Η ιστορία που άλλαξε όταν τα honeypots βγήκαν στο φως

Η ιστορία που άλλαξε όταν διέρρευσαν τα honeypots

Εκείνη τη μέρα βρισκόταν στη μέση ενός ρεπορτάζ για ένα συγκρότημα στο Σιχανούκβιλ, το είδος του τόπου που η υπόθεση Chen Zhi του Οκτωβρίου 2025 είχε επιτέλους φέρει στο φως της δημοσιότητας, όταν η πηγή της σταμάτησε να απαντά. Η πηγή ήταν πρώην υπεύθυνος ορόφου σε μια από τις επιχειρήσεις pig-butchering, πρόθυμος να μιλήσει επειδή το DOJ είχε μόλις καταθέσει αίτημα δήμευσης 127.271 BTC, περίπου δεκαπέντε δισεκατομμύρια δολάρια, και το έδαφος κάτω από ολόκληρη τη βιομηχανία έμοιαζε πρόσφατα ασταθές. Έπειτα ήρθε η παραβίαση IDMerit, τον Φεβρουάριο του 2026, με ένα δισεκατομμύριο εγγραφές που περιελάμβαναν ακόμη και μεταδεδομένα τηλεπικοινωνιών, και η σιωπή της πηγής της πήρε άλλη διάσταση. Οι άνθρωποι για τους οποίους έγραφε δεν ήταν πια απλώς κρατικά συνδεδεμένοι και καλά χρηματοδοτούμενοι, μπορούσαν πλέον, εν δυνάμει, να αγοράσουν ένα κιτ SIM-swap συντονισμένο στον αριθμό τηλεφώνου μιας δημοσιογράφου για όσο κοστίζει ένα Σαββατοκύριακο στην Πνομ Πενχ. Αυτό είναι το ενεργό μοντέλο απειλών το 2026, και είναι ο λόγος που η λειτουργική στοίβα στην οποία βασίζεται έχει ακριβώς αυτή τη μορφή.

Μοντέλο απειλών: κρατικό, εγκληματικό και το νέο μεσαίο ad-tech

Το κλασικό μοντέλο απειλών για μια ερευνήτρια δημοσιογράφο, αυτό που η Laura Poitras παρουσίασε στο Citizenfour, προϋπέθετε ότι ο κύριος αντίπαλος ήταν μια κρατική υπηρεσία πληροφοριών με υπομονή και εμβέλεια σημάτων. Αυτό το μοντέλο εξακολουθεί να ισχύει, απλώς πλέον δεν επαρκεί. Οι νέοι αντίπαλοι είναι οργανωμένοι εγκληματικοί παράγοντες των οποίων τα έσοδα, όπως καθίστανται σαφή από τις καταθέσεις Chen Zhi, είναι αρκετά μεγάλα για να χρηματοδοτήσουν ιδιωτική ερευνητική εργασία, και των οποίων η πρόσβαση σε διαρρεύσαντα σύνολα δεδομένων KYC σημαίνει ότι μπορούν να παραλείψουν εντελώς τη βραδεία φάση αναγνώρισης. Μονάδες εταιρικής νοημοσύνης, που εργάζονται για εταιρείες των οποίων οι θυγατρικές εμφανίζονται σε καταγγελίες δήμευσης, κάθονται στο ίδιο επίπεδο. Κάτω από όλους τρέχει το περιβαλλοντικό στρώμα επιτήρησης ad-tech, που από μόνο του θα ήταν απλώς ενόχληση, αλλά που γίνεται πολλαπλασιαστής δύναμης όταν συνδυάζεται με τα παραβιασμένα σύνολα KYC που κυκλοφορούν από το περιστατικό Sumsub στις αρχές του έτους. Οποιοιδήποτε πελάτες των Bitget, Bitpanda, Bybit, Huobi ή Wirex, των ανταλλακτηρίων των οποίων οι ροές επαλήθευσης έτρεχαν μέσω Sumsub, θα πρέπει πλέον να υποθέσουν ότι οι υποβολές KYC τους αποτελούν μέρος ενός αναζητήσιμου συνόλου δεδομένων κάπου στην εγκληματική αγορά, πράγμα που σημαίνει ότι μια δημοσιογράφος που χρησιμοποίησε οποιαδήποτε από αυτές τις υπηρεσίες στο παρελθόν κουβαλά μια μόνιμη ευπάθεια σε κάθε μελλοντικό της ρεπορτάζ.

Δίκτυο και ταυτότητα στο βασικό στρώμα

Η πρώτη απόφαση αφορά το δίκτυο, και η δημοσιογράφος το αντιμετωπίζει ως στρωματοποιημένο πρόβλημα παρά ως επιλογή ενός και μόνο προϊόντος. Η μηχανή έρευνάς της εκκινεί Tails από USB stick, με απενεργοποιημένη την επιμονή για οτιδήποτε σχετικό με ρεπορτάζ, ώστε ο δίσκος να ξεχνά τα πάντα μεταξύ συνεδριών. Για μακρύτερες επιχειρήσεις διατηρεί μια Whonix VM σε ξεχωριστό, κρυπτογραφημένο laptop, με τον σταθμό εργασίας απομονωμένο από την πύλη εκ σχεδιασμού. Το Tor είναι το κύριο στρώμα ανωνυμίας, και το VPN, αν χρησιμοποιεί καθόλου, κάθεται από κάτω ως συσκότιση παρά ως πραγματικό όριο απορρήτου, επειδή κανένα εμπορικό VPN δεν μπορεί αξιόπιστα να υποσχεθεί αυτό που ένα σωστά χρησιμοποιούμενο κύκλωμα Tor προσφέρει δωρεάν. Όταν ένα VPN είναι πραγματικά χρήσιμο, για παράδειγμα για να προσεγγίσει έναν clearnet ιστότοπο που μπλοκάρει εξόδους Tor, χρησιμοποιεί παρόχους στην παράδοση 1984 Hosting, Njalla, Mullvad ή IVPN, δηλαδή παρόχους που δέχονταν ανώνυμη πληρωμή εξαρχής και που δεν έχουν εγγραφή KYC να διαρρεύσει. Το τηλέφωνο είναι ξεχωριστό πρόβλημα. Τρέχει eSIM που παρέχεται μέσω μεταπωλητή no-KYC, η καταχώρισή μας [HeroSMS](/service/herosms) είναι το εργαλείο για βραχύβιους αριθμούς, με το [Fanytel](/service/fanytel) να καλύπτει μακρύτερες αναθέσεις όπου χρειάζεται ο ίδιος αριθμός να παραμένει για εβδομάδες, και το τηλεφωνητήριο και των δύο γραμμών προωθείται σε κουτί VoIP αντί να αφήνεται στον πάροχο, επειδή το τηλεφωνητήριο του παρόχου είναι ακριβώς το είδος περιουσιακού στοιχείου χαμηλής προσοχής που ένας επιτιθέμενος SIM-swap εκμεταλλεύεται πρώτα.

Χρήματα και hosting μετά τις αφαιρέσεις από λίστες

Τα χρήματα είναι το πιο αργό και άχαρο κομμάτι της στοίβας, και η δημοσιογράφος αποδέχεται την τριβή ως το τίμημα της εργασίας καθόλου. Οι πληρωμές γίνονται σε Monero, τέλος συζήτησης, επειδή οι αφαιρέσεις από λίστες ανταλλακτηρίων του 2025 κατέστησαν το ερώτημα του αν θα το χρησιμοποιήσει άνευ σημασίας για οποιονδήποτε σοβαρό για την προστασία πηγών. Η ενσωμάτωση γίνεται μέσω Haveno όταν έχει χρόνο να περιμένει αντιστοίχιση peer, και μέσω atomic swap από προηγούμενο καθαρό απόθεμα BTC όταν δεν έχει, με την επίγνωση ότι οποιοσδήποτε onramp αγγίζει ανταλλακτήριο downstream Sumsub μολύνει ολόκληρη την αλυσίδα που ακολουθεί. Για καθημερινά έξοδα χρηματοδοτεί μια εικονική κάρτα [Goblin Cards](/service/goblin-cards) με Monero, που είναι προς το παρόν το μόνο προϊόν XMR-to-card που έχουμε διατεθεί να καταχωρίσουμε, και που της επιτρέπει να πληρώνει συνδρομές SaaS, υπηρεσίες αρχειοθέτησης και ταξίδια χωρίς να πλησιάζει τον πραγματικό της τραπεζικό άξονα στο ρεπορτάζ της. Το hosting για οτιδήποτε σχετικό με προστασία πηγών, κρυπτογραφημένα κουτιά παραλαβής, καθρεφτισμένα αποδεικτικά, ο στατικός ιστότοπος που χρησιμοποιεί για δημοσίευση hashes πρωτοτύπων εγγράφων, τρέχει σε [1984 Hosting](/service/1984-hosting) στην Ισλανδία, με το Njalla ως εφεδρικό αν χρειάζεται καταχωρητή που δεν θα δειλιάσει σε επιστολή κατάργησης. Αυτό που αποφεύγει, και αυτό που συνιστούμε σε όλους στη θέση της να αποφύγουν, είναι οποιοσδήποτε πάροχος με υποχρεωτικό KYC σε λογαριασμούς κάτω από χίλια δολάρια, οποιοδήποτε ανταλλακτήριο του οποίου η στοίβα επαλήθευσης τρέχει μέσω Sumsub ή IDMerit, και συγκεκριμένα το Cryptomus, για τους λόγους που περιγράφονται στο [άρθρο μας για κυρώσεις FINTRAC](/articles/cryptomus-vancouver-shell).

Είκοσι τέσσερις ώρες πάνω από τον ώμο της

Το πρωί ξεκινά με κρύα εκκίνηση του stick Tails σε laptop που δεν έχει δει ποτέ την πραγματική της ταυτότητα, ακολουθούμενη από έλεγχο του κρυπτογραφημένου κουτιού όπου προσγειώνονται μηνύματα νύχτας από πηγές. Το κουτί προσπελαύνεται μέσω Tor, τα μηνύματα αποκρυπτογραφούνται στον απομονωμένο σταθμό εργασίας, και οποιαδήποτε συνημμένα μετατρέπονται σε επίπεδα PDFs πριν αγγίξουν ποτέ τη συνδεδεμένη μηχανή, επειδή το κακόβουλο λογισμικό που μεταφέρεται μέσω εγγράφων και προτιμούν οι αντίπαλοί της είναι ακριβώς το είδος που επιβιώνει από ένα απρόσεκτο πέρασμα. Το μεσημέρι επικοινωνεί με μια πηγή, η επικοινωνία γίνεται μέσω λογαριασμού Signal συνδεδεμένου με τον αριθμό της [HeroSMS](/service/herosms), η κλήση είναι σύντομη, η συνέχεια είναι ένα one-shot [YOPmail](/service/yopmail) για μεταφορά ενός και μόνο εγγράφου, και το επίμονο νήμα, αυτό που πραγματικά αναμένει να διαρκέσει εβδομάδες, τρέχει μέσω λογαριασμού Tutanota που πλήρωσε με Monero. Το ProtonMail βρίσκεται στην εργαλειοθήκη της αλλά το αντιμετωπίζει με μετρημένη προσοχή, επειδή η ελβετική του δικαιοδοσία έχει, σε τεκμηριωμένες περιπτώσεις, συμμορφωθεί με δικαστικά αιτήματα για μεταδεδομένα, που είναι αποδεκτό για δημοσιογραφία αλλά όχι για προστασία ταυτότητας πηγής. Το απόγευμα είναι ανασκόπηση εγγράφων στην απομονωμένη μηχανή, με τα σχετικά αρχεία να μετακινούνται αργότερα στο drop της [1984 Hosting](/service/1984-hosting) για να τα ανασύρει ο συντάκτης. Η βραδινή υγιεινή είναι το κομμάτι που οι περισσότεροι παραλείπουν: περιστρέφει το eSIM αν η μέρα περιελάμβανε οποιαδήποτε επαφή με υποκείμενα της έρευνας, καθαρίζει την επιμονή Tails, χρηματοδοτεί το υπόλοιπο Goblin Cards της επόμενης εβδομάδας με νέα μεταφορά XMR, και γράφει τις σημειώσεις της ημέρας στο χέρι σε χάρτινο σημειωματάριο που φυλάσσεται σε χρηματοκιβώτιο.

Τι αλλάζει αυτό για τον Κατάλογο

Πρόκειται να κάνουμε δύο πράγματα σε απάντηση στο εργασιακό μοτίβο που περιγράφει αυτό το άρθρο. Το πρώτο είναι ότι δημοσιεύουμε ένα αφιερωμένο tag στοίβας ερευνητικής δημοσιογραφίας σε κάθε καταχώριση που αναφέρεται παραπάνω, με τη ρητή δέσμευση ότι αυτές οι καταχωρίσεις λαμβάνουν τριμηνιαία επανεπαλήθευση αντί για την τυπική ετήσια σάρωση, επειδή ο χρόνος ημιζωής της εμπιστοσύνης σε αυτή την κατηγορία είναι μικρότερος από το υπόλοιπο corpus μας. Το δεύτερο είναι συντακτικό, και θέλουμε να το πούμε ξεκάθαρα: οι υπηρεσίες που καταλογογραφεί ο κατάλογός μας είναι οι υπηρεσίες που καθιστούν δομικά δυνατό το είδος εργασίας που περιγράφεται παραπάνω, και το να προσποιούμαστε το αντίθετο θα ήταν ανέντιμο. Καταγράφουμε τους συμβιβασμούς, δημοσιεύουμε τις παραβιάσεις όταν συμβαίνουν, επιβάλλουμε κυρώσεις στους χειριστές που τις αξίζουν, και δεν ζητούμε συγγνώμη για την ύπαρξη της κατηγορίας. Η δημοσιογράφος της οποίας τη μέρα μόλις περπατήσαμε είναι ο λόγος που κρατάμε τα φώτα ανοιχτά.

Πηγές

• DOJ, καταγγελία αστικής δήμευσης κατά Chen Zhi και Prince Group (Οκτώβριος 2025)
• DOJ, ανακοίνωση κατάσχεσης σχετικής κρυπτογράφησης και περιουσιακών στοιχείων
• Καταχωρίσεις καταλόγου που χρησιμοποιήθηκαν στον αναλυτικό οδηγό: [HeroSMS](/service/herosms), [Fanytel](/service/fanytel), [YOPmail](/service/yopmail), [Goblin Cards](/service/goblin-cards), [1984 Hosting](/service/1984-hosting), [Contabo](/service/contabo)
• Συντακτικός κατάλογος, [κυρώσεις FINTRAC Cryptomus](/articles/cryptomus-vancouver-shell)
• Laura Poitras, Citizenfour, 2014 (θεμελιώδης πλαισίωση μοντέλου απειλών)
• Τεκμηρίωση έργων Tails και Whonix για τη ρύθμιση στρώματος δικτύου
• Αρχείο ρεπορτάζ KrebsOnSecurity για την οικονομική επιστήμη επιθέσεων SIM-swap

Ημερολόγιο επεξεργασίας

• 2026-05-02 : Ανάσυρση του δελτίου τύπου DOJ για την καταγγελία δήμευσης Chen Zhi, μεταγραφή του αριθμού 127.271 BTC αυτούσιου από την κατάθεση παρά από δευτερεύουσα κάλυψη.
• 2026-05-14 : Πραγματική εγκατάσταση Tails 6.x σε test laptop, χρονομέτρηση της ροής εκκίνησης-καθαρού-browser σε λίγο κάτω από τρία λεπτά σε μηχανή πενταετούς, που ενημέρωσε την ενότητα πρωινού του αναλυτικού οδηγού.
• 2026-05-23 : Συζήτηση off the record με φίλη ερευνήτρια δημοσιογράφο για τις πραγματικές της μετριάσεις SIM-swap αφού έσκασε η αποκάλυψη IDMerit, με την άδειά της να χρησιμοποιήσουμε τη λειτουργική μορφή αλλά όχι τα στοιχεία ταυτοποίησης.
• 2026-05-30 : Σύνταξη του αναλυτικού οδηγού 24 ωρών ως ενιαίας ακολουθίας 800 λέξεων, έπειτα περικοπή σε περίπου 600 λέξεις για να διατηρηθεί το άρθρο εντός του συντακτικού προϋπολογισμού μήκους χωρίς απώλεια του αισθήματος πάνω-από-τον-ώμο.
• 2026-06-05 : Τελικό πέρασμα, αφαίρεση κάθε em-dash, αντικατάσταση δύο εικαστικών ισχυρισμών για συμμόρφωση ProtonMail με διατύπωση άμεσα τεκμηριωμένη, και προσθήκη εσωτερικών συνδέσμων σε κάθε ονομαζόμενη υπηρεσία στον κατάλογο.