Chiến dịch Bayonet: cách cảnh sát hạ AlphaBay và tiếp quản Hansa

Chiến dịch Bayonet là cú đánh phối hợp năm 2017, trong đó FBI, DEA, cảnh sát Hà Lan và Europol cùng lúc hạ hai chợ đen lớn nhất thời điểm đó: AlphaBay bị đóng hẳn, còn Hansa bị cảnh sát Hà Lan bí mật tiếp quản và vận hành khoảng một tháng trước khi tắt. Người điều hành AlphaBay bị lần ra không phải nhờ phá được Tor, mà nhờ một địa chỉ email cá nhân sót lại từ những ngày đầu. Điểm khiến chiến dịch trở thành bài học kinh điển là cách nó phá vỡ niềm tin, thứ tài sản quan trọng nhất của mọi thị trường ngầm.

Bài viết tổng hợp từ thông cáo của Bộ Tư pháp Mỹ, Europol và các tài liệu tòa án, báo chí đã công bố, theo góc nhìn nghiên cứu tình huống. Trang không cung cấp địa chỉ hay cách truy cập bất kỳ chợ đen nào.

Hai chợ đen lớn nhất sau thời Silk Road

Sau khi Silk Road sụp đổ, thị trường ngầm không biến mất mà phân tán rồi gom lại quanh vài cái tên mới. AlphaBay ra đời cuối năm 2014 và chỉ trong hơn hai năm đã vượt xa mọi đối thủ. Theo Bộ Tư pháp Mỹ, ở thời kỳ đỉnh cao AlphaBay lớn gấp khoảng mười lần Silk Road, với hàng trăm nghìn tin đăng gồm ma túy, vũ khí, phần mềm độc hại, dữ liệu thẻ ngân hàng bị đánh cắp và giấy tờ giả.

Hansa nhỏ hơn nhưng có tiếng là "chuyên nghiệp", được giới mua bán đánh giá cao về giao diện và cơ chế ký quỹ. Hai nền tảng vận hành theo cùng một khuôn mẫu: dịch vụ ẩn trên mạng Tor, thanh toán bằng tiền mã hóa, hệ thống đánh giá người bán và diễn đàn hỗ trợ. Cách các cộng đồng này xây dựng uy tín được phân tích trong bài bên trong các diễn đàn thế giới ngầm.

Cuộc săn người điều hành AlphaBay

Người đứng sau AlphaBay là Alexandre Cazes, một thanh niên người Canada ngoài hai mươi tuổi sống tại Bangkok, Thái Lan. Bề ngoài, anh ta là chủ một công ty thiết kế web. Trên chợ đen, anh dùng biệt danh "Alpha02" và giữ quyền quản trị cao nhất.

Theo đơn kiện tịch thu tài sản mà Bộ Tư pháp Mỹ công bố, đầu mối then chốt xuất hiện từ cuối năm 2014. Khi diễn đàn của AlphaBay mới hoạt động, các email chào mừng và đặt lại mật khẩu gửi cho người dùng mới để lộ trong phần tiêu đề một địa chỉ email cá nhân. Điều tra viên nối địa chỉ đó với tài khoản mạng xã hội nghề nghiệp, các bài viết trên diễn đàn công nghệ và công ty của Cazes. Từ đó, các cơ quan Mỹ phối hợp với cảnh sát Thái Lan theo dõi lối sống của anh ta: xe sang, bất động sản ở nhiều nước và khối tài sản tiền mã hóa không tương xứng với một công ty thiết kế web nhỏ.

Ngày 5 tháng 7 năm 2017, cảnh sát Thái Lan bắt Cazes tại nhà riêng ở Bangkok với sự hỗ trợ của FBI và DEA. Theo tường thuật được công bố, nhóm bắt giữ tạo một tình huống gây chú ý trước cửa để anh ta bước ra ngoài khi máy tính xách tay vẫn đang mở và đăng nhập. Chiếc máy không bị khóa, chứa quyền truy cập máy chủ, mật khẩu và cả một bảng tính liệt kê tài sản cá nhân. Khoảng một tuần sau, ngày 12 tháng 7 năm 2017, Cazes được phát hiện tử vong trong phòng giam ở Thái Lan; nhà chức trách Thái Lan cho biết đó là một vụ tự sát. Máy chủ của AlphaBay ở nhiều quốc gia bị tịch thu cùng thời điểm.

Hansa: chợ đen do cảnh sát vận hành

Phần táo bạo nhất của chiến dịch diễn ra ở châu Âu. Theo lời kể của cảnh sát Hà Lan, đầu mối ban đầu là thông tin về một máy chủ liên quan đến Hansa đặt tại một nhà cung cấp hosting ở Hà Lan. Khi lặng lẽ sao chép và phân tích máy chủ này, điều tra viên tìm được dấu vết dẫn tới hai người quản trị sống ở Đức.

Thay vì bắt họ rồi đóng trang ngay, các cơ quan Hà Lan và Đức, với sự điều phối của Europol, chọn một phương án khác. Hai quản trị viên bị bắt tại Đức, và ngày 20 tháng 6 năm 2017, cảnh sát Hà Lan chính thức nắm quyền điều khiển Hansa. Từ đó, chợ đen vẫn chạy bình thường trong mắt người dùng, nhưng người vận hành thật sự là cơ quan thực thi pháp luật.

Trong khoảng một tháng, cảnh sát âm thầm thay đổi cách hệ thống xử lý dữ liệu để thu thập thông tin vốn được thiết kế để không ai giữ lại: mật khẩu, tin nhắn trước khi mã hóa, thông tin giao hàng. Họ cũng tìm cách xác định vị trí một số người bán thông qua dấu vết kỹ thuật mà người dùng vô tình để lộ. Đây là hoạt động được tòa án Hà Lan cho phép trong khuôn khổ điều tra, và đến nay vẫn là chủ đề tranh luận về giới hạn của các biện pháp nghiệp vụ trên mạng.

Dòng thời gian Chiến dịch Bayonet

Cái bẫy hoàn hảo: khi người dùng tự chạy vào lưới

Việc AlphaBay đột ngột biến mất đầu tháng 7 không được công bố ngay. Trong cộng đồng ngầm, nhiều người đoán rằng quản trị viên đã ôm tiền ký quỹ bỏ trốn, kiểu "lừa đảo thoát hiểm" vốn rất phổ biến. Hàng loạt người mua và người bán tìm nơi trú ẩn mới, và lựa chọn tự nhiên nhất là Hansa. Họ mang theo tài khoản, hàng hóa và thói quen của mình đến đúng nơi cảnh sát đang ghi chép.

Thứ tự này được tính toán có chủ đích: bằng cách hạ AlphaBay trước trong khi giữ Hansa chạy, các cơ quan biến một cuộc di cư thành một cuộc thu thập dữ liệu quy mô lớn. Theo Europol, dữ liệu từ Hansa, gồm thông tin của rất nhiều người mua ở nhiều nước, được chuyển cho cơ quan chức năng các quốc gia để điều tra tiếp trong nhiều năm sau đó.

Những sai lầm OPSEC đã làm lộ người điều hành

Bảo mật vận hành, hay OPSEC, là kỷ luật giữ cho các mảnh thông tin nhỏ không thể nối lại với nhau. Vụ AlphaBay cho thấy một người có kỹ năng kỹ thuật thật vẫn thất bại ở đúng những điểm đời thường:

• Trộn danh tính thật và giả từ đầu: địa chỉ email từng dùng cho đời sống công khai xuất hiện trong hệ thống của chợ đen ở giai đoạn sơ khai, khi người điều hành còn chưa nghĩ tới việc bị truy lùng.
• Lối sống không khớp thu nhập: tài sản lớn và phô trương là tín hiệu mà điều tra tài chính truyền thống bắt được, không cần công nghệ cao.
• Thiết bị không được bảo vệ khi sử dụng: mã hóa ổ đĩa chỉ có tác dụng khi máy đã khóa; một chiếc máy đang mở là một chiếc két không có cửa.
• Tập trung quyền lực và dữ liệu: một người nắm toàn bộ chìa khóa, nên khi người đó bị bắt, cả hệ thống sụp theo.

Phía Hansa, sai lầm nằm ở hạ tầng: để lại máy chủ tại một nhà cung cấp có thể bị yêu cầu hợp tác và lưu dấu vết có thể lần ngược tới người quản trị. Cả hai trường hợp đều không liên quan tới việc giao thức ẩn danh bị bẻ khóa. Lý do Tor vẫn có giới hạn ngay cả khi hoạt động đúng thiết kế được giải thích trong bài cơ chế ẩn danh của mạng Tor.

Thị trường ngầm sau cú đánh kép

Về ngắn hạn, Chiến dịch Bayonet không xóa sổ buôn bán trực tuyến. Các chợ khác nhanh chóng hút người dùng còn lại, và trong vài năm sau vẫn có những nền tảng lớn bị triệt phá trong các chiến dịch quốc tế khác. Năm 2021, một người tự nhận là cựu thành viên ban quản trị còn tuyên bố hồi sinh thương hiệu AlphaBay, cho thấy cái tên vẫn có sức hút.

Nhưng hệ quả dài hạn nằm ở tâm lý. Trước năm 2017, mối lo lớn nhất của người dùng chợ đen là bị quản trị viên lừa tiền. Sau Hansa, họ phải đối mặt với khả năng chính nền tảng mình đang dùng đã nằm trong tay cảnh sát. Niềm tin, thứ duy trì cơ chế ký quỹ và đánh giá, bị xói mòn. Thị trường chuyển dần sang các nhóm nhỏ, kênh nhắn tin riêng và các chợ chuyên biệt, khó quản lý hơn nhưng cũng kém ổn định hơn. Dòng tiền tội phạm cũng tìm cách che giấu tinh vi hơn, chẳng hạn qua các dịch vụ trộn tiền mã hóa, và đó lại là một cuộc rượt đuổi khác.

Giới hạn thật của ẩn danh

Bài học cốt lõi của vụ việc không phải là "công nghệ ẩn danh vô dụng". Tor và tiền mã hóa vẫn làm đúng phần việc của chúng. Vấn đề là ẩn danh là một chuỗi, và chuỗi chỉ chắc bằng mắt xích yếu nhất: một email cũ, một máy chủ đặt sai chỗ, một chiếc máy tính chưa khóa, hay một nền tảng mà bạn không biết ai đang thật sự vận hành.

Với người dùng bình thường, câu chuyện này nhắc rằng mọi dịch vụ trực tuyến đều có người vận hành, và dữ liệu bạn gửi đi nằm trong tay họ, dù họ là ai. Đó cũng là lý do giới nghiên cứu an ninh luôn hoài nghi trước mọi lời hứa "tuyệt đối không thể truy vết".