Dez meses de aplicação da lei em 2026: primeiro a infraestrutura, logo atrás os administradores
Dez meses após o início de 2026, o registo público da aplicação da lei contra a infraestrutura da darknet e do cibercrime não é dominado por golpes espetaculares contra marketplaces, mas por um desgaste constante da canalização: servidores, domínios, botnets e os serviços que os alugam. Este artigo compila apenas ações anunciadas até meados de outubro por agências que publicaram os seus próprios comunicados - Europol, Departamento de Justiça dos EUA, BKA, polícia holandesa e FBI - e procura o padrão que fica por baixo. Cada caso remete para uma fonte que abrimos nós próprios; rumores e afirmações de um único blogue não passaram o corte.
Primeiro a infraestrutura
A maior ação coordenada do período foi o golpe de junho da Operação Endgame contra a distribuição de malware. Anunciado a 24 de junho pela coalizão internacional que sustenta a campanha de longa data, o golpe atingiu os kits de dropper e infostealer SocGholish, Amadey e StealC: em duas semanas foram tomados 326 servidores e 142 domínios, criptoativos de origem criminal avaliados em mais de 41 milhões de euros foram marcados e congelados, e 27 milhões de credenciais roubadas foram recuperadas. A lista de participantes - Canadá, Dinamarca, Alemanha, Países Baixos, Reino Unido, EUA e Microsoft, coordenados pela Europol e pelo Eurojust - mostra quão rotineiro se tornou o formato público-privado (operation-endgame.com). Para dar uma noção de escala: só a fase de novembro de 2025 da campanha tinha derrubado 1.025 servidores. Dias antes, a polícia holandesa tinha retirado do ar a First VPN, um serviço VPN criminoso anunciado em fóruns de cibercrime. Numa operação do Team High Tech Crime com as autoridades francesas, a 19 e 20 de maio, foram desmantelados 33 servidores, o presumível administrador foi interrogado na Ucrânia a pedido de França, e os utilizadores do serviço foram notificados - na prática, de que tinham estado a ser observados o tempo todo. O escritório de apoio da Europol produziu 83 produtos analíticos para a equipa de investigação conjunta (politie.nl). Julho trouxe a vez do FBI: a 2 de julho foram apreendidos centenas de domínios da NetNut, uma rede comercial de proxies residenciais associada ao botnet Popa, que corre em mais de dois milhões de dispositivos de consumo; a página inicial da empresa foi substituída por um banner de apreensão do FBI. A NetNut é operada pela Alarum Technologies, uma empresa israelita cotada em bolsa - um lembrete de que 'infraestrutura de botnet' e 'produto cotado na Nasdaq' podem descrever a mesma máquina. Segundo o KrebsOnSecurity, o grupo de inteligência de ameaças da Google contou 316 clusters distintos de atores a usar nós de saída da NetNut numa única semana de junho (KrebsOnSecurity).Administradores, não vendedores
As ações contra mercados em 2026 foram estreitas e cirúrgicas. No início de maio, a ZIT de Frankfurt e o BKA desativaram o relançamento da Crimenetwork, a plataforma de comércio em língua alemã cujo predecessor caiu em dezembro de 2024; o presumível operador, um alemão de 35 anos, foi detido em Maiorca a 6 de maio com base num mandado europeu. O relançamento tinha crescido até mais de 22.000 utilizadores e mais de 100 vendedores, aceitava Bitcoin, Litecoin e Monero, e deixou provas de volume que apontam para mais de 3,6 milhões de euros, com cerca de 194.000 euros apreendidos preventivamente. Note-se o que não aconteceu: nenhuma detenção em massa de vendedores. Os dados de 22.000 utilizadores tornaram-se prova, não um número para nota de imprensa (comunicado BKA/ZIT). O anúncio de outubro da Europol sobre a KillSec lê-se de forma parecida. A Operação KillSwitch, liderada pela polícia criminal do estado e pela procuradoria de Hamburgo, assumiu o controlo em 30 de setembro do site de fugas do grupo de ransomware e protegeu pelo menos 110 terabytes de dados. O presumível operador principal tem dezasseis anos; o presumível programador fez dezoito em agosto. Três detenções provisórias e oito buscas distribuíram-se pela Grécia, Roménia, Espanha e Reino Unido, e os domínios do grupo agora redirecionam para um aviso de apreensão. A Europol informou também que o grupo usou ferramentas de IA para construir e manter a sua infraestrutura e identificar potenciais vítimas - um detalhe que diz tanto sobre 2026 como qualquer número de detenções (Europol).A longa cauda dos processos
Casos antigos continuam a amadurecer até virarem condenações. A 7 de outubro, os procuradores federais de Chicago anunciaram que Raheim Hamilton, co-criador do mercado da dark web Empire Market, foi condenado a quarenta anos de prisão federal e a uma multa de cinco milhões de dólares. A Empire funcionou de 2018 a 2020 e processou mais de quatro milhões de transações no valor de mais de 430 milhões de dólares. O confisco - cerca de 1.230 bitcoins mais três propriedades na Virgínia - chegou anos depois de o próprio mercado ter desaparecido, e é esse o ponto: as apreensões são imediatas, a responsabilização é lenta (justice.gov).A silenciosa quarta via: as designações
As sanções correram em paralelo à via penal. A 8 de outubro o Reino Unido designou a Cryptomus, uma plataforma de pagamentos com criptomoedas anteriormente conhecida como Certa Payments e Xeltox, ao abrigo do seu regime de sanções contra a Rússia, juntamente com VexPay, TokenSpot e Tsunami Payments (KrebsOnSecurity). Congelar o alcance de uma plataforma de pagamentos acontece sem banner, mas para a infraestrutura de cash-out uma designação pode doer mais do que uma apreensão.O que as faixas dizem - e o que falta
A gramática das faixas de apreensão está intacta: os domínios da KillSec redirecionam para um aviso das autoridades, a página inicial da NetNut exibe o banner do FBI, e a Crimenetwork e a First VPN simplesmente desaparecem. As ausências são tão informativas como as ações. No registo público compilado de 2026 até agora:- nenhum marketplace da maior classe internacional foi apreendido - o único fecho foi um relançamento em alemão que sobreviveu cerca de ano e meio;
- nenhuma das ações compiladas aqui é uma designação de mixer, e o único movimento de sanções do conjunto visa uma plataforma de pagamentos, não um serviço de mistura;
- não houve uma rusga em massa a vendedores como as que marcaram vagas anteriores.