Что произошло 23 июля
По сообщению Flashpoint, 23 июля 2022 года форум WayAWay подвергся взлому. После инцидента участники, которых исследователи связывали с администрацией конкурирующего форума RuTor, опубликовали скриншоты сообщений, предположительно полученных из внутренней переписки. Flashpoint описала эпизод в обзоре от 8 августа 2022 года.
Публикация затронула форумную площадку, а не доказанную кражу средств у клиентов Kraken. На тот момент Flashpoint называла Kraken планировавшимся проектом. Распространение информации о взломе стало частью публичного противостояния вокруг появлявшихся после закрытия Hydra площадок.
После закрытия Hydra
5 апреля 2022 года правоохранительные органы изъяли серверную инфраструктуру Hydra, крупнейшего русскоязычного даркнет-маркетплейса. Его закрытие изменило распределение пользователей между оставшимися и новыми участниками. По оценке Chainalysis, в первое время после изъятия инфраструктуры заметно выделялся OMG!OMG!, а затем усилились и другие рынки.
Flashpoint описывала взаимодействие RuTor с OMG!OMG! и противопоставляла его связке WayAWay и готовившегося Kraken. Эти связи описывают наблюдавшуюся исследователями конфигурацию участников; сами по себе они не устанавливают, кто контролировал каждую из площадок.
Возвращение форума и продвижение Kraken
WayAWay возобновил работу 2 июля 2022 года после периода неактивности. Как писала Flashpoint, форум ранее был связан с экосистемой Hydra; исследователи отмечали признаки его связи с будущим Kraken и использование образа преемственности. Позднее площадка фигурировала в конфликте с RuTor.
Сообщения о связи участников Hydra и нового проекта следует читать с осторожностью. Flashpoint различает распространявшиеся утверждения о прежних администраторах и признаки связи между проектами. По одной схожести названия, символики или процедуры регистрации нельзя точно восстановить состав разработчиков и владельцев Kraken.
Что утверждали оппоненты
Согласно Flashpoint, опубликованные после взлома материалы сопровождались критикой того, как WayAWay обращался с данными пользователей. Авторы публикаций также делали выводы о возможной связи управления форума с Hydra. Их позиция исходила от участников противостояния, у которых имелся собственный интерес к дискредитации конкурента.
Скриншоты сообщений могут свидетельствовать о содержании отдельных обсуждений, если их происхождение и целостность установлены. Они не равнозначны полному архиву и не доказывают автоматически каждое сопутствующее обвинение. Независимая проверка охвата и подлинности всей предполагаемой переписки в источнике не представлена.
В этой истории важно и время появления источника. Flashpoint опубликовала обзор спустя несколько недель после указанной даты; он позволяет установить, как исследователи описывали эпизод вскоре после него, но не раскрывает весь массив исходных сообщений для самостоятельной полной реконструкции. Позднейшие воспроизведения этого рассказа нужно оценивать с учётом возможной зависимости от первоначального обзора, а не просто считать новыми независимыми подтверждениями.
Чего не позволяют установить открытые материалы
Обзор Flashpoint не называет подтверждённого числа затронутых пользователей, полного объёма полученных данных или общей суммы ущерба. Из его описания нельзя вывести, что были похищены деньги пользователей Kraken, что все аккаунты форума оказались скомпрометированы или что конкурент получил контроль над всей инфраструктурой.
Не установлены и личности всех непосредственных исполнителей: компания связывает опубликованные материалы с определённой стороной конфликта, но это не заменяет судебного решения или полного технического расследования. Конкретный механизм проникновения в данной хронике также не реконструируется.
Последствия и значение эпизода
Удар по форуму имел потенциальный репутационный эффект: сообщения о чужом доступе и критика практик хранения данных могли влиять на доверие его аудитории. Это аналитическая оценка механизма риска, а не измерение того, сколько пользователей ушло и куда они перешли.
Достоверное ядро эпизода уже, чем громкие заявления участников: исследователи сообщили о взломе WayAWay и последующей публикации сообщений в ходе рыночного конфликта. Для количественной оценки потребовались бы проверенные данные об аудитории, последствиях инцидента и прямой связи его с изменением активности.
Как читать источники
Скриншоты, которые опубликовали противники форума, позволяют изучать их заявления, но доступная публикация не раскрывает полный массив сообщений. Поэтому размер утечки и авторство всех комментариев остаются отдельными вопросами.