Адрес Hotmail из юности: как установили личность основателя AlphaBay Александра Казеса

В июле 2017 года в пригороде Бангкока полицейская машина без опознавательных знаков врезалась в ворота виллы. Вышедшие из нее полицейские изображали растерянность, будто неудачно развернулись в три приема. Примерно через минуту хозяин, 25-летний мужчина, вышел посмотреть, что случилось. Так описал арест агент ФБР на конференции по безопасности в январе 2018 года, как сообщает Vice. Мужчину задержали на месте и забрали у него телефон.

В спальне следователи нашли открытый незашифрованный ноутбук. Согласно иску о конфискации, поданному Министерством юстиции США, на нем был выполнен вход на сервер, где размещалась AlphaBay, под именем пользователя Admin, а также вход на форум сайта под тем же именем, где он отвечал пользователям. Этим человеком был Александр Казес. Путь к нему начался с адреса электронной почты, которым он пользовался еще в 2008 году, когда ему было 17 лет.

Крупнейшая площадка даркнета

По данным Министерства юстиции США, AlphaBay была крупнейшей площадкой даркнета своего времени. На ней было около 200 000 пользователей и 40 000 продавцов, более 250 000 объявлений о продаже наркотиков и токсичных химических веществ и более 100 000 объявлений о продаже украденных и поддельных удостоверений личности и средств доступа, контрафактных товаров, вредоносных программ и огнестрельного оружия. Оплата принималась только в цифровой валюте.

В обвинительном заключении сайт описан как обычный интернет-магазин с поиском, рейтингами продавцов и форумом пользователей. Сам сайт призывал пользователей не указывать в профилях ничего, что могло бы раскрыть их настоящую личность.

Согласно иску, с мая 2015 по февраль 2017 года на биткоин-адреса сайта поступили средства на сумму около 450 млн долларов. По оценке властей, комиссия от 2 до 4 процентов с таких сделок принесла бы владельцу от 9 до 18 млн долларов.

Прикрытие, которое выглядело профессионально

Согласно иску, Казес полагался не только на шифрование. Он управлял подставной компанией EBX Technologies, которая выдавалась за фирму по веб-дизайну. Ее сайт почти не работал, блог не обновлялся с января 2015 года, а банковские документы показывали небольшой доход. Компания служила для обоснования движения денег и для открытия счетов на криптовалютных биржах, где он обменивал биткоины на наличные.

Он купил гражданство Антигуа и Барбуды, вложив 400 000 долларов в недвижимость на побережье, и пытался получить также гражданство Кипра: следователи перехватили отправленную им туда посылку, из которой следовало, что он перевел 2,38 млн евро в кипрский банк для покупки виллы. В его профиле в LinkedIn были указаны криптография, сетевая безопасность и администрирование серверов.

Заголовок «приветственного» письма

Когда в декабре 2014 года запустили сайт, вместе с ним открылся форум пользователей. Каждый зарегистрировавшийся получал автоматическое приветственное письмо, а каждый, кто просил сбросить пароль, получал еще одно. В техническом заголовке обоих писем (это служебная информация, которая прилагается к каждому письму и которую большинство получателей никогда не видят) стоял адрес отправителя: Pimp_Alex_91@hotmail.com. Согласно иску, это был личный адрес электронной почты Казеса. Как он туда попал, в документе не объясняется. Правоохранительные органы узнали об этом адресе в декабре 2016 года, через два года после запуска.

Затем личность установили в пять шагов:

1. Адрес принадлежал гражданину Канады Александру Казесу, родившемуся 19 октября 1991 года. Число 91 в адресе совпадало с годом его рождения.
2. Согласно профилю Александра Казеса в LinkedIn, он работал в EBX Technologies и владел навыками в области серверов, сетей и шифрования.
3. На французском компьютерном форуме commentcamarche.com следователи нашли пост от 3 декабря 2008 года, в котором пользователь под ником Alpha02 объяснял по-французски, как удалить вирус из цифровой фотографии. Пост был подписан его именем, Александр Казес, и тем же адресом электронной почты.
4. Alpha02 было также именем пользователя администратора AlphaBay, пока в августе 2015 года его не сменили на Admin.
5. Документы PayPal показали счета на его имя, в которых тот же адрес был указан наряду с адресом EBX Technologies.

А еще он любил похвастаться

В иске описан форум RooshV, где он платил членский взнос и регулярно писал о своем финансовом успехе и о криптовалюте. Когда он написал, что купил Porsche Panamera, и другой пользователь в этом усомнился, он опубликовал подробности своих переговоров с автосалоном и отправил этому пользователю видео, на котором сам ведет машину. Полицейские видели, как он ездил на этой машине в Таиланде; она была зарегистрирована на его имя и в день ареста стояла у его дома.

На открытом ноутбуке следователи нашли текстовые файлы с паролями от серверов AlphaBay и документ, оформленный как личный финансовый отчет, с заголовком TOTAL NET WORTH и суммой чистых активов 23 033 975 долларов. В нем были перечислены, среди прочего, Lamborghini, купленный более чем за 900 000 долларов, недвижимость в Таиланде, на Кипре и в Антигуа, швейцарский счет с 781 000 долларов и 6,5 млн долларов в криптовалюте. Рядом с адресами кошельков он записал и приватные ключи. С их помощью следователи перевели криптовалюту на сумму около 8,8 млн долларов на адреса, подконтрольные властям.

Конец и то, что так и не было решено

Казес был арестован Королевской полицией Таиланда 5 июля 2017 года при содействии ФБР и DEA. 12 июля он умер под стражей в Таиланде. По данным Министерства юстиции США, по всей видимости, это было самоубийство.

Ему было предъявлено обвинительное заключение из 16 пунктов, поданное в Калифорнии 1 июня 2017 года: сговор с целью участия в коррумпированной организации, находящейся под влиянием рэкетиров, сговор с целью распространения наркотиков, распространение наркотиков, сговор с целью кражи личных данных, незаконная передача поддельных удостоверений личности, мошенничество со средствами доступа и отмывание денег. 26 апреля 2018 года обвинение ходатайствовало о прекращении дела в связи с его смертью, и 27 апреля суд прекратил дело по всем 16 пунктам. Казеса так и не судили и не осудили, и все, что изложено в документах, является утверждениями обвинения.

Его имущество было конфисковано в рамках отдельного гражданского производства. 5 сентября 2018 года Федеральный окружной суд Восточного округа Калифорнии постановил конфисковать автомобили, банковские счета, недвижимость в Таиланде, на Кипре и в Антигуа и Барбуде, а также криптовалюту. Никто из претендентов на это имущество в суд не явился, и решение было вынесено заочно.

20 июля 2017 года операцию против AlphaBay представили как совместную акцию под руководством ФБР, DEA и Национальной полиции Нидерландов при поддержке Европола. В ее рамках была закрыта и другая площадка даркнета, Hansa.

Что это дело показывает о расследовании по открытым источникам

Сам адрес вместе с именем пользователя Alpha02 оставался в сети с 2008 года, пока до него не добрались следователи. В цепочке установления личности выделяются три момента.

Повторное использование имени или адреса связывает личности. Владелец анонимного сервиса, который использует имя пользователя или адрес, уже использованные им раньше, дает любому, кто их ищет, связь между двумя личностями.

Одно совпадение дает зацепку, а не доказательство. Каждое звено в установлении личности опиралось на независимые данные: год рождения сопоставлялся с датой рождения, профессиональные навыки с управлением сайтом, имя пользователя со старым постом.

Не все можно найти в открытом доступе. Документы PayPal и банковские данные хранятся у частных компаний, и правоохранительные органы получают их в установленном законом порядке. Частный детектив в Израиле получить их не может и работает в рамках Закона о защите частной жизни. В открытом доступе остается то, что люди оставляют после себя сами.

Исходные документы

Обвинительное заключение, United States v. Cazes, Восточный округ Калифорнии (PDF, 24 страницы) →

Заверенный иск о конфискации in rem, 19 июля 2017 (PDF, 27 страниц) →

Сообщение Министерства юстиции США о закрытии AlphaBay, 20 июля 2017 →

Сообщение Европола об операции против AlphaBay и Hansa, 20 июля 2017 →

Источники: Обвинительное заключение, United States v. Alexandre Cazes, Федеральный окружной суд Восточного округа Калифорнии, дело 1:17-CR-00144, 1 июня 2017; заверенный иск о конфискации in rem, дело 1:17-at-00557, 19 июля 2017; выводы и рекомендации судьи-магистрата и заочное окончательное решение о конфискации, дело 1:17-CV-00967, 8 августа 2018 и 5 сентября 2018; сообщение Министерства юстиции США, 20 июля 2017; сообщение Европола, 20 июля 2017; репортаж Vice о видеозаписи ареста.

Информация в этом разделе носит общий характер и не является юридической консультацией. Обвинительное заключение и иск отражают только позицию обвинения.