Operation Bayonet (Darknet)

Die Operation Bayonet war eine multinationale Strafverfolgungsaktion, die 2017 ihren Höhepunkt erreichte und sich gegen die Darknet-Märkte AlphaBay und Hansa richtete . ^{[ 1 ] [ 2 ] [ 3 ]} Viele weitere Darknet-Märkte wurden ebenfalls abgeschaltet. ^{[ 4 ]}

Ermittler mehrerer Strafverfolgungsbehörden, darunter FBI , DEA und Europol, spürten den Kanadier Alexandre Cazes, den mutmaßlichen Gründer von AlphaBay, aufgrund einer Reihe von Sicherheitslücken im Betrieb auf :

• Etwa zur Zeit des Starts des Dienstes im Dezember 2014 verwendete Cazes seine Hotmail- Adresse pimp_alex_91@hotmail.com als Absenderadresse in systemgenerierten Willkommens- und Passwortzurücksetzungs-E-Mails, die er auch für sein LinkedIn- Profil und sein legitimes Computerreparaturgeschäft in Kanada verwendete. ^{[ 5 ]}
• Cazes nutzte das Pseudonym Alpha02 für den Betrieb der Website, das er bereits seit mindestens 2008 (z. B. in Carding- und Technikforen) verwendet hatte, und gab sich unter dieser Identität abwechselnd als „Designer“, „Administrator“ und „Inhaber“ der Website aus. ^{[ 5 ] [ 6 ]}
• Zum Zeitpunkt seiner Verhaftung war Cazes an seinem Laptop angemeldet und führte einen administrativen Neustart auf einem AlphaBay-Server durch, der als direkte Reaktion auf einen von den Strafverfolgungsbehörden herbeigeführten künstlichen Systemausfall erfolgte; zudem war der Laptop vollständig unverschlüsselt. ^{[ 5 ] [ 7 ]}
• Auf Cazes' Laptop befand sich angeblich eine unverschlüsselte Aufstellung seines persönlichen Nettovermögens, in der alle weltweiten Vermögenswerte in verschiedenen Jurisdiktionen aufgeführt waren, was der Polizei praktischerweise die vollständige Beschlagnahme der Vermögenswerte ermöglichte. ^{[ 5 ]}
• Die Server wurden bei einem Unternehmen in Kanada gehostet, das in direkter Verbindung zu seiner Person stand. ^{[ 5 ]}
• Die Server enthielten mehrere ständig geöffnete (unverschlüsselte) Hot-Wallets für Kryptowährungen. ^{[ 5 ]}
• Cazes' protziger Umgang mit den Erlösen zum Kauf von Immobilien, Pässen und Luxusautos sowie sein häufiges Online-Prahlen mit seinen finanziellen Erfolgen, einschließlich der Veröffentlichung von Videos, in denen er mit illegal erworbenen Luxusautos unterwegs war, enthüllten nicht nur seinen geografischen Aufenthaltsort, sondern machten es auch unmöglich, eine Verbindung zu dem Dienst zu leugnen. ^{[ 5 ]}
• Die aus den Erlösen erworbenen Vermögenswerte wurden auf verschiedenen Konten gehalten, die in direktem Zusammenhang mit Cazes, seiner Frau und den von ihnen in Thailand (dem Land, in dem sie lebten) gehaltenen Unternehmen standen, sowie auf direkt geführten persönlichen Konten in Liechtenstein, Zypern, der Schweiz und Antigua. ^{[ 5 ]}
• Cazes' Aussagen über das Ziel der Website – „gestartet im September 2014 und mit dem Ziel, der größte eBay-ähnliche Marktplatz für die Unterwelt zu werden“ – trugen dazu bei, die Absicht rechtlich zu begründen. ^{[ 5 ]}

Die Strafverfolgungsbehörden benötigten mindestens einen Monat, um einen US-amerikanischen Haftbefehl zu erhalten, und anschließend über einen Monat, um ausländische Haftbefehle zu erhalten, die Durchsuchungen und Beschlagnahmungen in Kanada und Thailand vorzubereiten und durchzuführen: ^{[ 5 ]}

• Anfang Mai 2017: Seit mindestens diesem Zeitpunkt sind die Strafverfolgungsbehörden nachweislich vor Ort aktiv. ^{[ 5 ]}
• 1. Juni 2017: Haftbefehl des US-Bezirksgerichts für den östlichen Bezirk von Kalifornien wegen organisierter Kriminalität, Drogenhandel, Identitätsdiebstahl und Betrug mit Zahlungskarten, Weitergabe gefälschter Ausweispapiere, Handel mit Ausrüstung zur Herstellung illegaler Geräte und Verschwörung zur Geldwäsche . ^{[ 5 ]}
• 30. Juni 2017: Auf Ersuchen der USA wird in Thailand ein Haftbefehl gegen Cazes erlassen. ^{[ 8 ] [ 9 ]}
• 5. Juli 2017:
  • Die kanadische Polizei durchsuchte EBX Technologies in Montreal, Cazes' kanadische Firma und den mutmaßlichen Standort der physischen Server, sowie zwei Wohnhäuser in Trois-Rivières. ^{[ 10 ]}
  • Cazes wird in Bangkok in seiner Wohnung in der Phutthamonthon Sai 3 Road im Bezirk Thawi Watthana festgenommen. Die Wohnung wird von der thailändischen Polizei mit Unterstützung des FBI und der DEA durchsucht. ^{[ 5 ] [ 8 ]}
• 12. Juli 2017: Der mutmaßliche Selbstmord von Cazes durch Erhängen in der Haftanstalt des thailändischen Drogenbekämpfungsbüros im Bezirk Laksi in Bangkok wurde Berichten zufolge um 7  Uhr morgens entdeckt. Er sollte in die USA ausgeliefert werden. ^{[ 5 ] [ 8 ]}
• 16. Juli 2017: Berichten zufolge wurde Cazes' Ehefrau wegen Geldwäsche angeklagt . ^{[ 11 ] [ 12 ]}
• 20. Juli 2017; US-Justizminister Jeff Sessions kündigt die Schließung der Website an. ^{[ 13 ]}
• 23. Juli 2017: Der Leiter des Büros zur Bekämpfung des Drogenhandels wird interviewt und deutet an, dass bald weitere Verdächtige verhaftet werden. ^{[ 14 ]}

Die niederländische Polizei entdeckte den wahren Standort des Hansa-Onion-Servers nach einem Hinweis von Sicherheitsforschern im Jahr 2016, die eine Entwicklungsversion entdeckt hatten. ^{[ 15 ]} Die Polizei begann umgehend, alle Aktivitäten auf der Website zu überwachen und stellte fest, dass die Administratoren alte IRC- Chatprotokolle mit ihren vollständigen Namen und sogar einer Privatadresse hinterlassen hatten . Diese Protokolle wurden daraufhin überwacht. Obwohl die Administratoren die Website bald auf einen anderen, unbekannten Server umzogen, gelang den Ermittlern im April 2017 ein weiterer Durchbruch durch die Rückverfolgung von Bitcoin-Transaktionen. Dadurch konnten sie das neue Hosting-Unternehmen in Litauen identifizieren.

Am 20. Juni 2017 verhaftete die deutsche Polizei die Administratoren (zwei Deutsche). Die niederländische Polizei übernahm daraufhin die vollständige Kontrolle über die Hansa-Website und gab sich als deren Administratoren aus. Ihr Plan, in Abstimmung mit dem FBI, bestand darin, Nutzer zu übernehmen, die aufgrund der bevorstehenden Abschaltung der AlphaBay-Website zu Hansa wechseln würden. Um mehr über unvorsichtige Nutzer zu erfahren, wurden folgende Änderungen an der Hansa-Website vorgenommen:

• Alle Benutzerpasswörter wurden im Klartext aufgezeichnet (wodurch die Polizei sich in andere Märkte einloggen konnte, falls Benutzer Passwörter wiederverwendet hatten). ^{[ 15 ]}
• Verkäufer und Käufer kommunizierten über PGP -verschlüsselte Nachrichten. Die Website bot jedoch eine PGP-Verschlüsselungsfunktion, die von der Polizei so modifiziert wurde, dass eine Klartextkopie aufgezeichnet wurde. ^{[ 15 ]}
• Das automatische Tool der Website zum Entfernen von Fotometadaten wurde so modifiziert, dass es Metadaten (wie z. B. Geodaten) aufzeichnet, bevor diese von der Website entfernt werden. ^{[ 15 ]}
• Die Polizei löschte die Fotodatenbank, was Händler dazu verleitete, Fotos erneut hochzuladen (wobei nun auch Metadaten erfasst wurden). ^{[ 15 ]}
• Bitcoin-Transaktionen mit mehreren Signaturen wurden sabotiert, was es der Polizei im Falle einer Abschaltung ermöglicht hätte, eine größere Menge illegaler Gelder zu beschlagnahmen. ^{[ 15 ]}
• Die Polizei verleitete Nutzer dazu, eine als Textdatei getarnte Microsoft Excel- Datei herunterzuladen , die nach dem Öffnen versuchte, eine Verbindung zu einem Polizei-Webserver herzustellen und so die IP-Adresse des Nutzers zu ermitteln . ^{[ 15 ] [ 16 ] [ 17 ]}

Gemäß Plan wurde AlphaBay am 4. Juli 2017 abgeschaltet. Wie erwartet, strömten daraufhin zahlreiche Nutzer zum Hansa-Marktplatz, bis auch dieser am 19./20. Juli 2017 abgeschaltet wurde. Während dieser Zeit erlaubten die Strafverfolgungsbehörden der Hansa-Nutzerbasis (die damals rasant von 1000 auf 8000 Verkäufer pro Tag wuchs ^{[ 18 ]} ), 27.000 illegale Transaktionen durchzuführen, um Beweise für eine spätere Strafverfolgung der Nutzer zu sammeln. ^{[ 15 ] [ 19 ]} Der niederländische Staatsanwalt für Cyberkriminalität, Martijn Egberts, gab an, rund 10.000 Adressen von Hansa-Käufern außerhalb der Niederlande ermittelt zu haben. ^{[ 20 ]}

Nach der Abschaltung von Hansa wurde auf der Website ein Beschlagnahmehinweis angezeigt und die Nutzer wurden auf den Onion-Dienst der Operation ^{[ 21 ]} verwiesen , um dort weitere Informationen über die Operation zu erhalten.

Die meisten der beteiligten Länder sind Teil der Virtual Global Taskforce (VGT); allerdings spielten auch andere Strafverfolgungsbehörden eine Rolle.

• Der Server, auf dem sich Alphabay befand, konnte nach Litauen zurückverfolgt werden, was zur Beteiligung der litauischen Strafverfolgungsbehörden an der Operation führte.
• Der Gründer der Website, Alexandre Cazes, wurde in Thailand verhaftet, was die Beteiligung der thailändischen Polizei zur Folge hatte.

• Kanada
• Europol – Europäisches Zentrum für Cyberkriminalität (EC3)
• Deutschland
• Litauen
• Niederlande – Niederländische Nationalpolizei – Politie
• Thailand
• Vereinigtes Königreich – National Crime Agency (NCA)
• Vereinigte Staaten
  • Homeland Security Investigations (HSI)
  • Federal Bureau of Investigation (FBI)
  • Drogenbekämpfungsbehörde (DEA)
  • US-Postinspektionsdienst (USPIS)
  • Strafverfolgungsabteilung des IRS (IRS-CI)

• Operation Dark Hunter