Perché i link dei market darknet si rompono, ruotano e vengono replicati

Il motivo per cui i link dei darknet market smettono di funzionare è di solito più semplice di quanto sembri: un indirizzo onion non è una casa permanente, ma una porta temporanea che viene buttata giù, copiata o sostituita in silenzio mentre il market si sposta dietro un ingresso diverso. Prima di toccare qualsiasi link, prepara un piccolo kit di verifica. L'intera procedura richiede circa 10–15 minuti su un laptop, un po' di più su telefono o tablet, e ti evita di agire su un mirror clonato che sembra perfetto ma manda il tuo deposito altrove.

Non stai cercando di dimostrare a memoria che un link è «quello vero». Stai verificando se l'indirizzo che hai in mano si comporta come un indirizzo effettivamente controllato dall'operatore, in più di un momento e su più di un dispositivo. Un link può funzionare oggi, smettere stanotte e tornare domani come mirror — quindi il tuo kit deve registrare ciò che hai visto prima, non solo ciò che si carica adesso.

Cosa serve nel kit prima di aprire qualsiasi indirizzo onion

• Un profilo di Tor Browser pulito e dedicato, con JavaScript disattivato per impostazione predefinita e nessuna estensione del browser collegata alle sessioni onion
• Un semplice file di note offline — cartaceo o testo cifrato — dove registri l'indirizzo onion completo, i primi 8–12 caratteri della sua impronta o chiave pubblica PGP e la data in cui l'hai verificato per la prima volta
• Una via di rete alternativa, come un hotspot mobile o un secondo dispositivo su una connessione diversa, così puoi ricontrollare un link senza riusare lo stesso DNS, la stessa Wi-Fi o lo stesso percorso di uscita in cache
• Una regola per gli screenshot: cattura insieme la barra del link, l'indirizzo onion ed eventuali testi di annunci firmati, perché lo screenshot della sola pagina di login non prova nulla

Quanto richiede la preparazione dipende dal dispositivo. Su un computer puoi preparare un profilo Tor separato e un file di testo in meno di quindici minuti. Su telefono o tablet gli stessi passaggi sono più lenti perché screenshot, cambio di profilo e copia di lunghe stringhe onion sono più soggetti a errori; metti in conto venti minuti e non saltare il test della via alternativa. Il punto non è la velocità. Il punto è che dopo la preparazione non devi più chiedere a un motore di ricerca o a uno sconosciuto su un forum «è questo il link vero?» — hai già la tua copia di riferimento.

Un indirizzo onion di solito muore molto prima del mercato stesso, perché l’indirizzo è solo una porta d’ingresso, non l’edificio che ci sta dietro. Quando quella porta viene sfondata, bloccata o sostituita, i gestori ne appendono semplicemente una nuova e continuano a servire gli utenti attraverso un’infrastruttura che non è mai cambiata.

Un server sequestrato uccide l’indirizzo ma non il servizio, a meno che gli investigatori non prendano anche il database, i portafogli e le identità dei gestori. In molti casi viene sequestrato solo un nodo di hosting o un VPS a noleggio, mentre il backend resta intatto su hardware separato. È per questo che puoi vedere un mercato noto “giù” per un giorno e poi di nuovo attivo sotto una nuova stringa onion, con la cronologia degli ordini intatta.

Anche le migrazioni silenziose del backend fanno sparire gli indirizzi senza alcun intervento delle forze dell’ordine. Un provider di hosting chiude un account, un processore di pagamenti taglia l’accesso oppure i gestori ruotano semplicemente l’infrastruttura secondo un programma prestabilito. La vecchia coppia di chiavi v3 viene abbandonata perché ripubblicarla da un nodo compromesso permetterebbe agli attaccanti di impersonare il mercato.

Perché questo è importante su ciascun dispositivo

• Telefono: Tor Browser per Android conserva i descrittori in cache; svuota i dati dell’app o riavviala prima di concludere che un collegamento è morto.
• Computer: l’errore “Servizio onion non trovato” di Tor Browser è locale — non significa che il gestore del mercato sia sparito.
• Tablet: se hai copiato un indirizzo da un file di note, ricontrolla tutti i 56 caratteri; un solo simbolo cambiato instrada verso un descrittore completamente diverso.

Un unico indirizzo onion pubblico è un singolo punto di rottura. Quando un mirror viene diffuso sui forum, indicizzato dai motori di ricerca o incollato nelle chat di gruppo, diventa banale per ricercatori, operatori rivali e squadre di abbattimento monitorarlo senza sosta. La rotazione privata fa sì che l’operatore controlli chi riceve l’indirizzo, quando e per quanto tempo, invece di lasciare che sia l’endpoint pubblico a definire l’esposizione del mercato.

Pensalo come un locale che cambia l’ingresso laterale ogni poche settimane. I visitatori abituali ricevono indicazioni tramite persone che già conoscono, mentre gli estranei senza un contatto fidato continuano a passare dalla stessa porta al livello della strada — che può essere sorvegliata o sostituita da una finta. L’“accesso disomogeneo” è intenzionale: gli acquirenti noti con cronologia di acquisti o referenze ricevono mirror più aggiornati, mentre gli account nuovi spesso vedono prima endpoint più vecchi o più affollati.

• Metodo di distribuzione

  Come funziona di solito

• Messaggio privato dopo un ordine completato

  L’acquirente riceve un mirror corrente nella conferma d’ordine o nella casella del profilo

• Referenza da un venditore fidato

  Il venditore consegna un mirror funzionante ai clienti abituali, non a chi chiacchiera a caso

• Chat room solo su invito

  I moderatori pubblicano un mirror e poi lo cancellano dopo poche ore

• Vecchio mirror pubblico lasciato come esca

  Resta attivo ma fortemente limitato o sorvegliato, anche dopo che i mirror migliori si sono spostati

Gli operatori distribuiscono la rotazione anche in modo volutamente disomogeneo tra dispositivi e regioni. Un utente da telefono che passa attraverso un client Tor mobile potrebbe ricevere il mirror A, mentre un utente da desktop con un cookie di sessione di lunga durata riceve il mirror B. Questo rende più difficile per gli scraper automatici raccogliere rapidamente l’intero set e permette al mercato di revocare l’accesso di un dispositivo senza bloccare l’intera rotazione.

Un clone di phishing di solito copia ciò che il visitatore si aspetta di vedere, mentre un mirror privato riproduce ciò che il mercato può dimostrare. Il modo più rapido per distinguerli è un’impronta stabile su un secondo canale: digita il tuo URL, supera la schermata di benvenuto, poi confronta lo stesso identificatore del mercato su un dispositivo separato prima di incollare qualsiasi dato sensibile.

Crea un controllo d’identità su due dispositivi

1. Passaggio 1Sul telefono, apri l’indirizzo onion da un mirror privato di cui ti fidi già, non da uno trovato tramite un motore di ricerca.
2. Passaggio 2Sul computer, apri lo stesso indirizzo onion dalla tua copia salvata del link.
3. Passaggio 3Completa la schermata di accesso o il captcha di benvenuto su entrambi i dispositivi, poi annota la breve impronta o la chiave del mercato mostrata dopo l’ingresso.
4. Passaggio 4Confronta l’impronta carattere per carattere; fermati se differiscono anche in una sola posizione.

Un mirror privato legittimo mostrerà lo stesso banner di benvenuto, la stessa chiave del mercato e la stessa frase anti-phishing su tutti i dispositivi. Un clone può copiare il banner e il captcha, ma non può mostrare la stessa frase anti-phishing personalizzata che il mercato reale visualizza dopo il primo accesso riuscito.

Dopo aver digitato o incollato un indirizzo onion, la vera domanda non è più “si apre?” ma “sono finito esattamente sul mercato che intendevo raggiungere, su questo specifico dispositivo?” Una pagina che si carica dimostra soltanto che un server ha risposto; non dimostra che il server appartenga all'operatore di cui ti fidi. Esegui lo stesso controllo compatto su desktop, telefono e tablet, perché ogni dispositivo può ricordare un mirror diverso, un accesso diverso o un segnalibro diverso.

• Controllo da desktop

  Apri il tuo mirror salvato e verificato con PGP, poi confronta il primo e l'ultimo gruppo dell'indirizzo onion carattere per carattere con la registrazione nelle tue note cifrate, non con un risultato di ricerca.

• Controllo da telefono

  Disattiva qualsiasi estensione del browser per la “privacy” che riscrive gli URL, riapri l'indirizzo dal tuo gestore di password e controlla lo stato del lucchetto più il campo completo del nome host prima di digitare le credenziali.

• Controllo da tablet

  Verifica che il tablet usi lo stesso percorso di rete del desktop (stessa Wi-Fi, stessa versione dell'app Tor, stesse impostazioni del bridge), perché un bridge diverso può instradarti silenziosamente attraverso un nodo di uscita non aggiornato.

1. Riapri dalla tua registrazione salvatanon ridigitare il link a memoria o da un messaggio in chat; incollalo dalla nota cifrata o dal deposito password che hai preparato in precedenza.
2. Confronta l'indirizzo segmento per segmentodividilo mentalmente in quattro blocchi e controlla ogni blocco rispetto alla tua registrazione salvata; la sostituzione di un solo carattere può comunque caricare un falso convincente.
3. Verifica l'auto-autenticazione della paginai mercati che pubblicano un torrc firmato o una pagina di notizie firmata dovrebbero mostrare la stessa impronta della firma del controllo da desktop, non un nuovo “avviso di manutenzione” non firmato.
4. Ripeti sul secondo dispositivo prima di spendereil desktop può superare il controllo mentre il telefono punta ancora a un clone diverso; effettua ricariche o depositi solo dopo che anche il secondo dispositivo corrisponde.

• Stesso indirizzo onion su desktop e telefono
• Un comportamento diverso tra dispositivi per lo stesso indirizzo significa che un dispositivo sta usando una copia memorizzata nella cache o alterata
• Una pagina di accesso che appare senza la tua solita schermata introduttiva è un motivo per fermarsi
• Annunci firmati che non verificano più rispetto alla chiave che hai già importato sono un segnale più forte del design della pagina