Bal kovanları sızdı, suç dünyası yeniden şekillendi: Kripto karanlığının yeni yüzü

Bal kovanları sızdığında değişen hikaye

Sihanoukville'deki bir kompleks üzerine haber sürdürüyordu, Ekim 2025'te Chen Zhi iddianamesiyle gün ışığına çıkan türden bir yerdi burası, kaynağı cevap vermeyi bıraktığında. Kaynak, domuz kesme operasyonlarından birinin eski kat yöneticisiydi; konuşmaya istekliydi çünkü DOJ, 127.271 BTC'ye, yaklaşık on beş milyar dolara tekabül eden miktara el koyma talebinde bulunmuştu ve tüm sektörün zemini bambaşka bir şekilde istikrarsız görünüyordu. Ardından Şubat 2026'da IDMerit ihlali geldi, bir milyar kayıt, telekomünikasyon meta verileri dahil, ve kaynağının sessizliği farklı bir anlam kazandı. Yazdığı insanlar artık sadece devlet yanlısı ve iyi finanse edilmiş değillerdi; prensipte bir gazetecinin telefon numarasına özel bir SIM değiştirme kiti satın alabilirlerdi, Phnom Penh'de bir hafta sonunun maliyetine. İşte bu, 2026 yılındaki çalışan tehdit modeli, ve güvendiği operasyonel yığınının neden bu şekilde göründüğünün nedeni.

Tehdit modeli: devlet düzeyi, suçlu ve yeni reklam teknolojisi aracılığı

Bir araştırmacı gazeteci için klasik tehdit modeli, Laura Poitras'ın Citizenfour'da gösterdiği model, temel düşmanın sabır ve sinyal erişimi olan bir devlet istihbarat servisi olduğunu varsayıyordu. Bu model hâlâ doğru, ancak artık yeterli değil. Yeni düşmanlar, Chen Zhi dosyalarının açıkça gösterdiği gibi, gelirleri özel istihbarat çalışmalarını finanse etmeye yetecek kadar büyük olan organize suçlu muhataplardır; ve sızıntıya uğramış KYC veri setlerine erişimleri, yavaş keşif aşamasını tamamen atlamalarını sağlar. İştiraklerine el koyma şikayetlerinde yer alan şirket türleri için çalışan kurumsal istihbarat birimleri aynı katmanda yer alır. Hepsinin altında, tek başına bir rahatsızlık olacak olan reklam teknolojisi gözetimi ortam katmanı akar; ancak yıl başından beri dolaşan Sumsub olayından bu yana ihlal edilmiş KYC derlemeleriyle birleştiğinde bir kuvvet çarpanı haline gelir. Bitget, Bitpanda, Bybit, Huobi veya Wirex'in, doğrulama akışları Sumsub üzerinden yürütülen borsaların herhangi bir müşterisi, artık KYC başvurularının suç pazarında bir yerde sorgulanabilir bir veri setinin parçası olduğunu varsaymalıdır; bu da geçmişte bu hizmetlerden herhangi birini kullanan bir gazetecinin, her gelecek habere kalıcı bir zafiyet taşıdığı anlamına gelir.

Ağ ve kimlik temel katmanda

İlk karar ağdır, ve gazeteci bunu tek bir ürün seçimi olarak değil, katmanlı bir problem olarak ele alır. Araştırma makinesi bir USB anahtardan Tails ile önyüklenir; hikaye ile ilgili her şey için kalıcılık devre dışı bırakılmıştır, böylece disk oturumlar arasında her şeyi unutur. Daha uzun operasyonlar için ayrı, şifreli bir dizüstü bilgisayarda Whonix VM tutar; iş istasyonu tasarım gereği ağ geçidinden izole edilmiştir. Tor birincil anonimlik katmanıdır, ve VPN, eğer hiç kullanıyorsa, gerçek gizlilik sınırı olarak değil, karartma olarak altında yer alır; çünkü düzgün kullanılan bir Tor devresinin ücretsiz sunduğunu, hiçbir ticari VPN güvenilir şekilde vaat edemez. VPN gerçekten faydalı olduğunda, örneğin Tor çıkışlarını engelleyen bir clearnet sitesine erişmek için, 1984 Hosting, Njalla, Mullvad veya IVPN geleneğindeki operatörleri kullanır; yani başından beri anonim ödeme alan ve başlangıçta sızacak kayıt KYC'si olmayan sağlayıcılar. Telefon ayrı bir problemdir. no-KYC bayisi üzerinden sağlanan bir eSIM çalıştırır; kısa ömürlü numaralar için [HeroSMS](/service/herosms) listemiz iş atıdır, haftalar boyunca aynı numaranın kalıcı olmasına ihtiyaç duyduğu daha uzun görevler için [Fanytel](/service/fanytel) devreye girer. Her iki hattın sesli mesajı bir VoIP kutusuna yönlendirilir, taşıyıcıda bırakılmaz; çünkü taşıyıcı sesli mesajı, tam olarak SIM değiştirme saldırganının ilk olarak paraya çevirdiği düşük dikkat varlığı türüdür.

Delistingleme sonrası para ve barındırma

Para yığınının en yavaş ve en çirkin parçasıdır, ve gazeteci sürtünmeyi çalışabilmenin bedeli olarak kabul eder. Ödemeler Monero'dur, tartışma sona erer; çünkü 2025 borsa delistinglemeleri, kaynak koruması konusunda ciddi olan herkes için kullanıp kullanmama sorusunu geçersiz kıldı. Haveno üzerinden, eşleşme için zamanı olduğunda, ve zamanı olmadığında önceden temiz bir BTC stokundan atomik takas ile katılım sağlar; Sumsub-sonrası borsaya dokunan herhangi bir girişin ardından gelen tüm zinciri kontamine ettiği anlayışıyla. Günlük harcamalar için Monero ile [Goblin Cards](/service/goblin-cards) sanal kartını fonlar; bu şu anda listelemeye istekli olduğumuz tek XMR-kart ürünüdür, ve SaaS abonelikleri, arşiv hizmetleri ve seyahat için gerçek banka hattını hikayeye yaklaştırmadan ödeme yapmasını sağlar. Kaynak korumasıyla ilgili her şey için barındırma, şifreli bırakma kutuları, yansıtılmış kanıtlar, orijinal belgelerin hash'lerini yayınlamak için kullandığı statik site, İzlanda'daki [1984 Hosting](/service/1984-hosting) üzerinde çalışır; kaldırma talebine göz kırpmayacak bir kayıt kurumuşuna ihtiyacı olursa Njalla yedek olarak kullanılır. Kaçındığı şey, ve bu pozisyondaki herkesin kaçınmasını önerdiğimiz şey, bin doların altındaki hesaplarda zorunlu KYC olan herhangi bir sağlayıcı; doğrulama yığını Sumsub veya IDMerit üzerinden çalışan herhangi bir borsa, ve özel olarak [FINTRAC yaptırım yazımızda](/articles/cryptomus-vancouver-shell) belirtilen nedenlerle Cryptomus'tur.

Omzunun üzerinden yirmi dört saat

Sabah, gerçek kimliğini hiç görmemiş bir dizüstü bilgisayarda Tails çubuğunun soğuk önyüklemesiyle başlar; ardından kaynaklardan gelen gece mesajlarının indiği şifreli bırakma kutusunun kontrolü gelir. Bırakma kutusu Tor üzerinden erişilir, mesajlar hava boşluğuna alınmış iş istasyonunda şifresi çözülür, ve herhangi bir ek bağlı makineye dokunmadan önce düz PDF'lere dönüştürülür; çünkü muhataplarının tercih ettiği belge taşıyan kötü amaçlı yazılım, tam olarak kötü bir teslimatta hayatta kalan türdür. Öğlen bir kaynakla iletişim kurar; iletişim [HeroSMS](/service/herosms) numarasına bağlı bir Signal hesabı üzerinden gerçekleşir, arama kısadır, takip tek bir belge transferi için [YOPmail](/service/yopmail) tek kullanımlıktır, ve gerçekten haftalar sürmesini beklediği kalıcı iş parçacığı Monero ile ödediği bir Tutanota hesabı üzerinden yürür. ProtonMail araç setinde yer alır ancak ölçülü temkinle davranır; çünkü İsviçre yargı yetkisi, belgelenmiş vakalarda meta veri için yargı taleplerine uydu, bu gazetecilik için kabul edilebilir ancak kaynak kimliği için değil. Öğleden sonra hava boşluğuna alınmış makinede belge incelemesi yapılır, ilgili dosyalar daha sonra editörün çekebilmesi için [1984 Hosting](/service/1984-hosting) bırakma kutusuna taşınır. Akşam hijyeni çoğu insanın atladığı kısımdır: soruşturmanın konusuyla herhangi bir temas içeren bir gün geçirdiyse eSIM'i değiştirir, Tails kalıcılığını temizler, bir sonraki haftanın Goblin Cards bakiyesini yeni bir XMR transferi ile fonlar, ve günün notlarını bir kasada duran kağıt deftere el yazısıyla yazar.

Bu Dizin için neyi değiştirir

Bu makalede tanımlanan çalışma modeline yanıt olarak iki şey yapacağız. Birincisi, yukarıda atıfta bulunulan her listelemede özel bir araştırmacı gazetecilik yığını etiketi yayınlıyoruz; bu listelemelerin standart yıllık tarama yerine üç aylık yeniden doğrulama alacağı açık taahhütle, çünkü bu kategorideki güvenin yarı ömrü, korpusumuzun geri kalanından daha kısadır. İkincisi editoryaldir, ve açıkça söylemek istiyoruz: dizinimizin katalogladığı hizmetler, yukarıda tanımlanan türden çalışmayı yapısal olarak mümkün kılan hizmetlerdir, ve aksini iddia etmek dürüst olmazdı. Ödünleşmeleri listeleriz, ihlaller olduğunda yayınlarız, yaptırımı hak eden operatörlere yaptırım uygularız, ve kategorinin varlığı için özür dilemeyiz. Gününü yürüdüğümüz gazeteci, ışıkları açık tutma nedenimizdir.

Kaynaklar

• DOJ, Chen Zhi ve Prince Group'a karşı sivil el koyma şikayeti (Ekim 2025)
• DOJ, ilgili kripto para ve varlıklara yönelik el koyma duyurusu
• Kılavuzda kullanılan Dizin listelemeleri: [HeroSMS](/service/herosms), [Fanytel](/service/fanytel), [YOPmail](/service/yopmail), [Goblin Cards](/service/goblin-cards), [1984 Hosting](/service/1984-hosting), [Contabo](/service/contabo)
• Dizin editoryali, [Cryptomus FINTRAC yaptırımları](/articles/cryptomus-vancouver-shell)
• Laura Poitras, Citizenfour, 2014 (temel tehdit modeli çerçevelemesi)
• Ağ katmanı kurulumu için Tails ve Whonix proje dokümantasyonu
• SIM değiştirme saldırı ekonomisi üzerine KrebsOnSecurity raporlama arşivi

Düzenleme günlüğü

• 2026-05-02 : Chen Zhi el koyma şikayetine ilişkin DOJ basın açıklaması çekildi, 127.271 BTC rakamı ikincil haberlerden değil dosyadan kelimesi kelimesine aktarıldı.
• 2026-05-14 : Test bir dizüstü bilgisayarda gerçek bir Tails 6.x kurulumu yürütüldü, beş yıllık bir makinede önyüklemeden temiz tarayıcıya akış üç dakikanın altında zamanlandı, bu kılavuzun sabah bölümünü bilgilendirdi.
• 2026-05-23 : IDMerit açıklaması patlak verdikten sonra gerçek SIM değiştirme önlemleri hakkında kayıt dışı bir araştırmacı gazeteci arkadaşla konuşuldu, operasyonel şekli kullanma izniyle ancak tanımlayıcı detaylar olmadan.
• 2026-05-30 : 24 saatlik kılavuz tek bir 800 kelimelik dizi olarak taslaklandı, ardından omuzun üzerinden hissi kaybetmeden makaleyi editoryal uzunluk bütçesinin içinde tutmak için yaklaşık 600 kelimeye kısaltıldı.
• 2026-06-05 : Son geçiş, her tire işareti kaldırıldı, ProtonMail uyumu hakkında iki spekülatif iddia doğrudan kaynaklı ifadelerle değiştirildi, ve dizindeki adlandırılmış her hizmete iç bağlantılar eklendi.