Профилирование участников нелегального онлайн-рынка: критерии отнесения и методы детекции

Введение

Цифровая трансформация многих сфер жизни общества создала благоприятные условия для перемещения незаконной деятельности в виртуальное пространство. Интернет предоставил злоумышленникам возможность анонимизировать свое участие в преступных схемах, расширить географию и масштабы противоправной деятельности и усложнить процесс их выявления и документирования. Особую опасность представляют онлайн-рынки (даркнет-маркетплейсы) – интернет-платформы, функционирующие в скрытой части Сети и обеспечивающие совершение сделок по купле-продаже наркотических средств, оружия, поддельных документов, украденных персональных данных и иных запрещенных товаров и услуг [8] (Aristarkhov et al., 2026).

Доходность теневых даркнет-площадок в 2023 году составила 1,7 млрд долларов США, при этом около 80% этой суммы приходилось на продажу наркотиков [15]. Крупнейшие маркетплейсы прошлого десятилетия – AlphaBay, Hydra («Гидра») и Silk Road – доставляли товары тысячам потребителей и приносили своим владельцам криминальную прибыль, измеряемую сотнями миллионов долларов. Закрытие Hydra в апреле 2023 года лишь на время снизило уровень незаконного оборота: освободившуюся нишу почти сразу заняли новые площадки (Mega Darknet Market, Blacksprut) [1] (Minin et al., 2025).

Высокая общественная опасность даркнет-рынков, их латентность и трансграничный характер актуализируют задачу разработки научно обоснованной системы признаков, позволяющих идентифицировать различных участников теневых интернет-площадок – администраторов, крупных продавцов, операторов платежных систем, покупателей и иных лиц, вовлеченных в преступную деятельность.

Цель настоящей статьи – на основе анализа современных криминалистических, криминологических и технических исследований:

1) систематизировать типологию участников незаконных онлайн-рынков;

2) выделить и описать совокупность криминальных признаков, характерных для каждой категории участников;

3) охарактеризовать методы и технологии, применяемые для выявления и идентификации таких лиц в ходе оперативно-розыскной деятельности и предварительного расследования.

Материалы и методы. Методологическую основу настоящего исследования составили положения общей теории познания, теории доказательств, теории логики, теории экономической безопасности. В статье использованы общенаучные методы – анализа, синтеза, дедукции, индукции, абстракции; специфические методы науки – наблюдение, сравнение.

Результаты. Онлайн-рынок (даркнет-маркетплейс) представляет собой цифровую платформу, функционирующую в анонимной сети, как правило Tor или I2P, обеспечивающую совершение сделок по купле-продаже товаров и услуг, оборот которых полностью или частично запрещен действующим законодательством. Отличительными чертами таких площадок являются:

а) использование многоуровневой системы анонимизации (Tor Browser, VPN-сервисы) для сокрытия IP-адресов участников;

б) применение криптовалют (Bitcoin, Monero) для осуществления транзакций, что затрудняет отслеживание движения денежных средств;

в) интеграция механизмов эскроу (гарантированное удержание денег до момента подтверждения получения товара), создающих у участников иллюзию безопасности сделок [5];

г) строгая ролевая структура – администраторы, модераторы, продавцы, покупатели, гаранты, платежные процессоры;

д) дискуссионные разделы (форумы), где участники обмениваются опытом, оставляют отзывы о продавцах, обсуждают способы обхода мер противодействия правоохранительных органов.

С криминалистической точки зрения преступления, совершаемые с использованием даркнет-маркетплейсов, отличаются повышенной латентностью, сложностью сбора доказательств ввиду использования злоумышленниками шифрования и анонимных сетей, а также трансграничным характером – серверы площадок, продавцы, покупатели и организаторы расчетов нередко находятся в разных юрисдикциях, что существенно осложняет международное сотрудничество правоохранительных органов.

Эффективное противодействие даркнет-преступности требует не только выявления фактов сбыта запрещенных товаров, но и дифференцированного подхода к каждому звену криминальной цепи. Обобщая современные исследования, можно выделить шесть основных категорий участников теневих интернет-площадок.

1. Администраторы (владельцы) маркетплейса. Высшее звено иерархии, обеспечивающее создание и поддержание функционирования площадки. В их обязанности входят техническая поддержка серверной инфраструктуры, управление системой безопасности, координация работы модераторов, решение споров между продавцами и покупателями, вывод криптовалютной выручки и ее последующая «отмывка».

2. Модераторы (сотрудники службы поддержки). Лица, осуществляющие оперативное управление контентом площадки: проверка объявлений продавцов на соответствие внутренним правилам рынка, разрешение конфликтных ситуаций, верификация новых пользователей, контроль соблюдения мер безопасности.

3. Продавцы (вендоры). Непосредственные участники, предлагающие и сбывающие запрещенные товары или услуги. Выделяются несколько подвидов:

а) крупные оптовые продавцы – осуществляют значительные партии поставок, как правило работают напрямую с производителями или источниками;

б) розничные продавцы – продают небольшие объемы конечным потребителям, могут действовать как самостоятельно, так и в составе структурированных преступных групп;

в) продавцы-мошенники – специализируются на обмане покупателей (неотправка товара после получения оплаты, подмена товара, фишинговые схемы) [11].

4. Покупатели (конечные потребители). Приобретают запрещенные товары для личного использования либо дальнейшей перепродажи. Именно покупательский спрос обеспечивает экономическую основу существования даркнет-рынков.

5. Гаранты (эскроу-агенты). Выступают в роли посредников при совершении сделки: покупатель переводит деньги гаранту, который удерживает их до момента подтверждения покупателем получения товара надлежащего качества, после чего переводит средства продавцу за вычетом комиссии [2] (Artemov et al., 2016).

6. Операторы платежных систем и криптомиксеров. Обеспечивают прием криптовалютных платежей от покупателей, их аккумуляцию и последующую выплату продавцам. Криптомиссшеры (сервисы смешивания транзакций) используются для дополнительной анонимизации переводов и затруднения отслеживания движения преступных доходов [17].

Эта модель хорошо коррелирует с динамической типологией, выделяющей в даркнет-рынках три ключевых класса участников – архитекторов (entrepreneurs), лидеров мнений (influencers) и контролеров доступа (gatekeepers), которые в совокупности обеспечивают как экономическую, так и социально-организационную устойчивость преступных сообществ [10] (Komarov, 2012).

Идентификация администраторов и владельцев даркнет-площадок представляет наибольшую сложность, но одновременно является приоритетной задачей, поскольку ликвидация управляющего звена существенно дезорганизует деятельность всего маркетплейса. К числу наиболее значимых криминальных признаков, свидетельствующих о причастности лица к администрированию незаконной онлайн-площадки, относятся: технические, сетевые, транзакционные, поведенческие признаки. Рассмотрим их подробнее.

1. Технические признаки, отраженные в цифровой среде:

а) владение или аренда серверного оборудования (включая виртуальные выделенные серверы, VPS), возможно, на подставных лиц или с использованием криптовалютной оплаты;

б) технические знания, выходящие за рамки обычного пользовательского уровня: администрирование Linux-серверов, настройка веб-серверов (nginx, Apache), управление базами данных (MySQL, PostgreSQL), знание языков программирования (PHP, Python, JavaScript);

в) использование средств скрытой коммуникации – шифрованных мессенджеров (Signal, Wickr, Telegram с включенным режимом секретного чата), PGP-шифрования для электронной переписки;

г) исследование строгому operational security (OpSec) регламенту – отказ от использования личных устройств для выхода на административные панели, применение операционных систем с особым режимом анонимности (Tails, Whonix).

2. Сетевые и транзакционные признаки:

а) наличие обширных объемов криптовалюты на подконтрольных кошельках, при этом входные транзакции поступают от множества разнородных отправителей (покупателей), а исходящие направляются в сервисы-миксшеры и на обменные платформы для вывода в фиатные деньги;

б) систематическое взаимодействие с большим числом контрагентов, включая как продавцов, так и покупателей, что отличает администратора от рядового участника рынка [14];

в) использование сервисов по обналичиванию криптовалюты (P2P-площадки, нелегальные обменники, подставные банковские карты).

3. Поведенческие («интерактивные») признаки:

а) проявление высокой степени влияния на внутриплатформенные процессы – администраторы часто являются ключевыми коммуникаторами, связывающими различные части форума или торговой системы [4] (Voronin, 2021);

б) модели речевого поведения – обращения к сообществу, принятие решений в конфликтных ситуациях, создание и поддержание «корпоративной культуры» площадки с характерными фразеологизмами и нормами общения;

в) использование уникальных PGP-ключей для подписания официальных сообщений и подтверждения своей легитимности в глазах участников рынка [13] (Loginova, 2026).

Продавцы выступают основным источником предложения запрещенных товаров и услуг. Их деятельность в даркнете оставляет множество криминалистически значимых следов, совокупность которых может быть использована для идентификации и последующего разоблачения.

1. Количественно-стоимостные признаки. Крупные объемы сбыта неизбежно сопровождаются большим количеством транзакций. Вендор, осуществляющий оптовые поставки, получает на свои криптовалютные адреса платежи от множества независимых покупателей (в отдельных случаях – сотни и тысячи плательщиков за сравнительно небольшой промежуток времени). Анализ объема и структуры входящих и исходящих транзакций позволяет дифференцировать обычного покупателя и профессионального продавца.

2. Поведенческие признаки в дискуссионных разделах. Современные исследования показывают, что успешные продавцы на даркнет-рынках могут быть выявлены на основе анализа их коммуникативной активности задолго до того, как их торговые объемы становятся значительными. В ходе анализа данных, собранных с крупного даркнет-маркетплейса Evolution (одна из самых популярных площадок 2014 года), были определены два ключевых предиктора последующего коммерческого успеха продавца [16]:

а) тематическая активность (topic engagement) – частота, с которой другие участники форума реагируют на темы, инициированные потенциальным продавцом. Пользователи, чьи посты вызывали активный отклик, с высокой вероятностью впоследствии становились крупными продавцами;

б) промежуточная центральность (betweenness centrality) – мера того, насколько часто данный пользователь выступает связующим звеном между другими участниками в коммуникационной сети. Этот показатель оказался эффективным для идентификации продавцов, которые не отличаются высокой публичной активностью, но играют ключевую роль в сетевом взаимодействии на площадке [12] (Loginova et al., 2025).

3. Лингвистические признаки (языковые паттерны). Анализ языковых следов, оставляемых вендорами в профилях и текстах объявлений, может служить дополнительным идентификационным признаком. Исследование лот-текстов на трех крипторынках (White House Market, DarkMarket, Empire Market) выявило, что потенциальные мошенники используют для описания товаров более длинные и детализированные тексты, включая развернутые правила покупки, политику возврата денег и условия доставки, стремясь таким образом создать видимость надежности и вызвать доверие у покупателей [9]. По укрупненным тематическим кластерам наблюдалось их повышенное внимание к параметрам качества товара/цены, вопросам доставки и коммуникации, что подтверждает гипотезу о том, что мошенники чаще предоставляют избыточную информацию о транзакционных и логистических деталях [3].

4. Технические признаки. Продавец, осуществляющий сбыт на регулярной основе, неизбежно использует определенные технические решения: шифрованные мессенджеры для общения с покупателями, публичные PGP-ключи для аутентификации и защиты переписки. Совместное использование одних и тех же PGP-ключей разными учетными записями может свидетельствовать о принадлежности их одному лицу либо о наличии устойчивой связи между разными продавцами, включая их возможную координацию в составе организованной преступной группы [18].

Операторы платежных процессоров и миксшеров являются критически важным, но существенно менее исследованным звеном даркнет-инфраструктуры. Их криминальная активность связана с техническим обеспечением приема и распределения преступных доходов и может быть идентифицирована по следующим признакам:

1. Технические и транзакционные признаки. Высокая пропускная способность обрабатываемых платежей (десятки и сотни транзакций в час). Сложная структура маршрутизации переводов – многократное перераспределение средств между множеством промежуточных криптовалютных адресов. Использование технологии CoinJoin или иных методов смешивания транзакций для повышения анонимности расчетов.

2. Признаки интеграции с теневыми площадками. Наличие прямых или косвенных связей между сетевыми адресами платежного процессора и администрируемыми доменами даркнет-маркетплейсов. Использование единого API для приема платежей на разных площадках может создать уникальную сетевую сигнатуру, позволяющую идентифицировать оператора.

3. Взаимодействие с фиатными финансовыми системами. Для вывода крупных сумм в наличные денежные средства операторы нередко используют подконтрольных подставных лиц – «дропов» (получателей), банковские карты которых зачисляются переводы с обменных платформ с последующим обналичиванием. Выявление сетей дроп-карт, обслуживаемых общими посредниками, может служить весомым доказательством причастности конкретных лиц к функционированию незаконной платежной системы.

Обсуждение. Процесс выявления лиц, причастных к деятельности незаконных онлайн-площадок, носит комплексный, многоэтапный характер и объединяет оперативно-розыскные мероприятия, технический анализ криптовалютных транзакций, компьютерно-техническое исследование цифровых следов и современные методы искусственного интеллекта.

1. Анализ транзакций в криптовалюте. Ключевым методом идентификации является анализ цепочек переводов в публичных реестрах блокчейнов (прежде всего Bitcoin). Следственные органы и специализированные организации проводят трассировку криптовалютных потоков от кошельков покупателей к счетным адресам продавцов и далее – к координационным кошелькам администраторов маркетплейсов. Наибольшую сложность представляет отслеживание средств на этапе после прохождения криптомиксеров – сервисов, специально предназначенных для сокрытия происхождения и назначения переводов.

Вместе с тем практика последних лет демонстрирует, что полная анонимизация преступных доходов в долгосрочной перспективе невозможна. Анализ транзакций за 2023 год показал, что регулятивный контроль традиционными криптовалютными биржами (включая процедуры KYC) сделал путь от преступной деятельности к легальному обналичиванию средств скорее «судебной неизбежностью», чем реалистичной возможностью для преступников [6] (Esenova et al., 2025).

2. Методы сетевого анализа и машинного обучения. Анализ социальных сетей (Social Network Analysis, SNA) применяется для выявления наиболее влиятельных участников даркнет-форумов и маркетплейсов. Для этого исследуется структура коммуникационных связей – кто с кем и с какой частотой взаимодействует, какие темы обсуждаются, кому принадлежат наиболее цитируемые сообщения. Ключевые игроки, обладающие высокой посреднической центральностью (betweenness centrality), как правило, играют роль связующих узлов в криминальной сети и могут выполнять функции организаторов или координаторов противоправной деятельности [7] (Zhmurov, 2024).

Технологии машинного обучения значительно ускоряют процесс обработки огромных массивов данных, формируемых ежедневно в даркнете. Автоматизированные системы самообучаются на новых данных и совершенствуют критерии распознавания нарушений, благодаря чему способны своевременно реагировать на изменяющиеся формы деструктивного цифрового контента [4] (Voronin, 2021).

В российской практике разработаны инструменты искусственного интеллекта, анализирующие трафик и контент в мессенджерах для поиска потенциально опасных комментариев и признаков преступной деятельности пользователей, включая их связь с конкретными учетными записями [12] (Loginova et al., 2025). Методы машинного обучения успешно применяются для выявления мошеннических действий в криптовалютных платежах и классификации полезной и нелегальной активности.

3 Анализ цифровых следов в анонимных сетях. Хотя сеть Tor и подобные ей анонимные системы созданы для защиты приватности, они не являются абсолютно неуязвимыми. Практика правоохранительных органов демонстрирует эффективность комплекса традиционных методов, применяемых в отношении пользователей даркнета:

а) анализ стиля изложения и лексических особенностей текстов;

б) технический анализ содержимого передаваемых данных (метаданные, временные метки, фрагменты, раскрывающие личность отправителя);

в) оперативно-розыскные мероприятия, включая внедрение сотрудников в криминальные сообщества даркнет-форумов;

г) использование кейлоггеров и иных средств негласного получения информации [8] (Aristarkhov et al., 2026).

Кроме того, совместное использование PGP-ключей разными учетными записями дает криминалистически значимую информацию – если один и тот же открытый ключ применяется для подписи сообщений от разных продавцов, это с высокой вероятностью указывает на их принадлежность одному лицу либо на тесную скоординированность их действий в рамках организованной преступной группы [5].

4. Использование искусственного интеллекта для построения криминалистического профиля участника. Современные информационные технологии позволяют накапливать и обрабатывать массивы данных, характеризующих поведение фигурантов как в цифровой среде, так и в реальной жизни. Построение на основе искусственного интеллекта цифрового профиля потенциального злоумышленника включает три ключевых блока признаков (, образующих целостную систему для идентификации:

Блок A (поведенческо-коммуникативный): анализ языковых маркеров, стиля общения, тематической направленности активности на форумах, структуры коммуникационных связей, временны́х паттернов выхода в сеть;

Блок B (транзакционно-экономический): объем и структура криптовалютных переводов, связи криптоадресов, использование миксшеров и обменных сервисов, контакты с фиатными финансовыми институтами;

Блок C (технико-инфраструктурный): используемые PGP-ключи, IP-адреса (в том числе после деанонимизации), конфигурация устройств (ОС, браузеры, расширения), следы администрирования серверного оборудования.

Интеграция всех трех типов признаков и их сопоставление с данными, полученными из внешних (публичных) и внутренних (полученных в ходе оперативно-розыскных мероприятий) источников, позволяет сформировать обоснованное предположение о роли проверяемого лица в структуре незаконного онлайн-рынка. В таблице представлена система признаков для построения цифрового профиля участника онлайн-рынка.

Таблица

Система признаков для построения цифрового профиля участника онлайн-рынка

Современное российское законодательство пока не содержит специальных норм, предусматривающих ответственность за создание и администрирование даркнет-площадок как самостоятельный состав преступления. Как справедливо отмечает директор Центра по защите прав граждан и бизнеса в сфере цифровых технологий АНО «Белый Интернет» Элина Сидоренко, действующие нормы квалифицируют деяния администраторов лишь опосредованно – по общим составам о соучастии в конкретных видах сбыта (наркотиков, оружия, поддельных документов), что не отражает всей общественной опасности управления крупными транснациональными криминальными платформами и не обеспечивает адекватной дифференциации ответственности [15].

В связи с этим назрела необходимость внесения в Уголовный кодекс РФ специального состава, устанавливающего ответственность за создание, администрирование и финансирование интернет-платформ, предназначенных для незаконного оборота наркотических средств, оружия, поддельных документов и иных ограниченных в обороте товаров. При этом важно предусмотреть повышенную ответственность для организаторов таких площадок и дифференцированный подход к иным участникам в зависимости от их фактической роли в преступной деятельности.

Противодействие преступлениям, совершаемым с использованием сети Интернет, должно основываться на системном подходе, объединяющем правовые, организационные и технические меры. К числу наиболее актуальных направлений совершенствования оперативно-розыскной деятельности следует отнести:

а) создание специализированных сил и средств компетентных органов для комплексного анализа цифровых данных запрещенного в Российской Федерации контента, а также сбора, анализа и оперативного документирования преступных действий лиц, представляющих оперативный интерес [10] (Komarov, 2012);

б) нормативное правовое закрепление возможности осуществления комплексных оперативно-профилактических операций в информационно-телекоммуникационной сети Интернет, в том числе в целях деанонимизации личности преступника [2] (Artemov et al., 2016);

в) дальнейшее развитие международного сотрудничества в сфере обмена информацией о даркнет-маркетплейсах, их владельцах и операторах, а также о выявленных криптовалютных кошельках, используемых для совершения преступлений.

Заключение

Проведенный анализ позволяет сделать следующие основные выводы.

1. Преступность, связанная с функционированием даркнет-маркетплейсов, представляет собой качественно новый, высокоорганизованный вид криминальной деятельности, существенно отличающийся от традиционного незаконного оборота товаров способами совершения, масштабами и степенью латентности.

2. Участники незаконных онлайн-рынков образуют иерархически структурированную систему, в которой могут быть выделены администраторы (владельцы) площадок, модераторы, продавцы (вендоры), покупатели, гаранты, операторы платежных систем и криптомиксеров. Каждой из перечисленных категорий присуща своя совокупность криминальных признаков, подлежащих выявлению и доказыванию.

3. Современные методы выявления криминальных признаков базируются на комплексном применении анализа криптовалютных транзакций (блокчейн-аналитики), сетевого анализа коммуникационных структур даркнет-площадок, технологий искусственного интеллекта и машинного обучения для обработки больших массивов данных, а также традиционных оперативно-розыскных мероприятий, адаптированных к условиям анонимных сетей. Существенный идентификационный потенциал имеет анализ совместно используемых PGP-ключей, языковых паттернов и коммуникативных метрик (тематическая активность, междусобойная центральность).

4. Эффективность противодействия преступлениям, совершаемым с использованием даркнета, требует не только развития технических средств выявления и документирования, но и совершенствования нормативно-правовой базы, в первую очередь – введения специального состава преступления за создание и администрирование незаконных интернет-площадок, а также расширения возможностей оперативно-розыскной деятельности в цифровой среде при соблюдении баланса между необходимостью борьбы с преступностью и защитой конституционных прав граждан.

Перспективными направлениями дальнейших исследований являются разработка формализованных методик построения цифровых профилей участников даркнет-рынков на основе совокупности разнородных признаков, а также создание автоматизированных систем раннего предупреждения, позволяющих прогнозировать появление новых крупных продавцов на основе анализа их допреступной активности в даркнет-форумах.