Un marché noir du dark web menace de dénoncer ses utilisateurs à la police

Depuis plus d’un an, Incognito Market s’est imposé comme l’un des marchés noirs les plus populaires du dark web pour le commerce de stupéfiants. La plateforme criminelle permet aux internautes de vendre et d’acheter de la drogue, des médicaments ou encore des outils consacrés au piratage. Elle pèse entre 10 et 30 millions de dollars, selon Dark Web Informer, un chercheur en sécurité qui officie sur X (Twitter).

À lire aussi : 36 millions d’identifiants piratés sont en vente sur le dark web

Des cryptos prises en otage

La semaine dernière, les utilisateurs d’Incognito Market ne sont pas parvenus à retirer leurs cryptomonnaies de la plateforme. Le site permettait en effet à ses usagers de déposer leurs fonds pour réaliser des transactions et négocier des drogues illégales. Mais, tout à coup, des millions de dollars de dépôts se sont retrouvés pris en otage. Le système de retrait, qui gérait le transfert des cryptomonnaies d’un portefeuille à un autre, était inopérant.

Les utilisateurs ont rapidement redouté que les administrateurs ne se soient envolés avec leur argent. Il est en effet courant que des marchés noirs disparaissent en engloutissant les cryptos de leurs acheteurs et vendeurs. Malheureusement, les administrateurs d’Incognito Market ne se contentent pas de dérober les avoirs des consommateurs de stupéfiants.

Une tentative d’extorsion

Dans un message apparu sur la page d’accueil d’Incognito Market, les administrateurs réclament entre 100 à 20 000 dollars en cryptomonnaies à tous les vendeurs du site. Pour maximiser leurs profits, ils n’hésitent pas à extorquer de l’argent aux utilisateurs en menaçant de les dénoncer aux forces de l’ordre. En cas de refus, les responsables d’Incognito Market vont en effet divulguer une foule de données à la police :

« Nous avons accumulé une liste de messages privés, d’informations sur les transactions et de détails des commandes au fil des ans. Vous serez surpris du nombre de personnes qui se sont appuyées sur notre fonctionnalité de chiffrage automatique ».

Comme de nombreux marchés noirs, Incognito Market permettait en effet de chiffrer les informations les plus sensibles pour éviter que la police ne tombe dessus. Il s’avère que cette fonctionnalité ne chiffrait absolument rien, et que toutes les données ont été aspirées par les administrateurs. De même, les gérants d’Incognito Market révèlent que les messages échangés entre les vendeurs et les acheteurs n’ont jamais été supprimés. Le site assurait pourtant que toutes les communications étaient automatiquement effacées après la date d’expiration.

Des informations sensibles seront divulguées en mai

Toutes ces informations seront communiquées à la police en mai 2024, prévient le message. Si les fournisseurs de stupéfiants refusent d’obéir, les autorités recevront des informations au sujet de tous leurs clients sur Incognito Market. Comme l’explique le message de menace, « que vous et les informations de vos clients se retrouvent ou pas sur cette liste dépend entièrement de vous ».

Les administrateurs précisent détenir des données concernant 557 000 commandes passées sur Incognito Market. De plus, ils détiennent 862 000 identifiants permettant d’identifier une transaction en cryptomonnaies sur la blockchain. Cette information peut permettre de remonter jusqu’à l’identité d’un acheteur, en passant par une plateforme d’échange par exemple. Il suffit en effet que l’acheteur ait effectué la transaction par le biais d’une entité qui réclame l’identité de ses usagers, comme Binance, Coinbase, ou encore Kraken, pour que la police découvre son nom.

Le prix a été fixé en fonction des bénéfices engrangés par les commerçants sur Indigo Market. Il semble qu’une partie des vendeurs ont déjà accepté de payer la rançon. Ceux-ci pourront supprimer toutes les informations à leur sujet dans quelques semaines par le biais d’un portail dédié. Seuls les vendeurs sont concernés par la menace d’extorsion. C’est à eux que les administrateurs demandent de l’argent pour le moment. Dès le 1ᵉʳ avril 2024, les utilisateurs pourront également payer pour effacer leurs données, mais les prix auront été revus à la hausse, prévient l’avertissement. Si les cybercriminels mettent leurs menaces à exécution, il s’agira de la plus importante fuite de données d’un marché noir du dark web.