Как рынки даркнета и мошеннические магазины боролись за пользователей после краха Hydra

Четыре из пяти самых высокодоходных даркнет-рынков в 2022 году были обычными даркнет-рынками, ориентированными на наркотики, и только один, Brian Dumps, был мошенническим магазином.

Hydra Market вновь возглавил рейтинг самых высокодоходных рынков даркнета в 2022 году, несмотря на то, что в апреле он попал под санкции OFAC и был закрыт в ходе совместной американо-германской операции - ни один другой рынок не смог превзойти его по доходам за эти четыре месяца. Как мы рассмотрим далее, три следующих по величине доходов рынка года - Mega Darknet Market, Blacksprut Market и OMG!OMG! Все они получили свою первоначальную долю рынка после закрытия Hydra, причем данные по цепочке показывают, что эти рынки прилагали целенаправленные усилия для привлечения бывших пользователей и продавцов Hydra.

Закрытие Hydra привело к общеотраслевому снижению доходов даркнет-рынков: средний дневной доход всех рынков упал с 4,2 млн. долларов США непосредственно перед закрытием и до 447 000 долларов США сразу после него. Хотя коллективный доход наркорынков не восстановился полностью, во второй половине 2022 года он медленно вернулся на прежний уровень. Однако доходы мошеннических магазинов продолжали снижаться.

Мошеннические магазины - это уникальный сегмент рынка даркнета, который продает украденные данные, такие как скомпрометированная информация о кредитных картах и другие формы личной идентификационной информации (PII), которые могут быть использованы для мошеннических действий. Этот спад был частично спровоцирован закрытием таких известных мошеннических магазинов, как Bypass Shop, который был закрыт в марте. Brian Dumps, самый крупный мошеннический магазин за год, также, по-видимому, пострадал от сбоя, поскольку его доходы в октябре упали почти до нуля, хотя точно неизвестно, почему.

В то время как рынки даркнета в основном восстановились после закрытия Hydra, а мошеннические магазины - нет, магазины одного поставщика показали другую картину. Магазины одного продавца - это отдельные магазины, созданные отдельными продавцами наркотиков, которые, как правило, собрали большую клиентскую базу на более крупном традиционном рынке даркнета. Создание магазина одного продавца позволяет продавцам сэкономить на комиссионных, которые обычно идут администраторам традиционного даркнет-рынка.

На протяжении всего 2022 года мы наблюдали отрицательную связь между средствами, отправленными на обычные рынки даркнета, и средствами, отправленными в магазины одного продавца. Например, мы наблюдали всплеск доходов магазинов одного продавца, начиная с марта, примерно в то же время, когда доходы традиционных рынков даркнета начали падать. Аналогичным образом, доходы магазинов одного продавца падали одновременно с восстановлением традиционных рынков даркнета примерно с июня до конца года.

Борьба за доминирование на рынке, после захвата Гидры

До того как правоохранительные органы закрыли Hydra, она была крупнейшим рынком даркнета в мире. Перед закрытием Hydra Marketplace завладела 93,3% всей экономической стоимости, полученной в экосистеме даркнет-рынка в 2022 году. Этот российский даркнет-рынок позволял продавать наркотики и предлагал киберпреступникам услуги по отмыванию денег. После краха Hydra доход получили несколько рынков, но три из них доминировали: Blacksprut, OMG!OMG! Market и Mega Darknet Market. Интересно, что каждый из этих трех рынков лидировал на рынке в разное время, хотя период доминирования OMG сразу после краха Hydra был самым сильным из всех трех.

На протяжении большей части апреля и мая OMG захватил более 50% общей доли рынка, достигнув пика в 65,2% 23 апреля, и работал практически без конкуренции, что указывает на его потенциал как преемника Hydra. В июне OMG подвергся распределенной атаке типа "отказ в обслуживании" (DDoS), что, вероятно, заставило поставщиков и клиентов перейти на Mega Darknet Market и Blacksprut Market примерно в то же время. Аналогичным образом, Blacksprut был взломан в конце ноября, что совпадает с падением его доли доходов с пикового уровня в 68,5% за несколько недель до этого. Учитывая незаконный характер даркнет-рынков, неудивительно, что продавцы и пользователи будут стремиться покинуть рынок, на котором произошла утечка данных.

Как покупатели наркотиков и незаконные потребители мигрировали с Hydra на другие рынки даркнета

Если мы глубже изучим, как три основных рынка-преемника Hydra боролись за позиции после закрытия Hydra, то обнаружим, что решающее значение в борьбе имело привлечение конкретных клиентов, которые ранее пользовались услугами Hydra - как клиентов розничного рынка, так и незаконных пользователей услуг Hydra по отмыванию денег. Мы можем исследовать это, используя данные о цепочке, чтобы посмотреть, куда мигрировали бывшие пользователи Hydra после закрытия рынка. Для этого анализа мы разделим оставшийся 2022 год после закрытия Hydra 5 апреля на два временных периода:

• Доминирование OMG: Период в 50 дней сразу после закрытия Hydra, когда OMG захватила почти 100% доли рынка даркнета.
• Доминирование после OMG: Остаток 2022 года, когда OMG стал одним из трех крупных рынков наряду с Blacksprut и Mega.

На двух приведенных ниже графиках показано, какие рынки наиболее часто использовались прежними контрагентами Hydra в эти два периода времени. Цвет линий показывает категорию деятельности бывших пользователей Hydra, а толщина линий - долю их деятельности, перетекающую на новые рынки после закрытия Hydra.

Как и подавляющее большинство всех пользователей рынка даркнета, бывшие контрагенты Hydra по всем категориям - как розничные покупатели наркотиков, так и криминальные потребители - в период доминирования OMG совершали сделки почти исключительно с OMG. В период после доминирования OMG, OMG сохранил ряд бывших контрагентов Hydra, но уступил значительную долю их незаконной деятельности двум другим рынкам по всем категориям.

Из этого можно сделать два основных вывода: во-первых, признаки указывают на то, что эти три рынка запустили услуги по отмыванию криптоденег, аналогичные тем, что предлагала Hydra, что объясняет, почему так много криминальных пользователей Hydra перешли на эти рынки. Второй момент - это то, насколько доминирующей была компания OMG среди контрагентов Hydra сразу после ее закрытия. Это особенно интересно, учитывая связи между OMG и Hydra, которые мы рассмотрим позже.

Существуют прямые доказательства того, что два из трех рассматриваемых рынков предлагают услуги по отмыванию денег. В начале января 2023 года поставщик Blacksprut, биржа RedBull, разместила сообщение под заголовком "Перевод с платформы", в котором говорилось, что пользователи могут вывести биткоин с фиксированной комиссией 4%, и что средства будут мгновенно переведены на их личные кошельки без прохождения каких-либо "проверок или чисток". На изображении ниже показан обзорный сайт Blacksprut, на котором указано, что сервис предлагает внутренние биржи для перевода средств вне рынка, а также рекомендует российский агрегатор бирж BestChange в случае неудачи.

Похожие сообщения о Mega Darknet Market подтверждают, что он также предлагает эти услуги. У нас пока нет подтверждения того, что OMG предлагает услуги по отмыванию денег, но, опять же, данные по цепочке говорят о том, что, скорее всего, это так.

Рынки OMG, Blacksprut и Mega Darknet показывают потенциальное совпадение поставщиков и администраторов с Hydra

Рекламируемый как "самый продвинутый рынок даркнета за всю историю", OMG в первую очередь поставляет нелегальные наркотики, а также предлагает такие товары, как хакерские утилиты, банковскую информацию и многое другое. У рынка своеобразная история. Впервые он стал активен в начале июля 2020 года, при этом объемы депозитов были настолько малы, что казалось, что это не столько даркнет-рынок, сколько личная операция. Однако почти сразу после закрытия Hydra на OMG впервые начался большой приток средств, более половины которых поступило от контрагентов Hydra.

Анализ блокчейна также показывает, что несколько продавцов Hydra перешли в OMG после закрытия Hydra. Приведенный ниже график Chainalysis Reactor показывает несколько личных кошельков, связанных с известными продавцами Hydra, которые впоследствии совершали транзакции в OMG.

Миграция поставщиков, а также время и источник первоначального дохода OMG позволяют предположить, что администраторы Hydra могли быть вовлечены в разработку OMG. Кроме того, эти два рынка имеют определенные операционные сходства. Например, Hydra отличалась от своих конкурентов тем, что предлагала курьерские услуги на основе местоположения. После создания аккаунта пользователь выбирал свое местоположение и организовывал обмен от продавца к покупателю по принципу "dead-drop". После продажи продавец отправлял покупателю географические координаты и фотографию того места, где можно найти хорошо спрятанную покупку. Подобную услугу предлагает и OMG.

Дальнейший анализ блокчейна выявил еще более интересную связь: Центральные кошельки OMG отправляют большие объемы криптовалюты на одну и ту же группу депозитных адресов на высокорискованной бирже с большим присутствием в России. Совпадение в использовании депозитных адресов предполагает, что эти депозитные адреса могут контролироваться одними и теми же лицами, что позволяет предположить дальнейшее совпадение поставщиков или, возможно, даже администраторов.

И Blacksprut, и Mega также отправляли средства на депозитные адреса на этой бирже, используемые ранее Hydra, но ни один из них не отправлял столько, сколько OMG. Мы можем видеть это на графике ниже, который показывает общую сумму, отправленную каждой биржей на общие депозитные адреса.

У нас нет точных доказательств, подтверждающих, что кто-либо из создателей или администраторов OMG был официально связан с Hydra. Однако совпадение адресов вкладов и мгновенная массовая миграция пользователей Hydra в OMG после закрытия Hydra говорит о том, что это вполне возможно.

Данный материал предназначен только для информационных целей и не является юридическим, налоговым, финансовым или инвестиционным советом. Получатели должны проконсультироваться со своими собственными консультантами перед принятием решений такого рода. Chainalysis не несет ответственности или обязательств за любое принятое решение или любые другие действия или бездействие в связи с использованием Получателем данного материала.

Chainalysis не гарантирует и не ручается за точность, полноту, своевременность, пригодность или действительность информации в данном отчете и не несет ответственности за любые претензии, связанные с ошибками, пропусками или другими неточностями любой части такого материала.

TELEGRAM | INSTAGRAM | TRADINGVIW