事例の概要#

Wall Street Market（以下WSM）は、Torネットワーク上で運営されていた闇市場だ。2016年から2019年にかけて約3年間運営され、5,400人を超える販売者と約115万人の利用者を抱えていた。2019年4月、運営者3名がドイツとアメリカで逮捕され、サイトは摘発された。

米司法省の訴状によれば、運営者3名はドイツ人だった。サーバーはドイツに置かれ、運営はドイツから行われていた。サイトの言語は6種類に対応し、違法薬物、偽造品、マルウェア、盗難データを含む商品が取引されていた。

捜査の直接的な引き金になったのは、2019年4月に運営者自身が行ったexit scamだった。運営者はエスクローに預けられていた仮想通貨を引き出し、約1,100万ドルを自分のウォレットに移した。この資金移動は、ブロックチェーン上で誰でも確認できた。

タイムライン#

時期出来事出典
2016年WSMの運営開始訴状
2017年FBI、DEA、USPIS、IRS、HSIによる捜査の開始訴状
2019年3月25日競合する闇市場の閉鎖に伴い、WSMが最大手になる訴状
2019年4月上旬利用者と販売者の急増に対応するため、サーバー容量の拡張を発表訴状
2019年4月16日販売者がエスクローからの資金の引き出しを試みるが、失敗訴状
2019年4月20日〜26日利用者が資金の不正移動を検知。退去する資金の総額は1,000万〜3,000万ドルと推定された訴状
2019年4月23日〜24日ドイツ連邦刑事庁（BKA）が運営者を逮捕。米国でも訴追DEA、訴状
2019年5月2日WSMのサーバーが法執行機関によって「メンテナンスモード」に移行BleepingComputer

特定はどうやって進んだか#

令状申立書は、3名の運営者をWSMの管理者と結びつけた経緯を、それぞれ別の痕跡で説明している。

VPNの切断#

一人の運営者は、WSMの管理システムにVPN経由でアクセスしていた。VPNは匿名化の基本的な手段であり、運営者は日常的に使用していた。

訴状（第23項）によれば、BKA（ドイツ連邦刑事庁）はWSMのサーバー群を分析する中で、管理者しか触れない部分にアクセスしていた一人が「VPN Provider #1」を使っていることをつかんだ。その接続はときどき切れたが、管理者はそのままアクセスを続けたため、実際のIPアドレスが露出した。

接続が切れた原因は、訴状に書かれていない。運営者がキルスイッチのような仕組みを使っていたかどうかも書かれていない。訴状から分かるのは、IPアドレスが記録されたのがWSM側のサーバーだったことと、そのIPアドレスがドイツの通信会社のものだったことである。

UMTSスティックの位置監視#

訴状は、この露出から捜査が同じ管理者へ一続きに進んだと書いている。露出したIPアドレスを使っていた人物は、UMTSスティック（携帯回線でインターネットにつなぐ機器）でWSMのインフラに接続しており、そのスティックは偽名と疑われる名義で登録されていた。

BKAは2019年1月17日から2月7日にかけて、このスティックの所在を電子的に突き止める措置をとった。訴状（第24項）によれば、2019年2月5日から7日にかけて、特定のUMTSスティックが使用された場所を追跡した。その結果、スティックは運営者の自宅（ノルトライン＝ヴェストファーレン州クレーヴェ）と、運営者がプログラマとして勤務する情報技術会社の両方で使用されたことが確認された。

逮捕の際、この運営者のコンピュータはロックされておらず、WSMへのログインに使用されたとみられるUMTSスティックが所持品の中から見つかった。

共通のVPN事業者への接続時間の重なり#

訴状は、別の運営者について、自宅の回線（契約名義は母親）がVPN事業者に接続した時間帯と、同じVPN経由でWSMの管理システムが操作された時間帯がおおむね重なっていたことを記している。この時間の重なりは、VPN接続と管理操作が同じ人物によるものであることを示す間接証拠として使われた。

exit scamが引き金になった#

上記の痕跡は、捜査の過程で蓄積されていた。捜査を加速させたのは、運営者自身が2019年4月に行ったexit scamだった。エスクローに預けられた仮想通貨が運営者のウォレットに移動したことは、ブロックチェーン上で誰でも確認できた。利用者と販売者の通報が相次ぎ、ドイツ当局は令状を執行した。

どうすれば防げたか#

失敗点起きたこと防げたはずの対策
VPNの切断VPN接続が切れた間もアクセスを続け、実際のIPアドレスがWSM側のサーバーに記録されたVPNが切れたときに通信を止める仕組み（キルスイッチ）があれば、この経路での露出は起きにくかったとみられる（推測。訴状は切断の原因もキルスイッチの有無も書いていない）
UMTSスティックの位置モバイル回線の位置情報が電子監視によって追跡されたモバイル回線は契約者の位置と紐付く。位置情報の変動が利用パターンを示す
接続時間の重なり自宅回線のVPN接続時間と管理操作の時間が重なった時間帯のパターンを変える、または接続と操作を異なる時間に分ける
exit scam大量の資金移動が公開台帳上で誰でも確認できたexit scam自体が捜査の引き金になった。資金移動の監視はブロックチェーンの性質上、避けられない
端末のロック解除逮捕時にコンピュータがロックされておらず、証拠がそのまま残っていた端末のロック、暗号化、使用後のシャットダウン

脅威モデル別の教訓#

VPNを使ってリモートアクセスを行う開発者にとって、この事例の核心はVPNの切断にある。VPN接続が不安定な環境では、キルスイッチが有効かどうかを事前に確認する必要がある。キルスイッチは、VPNが切断された場合に全通信を遮断する仕組みだ。Mullvadのアプリでは、キルスイッチは接続してから切断するまで常に有効で、設定で無効にできない。さらに、切断や終了の操作をした後も通信を止める「Lockdown mode」を任意で有効にできる。キルスイッチの実装の違いと確かめ方は、キルスイッチの記事で扱う。

モバイル回線を使う場合、回線の位置情報は契約者と紐付く。UMTSスティックは契約名義の特定を避けるために使われることがあるが、回線自体が位置情報を持つため、物理的な移動と使用場所の記録は事業者側に残る。

exit scamのように大額の資金移動を行うと、公開台帳上の監視が集中する。ブロックチェーン上の取引は誰でも確認できるため、大額の移動は捜査機関だけでなく、コミュニティの監視も呼び起こす。

出典#