Dziesięć miesięcy egzekwowania prawa w 2026 roku: najpierw infrastruktura, zaraz za nią administratorzy
Dziesięć miesięcy po rozpoczęciu 2026 roku publiczny zapis działań organów ścigania przeciwko infrastrukturze darknetu i cyberprzestępczości nie jest zdominowany przez efektowne rozbiórki marketplace'ów, lecz przez systematyczne ścieranie rur: serwerów, domen, botnetów i usług, które je wynajmują. Ten materiał kompiluje wyłącznie działania ogłoszone do połowy października przez agencje, które wydały własne komunikaty - Europol, amerykański Departament Sprawiedliwości, BKA, policję holenderską i FBI - i szuka wzorca, który się pod nimi kryje. Każdy przypadek odsyła do źródła, które sami otworzyliśmy; plotki i twierdzenia oparte na jednym blogu nie przeszły selekcji.
Najpierw infrastruktura
Największą skoordynowaną akcją okresu był czerwcowy cios operacji Endgame w dystrybucję złośliwego oprogramowania. Ogłoszony 24 czerwca przez międzynarodową koalicję stojącą za wieloletnią kampanią, uderzył w zestawy dropperów i infostealerów SocGholish, Amadey i StealC: w ciągu dwóch tygodni przejęto 326 serwerów i 142 domeny, kryminalne aktywa krypto o wartości ponad 41 milionów euro oznaczono i zamrożono, a 27 milionów skradzionych danych logowania odzyskano. Lista uczestników - Kanada, Dania, Niemcy, Holandia, Wielka Brytania, USA i Microsoft, koordynowani przez Europol i Eurojust - pokazuje, jak rutynowy stał się format publiczno-prywatny (operation-endgame.com). Dla skali: sama listopadowa faza kampanii w 2025 roku wyłączyła wtedy 1.025 serwerów. Kilka dni wcześniej holenderska policja zdjęła z sieci First VPN - kryminalną usługę VPN reklamowaną na forach cyberprzestępczych. W akcji Team High Tech Crime z władzami francuskimi 19 i 20 maja zdemontowano 33 serwery, domniemanego administratora przesłuchano na Ukrainie na prośbę Francji, a użytkowników usługi powiadomiono - w istocie, że przez cały czas byli obserwowani. Biuro wsparcia Europolu przygotowało 83 produkty analityczne dla wspólnego zespołu śledczego (politie.nl). W lipcu przyszła kolej na FBI: 2 lipca skonfiskowano setki domen należących do NetNut, komercyjnej sieci proxy rezydencjonalnych powiązanej z botnetem Popa działającym na ponad dwóch milionach urządzeń konsumenckich; stronę główną firmy zastąpiono banerem konfiskaty FBI. NetNut jest prowadzona przez Alarum Technologies - izraelską spółkę notowaną na giełdzie. To przypomnienie, że 'infrastruktura botnetu' i 'produkt notowany na Nasdaq' mogą opisywać tę samą maszynę. Według KrebsOnSecurity zespół threat intelligence Google policzył 316 odrębnych klastrów aktorów korzystających z węzłów wyjściowych NetNut w ciągu zaledwie jednego czerwcowego tygodnia (KrebsOnSecurity).Administratorzy, nie sprzedawcy
Akcje wobec rynków w 2026 roku były wąskie i chirurgiczne. Na początku maja frankfurcka ZIT i BKA wyłączyli reaktywację Crimenetwork - niemieckojęzycznej platformy handlowej, której poprzedniczka upadła w grudniu 2024 roku; domniemanego operatora, 35-letniego Niemca, aresztowano 6 maja na Majorce na podstawie europejskiego nakazu. Reaktywacja urosła do ponad 22 000 użytkowników i ponad 100 sprzedawców, przyjmowała Bitcoin, Litecoin i Monero, a zebrane dowody wskazują na obrót powyżej 3,6 miliona euro; około 194 000 euro zabezpieczono tymczasowo. Zwróćmy uwagę na to, czego nie było: masowych aresztowań sprzedawców. Dane 22 000 użytkowników stały się dowodem, a nie liczbą do komunikatu prasowego (komunikat BKA/ZIT). Październikowy komunikat Europolu o KillSec czyta się podobnie. Operacja KillSwitch, prowadzona przez policyjny wydział kryminalny i prokuraturę Hamburga, przejęła 30 września stronę wycieków grupy ransomware i zabezpieczyła co najmniej 110 terabajtów danych. Domniemany główny operator ma szesnaście lat; domniemany programista skończył osiemnaście w sierpniu. Trzy tymczasowe aresztowania i osiem przeszukań objęły Grecję, Rumunię, Hiszpanię i Wielką Brytanię, a domeny grupy przekierowują teraz na stronę zawiadomienia o przejęciu. Europol poinformował też, że grupa używała narzędzi AI do budowania i utrzymywania swojej infrastruktury oraz identyfikowania potencjalnych ofiar - szczegół, który mówi o 2026 roku nie mniej niż jakakolwiek liczba aresztowań (Europol).Długi ogon postępowań
Starsze sprawy wciąż dojrzewają do wyroków. 7 października federalni prokuratorzy w Chicago ogłosili, że Raheim Hamilton, współtwórca rynku Empire Market, został skazany na czterdzieści lat więzienia federalnego i grzywnę pięciu milionów dolarów. Empire działał od 2018 do 2020 roku i obsłużył ponad cztery miliony transakcji o wartości ponad 430 milionów dolarów. Konfiskata - około 1230 bitcoinów plus trzy nieruchomości w Wirginii - dotarła lata po zniknięciu samego rynku i o to chodzi: konfiskaty są natychmiastowe, rozliczenie jest powolne (justice.gov).Cicha czwarta linia: listy sankcyjne
Sankcje szły równolegle do ścieżki karnej. 8 października Wielka Brytania objęła sankcjami Cryptomus - platformę płatności krypto, wcześniej znaną jako Certa Payments i Xeltox - w ramach swojego reżimu sankcji wobec Rosji, razem z VexPay, TokenSpot i Tsunami Payments (KrebsOnSecurity). Zamrożenie zasięgu platformy płatniczej odbywa się bez banera, ale dla infrastruktury wypłacania środków wpis na listę może boleć bardziej niż konfiskata.Co mówią banery - i czego brakuje
Gramatyka banerów konfiskaty jest nienaruszona: domeny KillSec przekierowują na zawiadomienie organów, strona główna NetNut nosi baner FBI, Crimenetwork i First VPN po prostu znikają. Braki są równie pouczające jak działania. W skompilowanym publicznym zapisie za 2026 rok na razie:- nie skonfiskowano żadnego marketplace'a największej międzynarodowej klasy - jedyne zamknięcie to niemieckojęzyczna reaktywacja, która przeżyła około półtora roku;
- żadne ze zgromadzonych tu działań nie jest sankcją wobec miksera, a jedyny krok sankcyjny w zestawie wymierza platformę płatniczą, nie usługę mieszania;
- nie było masowej obławy na sprzedawców, jaka znaczyła wcześniejsze fale.