Десять месяцев правоприменения в 2026 году: сначала инфраструктура, следом администраторы
Спустя десять месяцев после начала 2026 года публичный отчёт о правоохранительной деятельности против инфраструктуры даркнета и киберпреступности определяется не громкими закрытиями маркетплейсов, а методичным износом «труб»: серверов, доменов, ботнетов и услуг, которые их сдают в аренду. Этот материал собирает только те действия, которые до середины октября анонсировали сами ведомства - Европол, министерство юстиции США, BKA, полиция Нидерландов и ФБР, - и ищет закономерность под ними. Каждый случай ссылается на источник, который мы открыли лично; слухи и утверждения из единственного блога в подборку не прошли.
Сначала инфраструктура
Крупнейшей скоординированной акцией периода стал июньский удар операции Endgame по распространению вредоносного ПО. Объявленный 24 июня международной коалицией, стоящей за многолетней кампанией, удар пришёлся по наборам дропперов и инфостилеров SocGholish, Amadey и StealC: за две недели взяты под контроль 326 серверов и 142 домена, криминальные криптоактивы на сумму свыше 41 млн евро помечены и заморожены, а 27 миллионов украденных учётных данных извлечены. Список участников - Канада, Дания, Германия, Нидерланды, Великобритания, США и Microsoft при координации Европола и Eurojust - показывает, насколько рутинным стал формат государственно-частного партнёрства (operation-endgame.com). Для масштаба: одна лишь ноябрьская фаза кампании 2025 года отключила 1 025 серверов. Несколькими днями ранее нидерландская полиция сняла с сети First VPN - криминальный VPN-сервис, рекламировавшийся на киберпреступных форумах. В операции Team High Tech Crime вместе с французскими властями 19-20 мая демонтированы 33 сервера, предполагаемого администратора допросили на Украине по запросу Франции, а пользователям сервиса сообщили - по сути, что за ними всё это время наблюдали. Группа поддержки Европола подготовила 83 аналитических продукта для совместной следственной команды (politie.nl). В июле настала очередь ФБР: 2 июля изъяты сотни доменов NetNut - коммерческой резидентной прокси-сети, связанной с ботнетом Popa на более чем двух миллионах потребительских устройств; главную страницу компании заменил баннер изъятия ФБР. NetNut управляется Alarum Technologies - израильской публичной компанией. Это напоминание, что «инфраструктура ботнета» и «продукт, котирующийся на Nasdaq» могут описывать одну и ту же машину. По данным KrebsOnSecurity, группа threat intelligence Google насчитала 316 отдельных кластеров злоумышленников, использовавших выходные узлы NetNut всего за одну неделю июня (KrebsOnSecurity).Администраторы, а не продавцы
Акции против маркетплейсов в 2026-м были узкими и хирургическими. В начале мая франкфуртская ZIT и BKA отключили перезапуск Crimenetwork - немецкоязычной торговой площадки, чья предшественница пала в декабре 2024 года; предполагаемого оператора, 35-летнего гражданина Германии, арестовали 6 мая на Мальорке по европейскому ордеру. Перезапуск вырос до более чем 22 000 пользователей и свыше 100 продавцов, принимал Bitcoin, Litecoin и Monero, а собранные улики указывают на оборот выше 3,6 млн евро; около 194 000 евро предварительно арестованы. Заметьте, чего не произошло: массовых арестов продавцов не было. Данные 22 000 пользователей стали доказательствами, а не цифрой для пресс-релиза (пресс-релиз BKA/ZIT). Октябрьское сообщение Европола о KillSec читается так же. Операция KillSwitch под руководством земельной полиции и прокуратуры Гамбурга 30 сентября взяла под контроль лик-сайт группы и обезопасила не менее 110 терабайт данных. Предполагаемому главному оператору шестнадцать лет; предполагаемому разработчику в августе исполнилось восемнадцать. Три предварительных ареста и восемь обысков пришлись на Грецию, Румынию, Испанию и Великобританию, а домены группы теперь перенаправляют на страницу уведомления об изъятии. Европол также сообщил, что группа использовала ИИ-инструменты для построения и поддержания своей инфраструктуры и выявления потенциальных жертв - деталь, которая говорит о 2026 годе не меньше, чем любое число арестов (Европол).Долгий хвост уголовных дел
Старые дела продолжают дозревать до приговоров. 7 октября федеральные прокуроры в Чикаго объявили, что Рахим Гамильтон, сооснователь даркнет-маркета Empire Market, приговорён к сорока годам федеральной тюрьмы и штрафу в пять миллионов долларов. Empire работал с 2018 по 2020 год и провёл более четырёх миллионов транзакций на сумму свыше 430 миллионов долларов. Конфискация - около 1 230 биткойнов плюс три объекта недвижимости в Виргинии - догнала рынок спустя годы после его исчезновения, и в этом весь смысл: изъятия мгновенны, правосудие медлительно (justice.gov).Тихая четвёртая колея: санкционные списки
Санкции шли параллельно уголовной колее. 8 октября Великобритания внесла Cryptomus - криптоплатёжную платформу, ранее известную как Certa Payments и Xeltox, - в свой санкционный список по России вместе с VexPay, TokenSpot и Tsunami Payments (KrebsOnSecurity). Заморозка охвата платёжной платформы обходится без баннера, но для инфраструктуры обналичивания санкционное включение может ударить сильнее изъятия.Что говорят баннеры - и чего не хватает
Грамматика баннеров изъятия не изменилась: домены KillSec перенаправляют на уведомление правоохранителей, главная страница NetNut несёт баннер ФБР, Crimenetwork и First VPN просто исчезают. Отсутствия информативны не меньше самих действий. В собранном публичном корпусе за 2026 год пока:- не изъят ни один маркетплейс крупнейшего международного класса - единственным закрытием стал немецкоязычный перезапуск, проживший около полутора лет;
- ни одно из собранных действий не является санкциями против миксера, а единственный санкционный шаг в подборке направлен против платёжной платформы, а не миксера;
- массовых арестов продавцов, как в прежних волнах, не было.