5 октября 2026 года на каноническом адресе Dread, вместо привычной ленты появилась плашка Dread has been hacked и закреп чужого проекта.
К 9 октября картина уже включала второй перехват зеркала, публичный разбор zero-day в балансировщике GoBalance, редиректы части маркетов на Conclave и жёсткие заявления соседних площадок.
Собственно вот вам хронология и то, что к этому моменту зафиксировано в подписанных сообщениях администрации, текстах захватчиков и независимых пересказах.
Что такое Dread и почему адрес имел вес
Dread запущен в феврале 2018 года юзером под ником HugBunter как англоязычный Reddit, подобный форум в Tor после зачистки даркнет-сабреддитов. К июню 2018-го там было около 14,7 тысячи регистраций, в 2019-м - 121 194, в карточке Википедии на октябрь 2026-го порядка 675 000 пользователей.
Площадку ведут HugBunter и Paris. После закрытия DeepDotWeb, Dread стал основным хабом для обсуждения маркетов, скамов, изъятий и снижения вреда от наркотиков. Официальные присутствия многих магазинов держались именно здесь, поэтому контроль над каноническим onion означал контроль над привычной точкой входа для большой части аудитории.
Адрес выводится из открытого ключа, а право публиковать дескрипторы даёт только парный секрет.
Кто держит hs_ed25519_secret_key, тот может отвечать от имени этого .onion.
Смена пароля админки этот адрес не чинит, нужен новый ключ и новое имя, подписанное заранее известным PGP администрации.
5 октября - плашка, Conclave и первое объяснение
На старом основном onion посетитель попадал на текст от имени новой стороны.
Авторы утверждали, что получили доступ к проекту Dread, включая секретные ключи домена. Шантажа операторов, по их словам, не было; сливать пользовательские данные они не планировали, пока команда Dread не начнёт мешать домену.
Условие сформулировано прямо: домен оставить в покое, иначе данные могут опубликовать. На одном и том же адресе пользователь случайно получал либо исходный Dread, либо новую витрину.
Новую площадку назвали Conclave и сразу опубликовали несколько onion.
К 12:16 UTC 5 октября сами операторы Conclave отчитались о 107 798 просмотрах за день. В апдейтах они писали, что видят магазины, связанные с владельцами Dread, и что те уже появились на новой площадке; отдельно ответили на угрозы докса и обвинили Paris во лжи при одновременном признании вины.
Около 13:31 UTC на премиальном onion Dread появились два PGP-сообщения с хешем SHA512.
HugBunter в отчёте о прозрачности писал, что серверы не вскрыты, пользовательские данные не читались, инфраструктура наружу не смотрит. Причина, которую он назвал: в свежую выгрузку архива GoBalance попал рабочий пакет, который должен был остаться локальным, и внутри лежал приватный ключ основного onion. Старый адрес предложили считать retired; новый обещали отдать через Daunt(dot)link и Tor(dot)watch.
Paris в своём тексте сформулировал всё короче: заархивировал не тот каталог и залил ключ в обновление GoBalance, причину связал с небрежностью и наркотиками, пообещал завязать.
Позже в Jabber у DX303 всплыла переписка, где собеседник (ThatGuy / retard_ass) назвал цену около 230 000 долларов за приватный ключ старого основного onion.
Если покупателя не найдётся - проект будут развивать дальше. DX303 платить отказался.
DarkWeb Informer в тот же день перевёл полный мониторинг ленты на премиальный onion, а скомпрометированный адрес оставил под ограниченным наблюдением (главная, /u/HugBunter, /u/Paris).
7 октября - второй захват
К 7 октября ушёл и второй зеркальный адрес. HugBunter в новом подписанном сообщении описал несколько часов перебора гипотез: компрометация Paris, полный захват серверов, повторная генерация того же ключа.
Серверы, по его утверждению, по-прежнему не вскрывали, база на стороне Dread не читалась, CONclive (Vlad) никогда не имел доступа к инфраструктуре.
Главный ключ действительно лежал в публичном каталоге обновления GoBalance.
Второй адрес ушёл после включения в ротацию через тот же балансировщик. Пока сервисы крутились на прямом PoW без GoBalance, чужой дескриптор не поднимался.
Как только ключ попал в уязвимый путь, адрес стал доступен тому, кто умел вычислять подпись.
HugBunter отдельно оговаривает риск MitM: если до появления дефаса кто-то поднимал сервис на том же имени, часть пользователей могла ходить через чужой инстанс.
Он сомневается, что так и было (у захватчика не получилось корректно выставить SSL), но рекомендует сменить пароли на Dread и на других затронутых hidden services.
В коротком закрепе HugBunter повторил "Dread не взламывали, серверы целы, докса не было. Миграция объявлена окончательной."
Ключевая часть отчёта об уязвимости в исходном GoBalance. Проект писали не в Dread, но именно его долго рекомендовали как более производительную замену OnionBalance.
По словам HugBunter, дыра существует с первого релиза и затрагивает все выпущенные версии.
Техническая цепочка:
- Tor-ключ в расширенном виде загружается как scalar || secret nonce prefix;
- код вызывает ed25519.PrivateKey.Seed() и оставляет только первые 32 байта (для Tor-ключа это скаляр, а не seed);
- усечённое значение уходит в BlindedSignWithTorKey;
- повторный Seed() на 32-байтовом слайсе в стандартной библиотеке Go не паникует;
- префикс nonce kPrime становится публично вычислимой константой.
Из опубликованного сертификата (он лежит вне зашифрованных слоёв дескриптора) восстанавливается ослеплённый скаляр, затем через публичный множитель периода времени - исходный скаляр. Одного сертификата достаточно. Восстанавливается способность подписывать от имени identity-ключа; оригинальный seed для подделки не нужен. Путь через стандартный PEM под эту атаку не попадает.
Уязвимость, пишет HugBunter, нашли с помощью ИИ, сначала у захватчика, потом у них при разборе. Патч обещают выпустить. Всем, кто когда-либо ставил GoBalance, рекомендуют считать свои onion под риском. Paris на Pitch сформулировал короче: domain hijack; SSL и instance-onions у захватчика не было, ушёл только домен. Land-адрес держался, пока не попал в ротацию GoBalance.
HugBunter также описал разговор с CONclive: попытка выдать ошибочный «докс», требования, отказ показать доказательства наличия базы Dread. В тексте есть фрагмент IP 46.XX.XXX.XX9 и утверждение, что у захватчика есть собственный маркет.
В постскриптуме подтверждение, что под контроль ушли ключи нескольких маркетов, в том числе недавно закрытых; Dread намерен помогать возвращать адреса под легитимные редиректы.
DarkWeb Informer отдельно фиксировал редирект основного onion Omega на Conclave.
Позиция Conclave и голоса с соседних площадок
На захваченных адресах вышел текст «День 3». Авторы пишут, что цель была заставить администрацию Dread признать многолетнюю рекомендацию уязвимого софта. Приватный ключ домена, по их описанию, позволяет поднимать поддельный сервис, проксировать настоящий и читать трафик.
Они перечисляют зеркала Conclave и список адресов, которые, по их словам, утекли или стали доступны через ту же схему, включая старые канонические onion Dread, Nexus, Omega, Prime и варианты DarkMatter. Часть этих имён мониторы уже видели как редиректы на Conclave.
В тот же период высказался Faradey - резидент англоязычного Breaking Bad Forum. Он пишет, что изначально держал нейтралитет, следил за событиями и был в контакте со всеми участниками с самого начала, но после повторного перехвата зеркал счёл нужным высказаться, особенно с учётом прошлого конфликта с Dread.
По его версии, вход на форум Dread для части проектов был связан с требованием поставить их решение по балансировке, не Endgame как таковой, а дополнение к нему, GoBalance, которое позиционировали как собственный «непробиваемый» OnionBalancer.
Итог, который он фиксирует: почти все, кто следовал этой схеме, получают редирект на Conclave. Breaking Bad Forum и Bazaar, пишет Faradey, ушли с Dread спокойно, несмотря на насмешки со стороны представителей администрации.
К HugBunter лично претензий у него нет: он считает его адекватным человеком, который, однако, доверил управление «дуракам и хамам». Отдельно Faradey оспаривает позиционирование Dread как harm-reduction ресурса: по его оценке, это в первую очередь площадка под куплю-продажу с примесью OSINT, а страница harm reduction формальная; первым в списке там стоит mindheal.com, который, утверждает Faradey, создавали специалисты Breaking Bad Forum.
9 октября
Публично сошлись несколько независимых линий (подписи HugBunter и Paris, тексты Conclave, пересказы Monero Observer, Hackread, DarkWeb Informer, Pitch, заявления с соседних площадок):
- 5 октября - захват основного onion через ключ, попавший в публичный архив обновления GoBalance. Администрация настаивает: серверы и база не тронуты, адрес retired.
- 7 октября - второй зеркальный адрес и часть рыночных onion объясняют zero-day в самом GoBalance: из открытого дескриптора можно вывести signing-способность identity-ключа. Уязвимость затрагивает все релизы исходного проекта.
- Захватчик (Conclave / CONclive) контролирует старые канонические имена Dread и ряд чужих адресов, направляет трафик на свою площадку, публикует списки доменов и сохраняет те же PGP/Jabber/Session.
- Новый рабочий адрес Dread, объявленный HugBunter
- План администрации: патч GoBalance, перехват исходных onion где возможно, opsec-sweep, помощь затронутым маркетам с легитимными редиректами.
Независимого публичного аудита кода GoBalance и живой демонстрации атаки на чужих дескрипторах к этому моменту нет. Есть подписанное описание цепочки, совпадающие по смыслу заявления Paris, наблюдения мониторов о редиректах и жёсткая реакция площадок, которые годами сталкивались с требованием ставить именно этот балансировщик.
Старые адреса Dread больше нельзя считать точкой доверия: кто держит секрет, тот отвечает на имя.
Комментарии 0