Даркнет после Hydra: 100 дней, которые изменили всё

Как за одно лето развалили и заново собрали русскоязычный даркнет

5 апреля 2022 года русскоязычный даркнет потерял систему, которая за семь лет превратилась из одного из нескольких рынков в практически самостоятельную инфраструктуру. Немецкие правоохранительные органы изъяли находившиеся в Германии серверы Hydra Market, после чего площадка перестала работать. Вместе с ней исчезли привычные магазины, рейтинги, арбитраж, внутренняя реклама, финансовые сервисы и единая точка, вокруг которой годами строилась значительная часть русскоязычного теневого рынка. Вопрос первых часов звучал просто: вернётся ли Hydra? Через несколько недель он изменился. Теперь рынок пытался понять, кто займёт её место.

Следующие сто дней, с 5 апреля по 13 июля 2022 года, оказались одним из самых насыщенных периодов в истории русскоязычного даркнета. Сначала последним местом, связанным со старой экосистемой, оставался LegalRC. Когда исчез и он, огромная аудитория начала собираться на RuTOR, в Telegram и на независимых сайтах магазинов. Затем произошёл стремительный взлёт OMG!OMG!, усилились Mega и Blacksprut, появился Solaris. Уже летом обычная борьба за продавцов и рекламные места переросла в DDoS-атаки, захваты onion-адресов и публичные заявления о компрометации чужой инфраструктуры. Через сто дней после Hydra рынок снова работал, но был уже совсем другим.

5 апреля. День, когда исчез центр

Утром 5 апреля 2022 года Федеральное ведомство уголовной полиции Германии BKA и Центральное управление по борьбе с интернет-преступностью ZIT сообщили об изъятии серверной инфраструктуры Hydra, находившейся на территории Германии. Одновременно были конфискованы 543 биткоина, которые тогда оценивались примерно в 23 миллиона евро. Немецкие власти заявили, что расследование велось с августа 2021 года при участии нескольких американских ведомств. На площадке, по данным BKA, было зарегистрировано около 17 миллионов клиентских и более 19 тысяч продавецких аккаунтов, а оборот Hydra только за 2020 год оценивался минимум в 1,23 миллиарда евро.

Американское Министерство юстиции называло Hydra крупнейшим и самым долгоживущим darknet market того времени. По его оценке, в 2021 году на площадку приходилось около 80% криптовалютных транзакций, связанных с darknet markets, а с 2015 года Hydra получила примерно 5,2 миллиарда долларов в криптовалюте. Эти цифры необходимо понимать именно как оценки криптовалютной активности площадки, а не как размер всего нелегального наркорынка России.

Позднее Chainalysis показала масштаб произошедшего ещё нагляднее. До своего закрытия Hydra получила 93,3% всей экономической стоимости, поступившей в 2022 году на отслеживаемые компанией darknet markets. Средняя дневная выручка этого сегмента непосредственно перед операцией составляла около 4,2 миллиона долларов, а сразу после закрытия Hydra обвалилась примерно до 447 тысяч долларов. Один сайт исчез, и наблюдаемый денежный поток всего сектора за несколько дней сократился почти на порядок.

Это был не просто сбой крупного интернет-магазина. Hydra годами собирала внутри себя функции, которые на других рынках могли существовать отдельно: каталог, репутацию магазинов, арбитраж, рекламу, внутреннее общение, escrow, обмен и вывод криптовалюты. Научное исследование площадки показывает, что Hydra существовала как полноценная институциональная среда с собственными правилами, системой наказаний и механизмами удержания продавцов внутри платформы. Магазины могли наказываться в том числе за попытки увести покупателя на конкурирующую площадку.

Именно поэтому 5 апреля разрушился не только маркетплейс. Исчез центр, который связывал между собой огромную сеть независимых магазинов и покупателей.

LegalRC. Последняя комната старой Hydra

Первые часы и дни после закрытия часто описывают слишком упрощённо: Hydra исчезла, после чего её пользователи сразу разошлись по RuTOR, Telegram и новым площадкам. На самом деле между Hydra и полноценным постгидровским рынком существовал важный переходный этап. Этим этапом стал LegalRC.

LegalRC не был случайным независимым форумом, которым просто пользовалась часть аудитории Hydra. Американское обвинительное заключение по делу Дмитрия Павлова называет LegalRC.biz и WayAway.biz одними из первых крупных российских онлайн-форумов соответствующей тематики и указывает, что примерно в 2015 году заявленное партнёрство между WayAway и LegalRC привело к созданию Hydra. С 2013 года Павлов, по версии американского обвинения, управлял доменными сервисами обоих форумов, а позднее через свою компанию администрировал серверы Hydra. Таким образом, связь LegalRC с Hydra была исторической и инфраструктурной, а не случайной.

После падения Hydra именно LegalRC стал главным местом, куда устремилась её аудитория в поисках объяснения происходящего. Современный событиям материал «Новой газеты Европа» фиксирует, что на LegalRC пользователей продолжал успокаивать официальный аккаунт Hydra. В первые дни после операции многие связанные с российским даркнетом сайты работали с серьёзными проблемами: огромный поток пользователей и автоматические системы защиты от DDoS делали ресурсы большую часть времени недоступными. LegalRC оказался непосредственно внутри этого кризиса.

На форуме ещё существовала надежда на восстановление Hydra. Searchlight Cyber, наблюдавшая за реакцией сообщества в реальном времени, зафиксировала сообщение на LegalRC, обещавшее информацию о «восстановлении проекта» до конца 5 апреля. Отсутствие сообщений об арестах также заставляло некоторых участников предполагать, что у администрации имеются резервные серверы и площадка вскоре вернётся.

Этого не произошло. LegalRC сам работал нестабильно, а вскоре перестал открываться окончательно. Причина его окончательного исчезновения публично достоверно не установлена. В открытых источниках встречаются утверждения, будто серверы LegalRC были конфискованы одновременно с Hydra, однако официальные сообщения BKA и DOJ однозначно подтверждают изъятие серверной инфраструктуры Hydra и не дают столь же чёткого подтверждения отдельного изъятия LegalRC. Поэтому корректнее говорить о прекращении работы форума, не приписывая его закрытие конкретной полицейской операции без подтверждающих документов.

После исчезновения LegalRC прекратились и последние известные официальные сообщения Hydra. Бывший модератор площадки под ником Black позднее объяснял первые успокаивающие публикации тем, что человек, отвечавший в тот день за коммуникацию, не мог оперативно понять масштаб случившегося. «Новая газета Европа» описывала LegalRC как последний известный работавший ресурс бывшей системы Hydra. Когда исчез и он, старая экосистема окончательно осталась без своего центра связи.

После LegalRC. Все дороги ведут на RuTOR

Именно здесь начинается настоящая постгидровская эпоха. Академическое исследование последствий закрытия Hydra отмечает, что в первые дни покупатели и продавцы пытались продолжать работу через LegalRC и RuTOR, параллельно переходя на собственные сайты и Telegram-ботов. Но последовательность событий имеет значение: LegalRC ещё оставался частью старой инфраструктуры, тогда как RuTOR постепенно становился главным независимым местом, где собирались люди уже после разрушения этой инфраструктуры.

После закрытия Hydra и последующего исчезновения LegalRC поток на RuTOR резко вырос. Один из владельцев магазина, опрошенный «Новой газетой Европа», описывал ситуацию коротко: после исчезновения этих двух ресурсов на RuTOR «собрались все». На форуме появлялись представители магазинов, покупатели, сотрудники, рекламщики и новые площадки. Люди восстанавливали потерянные контакты, искали магазины из своего региона и выясняли, куда переместились продавцы, которым раньше достаточно было иметь одну витрину внутри Hydra.

Flashpoint в июне 2022 года также фиксировала, что бывшие продавцы и пользователи Hydra организовывались именно на RuTOR. Там создавались региональные темы для восстановления связей между покупателями и магазинами, а обсуждение быстро переключилось на главный вопрос: какая из существующих площадок сможет заменить автоматизированную систему Hydra. К началу июня аналитики Flashpoint не видели единственного нового лидера. Аудитория одновременно распределялась между несколькими рынками, Telegram и самостоятельными магазинами.

RuTOR в этот момент оказался в уникальном положении. Он ещё не был новым Hydra и не обладал сравнимой системой торговли, зато контролировал самый дефицитный ресурс весны 2022 года: внимание людей, которые внезапно потеряли привычную площадку. Для новых маркетплейсов присутствие на RuTOR означало прямой доступ к бывшей аудитории Hydra.

Короткая децентрализация

Закрытие Hydra на несколько недель создало ситуацию, когда будущее рынка действительно выглядело неопределённым. Многие магазины начали активнее работать через собственные сайты и Telegram. Для продавца это означало отсутствие комиссии большого маркетплейса и прямой контакт с клиентами. Для покупателя Telegram был проще Tor и не требовал постоянно искать актуальные зеркала.

Однако вместе с централизованным рынком исчезали и его механизмы доверия. У отдельного Telegram-магазина не было единой системы рейтингов всего рынка, полноценного независимого арбитража и привычного escrow. Flashpoint отмечала, что Telegram-магазины были проще в использовании и менее зависимы от доступности конкретного darknet-сайта, но предоставляли пользователям значительно меньше инструментов для проверки продавца.

Chainalysis позднее увидела эту короткую децентрализацию непосредственно в криптовалютных потоках. Доходы single-vendor shops, то есть самостоятельных магазинов отдельных продавцов, выросли как раз на фоне кризиса традиционных darknet markets. Примерно с июня, когда крупные рынки начали постепенно восстанавливаться, движение изменилось в обратную сторону: доходы самостоятельных магазинов стали снижаться. Пользователь попробовал систему без огромного посредника, но спрос на единый каталог, рейтинги и арбитраж никуда не исчез.

Именно поэтому первый месяц после Hydra оказался не концом централизованных площадок, а началом гонки за создание нового центра.

OMG!OMG! вырывается вперёд

Первый рывок сделал OMG!OMG!. Площадка существовала ещё до апреля 2022 года, однако при живой Hydra оставалась сравнительно небольшим игроком. После 5 апреля её положение изменилось практически мгновенно. Chainalysis зафиксировала резкий рост поступлений на связанные с OMG адреса, причём значительная часть первоначальных средств приходила от контрагентов, ранее взаимодействовавших с Hydra. На OMG также начали появляться известные исследователям продавцы бывшего монополиста.

23 апреля доля OMG в отслеживаемой Chainalysis активности darknet markets достигла 65,2%. Большую часть апреля и мая показатель держался выше половины. Это важно формулировать именно так: речь идёт не о 65% всего российского нелегального оборота и не о 65% всех покупателей наркотиков, а о доле в криптовалютной активности известных Chainalysis darknet markets. Тем не менее для площадки, которая ещё недавно находилась в тени Hydra, рост был чрезвычайным.

Chainalysis также обнаружила, что в первые пятьдесят дней после закрытия Hydra её бывшие контрагенты разных категорий почти исключительно взаимодействовали именно с OMG среди крупных новых рынков. Исследователи нашли пересечения адресов и переход известных продавцов, что позволило им осторожно предположить возможное участие людей, связанных с Hydra, в развитии OMG. Но прямого доказательства того, что OMG являлся созданным администрацией Hydra проектом, опубликовано не было. Поэтому утверждение «Hydra просто переехала на OMG» остаётся неподтверждённой версией.

К концу апреля действительно могло показаться, что вакуум заполняется почти мгновенно и вместо Hydra появится новый монополист. Но финансовое лидерство OMG не означало полного контроля над аудиторией.

Деньги и люди показывали разную картину

Flashpoint приводит результаты майского опроса покупателей в Telegram-канале DrugStat. Около 28% опрошенных сообщили, что используют OMG, 22% покупали через Telegram, 18% использовали Mega, а 10% уже успели перейти на Solaris. Цифры заметно отличаются от более чем 50-процентной доли OMG в блокчейн-исследованиях, но противоречия здесь нет. Один источник считал стоимость известных криптовалютных потоков, другой спрашивал пользователей о площадках, которыми они пользуются.

Crystal Intelligence в свою очередь оценила майскую структуру отслеживаемой биткоин-активности примерно следующим образом: OMG — 60%, Blacksprut — 22%, Mega — 12%. Crystal отдельно подчёркивала, что анализирует известные компании darknet-адреса и биткоин-транзакции, поэтому эти показатели также нельзя переносить на весь нелегальный рынок России. Они показывают другое: уже через месяц после Hydra вокруг трёх площадок сформировались огромные финансовые потоки.

Если наложить эти исследования друг на друга, получается более точная картина. OMG быстро стал финансовым лидером, но аудитория уже была раздроблена. Telegram сохранил значительную роль, а Mega, Blacksprut и позднее Solaris создавали пользователю реальные альтернативы. Новая монополия начала формироваться, но фундамент у неё был намного слабее, чем у Hydra.

Почему магазины оказались важнее бренда Hydra

Закрытие серверов Hydra не уничтожило физическую структуру магазинов. У крупных продавцов оставались сотрудники, поставщики, внутренние процессы, клиентские контакты и локальная инфраструктура. Они потеряли витрину и репутацию внутри Hydra, но не исчезли как организации. Поэтому главным призом весной 2022 года стали именно бывшие магазины Hydra.

Научное исследование рынка показывает, насколько глубоко Hydra была интегрирована в российскую онлайн-торговлю наркотиками. Площадка охватывала более тысячи населённых пунктов и создала систему, где независимые магазины конкурировали внутри общего каталога. При этом Hydra жёстко ограничивала попытки продавцов уводить клиентов на другие рынки или продавать под тем же брендом за её пределами. После 5 апреля эти ограничения исчезли в один момент.

Новые площадки начали предлагать магазинам условия перехода и покупать рекламу. Одновременно появилась обратная сторона конкуренции: обвинения соперников в ненадёжности, связях с правоохранительными органами, краже денег и плохой защите. В дальнейшем именно борьба за магазины и их аудиторию превратит обычное соперничество маркетплейсов в настоящую войну.

Май. Solaris появляется в самый подходящий момент

3 мая 2022 года, согласно сохранённой Pale хронологии площадки, Solaris открыл каталог для пользователей и продавцов. Это произошло меньше чем через месяц после закрытия Hydra. Уже 12 мая администрация временно остановила приём новых магазинов, объяснив решение большим количеством заявок, а к концу месяца начали появляться отдельные прямые страницы магазинов внутри инфраструктуры Solaris.

Проект запускался в спешке, и это было заметно. В архивных сообщениях первых недель встречаются жалобы на неудобный интерфейс и недостаточно развитую систему диспутов. Одновременно появлялись мошенники, использовавшие название нового рынка. Но скорость роста Solaris оказалась достаточно высокой, чтобы уже в середине мая около 10% участников опроса DrugStat сообщили об использовании площадки. Flashpoint в начале июня называла Solaris быстро растущим новым рынком и писала, что, по имеющимся у аналитиков данным, он мог быть создан бывшими крупными продавцами Hydra. Последнее оставалось оценкой Flashpoint, а не установленным фактом.

Solaris стал наиболее ярким примером новой реальности. При Hydra молодому рынку пришлось бы годами бороться за внимание. Весной 2022 года достаточно было оказаться готовым в правильный момент, привлечь несколько заметных магазинов и выдержать первоначальный наплыв, чтобы за считанные недели стать значимым игроком.

Mega и Blacksprut не начинали с нуля

В отличие от Solaris, Mega и Blacksprut уже существовали к моменту закрытия Hydra. Это давало им важное преимущество: хотя они значительно уступали монополисту, пользователям не приходилось доверять абсолютно неизвестному проекту.

Crystal в июньском исследовании отмечала, что Blacksprut существовал как минимум с 2021 года и после закрытия Hydra быстро увеличил число продавцов. Mega имел ещё более длинную историю и, по приводимым Crystal данным, работал с 2016 года. На рынке, где новый сайт мог оказаться фишинговой копией и исчезнуть через неделю, возраст проекта неожиданно становился самостоятельным конкурентным преимуществом.

Поэтому в мае сформировались сразу несколько моделей наследования Hydra. OMG выигрывал за счёт взрывного притока бывших контрагентов. Mega и Blacksprut использовали уже существовавшую инфраструктуру и репутацию. Solaris попытался построить новый рынок практически с нуля. Telegram позволял магазинам вообще обходиться без большого посредника. Ни один из этих путей пока не победил окончательно.

RuTOR становится главным рекламным полем

Параллельно происходила борьба за ресурсы, которые напрямую ничего не продавали. Самым важным из них стал RuTOR. Чем больше пользователей приходило туда после Hydra и LegalRC, тем дороже становилось присутствие на форуме.

Архив Pale фиксирует, что 2 июня онлайн RuTOR превысил семь тысяч пользователей одновременно. Для нового рынка это была огромная аудитория, собранная в одном месте именно в тот момент, когда она выбирала новую площадку.

19 мая модератор RuTOR под ником Rotar сообщил о продаже форума. На этом заканчивается то, что можно уверенно считать фактом. Дальше начинались слухи: разные источники называли возможными покупателями OMG или Mega и приводили сумму около двух миллионов долларов. Crystal также описывала предполагаемую продажу аффилированного с Hydra форума примерно за два миллиона, но прямо ссылалась на сообщения тематических каналов и не подтверждала покупателя независимо. «Новая газета Европа» аналогично писала о слухах вокруг OMG, отмечая отсутствие собственного подтверждения сделки. Поэтому утверждать, что «RuTOR купил OMG», нельзя.

Сама возможность такой сделки показывает ценность форума. Весной 2022 года контроль над трафиком бывшей аудитории Hydra мог стоить не меньше, чем собственная техническая платформа.

Начинается рекламная лихорадка

Hydra за годы существования стала настолько узнаваемой, что её название само приводило пользователей. Новым площадкам пришлось создавать узнаваемость практически с нуля. Началась гонка за рекламные места на форумах и в Telegram, а владельцы крупных информационных ресурсов получили сразу несколько богатых конкурирующих заказчиков.

Для рынка это было новым этапом. Раньше площадки конкурировали прежде всего ассортиментом, комиссиями и стабильностью. Теперь отдельной индустрией становилось управление вниманием. Магазин мог иметь хороший каталог, но без присутствия в местах, где собрались бывшие пользователи Hydra, его просто не замечали.

Постепенно конкуренты пришли к очевидному выводу: иногда проще не покупать больше рекламы самому, а лишить аудитории противника. Именно здесь коммерческая борьба начала превращаться в техническую.

Июнь. Первый порядок рушится

В июне OMG подвергся серьёзной DDoS-атаке. Chainalysis связывает этот период с заметным изменением финансовых потоков: продавцы и покупатели начали активнее переходить на Mega и Blacksprut. OMG сохранил значительную долю рынка, но период его почти безусловного доминирования закончился.

Это событие показало главное отличие новой системы от Hydra. Пользователь Hydra привык ждать восстановления одной площадки, потому что равноценной альтернативы часто просто не существовало. Летом 2022 года конкуренты находились на расстоянии нескольких кликов. Если OMG несколько дней работал нестабильно, можно было перейти на Mega, Blacksprut или Telegram. Трафик стал намного подвижнее.

Одновременно под давлением оказался RuTOR. Pale фиксирует, что 5 июня форум вернулся после DDoS-атаки, но его onion-зеркала оставались недоступными. 6 июня проблемы продолжались, а 7 июня клирнет-зеркала несколько раз переставали работать с серверными ошибками. Это уже была не кратковременная перегрузка первых дней апреля, а продолжительная техническая борьба вокруг ключевого информационного центра нового рынка.

Solaris против RuTOR

4 июня Solaris, согласно архиву Pale, разослал своим пользователям сообщение с рекомендацией вывести средства с RuTOR до 7 июня и утверждением, что форум станет объектом коллективной атаки. Через несколько дней Solaris изменил собственные правила, запретив размещение и упоминание RuTOR и OMG. Эти публикации фиксируют существование открытого конфликта, но сами по себе не доказывают, кто технически осуществлял каждую DDoS-атаку против RuTOR.

Такое различие важно. В среде конкурирующих darknet-проектов заявление об успешной атаке само является инструментом рекламы. Поэтому точную атрибуцию отдельных DDoS нельзя строить исключительно на заявлениях участников. Однако к июню уже не оставалось сомнений, что отношения между площадками вышли далеко за пределы обычной коммерческой конкуренции.

Flashpoint позднее описывала лето 2022 года именно как период, когда борьба за наследство Hydra стала сопровождаться DDoS, взломами и «чёрным PR». Первая крупная волна атак была направлена против OMG, а затем связанные с Solaris участники скомпрометировали RuTOR.

29 июня. Признаки перегрузки RuTOR

К концу месяца RuTOR переживал одновременно быстрый рост, технические атаки и внутреннюю перестройку. 29 июня два помощника администрации, username1234 и Маскарад, объявили об уходе, объясняя это тем, что последние месяцы работали практически без выходных и исчерпали ресурсы. Этот эпизод сам по себе не говорит о развале форума, но хорошо показывает нагрузку, возникшую после закрытия Hydra.

За три месяца RuTOR превратился из одного из старых форумов в центральную площадку постгидровского мира. Он одновременно должен был обслуживать резко выросшую аудиторию, продавать рекламу, принимать представителей новых рынков и выдерживать технические атаки.

Слишком многие теперь зависели от RuTOR.

Поэтому борьба за него неизбежно становилась жёстче.

1 июля. Захват onion-адресов

1 июля произошёл один из наиболее показательных эпизодов первых ста дней. Несколько ключевых onion-доменов RuTOR перестали вести на форум и начали перенаправлять пользователей на страницу, связанную с Solaris. Pale описывает произошедшее как захват onion-доменов и фиксирует официальную реакцию администрации RuTOR в тот же день. Flashpoint позднее независимо описывала этот эпизод как компрометацию RuTOR участниками, связанными с Solaris.

Для darknet-ресурса это значительно опаснее обычного DDoS. Когда сервер просто не отвечает, пользователь понимает, что сервис временно недоступен. Когда привычный onion-адрес приводит на чужую площадку, под сомнение попадает сама система доверия к ссылкам. Невозможно быть уверенным, какая точка входа остаётся настоящей.

Именно с этого момента постгидровская война приобрела новую форму. Борьба шла уже не только за магазины или рекламные баннеры. Конкуренты начали атаковать фундаментальные элементы инфраструктуры друг друга.

2 июля. Возвращается WayAway

На следующий день произошло ещё одно важное событие. 2 июля после нескольких лет практически полного отсутствия вернулся WayAway, один из форумов, исторически связанных с происхождением Hydra. Flashpoint обращала на возвращение особое внимание именно из-за его прошлого: WayAway и LegalRC в 2015 году участвовали в создании системы, из которой выросла Hydra.

Ещё в мае на RuTOR распространялись слухи о будущем рынке Kraken, который якобы должен был быть связан с бывшими администраторами Hydra. После появления WayAway эта история получила продолжение. Новый форум демонстрировал элементы, напоминавшие Hydra, включая визуальную стилистику и встроенный криптовалютный mixer, а рядом с ним всё заметнее появлялся бренд Kraken. Flashpoint осторожно говорила о признаках связи WayAway с Kraken и Hydra, но наличие бывших администраторов Hydra в конкретных ролях оставалось предметом утверждений и утечек, а не полностью установленным публичным фактом.

Важно и другое: в первые сто дней после закрытия Hydra полноценный Kraken ещё не стал тем крупным маркетом, которым окажется позднее. Речь шла прежде всего о формировании новой группы и подготовке проекта. Flashpoint характеризовала Kraken летом 2022 года как planned marketplace, рекламируемый в качестве преемника Hydra.

Таким образом, к началу июля в войне появились уже не только рынки, выросшие сразу после 5 апреля, но и структуры, претендовавшие на историческую преемственность со старой Hydra.

Формируются два конфликтующих центра

Flashpoint описывала летнюю конфигурацию как противостояние двух формирующихся связок. С одной стороны находились RuTOR и тесно сотрудничавший с ним OMG, с другой — вернувшийся WayAway и связанный с ним будущий Kraken. Исследователи отмечали, что конфликт постепенно получил и политическую окраску: RuTOR и OMG их противники изображали как проукраинские ресурсы, тогда как WayAway и Kraken связывались с пророссийской стороной. Реальные коммерческие интересы при этом оставались огромными, поэтому Flashpoint не исключала, что политические обвинения могли одновременно служить удобным прикрытием обычной борьбы за деньги и пользователей.

Solaris существовал рядом с этим расколом как самостоятельный агрессивный игрок и уже находился в прямом конфликте с RuTOR. Позднее отношения между проектами ещё неоднократно поменяются: вчерашние союзники будут становиться противниками, а старые враги снова покупать друг у друга рекламу. Но в первые сто дней только формировались основные линии будущей войны.

4–7 июля. Форум продолжает шатать

После июльского захвата onion-адресов проблемы RuTOR не закончились. 2 июля отключались отдельные серверы, 4 июля форум работал крайне тяжело, не загружались даже часть клирнет-зеркал. 5 июля ситуация улучшилась. Эти события хорошо показывают, насколько нестабильным стал главный информационный центр рынка всего через три месяца после Hydra.

Проблемы испытывала и противоположная сторона. Pale фиксирует сообщение от 6 июля о том, что клирнет-адреса Solaris уже около двух дней находились под DDoS-атакой. То есть к началу июля атаки стали взаимным элементом повседневной жизни крупных ресурсов.

Технологическая устойчивость превратилась в полноценный элемент репутации. Покупателю было недостаточно знать, что рынок предлагает нужный ассортимент. Он должен был верить, что завтра сможет снова открыть сайт, зайти в аккаунт и увидеть свои средства.

Новое оружие — информация о взломе

DDoS временно делал сайт недоступным. Слух о компрометации мог уничтожать доверие значительно дольше. Поэтому летом 2022 года рядом с техническими атаками постоянно появлялись заявления о доступе к внутренним перепискам, базам пользователей и серверным данным конкурентов.

9 июля в тематических каналах появилось утверждение о человеке, якобы получившем доступ к данным Solaris и требовавшем 200 тысяч долларов за их непубликацию. Pale сохраняет этот эпизод в своей хронологии, но независимого подтверждения полного объёма заявленного доступа нет. Поэтому его следует рассматривать именно как зафиксированное заявление участника событий, а не доказанный факт полного взлома площадки.

13 июля тот же или связанный с предыдущим эпизодом человек, согласно хронике RuTOR, уже предлагал продать предполагаемые данные пользователей самого форума, включая переписки и сведения об аккаунтах. Достоверность заявленного массива также публично подтверждена не была.

Но исторически эти эпизоды важны независимо от того, насколько полными были реальные данные. Всего сто дней назад главным страхом пользователя было то, что полиция могла получить информацию с серверов Hydra. К середине июля участники рынка боялись уже не только правоохранительных органов, но и друг друга.

Telegram остаётся частью новой системы

Крупные рынки начали восстанавливаться, но Telegram не исчез. Первые недели после Hydra показали магазинам ценность собственного канала связи. Продавец, который существовал только внутри одного маркетплейса, мог потерять всю аудиторию за одно утро. Telegram-канал или бот позволял сохранить хотя бы часть клиентов независимо от судьбы конкретной площадки.

Это принципиально изменило баланс сил. Hydra могла требовать от магазинов эксклюзивности и наказывать за попытки увести клиентов наружу. После её закрытия продавцы получили историческое доказательство того, насколько опасна полная зависимость от одного центра.

Поэтому даже когда пользователи начали возвращаться на большие площадки ради удобства, рейтингов и арбитража, рынок уже не мог полностью стать таким, каким был до 5 апреля. Параллельные Telegram-каналы и собственные магазины превратились в страховочную инфраструктуру.

Что произошло с финансовыми сервисами Hydra

Hydra была важна не только как площадка для торговли. Она предоставляла собственный mixer и использовалась для вывода криптовалюты. Американское обвинительное заключение даже утверждало, что некоторые пользователи создавали фиктивные продавецкие аккаунты исключительно ради проведения средств через внутреннюю финансовую инфраструктуру Hydra.

После закрытия этот огромный сегмент остался без привычного центра. Flashpoint уже в июне отмечала рост числа русскоязычных запросов на cryptocurrency mixers и увеличение предложений cash-out услуг на OMG.

Chainalysis позднее обнаружила, что на OMG, Mega и Blacksprut перемещались не только обычные покупатели Hydra, но и её бывшие контрагенты, связанные с более рискованной финансовой активностью. Компания пришла к выводу, что новые площадки старались воспроизвести и эту часть модели Hydra.

Поэтому борьба наследников шла за гораздо большее, чем продажи. Тот, кто смог бы восстановить полный набор функций Hydra, получил бы одновременно покупателей, магазины и огромные криптовалютные потоки.

13 июля. Сотый день

Если считать 5 апреля первым днём новой эпохи, 13 июля стал сотым днём без Hydra. К этому моменту первоначальный хаос уже превратился в новую систему.

OMG оставался одним из крупнейших рынков, но больше не выглядел единственным возможным победителем. Mega и Blacksprut забрали заметную часть потоков. Solaris за два месяца превратился в самостоятельного крупного участника и уже вёл открытую войну вокруг RuTOR. Сам RuTOR стал главным коммуникационным узлом постгидровского мира, но регулярно подвергался атакам. WayAway вернулся после многолетнего молчания, а рядом с ним формировался будущий Kraken. Telegram и независимые магазины сохранили собственную аудиторию.

Другими словами, рынок восстановился не путём появления новой Hydra. Он восстановился за счёт распределения её функций между несколькими центрами.

Кто выиграл первые сто дней

Однозначного победителя не было.

OMG выиграл первую гонку за криптовалютные потоки. Уже через восемнадцать дней после закрытия Hydra его доля в отслеживаемой Chainalysis активности достигла 65,2%. Но июньские DDoS-атаки показали, насколько быстро пользователи нового рынка готовы уходить к конкурентам.

Mega и Blacksprut выиграли за счёт устойчивости и того, что существовали ещё до апреля. Они были готовы принимать аудиторию в тот момент, когда OMG начал испытывать проблемы. Crystal уже в мае оценивала их доли отслеживаемой биткоин-активности в 12% и 22% соответственно.

Solaris выиграл гонку среди совершенно новых проектов. Запущенный в мае, он всего за несколько недель стал настолько заметным, что оказался одной из сторон крупнейшего инфраструктурного конфликта лета.

RuTOR выиграл борьбу за статус главного форума. Его ценность заключалась не в объёме продаж, а в возможности влиять на то, куда двигается аудитория.

Telegram выиграл право остаться частью рынка даже после возвращения больших маркетплейсов.

А Hydra, несмотря на своё исчезновение, выиграла в ещё одном странном смысле: практически все участники нового рынка пытались воспроизвести хотя бы часть созданной ею модели.

Почему второй Hydra не появился

Hydra существовала почти семь лет. После исчезновения RAMP в 2017 году у неё осталось мало сопоставимых конкурентов, поэтому площадка получила годы на укрепление репутации, развитие финансовой системы и формирование пользовательской привычки. Никакой новый проект весной 2022 года не мог купить семь лет доверия за несколько недель.

Кроме того, после 5 апреля конкурентов стало слишком много. Если один рынок работал нестабильно, пользователь мог перейти на другой. Если несколько рынков одновременно подвергались атакам, оставался Telegram. Если магазин был достаточно известен, он мог работать самостоятельно.

Поэтому техническая атака теперь непосредственно меняла структуру рынка. Именно это произошло с OMG в июне. Именно поэтому захват onion-адресов RuTOR был настолько значимым событием. В новой системе борьба за инфраструктуру стала способом мгновенно перераспределять пользователей.

Hydra смогла построить монополию в относительно спокойной среде. Её наследники оказались вынуждены строить новые площадки непосредственно во время войны друг с другом.

Hydra исчезла, спрос на Hydra остался

Самый важный итог первых ста дней заключается в другом. Закрытие Hydra не уничтожило потребность в системе, которую она создала.

На несколько недель рынок действительно ушёл в Telegram, на форумы и к самостоятельным магазинам. Но довольно быстро пользователи снова начали выбирать крупные площадки. Причина проста: единый рынок удобнее решал сразу несколько задач, которые сложно воспроизвести отдельному продавцу. Каталог, репутация, арбитраж и поиск множества магазинов в одном месте оставались востребованными.

Chainalysis увидела этот процесс в деньгах: single-vendor shops выросли в период кризиса крупных рынков и начали терять долю одновременно с их восстановлением примерно с июня.

Поэтому операция 5 апреля уничтожила Hydra как организацию, но не уничтожила созданную ею экономическую модель. Освободившееся пространство очень быстро начали заполнять другие.

Что произошло после первых ста дней

Позднейшие данные показывают, насколько быстро завершилось первоначальное восстановление. TRM Labs насчитала двенадцать новых или резко выросших русскоязычных рынков после Hydra. По оценке компании, в течение пяти месяцев после закрытия эти площадки суммарно получили примерно на 24% больше криптовалюты, чем Hydra успела получить за первые месяцы 2022 года до своего закрытия. К концу года русскоязычные darknet markets обеспечивали более 80% всех депозитов на отслеживаемые TRM площадки этого типа.

Это не означает, что новый рынок сразу стал таким же, как Hydra. Напротив, его структура изменилась фундаментально. Один гигант превратился в несколько крупных конкурирующих центров. Вместо стабильной монополии возник рынок, где лидерство могло меняться после технической атаки, взлома или успешной рекламной кампании.

В августе Flashpoint уже описывала более отчётливый раскол между RuTOR/OMG и WayAway/Kraken. Позднее в конфликты войдут новые участники, Solaris переживёт серьёзные взломы, Kraken превратится из анонсируемого проекта в полноценный рынок, а конкуренция между площадками станет ещё агрессивнее. Но все основные механизмы этой новой эпохи появились именно в первые сто дней.

Сто дней, которые изменили рынок

5 апреля 2022 года существовала система с одним очевидным центром. Пользователь знал, куда идти. Магазин понимал, где создавать репутацию. Рекламодатель знал, где находится аудитория. Финансовые посредники знали, где проходит огромный поток криптовалюты.

Затем Hydra исчезла.

Сначала последним местом старой системы стал LegalRC. Там ещё говорил официальный аккаунт Hydra и сохранялась надежда на восстановление. Затем исчез и LegalRC. Аудитория ушла на RuTOR, в Telegram и на независимые сайты. OMG быстрее всех собрал крупные финансовые потоки. Mega и Blacksprut превратились в серьёзных конкурентов. В мае появился Solaris. В июне начались масштабные DDoS-атаки. В июле конкуренты уже захватывали onion-домены друг друга, а возвращение WayAway обозначило начало следующего этапа борьбы.

За три месяца рынок успел пройти путь от паники до новой системы.

Эта система оказалась менее централизованной, но значительно агрессивнее. Продавцы стали главным активом. Аудитория превратилась в ресурс. Форумы стали территориями. Реклама стала инструментом экспансии. DDoS и взломы превратились в оружие конкурентной борьбы. А доверие стало самой дорогой валютой нового даркнета.

Hydra не воскресла.

Вместо неё появилась среда, в которой сразу несколько проектов пытались стать Hydra.

И именно невозможность быстро определить победителя стала главным результатом первых ста дней.

Утром 5 апреля существовала одна империя.

Через сто дней на её месте уже шла война за наследство.