичная участь постигла площадку SilkRoad. Но с того момента деятельность даркнет-маркетплейсов изменилась. Преступники усвоили уроки и предприняли ряд изменений, чтобы обезопасить себя.

Например, в период становления SilkRoad пользователи платформы использовали преимущественно BTC, браузеры Tor и простейшие системы репутации. Сейчас наркоторговцы пользуются Monero, так как технология этой криптовалюты обеспечивает высокую конфиденциальность. Дистрибуция незаконных товаров теперь происходит в основном в мессенджерах с шифрованием, таких как Telegram и Signal. Преступники начали массово использовать виртуальные частные сети (VPN) и другие технологии для сокрытия следов.

Одно из главных изменений, которое затрудняет борьбу с незаконным изготовлением и распространением наркотиков, стало сегментирование деятельности. Селлеры Incognito Market имели сложную иерархическую структуру: каждый сотрудник занимался своим процессом и физически не контактировал с другими лицами, которые принимали участие в изготовлении и распространении наркотиков.

Ончейн-расследование

Проведенный анализ цепочек позволил правоохранителям идентифицировать кошельки, которые использовались Incognito Market и селлерами маркетплейса. Перед тем, как отправить средства на торговую площадку или продавцу, криптовалюта пропускалась через миксеры (Tornado Cash и другие).

Схема отмывания криптовалюты Incognito Market. Данные: TRM Labs

После обнаружения операционных кошельков Incognito Market вскрытие общей финансовой схемы маркетплейса не составило труда. В течение нескольких месяцев были обнаружены способы, с помощью которых полученная прибыль отмывалась и выводилась в наличные. В основном для этого использовались централизованные (CEX) и одноранговые (P2P) биржи.