Bolster AI ha reso pubblica un’indagine del proprio Threat Intelligence Lab su ShadowMarket, marketplace ospitato sulla rete Tor che proponeva, tra le altre attività illecite, la vendita di valuta contraffatta. I ricercatori hanno monitorato per nove giorni tre dei principali venditori presenti nella categoria dedicata alle banconote false, che dichiaravano complessivamente 57.803 ordini relativi a dollari statunitensi, sterline britanniche, euro, dollari canadesi e dollari australiani. L’analisi dell’infrastruttura tecnica del marketplace ha però mostrato una situazione molto diversa da quella presentata agli utenti: il sistema di pagamento aveva generato meno di 2.400 ordini effettivi, mentre numerosi elementi utilizzati per trasmettere affidabilità, tra cui il sistema di escrow, i conteggi degli ordini e i meccanismi di comunicazione sicura, non corrispondevano alle funzionalità dichiarate.
Durante l’attività di monitoraggio sono state effettuate 123 acquisizioni dei profili dei venditori e sono state osservate 27 variazioni nei relativi contatori degli ordini. Tutte le modifiche si sono verificate esclusivamente nella fascia compresa tra le 00:00 e le 06:00 UTC, anziché distribuirsi durante l’intera giornata come ci si aspetterebbe da un contatore collegato alle transazioni reali. Questo comportamento ha indicato che i valori mostrati agli utenti venivano aggiornati secondo una logica programmata e non rappresentavano un flusso in tempo reale delle vendite. I tre venditori analizzati dichiaravano insieme decine di migliaia di operazioni concluse e presentavano valutazioni elevate e indicatori di protezione del cliente, elementi che contribuivano a costruire l’immagine di un’attività consolidata e affidabile.
L’analisi del codice e dell’infrastruttura di pagamento ha evidenziato ulteriori incongruenze. ShadowMarket pubblicizzava un “Multisig Escrow System”, ma i ricercatori non hanno individuato nel codice alcuna funzionalità multisig, alcuna generazione di chiavi per l’acquirente e nessun sistema PGP riconducibile a un vero meccanismo di escrow crittografico. In un sistema multisignature reale, infatti, una transazione richiede il coinvolgimento di più chiavi e l’acquirente dovrebbe controllarne almeno una; nel marketplace analizzato, invece, non esisteva alcuna evidenza tecnica di questo processo. Il presunto escrow risultava quindi sostanzialmente riconducibile a un deposito custodito dall’operatore della piattaforma, senza le garanzie tecniche promesse agli utenti.
Anche il sistema di pagamento ha fornito indicazioni importanti sulla struttura del marketplace. I ricercatori hanno individuato un endpoint di pagamento esposto e numerato sequenzialmente che permetteva di associare gli ordini agli indirizzi Bitcoin utilizzati per i pagamenti. L’infrastruttura conteneva meno di 2.400 ordini, contro i 57.803 pubblicizzati nei profili dei venditori, e circa 2.231 record validi risultavano collegati a un insieme di poco più di 600 indirizzi Bitcoin riutilizzati. Uno stesso wallet poteva quindi essere assegnato a più operazioni differenti, una configurazione incompatibile con la separazione delle transazioni che normalmente caratterizza un vero servizio di escrow. La condivisione dello stesso insieme di indirizzi da parte dei tre venditori ha inoltre indebolito ulteriormente la rappresentazione di questi ultimi come operatori indipendenti.
Le comunicazioni definite come sicure dal marketplace non utilizzavano inoltre crittografia end-to-end. I messaggi scambiati tra acquirenti e venditori venivano trasmessi al server della piattaforma in forma leggibile, rendendoli potenzialmente accessibili a chi gestiva l’infrastruttura. Anche alcuni dati relativi ai pagamenti uscivano dall’ambiente Tor: indirizzi Bitcoin e importi venivano inviati a un servizio di terze parti disponibile sull’internet pubblico per la generazione dei codici QR. Questo comportamento introduceva un ulteriore punto di esposizione e poteva produrre registrazioni esterne utili a ricostruire parte delle transazioni.
L’indagine ha riscontrato inoltre collegamenti tecnici e contenutistici tra i tre venditori apparentemente indipendenti. Due di essi utilizzavano descrizioni dei prodotti identiche parola per parola, tutti e tre facevano riferimento allo stesso pool di wallet Bitcoin e i rispettivi contatori degli ordini venivano aggiornati secondo lo stesso schema temporale notturno. Nel codice JavaScript distribuito dal marketplace sono stati inoltre individuati commenti in lingua russa. Nel complesso, questi elementi hanno portato i ricercatori a ricondurre le tre vetrine commerciali a una struttura comune, anziché a tre attività realmente separate.
Bolster AI precisa che l’indagine non ha permesso di stabilire se le banconote offerte su ShadowMarket fossero effettivamente contraffatte, autentiche, oppure se i venditori intendessero semplicemente incassare i pagamenti senza consegnare alcun prodotto. L’elemento dimostrabile riguarda invece la costruzione artificiale della fiducia: volumi di vendita gonfiati, sistema di escrow privo delle funzionalità dichiarate, badge di protezione dell’acquirente, elevati rating e identità commerciali apparentemente indipendenti contribuivano a creare una rappresentazione di affidabilità non supportata dall’infrastruttura tecnica osservata.
L’analisi si inserisce inoltre in un contesto di crescita delle banconote contraffatte rilevate in alcuni mercati. La Bank of England ha segnalato circa 200.000 banconote false ritirate dalla circolazione nel 2025, più del doppio rispetto all’anno precedente, per un valore nominale complessivo di 3,97 milioni di sterline. Nello stesso periodo, secondo i dati richiamati nell’indagine, le rilevazioni di euro contraffatti sono invece diminuite del 20%.
Nel corso dell’attività Bolster AI non ha effettuato acquisti né transazioni con i venditori. L’endpoint di pagamento esposto è stato segnalato attraverso i canali appropriati senza sfruttarne ulteriormente la vulnerabilità, mentre i risultati dell’indagine sono stati condivisi prima della pubblicazione con le autorità finanziarie e le forze dell’ordine competenti. La società ha inoltre indicato diversi elementi potenzialmente utilizzabili nelle attività investigative, tra cui la mappatura tra ordini e indirizzi Bitcoin, il riutilizzo di circa 600 wallet, la presenza di comunicazioni non cifrate end-to-end e i dati inviati al servizio pubblico utilizzato per generare i QR code.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)