Расследование: даркнет-площадка Kraken отмыла минимум $186,5 млн, связь с Hydra подтверждена

Когда в апреле 2022 года немецкая полиция изъяла серверы Hydra, продавцы и покупатели крупнейшего русскоязычного даркнет-маркетплейса остались без рабочей площадки. Свободное место не пустовало и месяца — за него началась борьба, из которой победителем вышел маркетплейс Kraken (не путать с одноименной криптобиржей).

На площадку перекочевали тысячи магазинов. Она обзавелась собственной системой отмывания денег и, по данным ончейн-расследования аналитиков сервиса BitOK, пропустила через нее не менее $186,5 млн ≈ 565 млн BYN, из которых почти $147,5 млн ≈ 447 млн BYN дошли до криптобирж. Эксперты выяснили, как устроен бизнес маркетплейса, установили его связь с Hydra и проследили, куда уходят деньги от торговли наркотиками.

Что такое Kraken Market

Kraken — крупный русскоязычный даркнет-маркетплейс, работающий через браузер Tor. Это не единая вертикальная организация, а платформа-координатор: администрация предоставляет интерфейс, аккаунты, внутренний BTC-баланс, каталог, отзывы, арбитраж и механизм выдачи «карточек тайников», а сотни независимых магазинов сами закупают, фасуют, хранят и раскладывают товар — что-то вроде теневого аналога AliExpress, только с запрещенными товарами и услугами вместо ширпотреба.

Масштаб площадки виден по цифрам блокчейн-аналитики. К 2025 году Kraken занял первое место среди русскоязычных даркнет-рынков: в 2023 году на него приходилось 30,9% размеченного сегмента для клиентов из России, а в 2024 году ончейн-приток оценивался примерно в $737 млн ≈ 2,23 млрд BYN — сопоставимо с ВВП таких стран, как Доминика и Тонга. Важная оговорка: речь не о прибыли площадки, а обо всем потоке через ее инфраструктуру — платежах покупателей, оборотах магазинов, переводах между кошельками и операциях обменников. Реальные владельцы Kraken публично не установлены.

Из-за децентрализованной модели площадку почти невозможно «обезглавить» одним арестом: торговлю ведут сотни независимых магазинов, а центр отвечает лишь за витрину и расчеты. Задержание отдельного продавца не убивает систему — его место быстро занимает другой. Поэтому искать нужно не «главаря», а финансовые узлы, через которые проходят деньги всех магазинов сразу.

Как Kraken занял место Hydra

5 апреля 2022 года немецкие правоохранители изъяли серверы Hydra. Тысячи участников потеряли площадку, профили и каналы связи. Освободившийся рынок стал полем битвы между несколькими проектами.

Первые упоминания будущего Kraken относятся к маю 2022 года — проект открыто рекламировали как замену Hydra. Ходили слухи, что его создали бывшие владельцы или администраторы Hydra, но прямых доказательств общего собственника, казны, серверов или ключей на тот момент найдено не было.

Ключевую роль в запуске сыграл форум WayAway, исторически связанный с экосистемой Hydra. После 2 июля 2022 года он стал площадкой продвижения Kraken: через него продавцы восстанавливали контакты и репутацию, обсуждали безопасность и переносили наработки из прежней экосистемы.

Kraken вышел и в офлайн: осенью 2022 года проект показал тизер на 3D-экране в «Москва-Сити», а 19 декабря того же года автобус с логотипом Kraken и QR-кодом перекрыл движение у здания МИД России. Также в сети встречаются подборки других рекламных кампаний, включая постеры в метро.

Платформа заработала в полную силу в конце декабря 2022 года. По одному из ранних срезов, на ней было зарегистрировано более 1720 магазинов — правда, часть профилей была неактивна, поэтому цифру нельзя считать числом реально работавших продавцов, но она отражает масштаб старта.

28 декабря 2022 года конкурирующая площадка Solaris ввела ограничения против WayAway и Kraken, а уже 13 января 2023 года ее взломали: хакеры получили доступ к каналам управления и начали перенаправлять пользователей на Kraken.

Как работает площадка

Для покупателя все выглядит просто: вход и регистрация через Tor, пополнение внутреннего баланса или оплата конкретного заказа, выбор магазина, товара и города. После оплаты клиент получает «карточку тайника» с описанием и фотографиями места закладки — физического контакта между покупателем и продавцом обычно нет.

За кулисами Kraken работа устроена как конвейер:

• внешний рекрутинг сотрудников;
• залог или проверка кандидата;
• регистрация работника;
• получение партии;
• фасовка;
• создание тайников;
• съемка и описание товара;
• загрузка данных на площадку;
• автоматическая продажа.

Персонал набирают через мессенджеры и внешние каналы, выплаты идут на банковские карты или во внутреннем BTC-контуре. Магазины сами несут расходы на закупку, хранение и логистику, а центральная платформа зарабатывает на комиссиях, размещении, продвижении, залогах, арбитраже и связанных обменных маршрутах.

География. Основной рынок — Россия, судебные и оперативные эпизоды подтверждают работу связанных магазинных групп во всех регионах страны, при этом часть аудитории и инфраструктуры находится и за ее пределами. Один магазин может работать сразу в нескольких городах, нанимать местных курьеров и закладчиков, использовать отдельные склады и менять персонал без прямого участия администрирующего центра.

Товары. Ядро торговли — наркотики: судебные дела подтверждают операции с каннабисом, мефедроном и другими веществами. Помимо наркотиков, на русскоязычных даркнет-рынках встречаются документы, SIM-карты, чувствительные данные, прекурсоры, лабораторное оборудование и киберуслуги. Физическая логистика намеренно отделена от цифровой платформы: сайт предоставляет каталог, рейтинги продавцов и возможность оплаты, а перемещение товара выполняют сотрудники магазинов — это снижает число прямых контактов и позволяет быстро заменять задержанных работников.

Техническая инфраструктура. Kraken работает через Tor. Администрация заявляла о распределенных узлах и нескольких дата-центрах, однако публичных серверных, DNS или хостинговых артефактов, которые позволили бы точно установить архитектуру и местонахождение инфраструктуры, недостаточно. Многолетняя устойчивость к блокировкам косвенно указывает на резервирование, использование зеркал и защиту от DDoS, но конкретная конфигурация остается неизвестной.

Как Kraken отмывает деньги

Биткоины, полученные от торговли, не выводятся одним переводом на один кошелек. Расследование выявило три отдельных маршрута, которые в совокупности образуют единую систему. Общий выявленный объем — $186 497 100,89 ≈ 565 млн BYN, и это минимальная оценка: в расчет вошли только операции трех разобранных схем, без нераскрытых кошельков, приватных монет и внутренних переводов без разметки.

• Мосты в BNB Smart Chain — выявленный объем $72 553 691,68 ≈ 220 млн BYN. BTCB меняли на USDT/USDC, средства уходили в HTX, MEXC, KuCoin и Gate.io.
• Avalanche → HTX — выявленный объем $74 193 409,21 ≈ 225 млн BYN. BTC.b меняли на USDT и переводили на инфраструктуру биржи HTX.
• Встроенные обменники → мосты → TRON — выявленный объем $39 750 000. BTC меняли на USDT, далее средства расходились по сети TRON, сервису Near Intents и биржам.

Три технически разные схемы решали одну задачу — разорвать прямую связь между входящими BTC и конечными получателями.

Схема 1: через Bridgers в BNB Smart Chain

Мелкие биткоины от продаж автоматически, по скрипту, собирают в крупные партии, которые на несколько суток оставляют лежать без движения на отдельном адресе — пауза нужна, чтобы разорвать связь между поступлением денег и их дальнейшей отправкой. Затем партию дробят на переводы примерно по 1 BTC и через обменный сервис Bridgers переводят в сеть BNB Smart Chain, где биткоины превращаются в BTCB — «обернутый» биткоин. Дальше BTCB меняют на стейблкоины USDT и USDC через биржу PancakeSwap и распределяют по десяткам кошельков, откуда деньги уходят на другие биржи.

Сбор в стандартные партии. Множество мелких платежей объединяют в крупный перевод с несколькими входами и выходами. Пример — транзакция, в которой 43 отдельных поступления на общую сумму 10,50668671 BTC объединили и распределили на шесть адресов, причем основная сумма 9,99676527 BTC ушла на промежуточный адрес. Размер такой партии почти всегда один и тот же — около 9,995–9,997 BTC (небольшие расхождения объясняются комиссией сети). Затем партию делят примерно пополам, по 5 BTC, а потом дробят на переводы около 1 BTC. Одинаковый размер партии, одинаковая пауза и одинаковое дробление раз за разом выдают автоматический, скорее всего запрограммированный, процесс. Например, 9 января 2026 года отлежавшаяся сумма разделилась на два перевода: 5,08065441 BTC и 4,91610381 BTC на два разных адреса.

Переход в BNB Smart Chain. Раздробленные переводы около 1 BTC отправляли в сервис Bridgers. В каждый биткоин-перевод вшивали пометку OP_RETURN с адресом получателя в другой сети вида «выдать BTCB на такой-то адрес в BNB Smart Chain». Выдачей BTCB всегда занимался один и тот же смарт-контракт Bridgers. Всего через этот канал прошло 122 платежа от 15 биткоин-адресов на 120,8449 BTC, платежи шли двумя сериями: пробная — 18 января 2026 года (четыре платежа на 4,0198 BTC), основная — с 6 по 25 июля 2026 года (118 платежей на 116,8251 BTC). В сумме на выходе получилось 119,998853 BTCB; разница около 0,70% — комиссия сервиса.

Сбор, обмен на стейблкоины и распределение. Полученные BTCB стекались на пять кошельков-обработчиков. Четыре из них вели основную обработку, главный собирал BTCB, менял их на стейблкоины и раздавал дальше, а еще один кошелек только накапливал BTCB, ничего не обменивая. Обмен шел через биржу PancakeSwap — ее контракты Infinity Vault, два пула версии V3 и Universal Router. На выходе получали стейблкоины стандарта BEP-20 USDT и USDC; зафиксирован обмен 4,3 BTCB примерно на 280 000 USDT или USDC. Затем стейблкоины расходились по десяткам кошельков — только главный кошелек за проверенный период сделал 84 перевода на 58 адресов (типичные суммы 112 000, 166 000, 168 000 USDT за перевод). В конце деньги приходили на биржевые кошельки, размеченные как инфраструктура HTX, MEXC, KuCoin и Gate.io. Всего по маршруту прошло и было выведено $72 553 691,68 в USDT и USDC.

У схемы было небольшое ответвление: на отдельный TRON-кошелек поступало 6 653 600 USDT, которые крутились через сервисные узлы Sun.io и deBridge со встречными и возвратными переводами — это внутренний оборот сервисов, а не отдельная сумма ущерба. Хронологически схема разворачивалась так: сбор биткоинов начался в конце декабря 2025 года, пробный обмен прошел 18 января 2026 года, основная волна переводов — с 6 по 25 июля, а распределение стейблкоинов завершилось к 29 июля 2026 года.

Схема 2: через Avalanche на HTX — след, ведущий к Hydra

Биткоины, связанные с площадкой, дробят и через специальный мост переводят в сеть Avalanche, где выпускается BTC.b — местная версия «обернутого» биткоина. Затем BTC.b обменивают на USDT и отправляют на биржу HTX. Это самый крупный из трех маршрутов: через него прошло 788,89449332 BTC, а итог — $74 193 409,21.

Средства шли двумя потоками: 390,497092 BTC — через два промежуточных адреса, а остальные 398,39740132 BTC — через другие адреса, но по той же схеме и с теми же точками назначения. На примере одной цепочки биткоины дробили, и сумма шаг за шагом уменьшалась — 8,08 → 7,08 → 5,08 BTC. После смешения с другими средствами формировался перевод около 1,25 BTC, который в итоге уходил в мост Avalanche Bitcoin Bridge. После моста в сети Avalanche выпускался BTC.b, и средства собирались на восьми основных торговых кошельках, откуда BTC.b обменивали на USDT через сервис LFJ. С восьми кошельков средства шли на четыре адреса-получателя, а с них — на общий кошелек биржи HTX. Эта же инфраструктура, по данным расследования, использовалась и для вывода значительной части средств в сервис Lombard Finance.

Самая интересная находка расследования касается именно этого маршрута. Отправной точкой стал биткоин-адрес, связанный не с Kraken, а с Hydra: на него в свое время стеклись две крупные цепочки денег закрытой площадки, суммарно 190,31347104 BTC.

• Первая цепочка на 140,51915109 BTC — ее удалось проследить минимум на 15 переводов назад через полтора десятка адресов вглубь инфраструктуры Hydra. Эти деньги потратили еще 11 февраля 2023 года: 139,13137164 BTC ушли на один адрес, а 1,38774645 BTC отделились на другой.
• Вторая цепочка на 49,79431995 BTC почти три года лежала без движения, а 28 января 2026 года ее начали переводить. Сумму разделили на две части: 43,84497954 BTC ушли на адрес, который до сих пор не тронут, а 5,94930741 BTC начали дробить на мелкие транши.

Один из раздробленных траншей аналитики проследили через цепочку кошельков-миксеров, и он привел к тому же мосту Avalanche Bitcoin Bridge, который используется в схеме Kraken. На выходе из моста в сети Avalanche было выпущено 1,199983 BTC.b.

Простыми словами: деньги, оставшиеся от старой площадки Hydra, спустя годы прошли ровно тот же путь отмывания, что и деньги действующего Kraken, — то же дробление на биткоин-кошельках, тот же мост Avalanche Bitcoin Bridge, то же превращение в BTC.b, обмен на USDT и вывод на биржу HTX. Совпадает не одна деталь, а весь маршрут обработки денег от начала до конца, и объяснить это случайностью трудно. Вероятно, финансами обеих площадок занималась одна команда либо обе пользовались услугами одного и того же оператора по выводу и отмыванию средств. Блокчейн-данные позволяют проследить общую систему отмывания, но сами по себе не подтверждают принадлежность площадок одному владельцу.

Схема 3: встроенные обменники и выплата USDT в TRON

Третий маршрут — это внутренние обменники самой Kraken. За процент они принимали у продавцов биткоины, полученные внутри площадки, и выдавали более ликвидный стейблкоин USDT в сети TRON, чтобы продавцу не нужно было самому искать мост и гонять деньги через несколько сетей. Дальше монеты прогоняли через плотную сеть кошельков, где они смешивались с другими деньгами. Общий выявленный объем ветки — $39,75 млн.

Мелкие поступления собирали на промежуточных адресах, которые стекались в крупный кластер. Внутри ветки точно подтверждены 104 платежа от 20 биткоин-адресов на 60,93786109 BTC за период с 25 декабря 2025 по 31 июля 2026 года. Основную часть — около 69% от объема подтвержденной выборки — дали четыре адреса, совершившие в сумме 85 из 104 заявок.

В каждый биткоин-перевод зашивали пометку OP_RETURN с адресом получателя в TRON. Из 104 транзакций извлекли девять TRON-адресов, четыре из которых использовались постоянно. На стороне TRON нашлись 79 входящих выплат USDT, совпадающих по адресу и времени, на общую сумму 3 272 204,79 USDT — в 78 случаях с адреса, размеченного сервисом TRONSCAN как кошелек обменника Bridgers.

Обмен шел почти мгновенно. Например, 5 июля 2026 года адрес отправил 0,9999 BTC в Bridgers, и через 171 секунду на указанный TRON-адрес пришли 61 955,83 USDT. Похожий случай — 28 мая, когда 1,2 BTC были обменяны через 157 секунд на 87 158,88 USDT; комиссия удерживалась из выплаты.