В Киеве арестован администратор крупнейшего русскоязычного киберфорума XSS, заработавший свыше €7 млн на киберпреступлениях

[Axiopoinos]

22 июля 2025 г. в Киеве украинские правоохранители при поддержке французской полиции и Европола задержали предполагаемого администратора русскоязычного киберпреступного форума XSS (is). Операция стала кульминацией четырёхлетнего расследования, инициированного прокуратурой Парижа в 2021 г. и переведённого в «активную фазу» на территории Украины в сентябре 2024 г.

Кто такой подозреваемый?

Имя задержанного официально не раскрывается. По данным следствия, он:
— работает в теневом сегменте почти 20 лет;
— совмещал роль технического администратора и «гаранта» сделок, разрешая споры между киберпреступниками;
— администрировал частный XMPP‑сервер thesecure.biz, обеспечивавший шифрованную связь участников;
— заработал не менее €7 млн на рекламных и посреднических комиссиях.

Как проходила операция?

— 2021 – французская киброполиция перехватывает зашифрованные переписки на thesecure.biz и связывает их с администратором XSS.
— сентябрь 2024 – во Львове развёрнут «виртуальный командный пункт» Европола; французские следователи командированы в Украину.
— 22 июля 2025 – обыски в Киеве, изъяты серверы и цифровые носители; на месте работал мобильный офис Европола для экспресс‑координации и копирования данных.

Собранные носители теперь анализируются для идентификации других участников и привязки их к открытым делам по всему ЕС.

Следствие идентифицировало thesecure.biz как закрытый Jabber‑сервер, куда автоматически перенаправлялись личные сообщения продавцов и покупателей на XSS. Именно перехват трафика на этом домене позволил французским следователям атрибутировать десятки сделок по продаже вредоносного ПО и доступов, оценив оборот админа в €7 млн.

Французская прокуратура (JUNALCO) готовит экстрадиционный запрос; Украине предстоит решить вопрос выдачи или местного судопроизводства.

 

[Viktor V]

4 года работы несакольких организаций, чтобы поймать админа, сидящего в Киеве (!), с оборотом 7(!) лямов Евро за всё это время?! Если албанская или русская мафия на наркотрафике, убийсвах и рабстве столько в день заработают в ЕС - они с горя удавятся. :D

 

[klikklak]

20 лет в теневом и того хлопнули
раньше сядет - раньше выйдет

 

[Axiopoinos]

4 года работы несакольких организаций, чтобы поймать админа, сидящего в Киеве (!), с оборотом 7(!) лямов Евро за всё это время?! Если албанская или русская мафия на наркотрафике, убийсвах и рабстве столько в день заработают в ЕС - они с горя удавятся. :D

Как говорят, всё связано с группами-шифровальщиками, слишком уж поздно их оттуда убрали...

На форуме сейчас красуется такая заглушка и все адреса не работают. В первое время ещё работало зеркало и тор, многие успели зайти и пообщаться на последок. Если взяли главного админа (admin), он же Тоха, то шансов на восстановление форума нет, ибо дампов ни у кого не было.

Модераторы, которые остались доступны не знаю, что будет дальше, они осведомлены так же, как и мы, а админ был в сети вчера, когда по заголовку его и взяли. Один из главных модераторов, отвечавший за раздел с уязвимостями отписал ушла эпоха и доступ к серверу только у админа был.

А пока что я успел засветиться с этой новостью в твиттере одного ИБ-спеца из известной компании: https://x.com/3xp0rtblog/status/1948032589836468646/photo/2

 

[peoplepro11video]

если бы вы знали, чей этот форум, здорово бы удивились

 

[Axiopoinos]

если бы вы знали, чей этот форум, здорово бы удивились

Если бы мы знали, кто админ типичного мошенника, мы бы тоже ооочень удивились))

 

[Viktor V]

Как говорят, всё связано с группами-шифровальщиками, слишком уж поздно их оттуда убрали...

На форуме сейчас красуется такая заглушка и все адреса не работают. В первое время ещё работало зеркало и тор, многие успели зайти и пообщаться на последок. Если взяли главного админа (admin), он же Тоха, то шансов на восстановление форума нет, ибо дампов ни у кого не было.

Модераторы, которые остались доступны не знаю, что будет дальше, они осведомлены так же, как и мы, а админ был в сети вчера, когда по заголовку его и взяли. Один из главных модераторов, отвечавший за раздел с уязвимостями отписал ушла эпоха и доступ к серверу только у админа был.

А пока что я успел засветиться с этой новостью в твиттере одного ИБ-спеца из известной компании: https://x.com/3xp0rtblog/status/1948032589836468646/photo/2

Шифровальщики много вреда наделали. Но их системно используют спецслужбы - КНДР в первую очередь. И их там никакой Европол не достанет. Что касается XSS, то там в целом безобидный форум был по сравнению с тем же WWH или нарко Рутором или Мегой. За что ему 4 года разработки???? Там что-то иное. Или просто спецслужбам совсем делать нечего - хватают то, до чего дотянутся могут.

 

[Anton Chigurh]

если бы вы знали, чей этот форум, здорово бы удивились

ну так удиви )

Как говорят, всё связано с группами-шифровальщиками, слишком уж поздно их оттуда убрали...

Не совсем понятно, о чём речь, если можно, поподробнее, пожалуйста! Тема весьма интересная, не каждый день закрывают старейшие в дарке площадки. Есть информация, каким образом удалось взломать шифрование переписки?

 

[Viktor V]

если бы вы знали, чей этот форум, здорово бы удивились

Украина и Франция задержали администратора русскоязычного форума для киберпреступников

Вот пишут, что: "Правоохранители Украины и Франции при содействии Европола задержали администратора одной из самых влиятельных в мире платформ для киберпреступников." Тоха, наверное, в ахуе. А INC. копает бункер, так как если Тоха - это создатель одной из самых влиятельных в мире платформ для киберпреступников, то INC. тогда - бог!​

 

[Axiopoinos]

Не совсем понятно, о чём речь, если можно, поподробнее, пожалуйста! Тема весьма интересная, не каждый день закрывают старейшие в дарке площадки. Есть информация, каким образом удалось взломать шифрование переписки?

До мая 2021 г. на XSS работал раздел Ransomware‑as‑a‑Service (RaaS) — витрина, где операторы-вымогатели искали аффилиатов, продавали сборки шифровальщиков и «партнёрки» под процент. Когда правоохранительные органы усилили мониторинг, администрация форума закрыла этот раздел. На фоне блокировки со скандалом ушла крупнейшая на тот момент группировка LockBit, пообещав «снести» площадку. Именно тогда, по словам источников, спецслужбы и начали целевую разработку форума. LockBit известна тем, что не раз передавала силовикам информацию о конкурентах и неудобных для неё игроках, используя правоохранителей как рычаг против соперников.

Информация по‑прежнему ограничена, однако старожилы сходятся во мнении, что все признаки указывают именно на admin, он же Тоха. Он мелькал в сети всего 20–30 минут назад (час ночи по москве): авторизовался на пару минут и вновь исчез. Один из французских ресурсов прямо называет задержанного «Toha». Напомню, Тоха ушёл с Exploit в 2018 г., сразу после ареста прошлого админа Ar3s, и именно тогда возродил XSS; с тех пор только он имел полный доступ к резервным копиям — поэтому, как утверждают модераторы, восстановить площадку без него невозможно.

По их словам, зеркало и onion‑домен XSS сейчас непрерывно атакуются DDoS. Стоит атаке хоть немного ослабнуть, пользователи устремляются дампить темы, чтобы сохранить полезный контент.

Компания PRODAFT сегодня объявила, что прекращает выкуп аккаунтов XSS (ранее предлагала символические суммы за акки хак‑форумов). Это воспринимается как косвенное признание: ни они, ни большинство участников уже не верят, что форум «воскреснет».

Тем временем в X/Twitter циркулируют фотки, якобы снятые в момент задержания администратора. Достоверности им пока не придают — на кадрах, скорее всего, запечатлён обычный пользователь, а не сам Тоха.

 

[Fixxx]

Тенденция набирает обороты: Европолы и прочие СС активно прикрывают подобные форумы - в основном EN.

 

[oxis]

Тенденция набирает обороты: Европолы и прочие СС активно прикрывают подобные форумы - в основном EN.

Их накрывали всегда, начиная с cardingworld в 10 году. Сейчас механизмы усовершенствовались.
И кстати наука тем кто любит писать контакты в пм в открытом виде и пользоваться мессенджерами на жабе от форумов.
Не хотите чтобы вас связали со всеми вашими профилями, думайте головой

 

[MrGekko]

7€ за 20 лет. Не такой уж и улов

 

[WBerkut]

7€ за 20 лет. Не такой уж и улов

ну по 3кк рублями в месяц если грубо

 

[eрик]

если бы вы знали, чей этот форум, здорово бы удивились

так скажи нам всем или это секрет ?

 

[KZmoneyKZ]

Не нужно раньше времени подаваться панике . Не удивлюсь что задержали не самого админа . Сами же знаете как журналисты любят раздувать из мухи слона . Вспомните как писали что задержали ЛохБита . По итогу выяснилось что был задержан простой работяга с его команды

 

[Axiopoinos]

Примечательно, что перед публикацией сообщения admin три часа «прочёсывал» форум: искал, просматривал арбитражи, открывал профили давно оффлайн‑пользователей и перечитывал переписки с ними. Не исключено, что за аккаунтом действительно сидит Тоха, но гарантий нет. Форум, вероятно, удастся поднять, и он продолжит работу, однако после такой истории активность аудитории заметно просядет.

 

[Imperial Prime]

Хороший форум, там мало школоты было в отличии от того же рутора. Правда цифры какие то детские они называют)

 

[KZmoneyKZ]

Примечательно, что перед публикацией сообщения admin три часа «прочёсывал» форум: искал, просматривал арбитражи, открывал профили давно оффлайн‑пользователей и перечитывал переписки с ними. Не исключено, что за аккаунтом действительно сидит Тоха, но гарантий нет. Форум, вероятно, удастся поднять, и он продолжит работу, однако после такой истории активность аудитории заметно просядет.

Одно вот интересно . Как ты знаешь что он открывал профили пользователей и читал с ними переписки ? Там ЛС переписки шифруются и без ключа шифрования хер ты их прочтёшь

 

[KZmoneyKZ]

Примечательно, что перед публикацией сообщения admin три часа «прочёсывал» форум: искал, просматривал арбитражи, открывал профили давно оффлайн‑пользователей и перечитывал переписки с ними. Не исключено, что за аккаунтом действительно сидит Тоха, но гарантий нет. Форум, вероятно, удастся поднять, и он продолжит работу, однако после такой истории активность аудитории заметно просядет.

По поводу активности . Она как была так и останется . Это единственный из форумов где нет школоты и прочих высеров интригантов. Там своя ламповая обстановка . Вспомни когда вериф тоже якобы закрывали . И что по итогу ? Как он работал так и работает . Возмём ввх там тоже админов недавно приняли в США и что ? Форум как работал так и работает