Bitcoins zijn het ideale betaalmiddel voor idealisten en criminelen. Idealisten, libertijnen en andere mensen die een betere wereld nastreven, roemen het bankloze aspect van de virtuele munt. Criminelen kunnen dankzij het vrijwel anonieme karakter van bitcoins ongezien kwade zaken doen. Maar hoe gaat dat in z’n werk? Dat leer je bij TNO. Het onderzoekscentrum met een wat formele reputatie staat midden in de samenleving en organiseert workshops cybercrime voor het midden- en kleinbedrijf. De pers mag ook komen en zelfs justitie is welkom. Het is onduidelijk of er zich mensen met criminele intenties bevinden in de groep van tien die op een woensdagochtend in november wordt verwelkomd in het kantoor in Den Haag. Maar wat niet is, kan nog komen. Het doel van dit TNO-initiatief is tweeërlei: laten zien welk misbruik er kan worden gemaakt van de vrijheden in onze samenleving, maar ook ideeën ontwikkelen over hoe je dezelfde vrijheid kunt aanwenden voor nieuwe, legale business. TNO toont zich een broedplaats van vrijdenkers, die echter het commerciële aspect niet uit het oog verliezen. De workshop is namelijk een samenballing van een vijfdaagse cursus die flink de diepte in gaat en waar bedrijfsleven en overheid wel degelijk voor moeten betalen. Wil je het lang uithouden als criminele handelaar of consument, houd je aan dan de volgende vuistregels.

Surf anoniem

Iedereen die het internet op gaat, laat sporen achter in de vorm van een ip-adres, bijvoorbeeld 82.95.111.132. Dat adres, dat wordt toegekend door je provider, is het referentiepunt voor alle informatie (data) die van en naar jouw computer of smartphone wordt gestuurd. Zo'n adres heb je net zo hard nodig als een postadres voor een pakketje dat je hebt besteld. Ga naar www.watismijnip.nl en je ziet jouw ip-adres, de provider die je gebruikt en nog veel meer. Het is voor de politie een eitje om je daarmee in de kraag te vatten. Beter is het om een proxy-server te gebruiken. Zoek het begrip in Google en je vindt er talloze. Als je met de computer door zo'n proxy-poort gaat, gebruik je vanaf dat moment het ip-nummer van die proxy-server. Aardig, maar niet solide. Want die proxy-server houdt wel jouw oorspronkelijke ip-adres bij. De politie hoeft slechts één stap meer te zetten om bij je te komen.

De hemel van het anonieme surfen gaat pas echt open als je gebruikt maakt van Tor.

De hemel gaat pas echt open als je gebruikt maakt van Tor. Dat is een gratis browser zoals Chrome en Firefox, maar hij doet nog wat extra: hij stuurt je via drie verschillende ip-nummers de cyberspace in. In Tor kun je zien welke. Dat kan bijvoorbeeld een adres zijn in Nieuw-Zeeland, Canada of Duitsland. Je bent dan niet meer te traceren. Die adressen zijn overigens van echte mensen. Ze stellen ze ter beschikking omdat Tor, net als bitcoins, wordt gebruikt voor zowel ideële als voor criminele zaken. Dat laatste nemen ze op de koop toe. Zo kunnen bijvoorbeeld politieke activisten in landen waar ze worden onderdrukt dankzij Tor anoniem surfen en mailen. Voor criminelen is het belangrijk dat je via Tor toegang krijgt tot marktplaatsen waar je drugs, wapens en andere illegale waren kunt kopen en verkopen. Die zitten op wat het Darkweb wordt genoemd, waar je alleen met Tor komt. Denk aan Silk Road. Die site is opgerold, maar denk niet dat de handel daardoor is stilgelegd. Er zijn er tientallen voor in de plaats gekomen, met namen als AlphaBay en Abraxas. Typische Tor-websites hebben als extensie .onion, in plaats van bijvoorbeeld .nl of .com. De ui is ook het symbool van Tor: je moet vele laagjes afpellen om tot de kern te komen.

Houd je bitcoins anoniem

Op websites als AlphaBay doe je zaken met bitcoins. Het is er echt het ideale betaalmiddel voor, want het is snel (internationale betalingen zijn in een paar minuten rond en bevestigd, ook in het weekend) en vrijwel anoniem. Bitcoins zijn niet helemaal anoniem omdat je bitcoin-portemonnee (wallet) een adres heeft van 34 cijfers en letters dat voor iedereen zichtbaar is. Alle transacties die je verricht kunnen worden bekeken via http://blockchain.info. Gelukkig zijn daar oplossingen voor: - Als je betaalt met bitcoins, betaal dan met een willekeurig wallet-adres. Dat kun je per transactie instellen in sommige wallets, zoals die van Blockchain. - Betaal via een computer, want als je het doet met je smartphone laat die weer sporen achter. - Maak een wallet aan zonder een e-mailadres te geven. Dat kan alleen via een computer, niet met een smartphone, bijvoorbeeld op http://blockchain.info. Als je bitcoins wilt ontvangen, heb je een ander probleem: je moet een wallet-adres opgeven om de munten op te storten en dat adres is dus traceerbaar. Maar daar is een trucje voor bedacht. Zodra je je geld binnen hebt, laten we zeggen honderd bitcoins, verspreid je de coins in plukjes van vijf over twintig wallets, en daarna nog een keer. En nog een keer. Uiteindelijk laat je ze weer samenkomen in één wallet. Ontraceerbaar. Een heel gedoe? Daar is gelukkig software voor, te koop op het Darkweb onder de naam bitcoin mixers.

Koop en verkoop anoniem

Wil je op sites als AlphaBay zaken doen, dan dien je je te registreren met een gebruikersnaam en een wachtwoord. Om bij AlphaBay.onion te komen, zoek je in de zoekmachine van Tor op AlphaBay en onion. Copy & paste de link (met veel cijfers en letters) uit het zoekresultaat. Dit zijn steeds wisselende adressen en die maken AlphaBay minder gevoelig voor aanvallen. Voor het aanmaken van een account heb je geen e-mailadres nodig. Je kunt wel ook een personal phrase opgeven. Die wordt op de site zelf ook getoond en voorkomt dat je in de val van een phishing-site trapt. Zo'n criminele marktplaats denkt aan je veiligheid!

Zo'n criminele marktplaats denkt aan je veiligheid!

Eenmaal binnen op AlphaBay, staart een menu vol lekkernijen je aan: fraud / drugs & chemicals / counterfeit / digital products / jewels & gold / weapons / software & malware / security & hosting. En achter die menu-items gaan echte producten schuil: een AK-47 machinegeweer, handgranaten, valse paspoorten, de drug MDMA (genaamd Holland Powder), nep-Rolexen, accounts voor Spotify en Netflix, gestolen creditcards met cvc-code en zelfs doktersverklaringen (daar kun je verzekeringsfraude mee plegen). Dat wordt dus moeilijk kiezen. Voor het gemak zijn de prijzen in dollars en in bitcoins genoteerd.

Winkel veilig

Enkele tips om veilig te winkelen op sites als AlphaBay: - Vergelijk de prijzen, net zoals je dat doet op Marktplaats.nl. Wat is een redelijke prijs voor een AK-47? Is twintig dollar voor vier handgranaten niet te goedkoop? Als het te mooi is om waar te zijn, dan is het dat waarschijnlijk ook. - Is een verkoper betrouwbaar? Gaat hij jou leveren wat hij belooft? Bekijk goed de recensies. Goed, die kunnen ook nep zijn, maar met een paar honderd is dat lastig. Je moet ook wat vertrouwen hebben. Of koop eerst iets kleins bij een bepaalde aanbieder, zoals een gram hasj, voor je een zak XTC-pillen bestelt. - Voor de betaling zijn er twee mogelijkheden: finalize early en escrow. Eerstgenoemde is betalen zoals met iDeal of een creditcard: op het moment van de koop gaat het geld naar de verkoper. Bij een escrow geef je je geld in bewaring bij een onafhankelijke derde partij, in dit geval AlphaBay. Pas als je de spullen binnen hebt en het klopt, vertel je AlphaBay dat het geld naar de verkoper kan. Dit heet ook wel multisig: er zijn meerdere handtekeningen (signatures) nodig om een verkoop af te ronden, in dit geval van twee van de drie betrokken partijen.

Is twintig dollar voor vier handgranaten niet te goedkoop? Als het te mooi is om waar te zijn, dan is het dat waarschijnlijk ook

Toevallig of niet, deze multisig-techniek is een voortbrengsel van de blockchain, de achterliggende technologie van bitcoins. En toevallig of niet, de Rabobank experimenteert met deze procedure voor legale marktplaatsen op internet. Opmerkelijk, dat criminelen zo innovatief zijn. Zij passen slimme methodes als eerste toe. Niet zo gek dus dat TNO daarvan wil leren. Overigens biedt een verkoper doorgaans lagere prijzen voor finalize early, want dan is zijn risico kleiner. Een koper wil wel eens na ontvangst van de koopwaar de goedkeuring 'vergeten'. Duurt dat langer dan dertig dagen, dan zet de marktplaats over het algemeen de tweede handtekening en krijgt de verkoper alsnog zijn geld. Op AlphaBay gaat dat zelfs automatisch na veertien dagen. De koper wordt vanaf dat moment geweerd, maar die kan makkelijk een nieuwe account aanmaken. Het zou daarom een goed idee zijn om ook kopers te recenseren, zoals al gebeurt bij huisjesverhuurder Airbnb.

Veilig bezorgen

Tot nu toe is er feitelijk geen donker wolkje aan de hemel geweest. Je hebt alle handelingen veilig van achter je computer kunnen uitvoeren, als koper of verkoper. Maar dan komt het aan op de bezorging. Bij digitale spullen: kijk uit voor virussen. Zelfs een Word- of pdf-bestand kan al dingen doen die jij niet wilt. Met fysieke goederen wordt de bezorging pas echt precair. Nu komt het aan op je spitsvondigheid. Een grammetje coke kun je goed verpakken, maar wat doe je met een AK-47? Die kun je in onderdelen versturen, naar verschillende adressen. De handleiding voor montage krijg je er gratis bij of koop je op AlphaBay. Maar vier handgranaten? Een pick-up-point van Albert Heijn of een DHL Parcelshop? Hoe komen die überhaupt door de douane op Schiphol? Afijn, dat is een los eindje waar TNO nog op studeert. Misschien iets voor les 2.

Veilig omwisselen

Tenslotte het geld. Stel dat je als koper beschikt over een flinke voorraad bitcoins die je hebt verdiend met illegale handel. Daar wil je dan wel een Mercedes voor kopen. Maar de vraag is of de autodealer bitcoins accepteert. Bitcoins overmaken naar je eigen bankrekening en ze zo omwisselen naar euro’s laat te veel sporen na. De wisselkantoren houden die transacties ook goed in de gaten, in opdracht van de staat. Gelukkig is Ivo Out aanwezig op de workshop. Hij is officier van justitie voor cybercrime in Midden-Nederland en heeft ook onderzoeken lopen naar malafide bitcoin-wisselaars die zich schuldig maken aan witwassen. 'Als je bitcoins hebt verdiend met XTC of andere pillen, wil je cashen. Dat wil je anoniem doen, buiten beeld van politie en justitie. We zien op dit moment jonge jongens, vaak zonder strafblad, die hierin snel geld willen verdienen. Ze weten ook te opereren vanuit het buitenland, zoals Letland en Malta. Ze wisselen anoniem, tegen hogere provisies dan die worden gerekend op fysieke plekken in het land, bijvoorbeeld ergens achter een station. Daar wordt een zak met contant geld geruild voor bitcoins. De private key [code] die toegang geeft tot een wallet met bitcoins gaat van hand tot hand of van telefoon tot telefoon.'

Welke onderzoeksmethoden zijn geoorloofd?

Ivo Out maakt deel uit van een team van officieren uit heel Nederland die het bestrijden van cybercrime in hun functieomschrijving hebben staan. Samen zijn ze een nieuw wiel aan het uitvinden. Out: 'We hebben te maken met slimme verdachten, ook op technisch gebied, die niet met de politie willen praten over hun handel en wandel. We beschikken dan wel over hun computers en mobieltjes, maar we hebben geen passwords. Daarbij moeten ons voortdurend afvragen welke onderzoeksmethoden geoorloofd zijn, zoals wanneer e-mailadressen op buitenlandse servers worden gebruikt. Rechtshulpverzoeken aan het buitenland kosten nogal wat tijd. De kans bestaat dat witgewassen geld verdwenen is als zo’n verzoek eenmaal rond is. Je probeert dan wel eens wat nieuws in de opsporing, welk handelen dan weer getoetst zal moeten worden door een rechter. Ook moet je ervoor zorgen dat de politie de zaken goed opschrijft én dat de rechter het snapt', aldus de officier cybercrime.

Volgens een recent rapport van Interpol geschiedt veertig procent van het ‘geïdentificeerde’ intercriminele betalingsverkeer in Europa in bitcoins

Over welke omvang praten we? Volgens een recent rapport van Interpol geschiedt veertig procent van het ‘geïdentificeerde’ intercriminele betalingsverkeer in Europa in bitcoins. De achterliggende cijfers en hoeveelheden waar Interpol zich op baseert, staan echter niet in het rapport. Toch is er voldoende reden voor Europese landen om zich te verenigen in de bestrijding van marktplaatsen op het Darkweb. Dat doen ze onder onder de naam ITOM: Illegal Trade on Online Marketplaces. Maar wat mogen we daarvan verwachten?

Kat-en-muisspel met criminelen

Criminele activiteiten vinden plaats op wereldschaal. Als je er ergens een marktplaats uitdrukt, komt er elders een tevoorschijn. 'En in Dubai accepteren makelaars al bitcoins', zegt Rolf van Wegberg, de 'witwasexpert' van TNO. Zijn organisatie zal dus de komende tijd nog veel cursisten over de vloer krijgen. De beveiligers en bestrijders blijven tot in lengte van jaren kat en muis spelen met de criminelen, die steeds slimmer worden en steeds weer wat nieuws bedenken.

Het is net de echte wereld, waarin je met neutrale zaken als bitcoins en regulier geld goede en kwade dingen kunt doen

Zo verwacht Rolf van Wegberg dat er meer digitale producten en diensten zullen worden ontwikkeld, zoals ransom ware: computervirussen die je computerbestanden versleutelen. Tegen betaling (van bitcoins) krijg je de code om het proces weer om op te heffen. Digitale waren hebben geen last van de hobbel van fysieke levering. Ook criminelen houden waarschijnlijk brainstormsessies zoals TNO dat doet. Wat kunnen we nu weer verzinnen? Ook zij roepen vermoedelijk startups in het leven. Of het zijn de hackers die met nieuwe ideeën komen. Het is net de echte wereld, waarin je met neutrale zaken als bitcoins en regulier geld goede en kwade dingen kunt doen. Want hackers waren vroeger het kwaad, terwijl ze nu ook worden ingehuurd om onze systemen te testen. Zo zien heden en toekomst er steeds anders uit.