# Rozbieramy darknet ### Które rynki naprawdę są największe, jak długo przetrwają — i dlaczego „anonimowy" nigdy nie znaczyło „nie do wyśledzenia" --- Kiedy w mediach pojawia się temat darknetu, zwykle dostajemy jedną z dwóch skrajnych wersji. Albo obraz wszechmocnej, niewidzialnej machiny, której nikt nie potrafi dotknąć, albo listę sensacyjnych, okrągłych liczb bez źródła. Rzeczywistość jest ciekawsza od obu tych wersji — i lepiej udokumentowana, niż mogłoby się wydawać. Dzięki aktom oskarżenia, komunikatom służb (FBI, niemieckiego BKA, Europolu, brytyjskiej NCA) oraz analizom firm śledzących blockchain (Chainalysis, TRM Labs, Elliptic) mamy dziś stosunkowo precyzyjny obraz tego, kto na tych rynkach zarabia, ile, jak długo i — co najważniejsze — jak większość z tych operacji faktycznie się kończy. Ten tekst jest próbą rzetelnego przejścia przez ten świat: bez gloryfikacji „profesjonalizmu przestępców" czy "specjalistów typu [haker do wynajęcia](https://haker.vip/)", bez zmyślonych statystyk i bez najpopularniejszego mitu ze wszystkich — że kryptowaluty czynią te transakcje niewidzialnymi. Wręcz przeciwnie: to właśnie prześwietlanie blockchaina stało się głównym narzędziem, które doprowadziło do upadku kolejnych gigantów. --- ## Skala zjawiska: co naprawdę mówią liczby Zacznijmy od pieniędzy, bo od nich zaczyna się każde poważne śledztwo. Rynki darknetowe to realnie miliardowy ekosystem — ale skala jest mniejsza i bardziej zmienna, niż sugerują sensacyjne nagłówki, a przede wszystkim jest w wyraźnym trendzie spadkowym po serii operacji policyjnych. Według raportów Chainalysis (firmy, z której danych korzystają rządy i której analizy są cytowane w aktach sądowych) rynki darknetowe w 2024 roku przyjęły nieco ponad 2 miliardy dolarów w Bitcoinie liczonym on-chain, a tzw. fraud shops — sklepy handlujące skradzionymi danymi finansowymi — około 225 milionów. Szczyt tej gospodarki przypadł na rok 2021, kiedy łączne przychody rynków sięgały około 2,7 miliarda dolarów. W 2025 roku łączne wpływy do rynków i sprzedawców narkotyków wzrosły nieznacznie, do nieco ponad 2,5 miliarda dolarów. Kluczowa uwaga metodologiczna, o której sensacyjne teksty milczą: te liczby dotyczą przepływów w kryptowalutach rejestrowanych w łańcuchu bloków. Nie obejmują transakcji gotówkowych, sprzedaży poza platformami (o czym za chwilę) ani środków wymienianych już poza zasięgiem analityków. Dlatego różne instytucje podają różne szacunki, a niektóre badania akademickie wskazują liczby znacznie niższe. „Rozmiar rynku" nie jest więc jedną twardą liczbą, lecz przedziałem zależnym od tego, co dokładnie mierzymy. Najlepszym dowodem na to, że te rynki są jak najbardziej śmiertelne, jest to, co stało się po jednej konkretnej operacji. Do kwietnia 2022 roku jedna platforma — rosyjskojęzyczna Hydra — odpowiadała według Chainalysis za około 80 procent całego ruchu kryptowalutowego rynków darknetowych na świecie. W dniach bezpośrednio przed jej likwidacją średni dzienny obrót wszystkich rynków podziemnych wynosił około 4,2 miliona dolarów. Po zniknięciu Hydry spadł do 447 tysięcy dolarów dziennie. Rok później ekosystem wciąż się z tego nie podniósł. To nie wygląda jak rynek, który „odradza się w 48 godzin". --- ## Krótka historia: od Silk Road do dziś Żeby zrozumieć dzisiejsze rynki, trzeba zobaczyć łańcuch, który do nich prowadzi. Historia współczesnego darknetu to seria upadających gigantów, po których za każdym razem następuje migracja użytkowników, chwilowy chaos, a potem konsolidacja wokół nowego lidera — dopóki i on nie padnie. **Silk Road (2011–2013)** był pierwszym prawdziwym rynkiem tej ery i jednym z pierwszych masowych zastosowań Bitcoina. Stworzył go Ross Ulbricht, ukrywający się pod pseudonimem „Dread Pirate Roberts". Platforma, wedle prokuratury, obsłużyła ponad 200 milionów dolarów sprzedaży, głównie narkotyków. FBI zamknęło ją w październiku 2013 roku i zajęło serwer na Islandii. Ulbricht został skazany w 2015 roku na dwa dożywocia plus 40 lat bez możliwości warunkowego zwolnienia. Wpadł w sposób, który stanie się motywem przewodnim całej tej historii: śledczy powiązali go z serwisem m.in. dzięki wczesnemu wpisowi na forum, w którym użył swojego prywatnego adresu Gmail. W styczniu 2025 roku prezydent Donald Trump ułaskawił Ulbrichta, realizując obietnicę złożoną środowisku libertariańskiemu — co uczyniło z jego sprawy również temat polityczny. **AlphaBay i Hansa (2017)** to najbardziej pouczający epizod w dziejach ścigania darknetu. AlphaBay, uruchomiony w grudniu 2014 roku i prowadzony przez Kanadyjczyka Alexandre'a Cazesa (pseudonim „Alpha02"), stał się po Silk Road największym rynkiem świata: ponad 200 tysięcy użytkowników, 40 tysięcy sprzedawców, ponad ćwierć miliona ofert narkotyków i obroty przekraczające miliard dolarów. Operacja Bayonet, prowadzona przez FBI i DEA wspólnie z policją holenderską i Europolem, rozegrała ją po mistrzowsku. Najpierw, w czerwcu 2017 roku, holenderska policja przejęła — a nie zamknęła — konkurencyjny rynek Hansa, aresztując jego dwóch niemieckich administratorów, i przez blisko miesiąc prowadziła go jako pułapkę. Zmodyfikowano kod platformy tak, by zapisywał hasła użytkowników otwartym tekstem, przechwytywał treść „szyfrowanych" wiadomości PGP i rejestrował metadane zdjęć (w tym geolokalizację), zanim serwis rzekomo je usuwał. Następnie, na początku lipca, FBI wyłączyło AlphaBay. Uciekający użytkownicy masowo przenieśli się na „bezpieczną" Hansę — prosto w ręce policji, która odnotowała ośmiokrotny wzrost ruchu. Cazes został zatrzymany 5 lipca 2017 roku w Bangkoku, zalogowany na niezaszyfrowanym laptopie, na którym trzymał hasła do serwisu i zestawienie swojego majątku rozsianego po świecie. Kilka dni później zmarł w areszcie (według oficjalnych ustaleń — samobójstwo). Jego wpadka też była banalna: w pierwszych mailach powitalnych AlphaBay widniał jego prywatny adres z Hotmaila, powiązany z prawdziwą tożsamością. Dyrektor Europolu Rob Wainwright podsumował całą operację jednym zdaniem skierowanym do użytkowników darknetu: nie jesteście tak anonimowi, jak wam się wydaje. **Hydra (2015–2022)** była z kolei zjawiskiem osobnym: rosyjskojęzycznym kolosem obsługującym rynki byłego ZSRR. W chwili likwidacji miała około 17 milionów kont klientów i ponad 19 tysięcy kont sprzedawców, a jej obroty w samym 2020 roku niemieckie BKA oszacowało na co najmniej 1,23 miliarda euro. Łącznie, przez cały okres działania, platforma przepuściła ponad 5 miliardów dolarów w Bitcoinie. 5 kwietnia 2022 roku niemiecka policja przejęła jej serwery (fizycznie zlokalizowane w Niemczech) i zajęła 543 bitcoiny, warte wówczas około 23 milionów euro. Departament Skarbu USA nałożył sankcje na Hydrę i powiązaną giełdę Garantex, a amerykańska prokuratura oskarżyła Dmitrija Pawłowa, który miał administrować serwerami rynku. Charakterystyczne dla całej branży: dwa i pół roku później, w grudniu 2024 roku, to rosyjski sąd skazał uznanego za głównego organizatora Stanisława Moisiejewa na dożywocie, a kilkunastu współpracowników na wieloletnie wyroki. Po Hydrze pałeczkę przejęły kolejne rosyjskojęzyczne rynki — Kraken (który w 2024 roku wyprzedził Megę jako lider przychodów, przyjmując według Chainalysis około 737 milionów dolarów on-chain), Mega, OMG!OMG! oraz Blacksprut. Cykl się powtórzył: gigant pada, użytkownicy migrują, rynek konsoliduje się wokół nowych zaufanych graczy. --- ## Anatomia rynku: jak to naprawdę działa Największe rynki nie są chaotycznym bazarem. To dopracowane platformy z całą infrastrukturą zaufania — i to właśnie ta infrastruktura jest jednocześnie ich siłą i największą słabością. Typowy rynek działa w sieci Tor, pod adresem `.onion` dostępnym tylko przez specjalną przeglądarkę. Ma system reputacji sprzedawców, oceny i recenzje (dokładnie jak sklep internetowy), depozyt transakcyjny typu escrow, który zwalnia płatność dopiero po potwierdzeniu dostawy, oraz wsparcie w postaci szyfrowanej komunikacji PGP. Osobną rolę pełnią fora — przede wszystkim Dread, coś w rodzaju darknetowego Reddita, gdzie omawia się rynki, ostrzega przed oszustami i gdzie administratorzy publikują komunikaty, gdy ich platformy nagle znikają. Ciekawym mechanizmem jest przenoszenie reputacji. Gdy jeden rynek pada, sprzedawcy odbudowują wiarygodność na nowym, publikując podpisane kluczem PGP „wiadomości migracyjne" — kryptograficzne dowody, że nowe konto należy do tej samej osoby, która wcześniej zbudowała ocenę gdzie indziej. Rynek Archetyp uczynił z tego wręcz oficjalną funkcję. Tu jednak trzeba rozbić najwygodniejszy mit — o rzekomej solidności i uczciwości tych platform. „Zaufanie" w darknecie jest w praktyce iluzją, a dowodów na to jest aż nadto. Hansą, jak widzieliśmy, przez miesiąc zarządzała holenderska policja. Genesis Market obiecywał kupującym anonimowość, a po jego przejęciu okazało się, że skrupulatnie przechowywał dane własnych klientów. Grupa ransomware LockBit zapewniała ofiary, że po zapłacie okupu usunie wykradzione dane — śledczy ustalili, że tego nie robiła. A najczęstszą przyczyną śmierci rynku wcale nie jest policja, lecz tzw. exit scam: administratorzy pewnego dnia po prostu znikają z pieniędzmi zdeponowanymi w escrow. Tak skończyły m.in. Empire Market, Incognito i — w połowie 2025 roku — Abacus. Każda platforma, która trzyma środki użytkowników w scentralizowanym portfelu, jest bombą z opóźnionym zapłonem. Warta odnotowania jest też migracja z Bitcoina na Monero (XMR) — kryptowalutę zaprojektowaną tak, by utrudniać śledzenie transakcji. Coraz więcej rynków (jak wspomniany Archetyp) przyjmuje wyłącznie Monero. Powód tej zmiany jest jednak najlepszym komentarzem do całej reszty tekstu: operatorzy przenoszą się na Monero, bo na własnej skórze przekonali się, że Bitcoin jest przezroczysty. --- ## Największy mit: „anonimowy" nie znaczy „nie do wyśledzenia" To jest sedno, które sensacyjne teksty przekręcają najczęściej. Powszechne wyobrażenie mówi, że skoro transakcje idą w kryptowalutach, a ruch przez Tor, to pieniądze i ludzie są nie do namierzenia. Prawda jest odwrotna: publiczny łańcuch bloków Bitcoina jest jawnym, wieczystym rejestrem każdej transakcji. Bitcoin jest pseudonimowy, nie anonimowy — a to gigantyczna różnica. Wystarczy jeden punkt, w którym kryptowaluta styka się ze światem rzeczywistym (giełda wymagająca weryfikacji tożsamości, powtórzony adres, jeden nieostrożny transfer), by cała rzekomo anonimowa historia się rozplątała. To właśnie prześwietlanie blockchaina — metoda, którą rozwinęły firmy takie jak Chainalysis i którą posługują się m.in. amerykańscy śledczy skarbowi z IRS-CI — stało się głównym narzędziem rozbijania tych sieci. Wątek ten powraca w każdej dużej sprawie. Bitcoinowy escrow Silk Road dało się prześledzić aż do Ulbrichta. Twórcę rynku Incognito, Tajwańczyka Rui-Sianga Lina, zidentyfikowano, śledząc przelewy kryptowalut na konto giełdowe zarejestrowane na jego nazwisko; aresztowano go w maju 2024 roku w Nowym Jorku. W sprawie miksera Bitcoin Fog prokuratura otwarcie chwaliła się „mozolnym śledzeniem bitcoina przez blockchain". Do tego dochodzą dwie prozaiczne prawdy, o których łatwo zapomnieć w opowieściach o cyfrowej niewidzialności. Po pierwsze, serwery fizycznie gdzieś stoją — a hosting da się namierzyć i zająć, co pokazały przejęcia w Niemczech, Holandii czy na Litwie. Po drugie, gdy służby zdobędą wewnętrzne dane platformy, ofiarą pada nie tylko administrator: listy kupujących i historie zamówień stają się surowcem do setek kolejnych spraw. Po operacji Cookie Monster holenderska policja uruchomiła nawet publiczny portal, na którym każdy mógł sprawdzić, czy jego dane trafiły na Genesis Market. I wreszcie czynnik ludzki. Najwięksi gracze nie wpadli przez złamanie kryptografii, lecz przez własne błędy: prywatny mail w powitalnej wiadomości, wpis na forum sprzed lat, niezaszyfrowany laptop, konto giełdowe na własne nazwisko. Anonimowość w darknecie utrzymuje się dokładnie do pierwszej pomyłki przy pieniądzach lub infrastrukturze. --- ## Pranie pieniędzy: miksery i ich prawne granice Skoro brudne bitcoiny da się śledzić, przestępcy potrzebują sposobu na zerwanie tego śladu. Służą do tego tzw. miksery (dawniej nazywane też tumblerami) — usługi, które mieszają środki wielu użytkowników, by utrudnić powiązanie wpłat z wypłatami. To realny i ważny element ekosystemu, ale i tutaj obraz „genialnej, nietykalnej pralni" trzeba mocno skorygować: miksery coraz częściej kończą przejęciem, a ich operatorzy — wyrokami. Sama Hydra prowadziła wbudowaną usługę „Bitcoin Bank Mixer", a wypłaty sprzedawców w ogromnej większości płynęły do rosyjskich giełd, w tym objętej później sankcjami Garantex. Ale najbardziej pouczające są losy wyspecjalizowanych mikserów. Bitcoin Fog, działający w latach 2011–2021, przepuścił około 400 milionów dolarów pochodzących m.in. z narkotyków, cyberprzestępczości i kradzieży tożsamości. Jego operator, Roman Sterlingow (obywatel Rosji i Szwecji), został skazany w 2024 roku na 150 miesięcy więzienia i przepadek 395 milionów dolarów. Usługę ChipMixer zamknięto w 2023 roku — miała obsłużyć transakcje warte ponad 2 miliardy dolarów. Departament Skarbu USA obłożył sankcjami kolejne miksery, m.in. Blender.io i Sinbad.io. Osobny, fascynujący prawnie wątek to Tornado Cash — zdecentralizowany mikser działający jako zestaw „inteligentnych kontraktów" na blockchainie Ethereum, bez centralnego operatora. Korzystała z niego m.in. północnokoreańska grupa Lazarus, by wyprać około 455 milionów dolarów z 620 milionów skradzionych w 2022 roku z sieci Ronin (gry Axie Infinity). W sierpniu 2022 roku amerykański Departament Skarbu nałożył sankcje na sam protokół — i tu zaczęły się problemy prawne. W listopadzie 2024 roku sąd apelacyjny (Piąty Okręg) orzekł, że urząd sankcyjny przekroczył swoje uprawnienia, bo nie da się „sankcjonować" niezmiennego, autonomicznego kodu tak, jak sankcjonuje się osobę czy firmę. W marcu 2025 roku sankcje zdjęto, a proces współtwórcy protokołu Romana Storma zakończył się w sierpniu 2025 roku werdyktem połowicznym: skazano go za prowadzenie nielicencjonowanej działalności transferu pieniędzy, ale ława przysięgłych nie doszła do porozumienia w cięższych zarzutach. Wniosek dla czytelnika jest podwójny. Scentralizowane miksery — prowadzone przez konkretnych ludzi — są dziś skutecznie ścigane i praktycznie zawsze prowadzą do wyroków. Narzędzia w pełni zdecentralizowane stawiają natomiast pytania, na które prawo dopiero szuka odpowiedzi: czy można ścigać kod? To jeden z najważniejszych, nierozstrzygniętych sporów na styku technologii i prawa. --- ## Skradzione dane i dostęp: świat forów, nie tylko rynków W oryginalnych opowieściach o darknecie „handel skradzionymi danymi" zlewa się w jedno z rynkami narkotykowymi. W rzeczywistości to osobny, równolegle działający świat — i rządzą nim raczej fora niż klasyczne marketplace'y. Kręgosłupem handlu wykradzionymi bazami danych była linia forów, która ciągnie się od dekady. RaidForums działało od 2015 roku do lutego 2022, gdy międzynarodowa operacja doprowadziła do jego przejęcia (jego administrator, obywatel z Wielkiej Brytanii posługujący się pseudonimem „Omnipotent", trafił w ręce służb). Lukę zapełniło BreachForums, prowadzone przez „Pompompurina" — którym okazał się 20-letni Conor Brian Fitzpatrick ze stanu Nowy Jork, zatrzymany w marcu 2023 roku. Przyznał się do winy (w tym do posiadania materiałów przedstawiających wykorzystywanie dzieci) i usłyszał wyrok obejmujący dozór. Forum odrodziło się jeszcze raz, pod zarządem grup „Baphomet" i ShinyHunters, by w maju 2024 roku ponownie zostać przejętym przez FBI — tym razem wkrótce po tym, jak wystawiono na nim dane wykradzione z portalu Europolu. Ekspert Troy Hunt skwitował to trafnie: BreachForums zastąpiło poprzednie BreachForums, które zastąpiło RaidForums — i wszystkie po kolei padły. To ilustracja i uporczywości ekosystemu, i jego niestabilności. Osobną kategorią są „sklepy z botami", handlujące nie tyle bazami, ile cyfrowymi tożsamościami. Sztandarowym przykładem był Genesis Market (2018–2023). Sprzedawał „boty" — komplety skradzionych z zainfekowanych komputerów danych logowania, ciasteczek i cyfrowych odcisków przeglądarki. Kupujący dostawał do tego specjalną przeglądarkę imitującą urządzenie ofiary, dzięki czemu mógł zalogować się na jej konta, nie wzbudzając alarmów zabezpieczeń. Model był wręcz abonamentowy: dopóki komputer ofiary pozostawał zainfekowany, dane były aktualizowane. W chwili likwidacji Genesis oferował ponad 80 milionów danych uwierzytelniających pochodzących z ponad 1,5 miliona zainfekowanych komputerów, obejmując ponad 2 miliony tożsamości. Operacja Cookie Monster (kwiecień 2023, FBI i policja holenderska, 17 państw, w tym Polska) zakończyła się blisko 120 aresztowaniami i ponad 200 przeszukaniami. W tle działają jeszcze tzw. brokerzy dostępu wstępnego (Initial Access Brokers) — wyspecjalizowani sprzedawcy, którzy włamują się do sieci firm i odsprzedają gotowy dostęp innym, przede wszystkim na rosyjskojęzycznych forach XSS i Exploit. To ogniwo, które łączy świat skradzionych danych ze światem ransomware. I to na tych forach materializuje się realny koszt: to tam wystawiano na sprzedaż dane z włamań do Della (49 milionów klientów), do serwisu genetycznego 23andMe czy do Ticketmastera. --- ## Ransomware jako usługa: prawdziwa „gospodarka abonamentowa" Popularne teksty często opisują tajemniczy model „włamanie jako usługa", w którym firmy płacą abonament za dostęp do nowych wycieków. To zniekształcony obraz zjawiska, które istnieje naprawdę i ma znacznie groźniejszą postać: Ransomware-as-a-Service (RaaS). Mechanizm jest zaskakująco korporacyjny. Grupa taka jak LockBit tworzy złośliwe oprogramowanie i infrastrukturę, a następnie „wynajmuje" je sieci współpracowników (tzw. afiliantów), którzy przeprowadzają konkretne ataki i dzielą się okupem. LockBit pobierał około 20 procent od każdej transakcji, prowadził program „bug bounty" na wyszukiwanie błędów we własnym kodzie, a nawet płacił za tatuaże ze swoim logo — pełen zestaw narzędzi marketingowych. Standardem stało się „podwójne wymuszenie": napastnik nie tylko szyfruje dane ofiary, ale też je wykrada i grozi publikacją na tzw. leak site, jeśli okup nie zostanie zapłacony. LockBit był przez lata najbardziej płodną grupą ransomware na świecie. Według służb wyłudził około pół miliarda dolarów od ponad 2,5 tysiąca ofiar; między czerwcem 2022 a lutym 2024 roku zbudowano z jego użyciem ponad 7 tysięcy ataków. Na liście ofiar znaleźli się m.in. brytyjski Royal Mail, koncern Boeing, największy chiński bank ICBC i międzynarodowa kancelaria prawna. Grupa wyrosła zresztą na gruzach innej — gangu Conti, który rozpadł się w 2022 roku. Koniec tej dominacji był równie widowiskowy, co pouczający. W lutym 2024 roku międzynarodowa operacja Cronos (kierowana przez brytyjską NCA i FBI, z udziałem dziesięciu państw i Europolu) przejęła infrastrukturę LockBita: 34 serwery, 14 tysięcy kont, ponad 200 portfeli kryptowalutowych, a także ponad tysiąc kluczy deszyfrujących, które udostępniono ofiarom. Nowatorski był styl. Zamiast zwykłego banera „przejęto", służby przerobiły własny leak site grupy na narzędzie kontrpropagandy — z odliczaniem czasu (ironicznie kopiującym metodę zastraszania ofiar), z ujawnieniami i informacjami o aresztowaniach. Przy okazji świat dowiedział się, że LockBit — wbrew obietnicom — nie kasował danych ofiar po zapłacie. W maju 2024 roku zdemaskowano jego lidera, „LockBitSuppa", jako Dmitrija Choroszewa z rosyjskiego Woroneża, i wyznaczono nagrodę do 10 milionów dolarów za informacje o nim. Rok później nieznani sprawcy dobili resztki infrastruktury grupy, zostawiając na jej panelach kpiący napis: „Nie popełniaj przestępstw. Przestępczość jest zła". Warto dodać dwa polskie wątki tej sprawy: dwóch afiliantów LockBita zatrzymano w ramach operacji Cronos w Polsce i na Ukrainie. --- ## Operacje policyjne: chwilowe zwycięstwa czy realny cios? Wróćmy do pytania, które najbardziej dzieli komentatorów: czy zamykanie rynków ma sens, skoro na ich miejsce zawsze przychodzą nowe? Uczciwa odpowiedź brzmi: to nie jest gra zerojedynkowa, a dane pokazują zarówno realną, trwałą szkodę dla przestępców, jak i uporczywą zdolność ekosystemu do regeneracji. Ostatnie lata to seria coraz lepiej skoordynowanych operacji. Poza opisanymi już Bayonet (AlphaBay/Hansa), przejęciem Hydry, Cookie Monster (Genesis) i Cronos (LockBit) warto wymienić dwie najświeższe. W maju 2025 roku operacja RapTor — wymierzona w środowisko rynku Incognito — przyniosła 270 aresztowań w dziesięciu państwach i przejęcie ponad 200 milionów dolarów, co uczyniło ją największą jak dotąd operacją przeciw rynkom darknetowym. Miesiąc później, w czerwcu 2025 roku, w ramach operacji Deep Sentinel niemiecka policja z partnerami z sześciu krajów rozbiła Archetyp — najdłużej działający wówczas rynek narkotykowy (od 2020 roku, ponad 600 tysięcy użytkowników, obroty powyżej 250 milionów euro, jeden z nielicznych dopuszczających handel fentanylem). Jego 30-letniego administratora zatrzymano w Barcelonie. Argument „to nic nie daje" jest jednak zbyt prosty. Po pierwsze, upadek Hydry realnie i trwale zdławił obroty całego ekosystemu (te dane widzieliśmy wyżej), a wolumen hurtowego handlu narkotykami nigdy nie wrócił do dawnych poziomów. Po drugie, honeypot z Hansy pokazał, że służby potrafią zadać cios nie tylko infrastrukturze, ale i samemu zaufaniu — po tamtej operacji w środowisku utrwaliła się trwała paranoja: każdy nowy rynek może okazać się policyjną pułapką, co samo w sobie podnosi koszt i ryzyko działania. Po trzecie, każde przejęcie to nie koniec, lecz początek — bo wewnętrzne dane platform napędzają kolejne śledztwa. Z drugiej strony realizm nakazuje przyznać: użytkownicy po każdej likwidacji rozpraszają się i regrupują (często najpierw na forum Dread), rynek się fragmentuje, a potem konsoliduje wokół ocalałych. Część handlu przenosi się poza platformy — na Telegram i inne komunikatory. A rdzeń rosyjskojęzyczny, chroniony przez faktyczny brak współpracy ze strony tamtejszych władz, okazuje się najodporniejszy. Prawdziwy wniosek nie brzmi więc „to działa" ani „to nie działa", lecz: skuteczne uderzenie wymaga dziś zsynchronizowanej, wielonarodowej akcji łączącej przejęcie serwerów, analizę blockchaina i pracę operacyjną — i nawet wtedy jest to raczej zarządzanie zjawiskiem niż jego likwidacja. --- ## Realne ofiary: ludzki koszt, o którym łatwo zapomnieć W opowieściach o „genialnych operatorach" i „wydajnym biznesie" ginie to, co w tej historii najważniejsze — po drugiej stronie każdej transakcji stoi konkretna szkoda. Dobre dziennikarstwo edukacyjne nie może tego pomijać. Najbardziej dosłowny koszt to ludzkie życie. W amerykańskich aktach sądowych opisano zgony z przedawkowania, w których syntetyczne opioidy — w tym fentanyl — kupiono właśnie na rynkach takich jak AlphaBay. Prokuratura wiązała działalność Silk Road ze śmiercią co najmniej kilku osób. To nie jest abstrakcyjny „handel", lecz realny kanał dystrybucji substancji, które zabijają. Drugi wymiar to masowa kradzież tożsamości. Za samym Genesis Market stały ponad 2 miliony okradzionych osób (w tym około 50 tysięcy w samej Holandii), z których część padła ofiarą realnych oszustw — przejętych kont w mediach społecznościowych, wyłudzonych zamówień, strat finansowych. Każdy „bot" na sprzedaż to czyjeś prawdziwe konto bankowe albo mailowe. Trzeci to paraliż instytucji przez ransomware. Ofiarami LockBita i podobnych grup padały nie tylko korporacje, ale też szpitale, samorządy, szkoły i służby ratunkowe — a atak na szpital to nie „strata danych", lecz zagrożenie dla pacjentów. I wreszcie: platformy te regularnie oszukują nawet własnych użytkowników, znikając z ich pieniędzmi w exit scamach. W tym świecie nie ma „uczciwych złodziei". --- ## Polska perspektywa: fakty zamiast mitów Polski wątek bywa opowiadany na wyrost — z okrągłymi, niepopartymi niczym liczbami i tezą, że jesteśmy szczególnie atrakcyjnym „schronieniem" dla operatorów. Przyjrzyjmy się temu, co faktycznie wynika z danych, bo obraz jest ciekawszy i bardziej wyważony. Zacznijmy od tego, jak wygląda skala zagrożeń. Zespół CERT Polska (działający w NASK) odnotował w 2024 roku ponad 600 tysięcy zgłoszeń — wzrost o 62 procent względem 2023 roku — które przełożyły się na ponad 100 tysięcy obsłużonych incydentów, czyli średnio niemal 300 dziennie. Rekord padł w 2025 roku: ponad 658 tysięcy zgłoszeń i ponad 260 tysięcy incydentów. Kluczowa korekta wobec sensacyjnego obrazu: zdecydowana większość tych incydentów — około 95 procent w 2024 i 97 procent w 2025 roku — to zwykłe oszustwa internetowe, głównie phishing nastawiony na kradzież haseł, a nie spektakularne ataki rodem z darknetu. Cyberprzestępczość, która realnie dotyka Polaków, to przede wszystkim socjotechnika: fałszywe SMS-y, podszywanie się pod znane marki, oszustwa „na dziecko" przez WhatsApp. Sam ransomware — wbrew wyobrażeniom — jest w polskich statystykach zjawiskiem stosunkowo niszowym liczbowo, choć najbardziej destrukcyjnym w skutkach. CERT Polska zarejestrował 147 takich incydentów w 2024 roku (spadek o 8 procent wobec rekordowego 2023) i 179 w 2025 roku. Ofiarami padały głównie firmy, ale też administracja i placówki oświatowe. W 2025 roku pojawił się nowy, niepokojący akcent: pierwszy poważny, skoordynowany atak na polski sektor energetyczny, wymierzony w co najmniej 30 farm wiatrowych i instalacji fotowoltaicznych, oraz nasilenie działań grup APT powiązanych z obcymi państwami. A co z tezą o Polsce jako „raju" dla operatorów darknetu? Dostępne dane raczej jej nie potwierdzają — za to pokazują coś odwrotnego i bardziej budującego. Polska jest przede wszystkim celem ataków, a polskie służby są aktywnym uczestnikiem międzynarodowych operacji, nie ich przedmiotem. Dwóch afiliantów LockBita zatrzymano w Polsce w ramach operacji Cronos. Polska była wśród państw uczestniczących w operacji Cookie Monster przeciw Genesis Market. Polskie dane pojawiają się też jako ofiary wycieków — jak w głośnej sprawie serwisu megamodels.pl z 2024 roku, którego autentyczność potwierdził CERT Polska. Zamiast więc powtarzać nieudokumentowaną tezę o „słabych przepisach", uczciwiej jest powiedzieć: Polska mierzy się z tym samym, z czym cała Europa — rosnącą, profesjonalizującą się cyberprzestępczością — i coraz częściej współtworzy odpowiedź na nią. --- ## Przyszłość: dokąd to zmierza Prognozowanie w tej dziedzinie jest ryzykowne, ale kilka trendów rysuje się wyraźnie — i warto oddzielić je od futurystycznych straszaków. Pierwszy to ucieczka od przejrzystości. Migracja z Bitcoina na Monero i przenoszenie części handlu na komunikatory (przede wszystkim Telegram) będą się nasilać, właśnie dlatego, że operatorzy zrozumieli, jak groźna jest analiza blockchaina. To utrudni śledztwa, ale nie uczyni ich niemożliwymi — historia uczy, że wcześniej czy później pojawia się słaby punkt. Drugi to napięcie między fragmentacją a konsolidacją. Z jednej strony po każdej likwidacji rynek rozprasza się na mniejsze platformy i kanały; z drugiej — na dłuższą metę środowisko ciąży ku kilku dużym, „zaufanym" graczom (dziś głównie rosyjskojęzycznym), bo zaufanie jest w tym biznesie towarem deficytowym. Trzeci, wokół którego narosło najwięcej przesady, to sztuczna inteligencja. Realistyczny obraz jest taki, że AI już dziś obniża próg wejścia — ułatwia pisanie przekonujących wiadomości phishingowych, generowanie kodu czy automatyzację części ataków. Ale wizja „algorytmów, które samodzielnie uczą się prowadzić cyberataki bez człowieka" pozostaje na razie bardziej hasłem niż rzeczywistością. Co istotne, ta sama technologia wzmacnia również obrońców: analitykę, wykrywanie anomalii i śledzenie przepływów. I wreszcie wątek prawny, który może okazać się najważniejszy. Sprawa Tornado Cash pokazała, że wobec narzędzi w pełni zdecentralizowanych klasyczne instrumenty — sankcje, akty oskarżenia wobec konkretnych osób — trafiają na fundamentalne pytania o to, kogo (i co) w ogóle można ścigać. To pole, na którym rozstrzygnie się wiele, i które warto obserwować równie uważnie jak kolejne przejęcia serwerów. Jedno się nie zmienia: to nieustanny wyścig. Przestępcy adaptują się szybko, ale służby — wbrew popularnemu przekonaniu o ich bezradności — w ostatnich latach wyraźnie przyspieszyły, a ich najskuteczniejszą bronią okazała się nie tajna technologia, lecz cierpliwe łączenie analizy danych z międzynarodową współpracą. Darknetowa opowieść o niewidzialności rozbija się o tę samą prawdę w każdym kolejnym rozdziale: anonimowość trwa tylko do pierwszego błędu. --- ## Nota metodologiczna i źródła Ten tekst świadomie unika okrągłych, niepopartych niczym liczb, którymi obrósł temat darknetu. Wszystkie kluczowe dane pochodzą z komunikatów organów ścigania (FBI/DOJ, niemieckie BKA, brytyjska NCA, Europol, Eurojust), z akt sądowych oraz z analiz wyspecjalizowanych firm śledzących blockchain. Tam, gdzie szacunki się różnią (np. „rozmiar rynku"), zaznaczono, że zależą one od przyjętej metodologii — inne wartości daje liczenie przepływów kryptowalutowych, a inne uwzględnianie gotówki i sprzedaży poza platformami. Warto też zachować zdrowy sceptycyzm wobec źródeł z samego środowiska darknetowego (fora, komunikaty operatorów), które bywają elementem gry wizerunkowej lub dezinformacji. Najważniejsze wykorzystane źródła i punkty wyjścia do dalszej lektury: - **Chainalysis** — coroczne raporty *Crypto Crime Report* (dane o przychodach rynków, skutkach likwidacji Hydry, udziale poszczególnych platform, migracji na Monero). - **TRM Labs, Elliptic, Flashpoint** — analizy techniczne przejęć (Hydra, Genesis, Archetyp, LockBit) i przepływów finansowych. - **Europol / Eurojust** — komunikaty prasowe do operacji Bayonet, Cookie Monster, Cronos, RapTor, Deep Sentinel. - **U.S. Department of Justice, FBI, U.S. Treasury (OFAC)** — akty oskarżenia i komunikaty (m.in. Silk Road/Ulbricht, AlphaBay/Cazes, Hydra/Pawłow, Genesis, Bitcoin Fog/Sterlingow, Tornado Cash). - **Niemieckie BKA** — dane o Hydrze i operacji Deep Sentinel (Archetyp). - **UK National Crime Agency** — szczegóły operacji Cronos i demaskacji lidera LockBita. - **CERT Polska (NASK)** — raporty roczne *Krajobraz bezpieczeństwa polskiego internetu* za 2024 i 2025 rok (polskie dane o incydentach, ransomware, phishingu, atakach na sektor energetyczny). - Dla pogłębienia strony śledczej warto sięgnąć po reportaż Andy'ego Greenberga *Tracers in the Dark*, opisujący, jak analiza blockchaina obaliła mit anonimowości kryptowalut. *Tekst ma charakter edukacyjny i analityczny. Nie zawiera i celowo nie podaje żadnych instrukcji dostępu do opisywanych platform ani wskazówek operacyjnych — opisuje zjawisko, jego skutki oraz sposoby jego zwalczania.*