FBI 27 Ekim'de virtualine.net'i ele geçirdi: yeraltı forumlarında müşteri toplayan, ödemeleri barındırıcısız Bitcoin adresleri üzerinden alan ve üç ülkenin polisi uyardıktan sonra çocukların cinsel istismarına erişim satan bir forumu açık tutmaya devam eden, Rusça konuşan bir "kurşun geçirmez" barındırma sağlayıcısının vitrini. Şirketin adı Virtualine Technologies, operasyonun adı Omegaline. İddianamenin dili alışılmadık ölçüde net.

Operatörün saatler sonraki yanıtı da öyleydi.

Ne ele geçirildi

Soruşturmayı FBI'ın Washington saha ofisi, ABD'nin Virginia Doğu Bölgesi savcılığıyla birlikte yürüttü. Almanya'dan Polizei Hessen, Hollanda'dan Politie Midden-Nederland ve İngiltere'den Ulusal Suç Ajansı (NCA) ile özel sektör ortakları OverRIPE ve Lumen katıldı; blockchain analizini Chainalysis destekledi.

Ele geçirilen şey bir alan adıydı. Bir veri merkezi değil, bir ağ değil, bir kişi değil. Bu önemli, çünkü aşağıdaki her şey buna bağlı.

Şirket ne satıyordu

Virtualine birkaç ad altında faaliyet gösterdi — Secury, Massgod, Spamhouse, Lanedo ve Omegatech — ve siber suç forumlarında topladığı müşterilere barındırma, sunucu ve alan adı kaydı kiraladı. Eylül 2024'te Exploit.in'de şöyle reklam yaptı: "Virtualine'ı tüm yasa dışı/black hat faaliyetler için kullanabilirsiniz (phishing, carding, e-posta spam'i, port tarama ve diğerleri dahil), çocuk içerikleri ve terör faaliyetleri hariç." Temmuz 2025'te HackForums'ta "Virtualine son üç terapistinizden daha fazla kötüye kullanımı görmezden geldi" diye övündü. Giriş fiyatı ayda 0,79 dolardı.

Mart 2026'da polisten korkan müşterilere "ek koruma planı" satmaya başladı: "kolluk kuvvetlerinden resmi bir talep" aldıktan sonra müşterinin suç altyapısını "Virtualine ile bağlantısı olmayan başka bir paravan şirkete" taşıyacak, "ardından sunucu yeniden etkinleştirilecekti".

Açık kalan forum

İddiaya göre Virtualine, kendi "çocuk içerikleri" kuralına rağmen, kullanıcıların reşit olmayanların ve yetişkinlerin müstehcen görüntü ve videolarına erişim sattığı, ayrıca bilgisayar korsanlarının mağdurların hesaplarını kırıp mahrem görüntü çalmak için reklam verdiği bir foruma — mahkeme kayıtlarında "Vendor 1" — bilerek ev sahipliği yaptı.

Ocak 2026'dan itibaren Almanya, Kanada ve Avustralya polisi, Ulusal Kayıp ve İstismara Uğramış Çocuklar Merkezi (NCMEC) ve bir mağdurun avukatı, forumun sunucusundaki içerik konusunda sağlayıcıyı uyardı. Virtualine forumu açık tuttu ve Vendor 1'e içerik yükleyip satmak için yeni bir site kurmasında yardımcı oldu; şirket o siteye hâlâ ev sahipliği yapıyor.

Para

Adalet Bakanlığı'na göre Virtualine ödemeleri "BTC [NO-AML]" ile, yani müşterilerin fonlarının yasa dışı olarak işaretlenmesini önleyen belirli barındırıcısız Bitcoin adresleri üzerinden aldı.

Hizmeti ele geçirmeden önce izleyen TRM Labs, doğrudan girişlerin dağılımını şöyle veriyor: yaklaşık %44 Rus bir uyuşturucu pazarından, %17 büyük bir sextortion (cinsel içerikle şantaj) düzeninden, %13 bir karıştırıcıdan, %5 fidye yazılımı gruplarından. Ayrıca StealC bilgi hırsızından ve rakip kurşun geçirmez barındırıcı Volhav'dan ödemeler geldi.

TRM'nin daha keskin bulgusu büyüklükle değil, bileşimle ilgili. Virtualine toplam girişe göre sektörün en büyükleri arasında değildi; ama 2026'da, TRM'nin etiketlediği diğer tüm sağlayıcılardan daha fazla yasa dışı nitelendirilmiş değer aldı. İzlenen sektör genelinde 2026'nın üçüncü çeyreğindeki giriş değeri 2025'in ilk çeyreğinin yaklaşık %4 üzerindeyken, gelen transfer sayısı %60 arttı. Daha çok ödeme, benzer toplam: birkaç büyük müşteri yerine çok sayıda küçük müşteri.

Alan adı neden işin kolay kısmı

TRM sınırlamayı kendisi söylüyor: bir alan adı ele geçirme "müşterilerin bir hizmeti nasıl bulup eriştiğini kesintiye uğratır. Tek başına, operatörün çalışmayı bıraktığını veya müşterilerin altta yatan altyapıya erişimini tamamen kaybettiğini kanıtlamaz."

Virtualine saatler içinde ikinci bir alan adında, virtualine.org'da, suçlamaları reddeden açık bir mektup yayımladı ve Telegram'da takipçilerine verilerinin güvende olduğunu söyledi. Mektubun yazarı "yeniden markalanıp yeni bir web sitesi kurarak devam edebileceklerini" kabul etti ve bunun bir gün ya da daha az sürebileceğini söyledi.

Altyapıyı 11 Şubat 2026'dan bu yana, Railnet'ten Omegatech adlı yeni kaydedilmiş bir ağa taşındığından beri izleyen Silent Push, Omegatech ağının bazı bölümlerinin hâlâ erişilebilir olduğunu, ancak yönlendirme görünürlüğünün çok düştüğünü söylüyor; bu genellikle ciddi bir sorunun işaretidir. Şirket son 12 ayda ağ tanımlayıcılarını (ASN) kaybeden 50 kurşun geçirmez barındırıcı sayıyor. CISA, FBI, İngiltere NCSC ve diğer kurumların Kasım 2025 ortak uyarısı, bu tür sağlayıcıların iki ile beş iş günü içinde yeni bir ASN alıp aynı IP aralıklarını oraya taşıyabildiğini belirtiyor.

Bu, operasyonlar hakkında ne söylüyor

Vaka, sektörün ekonomisini net biçimde gösteriyor. Ürün itibardır ve itibarı bir tedarik zincirinden çok bir forumda yeniden inşa etmek daha ucuzdur. "Son üç terapistinizden daha fazla kötüye kullanımı görmezden geldiğini" ilan eden bir barındırıcı sunucu satmıyor; bir el koymanın atlatılabilir olacağı güvencesini satıyor. Operatör bu güvenceyi, el koymanın olduğu gün kendisi doğruladı.

İzlenecekler

- Altyapının alan adını takip edip etmeyeceği. Silent Push'ın yönlendirme verileri ile TRM'nin zincir üstü adresleri bunu kontrol etmenin tek yolu olmayı sürdürüyor. - "Koruma planı" müşterilerinin Volhav'da veya başka bir yerde ortaya çıkıp çıkmayacağı. Sağlayıcılar birbirine yeniden satış yapıyor; TRM verileri ikisi arasında bir ödemeyi zaten gösteriyor. - Virtualine'ın hâlâ barındırdığı iddia edilen istismar sitesinin gerçekten çevrimdışı olup olmayacağı. Suç hiçbir zaman alan adı değildi.

Kaynaklar