Forces de l'ordre contre le darknet : les grandes opérations de 2020 à 2026
En cinq ans, les agences internationales ont mené des opérations d'une ampleur sans précédent contre les marchés du darknet. La méthode a radicalement changé : moins de hacking de serveurs Tor, plus d'infiltration humaine, d'analyse de flux physiques et de collaboration internationale. Un panorama des opérations majeures et de ce qu'elles révèlent sur l'état de la lutte.
Les premières grandes victoires : Silk Road et AlphaBay
La fermeture de Silk Road en octobre 2013 reste le point de départ de référence. Le FBI a arrêté Ross Ulbricht, alias "Dread Pirate Roberts", fondateur et administrateur du marché, grâce à une combinaison d'analyse Bitcoin, de posts publics liés à sa vraie identité, et d'enquête classique. Silk Road avait traité 1,2 milliard de dollars de transactions depuis 2011. Ulbricht a été condamné à la prison à vie sans possibilité de libération conditionnelle en 2015.
AlphaBay, qui avait décuplé la taille de Silk Road, a été démantelé en juillet 2017 lors de l'opération Bayonet. Alexandre Cazes, son fondateur canadien, a été arrêté en Thaïlande et retrouvé mort dans sa cellule peu après son arrestation. Simultanément, le FBI et la police néerlandaise avaient pris le contrôle d'Hansa Market, le second plus grand marché de l'époque, 27 jours avant** d'annoncer sa fermeture — permettant de collecter les données de milliers d'acheteurs et vendeurs qui avaient migré d'AlphaBay vers Hansa.
Operation Disruptor (2020) : coordination internationale
L'opération Disruptor, coordonnée par Europol en septembre 2020, a impliqué 9 pays et abouti à 179 arrestations dans le monde et la saisie de 6,5 millions de dollars en espèces et cryptomonnaies. Cette opération ciblait principalement des vendeurs de drogues actifs sur les marchés darknet, identifiés via une analyse combinée des flux de paquets postaux et des données récupérées lors de fermetures de marchés précédentes.
L'intérêt de l'opération Disruptor est méthodologique : elle démontre que les données collectées lors d'une fermeture de marché restent exploitables des années après. Les enquêteurs travaillent souvent avec des données vieilles de 18 à 36 mois, le temps de construire des dossiers solides.
La chute d'Hydra (2022)
Hydra était un cas à part dans l'écosystème darknet. Marché exclusivement russophone, il dominait le marché europe-est avec 80% des transactions darknet mondiales selon Chainalysis en 2021. Son volume annuel dépassait 1,37 milliard de dollars. Hydra proposait non seulement des drogues mais aussi des services de blanchiment d'argent, de faux documents, et des services de hacking à la demande.
L'opération germano-américaine qui a fermé Hydra en avril 2022 a saisi 543 millions de dollars en Bitcoin, la plus grande saisie de cryptomonnaies liée à un marché darknet à l'époque. Les serveurs physiques d'Hydra étaient localisés en Allemagne, ce qui a permis aux autorités allemandes d'agir directement. Aucun administrateur d'Hydra n'a été arrêté lors de l'opération initiale — plusieurs étaient présumés en Russie, hors de portée d'une extradition.
Operation SpecTor (2023) : 288 arrestations
L'opération SpecTor a été lancée à la suite de l'exploitation des données récupérées lors du démantèlement de Monopoly Market en décembre 2021. Les enquêteurs ont mis plus d'un an à analyser les données avant de déclencher les arrestations simultanées dans 9 pays en mai 2023.
Le résultat : 288 arrestations, dont des vendeurs de haut niveau, 117 armes à feu saisies, 850 kilos de drogues et 53,4 millions de dollars en espèces et cryptomonnaies. L'opération illustre une tactique devenue standard : prendre le contrôle d'un marché sans l'annoncer, extraire les données utilisateurs, et déclencher les arrestations des mois plus tard dans un effet de surprise coordonné.
Operation RapTor (2026) : le plus grand coup à ce jour
Nommée en référence au personnage du film Jurassic Park (les raptors chassant en meute coordonnée), l'opération RapTor a culminé au premier semestre 2026. 270 arrestations dans 10 pays, 200 millions de dollars en drogues et actifs saisis, avec une coordination impliquant FBI, DEA, Europol, et les polices judiciaires de France, Allemagne, Pays-Bas, Royaume-Uni, Autriche, Suisse, Brésil et Corée du Sud.
RapTor a ciblé des vendeurs de niveaux variés, des petits revendeurs aux grossistes. Les documents judiciaires disponibles révèlent des techniques d'identification variées : surveillance postale classique avec détection des boîtes postales fictives, analyse de comptes d'échanges cryptographiques dans des juridictions coopératives, et exploitation d'erreurs d'OPSEC sur des forums publics.
Un élément notable de RapTor : la participation de 36 États américains aux côtés des agences fédérales, témoignant d'une coordination nationale sans précédent dans la lutte contre les marchés darknet.
Les techniques d'investigation qui ont changé la donne
L'évolution des méthodes policières sur la dernière décennie dessine une tendance claire. Les tentatives de cracker Tor directement ont largement cédé la place à des approches plus pragmatiques :
La surveillance des flux physiques reste le point faible le plus exploitable. Les agences postales de nombreux pays ont développé des partenariats avec les services de renseignement pour identifier les colis suspects. Des machines à rayons X, des chiens renifleurs et des algorithmes de profilage des expéditeurs permettent d'intercepter une fraction significative des envois.
L'infiltration des plateformes est devenue une tactique standard. Dans plusieurs opérations, des agents ont maintenu des comptes actifs sur des marchés pendant des mois, collectant des informations sur les vendeurs avant de déclencher les arrestations. L'opération Hansa en 2017 reste l'exemple le plus spectaculaire : 27 jours d'opération "honeypot" sous contrôle policier.
L'analyse des erreurs de corrélation entre monde réel et world numérique donne des résultats réguliers. Les enquêteurs recherchent systématiquement les pseudonymes utilisés sur le darknet dans les bases de données publiques — forums, réseaux sociaux, profils GitHub. Une seule occurrence suffit souvent à établir un lien vers une identité réelle.
Les limites des opérations policières
Malgré leur ampleur, ces opérations n'ont pas éradiqué les marchés darknet. Chaque fermeture majeure est suivie d'une redistribution rapide vers les plateformes survivantes, qui en profitent pour renforcer leurs mesures de sécurité. Le volume global du commerce darknet, selon les estimations de Chainalysis, a connu des fluctuations mais ne montre pas de tendance à la disparition.
L'effet dissuasif est réel mais limité. Les arrestations spectaculaires modifient les comportements des utilisateurs les plus prudents. Elles éliminent aussi les opérateurs négligents, laissant survivre ceux qui appliquent des mesures de sécurité opérationnelles sérieuses.
La coopération internationale reste le défi principal. De nombreux opérateurs de marchés sont localisés dans des pays sans accord d'extradition avec les États-Unis ou l'Union européenne. Hydra en est l'exemple le plus clair : les serveurs en Allemagne ont pu être saisis, mais les administrateurs présumés en Russie sont restés hors d'atteinte.
La tendance de fond : décentralisation comme réponse
La réponse de l'écosystème darknet aux succès policiers des dernières années est structurelle. Les architectures centralisées — un serveur, des administrateurs identifiables, des wallets contrôlés par la plateforme — sont progressivement remplacées par des modèles plus distribués.
Les marchés peer-to-peer sans administrateur central, où les transactions sont gérées par des contrats sur la blockchain, représentent la direction expérimentale actuelle. Sans centre de commandement, il n'y a personne à arrêter pour fermer la plateforme. Cette évolution, si elle se généralise, posera des défis méthodologiques fondamentalement nouveaux aux enquêteurs.