Diez meses de aplicación de la ley en 2026: primero la infraestructura, justo detrás los administradores
Diez meses después del comienzo de 2026, el registro público de la persecución penal contra la infraestructura de la darknet y el ciberdelito no está dominado por golpes espectaculares contra mercados, sino por un desgaste constante contra la canalización: servidores, dominios, botnets y los servicios que los alquilan. Esta entrada recopila únicamente acciones anunciadas hasta mediados de octubre por organismos que publicaron sus propios comunicados - Europol, el Departamento de Justicia de EE. UU., el BKA, la policía neerlandesa y el FBI - y busca el patrón que hay debajo. Cada caso enlaza a una fuente que abrimos nosotros mismos; los rumores y las afirmaciones de un solo blog no pasaron el corte.
Primero la infraestructura
La mayor acción coordinada del periodo fue el golpe de junio de la Operación Endgame contra la distribución de malware. Anunciado el 24 de junio por la coalición internacional que sostiene la campaña de larga duración, el golpe se dirigió a los kits de dropper e infostealer SocGholish, Amadey y StealC: en dos semanas se tomaron 326 servidores y 142 dominios, se marcaron y congelaron criptoactivos de origen criminal valorados en más de 41 millones de euros y se recuperaron 27 millones de credenciales robadas. La lista de participantes - Canadá, Dinamarca, Alemania, Países Bajos, Reino Unido, EE. UU. y Microsoft, coordinados por Europol y Eurojust - muestra lo rutinario que se ha vuelto el formato público-privado (operation-endgame.com). Como referencia de escala: solo la fase de noviembre de 2025 de la campaña ya había derribado 1.025 servidores. Días antes, la policía neerlandesa había desactivado First VPN, un servicio VPN criminal anunciado en foros de ciberdelito. En la operación del Team High Tech Crime con las autoridades francesas, los días 19 y 20 de mayo, se desmantelaron 33 servidores, el presunto administrador fue interrogado en Ucrania a petición de Francia y los usuarios del servicio fueron notificados - en la práctica, de que habían estado siendo observados todo el tiempo. La oficina de apoyo de Europol produjo 83 productos analíticos para el equipo de investigación conjunto (politie.nl). Julio trajo el turno del FBI: el 2 de julio se incautaron cientos de dominios pertenecientes a NetNut, una red comercial de proxies residenciales vinculada al botnet Popa, que corre sobre más de dos millones de dispositivos de consumo; la portada de la empresa fue sustituida por un cartel de incautación del FBI. NetNut la opera Alarum Technologies, una empresa israelí que cotiza en bolsa - un recordatorio de que 'infraestructura de botnet' y 'producto cotizado en el Nasdaq' pueden describir la misma máquina. Según KrebsOnSecurity, el grupo de inteligencia de amenazas de Google contó 316 grupos de actores distintos usando nodos de salida de NetNut en una sola semana de junio (KrebsOnSecurity).Administradores, no vendedores
Las acciones contra mercados en 2026 fueron estrechas y quirúrgicas. A principios de mayo, la ZIT de Fráncfort y el BKA cerraron el relanzamiento de Crimenetwork, la plataforma de comercio en alemán cuyo predecesor cayó en diciembre de 2024; el presunto operador, un alemán de 35 años, fue detenido en Mallorca el 6 de mayo en virtud de una orden europea de detención. El relanzamiento había crecido hasta más de 22.000 usuarios y más de 100 vendedores, aceptaba Bitcoin, Litecoin y Monero, y dejó pruebas de volumen que apuntan a más de 3,6 millones de euros, con unos 194.000 euros incautados provisionalmente. Nótese lo que no ocurrió: ninguna detención masiva de vendedores. Los datos de 22.000 usuarios se convirtieron en prueba, no en una cifra de nota de prensa (comunicado del BKA/ZIT). El anuncio de octubre de Europol sobre KillSec se lee parecido. La Operación KillSwitch, dirigida por la policía estatal y la fiscalía de Hamburgo, tomó el control el 30 de septiembre del sitio de filtración del grupo de ransomware y aseguró al menos 110 terabytes de datos. El presunto operador principal tiene dieciséis años; el presunto desarrollador cumplió dieciocho en agosto. Tres detenciones provisionales y ocho registros se repartieron entre Grecia, Rumanía, España y el Reino Unido, y los dominios del grupo ahora redirigen a un aviso de incautación. Europol también informó de que el grupo usó herramientas de IA para construir y mantener su infraestructura e identificar víctimas potenciales - un detalle que dice tanto sobre 2026 como cualquier cifra de arrestos (Europol).La larga cola de los procesos
Los casos antiguos siguen madurando hasta convertirse en condenas. El 7 de octubre, los fiscales federales de Chicago anunciaron que Raheim Hamilton, co-creador del mercado de la dark web Empire Market, fue condenado a cuarenta años de prisión federal y a una multa de cinco millones de dólares. Empire funcionó de 2018 a 2020 y procesó más de cuatro millones de transacciones por valor de más de 430 millones de dólares. El decomiso - unos 1.230 bitcoins más tres propiedades en Virginia - llegó años después de que el propio mercado desapareciera, y ese es el punto: las incautaciones son inmediatas, la rendición de cuentas es lenta (justice.gov).El silencioso cuarto carril: las designaciones
Las sanciones corrieron en paralelo a la vía penal. El 8 de octubre el Reino Unido designó a Cryptomus, una plataforma de pagos con criptomonedas antes conocida como Certa Payments y Xeltox, bajo su régimen de sanciones contra Rusia, junto con VexPay, TokenSpot y Tsunami Payments (KrebsOnSecurity). Congelar el alcance de una plataforma de pagos ocurre sin cartel, pero para la infraestructura de cash-out una designación puede doler más que una incautación.Lo que dicen los carteles y lo que falta
La gramática de los carteles de incautación está intacta: los dominios de KillSec redirigen a un aviso de las autoridades, la portada de NetNut luce el cartel del FBI, y Crimenetwork y First VPN simplemente desaparecen. Las ausencias son tan informativas como las acciones. En el registro público recopilado de 2026 hasta ahora:- no se incautó ningún mercado de la mayor clase internacional - el único cierre fue un relanzamiento en alemán que sobrevivió cerca de un año y medio;
- ninguna de las acciones recopiladas aquí es una designación de un mixer, y el único movimiento de sanciones del conjunto apunta a una plataforma de pagos, no a un servicio de mezcla;
- no hubo una redada masiva de vendedores como las que marcaron olas anteriores.