Eén Google-zoekopdracht haalde Silk Road neer

← Terug naar alle inzichten

In juni 2013 typte een IRS-agent met de naam Gary Alford "silk road" .onion in Google.

Hij draaide geen exploit. Hij had geen zeroday, geen in beslag genomen server, geen informant. Hij las het open web en zocht naar de vroegste vermelding van een site die tegen dan honderden miljoenen dollars per jaar verplaatste. Eén resultaat was een bericht van januari 2011 op bitcointalk.org van een gebruiker met de naam altoid, die een nieuwe marktplaats aanprees waar nog niemand van gehoord had.

Dezelfde gebruikersnaam plaatste maanden later een vacature. Daarin stond: stuur je antwoorden naar rossulbricht at gmail dot com.

Drie kliks. Dat was het einde.

Tor hield stand. Bitcoin hield stand. De gebruikersnaam niet.

Dit is het stuk dat mensen overslaan. Alford heeft de technische stack van Silk Road niet gebroken. Tor deed zijn werk. De bitcoin werkte precies zoals ontworpen. Er faalde niets aan de cryptografie.

Wat faalde was alles eromheen:

• Een hergebruikte gebruikersnaam. altoid bestond al voor Silk Road bestond, in een context die aan een echte persoon vasthing.
• Een echt e-mailadres, met de hand getypt, in het openbaar, voor het gemak.
• Een onvergrendelde laptop. Op 1 oktober 2013 ensceneerden agenten een schreeuwpartij in de Glen Park-bibliotheek in San Francisco. Ulbricht keek op. Iemand nam het toestel mee terwijl het open stond en aangemeld was. Volledige schijfversleuteling beschermt een uitgeschakeld toestel. Het zijne stond niet uit.

Twee jaar discipline, ongedaan gemaakt door een forumbericht dat geschreven werd voor het ding dat hij verborg zelfs bestond.

Hij is geen uitzondering. Vier oprolacties, vier verschillende verdiepingen van hetzelfde gebouw:

Je bent maar zo anoniem als je zwakste laag

Anonimiteit is geen instelling. Het is een stapel, en je bent maar zo anoniem als de zwakste verdieping ervan: het netwerk waar je vanaf verbindt, het toestel waarmee je verbindt, de identiteit waarmee je aanmeldt, het geld dat je verplaatst, en het lichaam dat op enig moment ergens moet zijn.

Eén verdieping herstellen doet niets voor de andere. Een VPN verandert je IP en verandert niets aan het account waarop je aangemeld bent. Tor verbergt waar je vandaan verbond en verbergt niets over de gebruikersnaam die je koos. Daarom leest bijna elke oprolactie hetzelfde: de tools werkten, de persoon lekte.

En het werkt met terugwerkende kracht. Dat is het echt harde deel. Een fout die je in 2011 maakte, vervalt niet. Ze staat in een zoekindex, een archief, een gelekte database, en wacht op iemand met een reden om te kijken. Je kunt je verleden niet patchen. Je kunt er alleen niets aan toevoegen.

Laten we duidelijk zijn: je bent vrijwel zeker niet anoniem, en je gaat het ook niet worden. Echte anonimiteit betekent een apart toestel, een netwerk dat niet van jou is, een identiteit zonder geschiedenis, en het nooit, geen enkele keer, vermengen met het leven dat je echt leidt. Bijna niemand houdt dat vol. Wat je realistisch wel kunt doen, is jezelf duur maken om te vinden. Dat is een lagere lat, en die is het waard.

Waarom dit bitcoin harder raakt dan wat dan ook

Elke andere tegenstander moet logs bijhouden. Een IRC-server moet ze bewaren. Een internetprovider moet gedagvaard worden. Een telefoonmaatschappij moet iets gevraagd worden.

Het bitcoingrootboek is niet zo. Het is een permanent, publiek, geïndexeerd register van elke betaling die ooit gemaakt is, bewaard door duizenden machines, gratis te bevragen, en het vergeet niet. Niemand hoeft het bewijs te bewaren, want het bewijs is de database. Wij draaien onze eigen archiefnode en publiceren de analyses eruit, en dat doet elk chainanalysebedrijf met een overheidscontract ook. Het verschil zit in wat ze eraan koppelen.

Want op zichzelf is de keten pseudoniem, niet geïdentificeerd. Bitcoin is niet anoniem en is ook nooit zo aangeprezen. Ze wordt pas geïdentificeerd waar ze jouw naam raakt. Die aanraking heeft een naam: KYC.

Jouw KYC-dossier is jouw altoid -bericht. Het is de ene duurzame link tussen een reeks adressen en een persoon, het werd voor het gemak aangemaakt, en het staat jarenlang in een database die jij niet beheert. Toen een Nederlandse rechtbank Bitfinex beval om klantgegevens binnen vijf dagen af te staan, werd er niets gehackt. De data was er altijd al. Iemand vroeg er eindelijk om.

De zaak uit 2026 in die tabel is de duidelijkste versie hiervan die ooit in een gerechtelijk dossier belandde. De verdachte gebruikte een commerciële VPN en een tunneltool, en de VPN werkte: zijn IP veranderde bij elke verbinding. Wat niet veranderde was zijn Global Device Identifier, een ID aan de serverkant die Microsoft toekent aan één Windows-installatie die aangemeld is met een Microsoft-account. Onderzoekers zagen diezelfde ID een registratiepagina laden in dezelfde minuut waarin een account werd aangemaakt, en vonden ze daarna terug in vier landen over acht maanden.

Een coinjoin is de VPN. Jouw KYC-dossier is de toestel-ID. De ene verandert waar de munten vandaan lijken te komen. De andere verandert helemaal niet.

Wat wel verschil maakt

Geen checklist om je goed bij te voelen. Vier dingen die de kost om jou te traceren omhoog duwen, ruwweg op volgorde van opbrengst:

1. Stop met de link te voeden. Waar je koopt telt zwaarder dan wat je daarna doet. Sommige routes maken een permanent identiteitsdossier en andere niet: zie hoe je bitcoin koopt voor de routes die wij gebruiken, en kycnot.me voor een onderhouden, openlijk beoordeelde lijst van diensten, gerangschikt naar hoeveel identiteit ze eisen.
2. Draai je eigen node. Als je de server van iemand anders bevraagt voor je saldo, heb je hem je adressen, je IP en je timing in één keer gegeven. Richt je wallet op onze node via Tor als je nog niet klaar bent om er zelf een te draaien, en draai je eigen zodra je dat wel bent.
3. Breek de keten bewust. Coinjoin is nog altijd het enige gereedschap dat de geschiedenis op de keten echt dubbelzinnig maakt in plaats van alleen maar lastig. coinjoin.nl draait een WabiSabi-coördinator voor Wasabi Wallet aan 0% coördinatorkosten, niet-custodiaal, geschikt voor hardware wallets, met wekelijkse rondes. Je sleutels verlaten je wallet nooit, de coördinator kan je inputs niet aan je outputs koppelen, en een mislukte ronde kost je helemaal niets.
4. Hergebruik nooit een adres. Dit is de altoid -fout in het klein. Eén hergebruikt adres koppelt twee betalingen voor altijd. Silent payments lossen dat op protocolniveau op: één gepubliceerde naam, een vers adres voor elke betaling, geen coördinatie, en ze draaien nu op een signing device dat je in handen kunt houden.

En het ding dat niets kost: houd je bitcoinleven en je leven op naam uit elkaar. Andere toestellen, andere identiteiten, geen overlap, geen uitzonderingen. De uitzondering is altijd het ding dat je pakt. Kies je het toestel dat de sleutels bewaart, dan is onze gids over hardware wallets bewust kritisch over welke dat vertrouwen verdienen.

Mixers zijn geen coinjoins

De standaardwaarschuwing tegen "mixing"-diensten klopt, en ze geldt niet voor wat hierboven aangeraden wordt. Een custodiale mixer neemt je munten in bewaring, kan statistisch ontward worden, en zet jou mee in de witwasblootstelling van iemand anders. Een niet-custodiale coinjoin houdt je sleutels nooit vast en kan zichzelf niet uitbetalen.

Het verschil is niet theoretisch. In april 2024 werd de coördinator van Samourai in beslag genomen en werden de oprichters aangeklaagd. Gebruikers kregen de raad ervan uit te gaan dat hun wallet-identificatoren in handen van onderzoekers zaten en dat eerdere mixen ontrafeld konden worden. Sparrow haalde de client er binnen enkele weken uit.

De vraag is dus nooit of coinjoin veilig is. De vraag is wie de coördinator draait, en wat die ondertussen van jou vasthoudt. Bij coinjoin.nl is het antwoord: niets van jou.

Elke link die je maakt is permanent

Ulbricht verloor niet omdat hij slordig was met cryptografie. Hij verloor omdat hij twee jaar eerder haast had en wilde dat mensen hem e-mailden.

Je bezit een activum dat permanent en publiek controleerbaar is, en het grootboek zal jou overleven. Ga ervan uit dat elke link die je maakt voor altijd is, want dat is zo. Beslis dan bewust welke je bereid bent te maken.