Operation Onymous, douze ans après : le coup de filet de novembre 2014 et sa longue ombre
Il y a douze ans, cette semaine même, les 6 et 7 novembre 2014, les polices d'Europe et des États-Unis menaient la plus vaste action coordonnée jamais menée jusque-là contre les services onion. L'opération Onymous a saisi des centaines d'adresses de hidden services, fait tomber des dizaines de places de marché et de boutiques de fraude et placé en garde à vue le présumé opérateur de Silk Road 2.0. Les annonces sonnaient comme un coup d'autorité ; les effets mesurables furent plus modestes. Douze ans plus tard, l'opération demeure l'une des études de cas les plus éclairantes sur l'écart entre un décompte de saisies et une véritable disruption.
Le coup de filet, tel qu'il fut annoncé
Europol a décrit une action conjointe lancée le 6 novembre 2014 par des agences de 16 pays européens aux côtés de partenaires américains, coordonnée par son Centre européen de cybercriminalité (Europol). Le FBI avançait le chiffre de plus de 400 adresses .onion, dont des dizaines de sites de darknet markets (FBI). La presse de WIRED à l'époque comptait 414 domaines saisis et 17 arrestations dans autant de pays, citant parmi les marchés Silk Road 2, Cloud 9, Hydra, Pandora, Blue Sky et Cannabis Road, ainsi que des services de blanchiment comme Cash Machine et Fast Cash (WIRED). Les autorités faisaient également état de plus d'un million de dollars en bitcoins, d'environ 250 000 dollars en espèces et de quantités de drogue, d'or et d'argent. Troels Oerting, alors chef de l'EC3, présentait l'opération comme le coup d'envoi d'une campagne permanente :« Ce n'est que le début de notre travail. Désormais, nous traquerons ces sites en permanence. »
Silk Road 2.0 et l'arrestation au cœur de l'affaire
La clé de voûte de l'opération était Blake Benthall, connu en ligne sous le pseudo « Defcon », arrêté à San Francisco le 6 novembre 2014 et inculpé devant un tribunal fédéral de Manhattan (FBI). L'acte d'accusation affirmait que Silk Road 2.0 avait vu le jour en novembre 2013, environ cinq semaines après la saisie du Silk Road d'origine, et qu'en septembre 2014 le site générait quelque 8 millions de dollars de ventes par mois avec environ 150 000 utilisateurs actifs. Benthall était inculpé de conspiration en vue de trafic de stupéfiants, de conspiration de piratage informatique, de trafic de documents d'identité frauduleux et de blanchiment d'argent ; un agent infiltré du Homeland Security Investigations s'était glissé dans l'équipe d'assistance du site. Tout cela relève d'un document d'inculpation. Un détail de l'affidavit saute aux yeux avec le recul : les enquêteurs avaient identifié dès mai 2014 un serveur étranger hébergeant Silk Road 2.0, mais, comme le notait WIRED à l'époque, ils n'ont offert aucune explication sur la manière dont ils avaient contourné Tor.Ce que les chiffres voulaient dire — et ce qu'ils ne voulaient pas dire
Les chiffres des gros titres n'ont pas survécu tels quels à la semaine. Le projet Tor a fait remarquer que le décompte de « 400 » portait sur des adresses web et non sur des sites distincts : des centaines d'URL hébergées sur environ 27 serveurs (blog du projet Tor). Et l'écosystème a plié sans rompre. Agora, alors l'un des plus grands marchés avec plus de 16 000 annonces, n'a jamais fermé ; Evolution et Andromeda non plus ; acheteurs et vendeurs se sont regroupés sur des plateformes que le coup de filet avait épargnées. Andrew Lewman, alors du projet Tor, lisait l'opération sans détour : « On dirait que le travail de police à l'ancienne continue de faire ses preuves. » Le travail universitaire a abouti à une conclusion similaire. Une étude longitudinale de Décary-Hétu et Giommoni a suivi les effets de l'opération Onymous sur les cryptomarchés de drogue et a établi, selon l'étude, que l'impact du coup de filet était limité dans le temps comme dans son ampleur, l'activité revenant vers les sites survivants plutôt que de disparaître (dépôt de l'université de Cardiff).Tor était-il compromis ? La question qui refuse de se fermer
La manière dont les enquêteurs ont localisé les services n'a jamais été expliquée officiellement, et ce silence a nourri une décennie de spéculations. En quelques jours, la presse britannique avançait que les saisies trahissaient une faille de Tor lui-même (The Guardian). Le projet Tor a répondu avec prudence, énumérant des explications plausibles — défaillances de sécurité opérationnelle et infiltration d'agents sous couverture, injections SQL contre les logiciels des marchés, désanonymisation par analyse de la blockchain ou attaques contre le réseau lui-même — tout en soulignant qu'aucun élément public ne permettait de trancher. Il y a ajouté un avertissement qui a bien vieilli :« Nous savons, grâce à de récentes fuites, que la DEA américaine et d'autres ont construit un système de parjure organisé et approuvé officiellement qu'ils appellent “parallel construction”. »Les documents judiciaires ont fini par trancher une partie de la question. En février 2016, une décision dans l'affaire de Brian Farrell, à Seattle, présumé membre de l'équipe de Silk Road 2, a révélé que le FBI avait fait assigner l'université Carnegie Mellon pour obtenir des données de hidden services liées à des recherches menées par l'université en 2014 (WIRED). WIRED rapportait aussi que la direction de Tor estimait que CMU avait été payée environ un million de dollars pour ces données ; l'université a nié tout paiement, affirmant s'être simplement conformée à une assignation. L'épisode a établi qu'au moins un chemin vers les marchés passait par un établissement de recherche et non par une brèche dans Tor lui-même — tandis que les mécanismes complets des saisies de 2014 restent, officiellement, sans explication.