Sipulitien adminin haastattelu

Vaikka Sipulitie on Tor-verkon suomalaisista kauppasivustoista uusin, on se jo vuoden vanha. Se ilmestyi linjoille helmikuussa 2023 eikä pitänyt itsestään suuremmin meteliä.

Huomasin kuitenkin nopeasti, että Sipulitie on äärimmäisen selkeä, helppokäyttöinen ja viimeistelty kokonaisuus. Lisäksi ylläpito tiedotti aktiivisesti sivustolla tehtävistä parannuksista ja varoitti mahdollisista riskeistä.

Tämä kaikki muistutti minua Sipulimarketista, joka aloitti toimintansa huhtikuussa 2019 ja jonka viranomaiset sulkivat joulukuussa 2020. Sipulimarketia on yleisesti pidetty kotimaisista kauppasivustoista parhaana, ja Sipulitie vaikutti olevan kuin kehittyneempi versio siitä. En kuitenkaan uskonut, että sivustoilla muuten olisi mitään tekemistä keskenään.

Olin Sipulimarketin ylläpitäjään aikanaan tiiviisti yhteydessä. Sivuston sulkeuduttua kirjoittelimme joitakin meilejä. Uskoin hänen jääneen eläkkeelle.

Kun lopulta otin yhteyttä Sipulitien adminiin pyytääkseni haastattelua, oli yllätykseni melkoinen, kun hän paljasti olevansa vanha tuttu. Hän vielä todisti asian minulle kertomalla yksityiskohtia keskusteluista, joita olimme aikaisemmin käyneet ja joita kukaan muu ei voinut tietää.

On kansainvälisestikin harvinaista, että viranomaisten sulkeman sivuston ylläpitäjä tekee paluun uudella sivustolla. Suomessa sellaista ei ole tapahtunut koskaan aikaisemmin.

Kirjoitin aiheesta jutun Suomen Kuvalehteen. Sipulitien admin oli vastannut kysymyksiini todella perusteellisesti, mutta pääsin käyttämään jutussa vain murto-osaa vastauksista. Niinpä julkaisen haastattelun tässä kokonaisuudessaan.

Kaikki Punaisen Kolmion lukijat eivät ole kärryillä skenen jokaisesta käänteestä. Kerrottakoon heille taustatiedoksi, että vielä Sipulimarketissa huumeita myytiin valtavasti, mutta sen jälkeen kotimainen nettihuumekauppa on ilmiönä kuihtunut huomattavasti pienemmäksi. Sekin on tärkeää tietää, että kun Sipulitie aloitti toimintansa, suomalaiset käyttivät Piilopuoti-nimistä kauppasivustoa.

Mennään sen pidemmittä puheitta haastatteluun.

Miksi perustit Sipulitien?

Sipulitie on jatkoa Sipulimarketille. Sipulimarketin elinkaari jäi harmittavan lyhyeksi, mutta tällä kertaa sivusto tulee olemaan linjoilla vuosia. Sipulimarketin palvelimen takavarikon jälkeen jäin seuraamaan tilannetta, mutta kun tuli kuluneeksi kaksi vuotta takavarikosta, päätin alkaa suunnittelemaan uutta darknet marketia.

Minulla ei ollut muuten mitään Piilopuotia vastaan, mutta en ollut tyytyväinen sen kehittymiseen. Sipulitietä suunnitellessa joulukuussa 2022 Piilopuodissa ainoa maksutapa oli bitcoin, kaksivaiheista kirjautumista ei ollut, eikä ostajien lähettämiä osoitetietoja kryptattu automaattisesti myyjän julkisella PGP-avaimella. Myyjät myös pystyivät myymään ilman PGP-avainta.

Nuo olivat mielestäni niin isoja epäkohtia, että pidin tarpeellisena luoda parempi kauppapaikka. Suomalaiset selvästi haluavat edelleen käyttää suomenkielistä darknet marketia.

Sipulitien koodissa ei ole käytetty yhtäkään riviä Sipulimarketin tai Eckmarin koodista, vaan sivusto on koodattu uudestaan, eikä minulla edes ole enää Sipulimarketin tietokantaa tai koodia. Pohjalla on jälleen Laravel web framework, jotta ei tarvitse niin sanotusti keksiä pyörää uudelleen.

Sipulitie avasi ovensa tilanteessa, jolloin suomalaisia jo palveli yksi darknet market, Piilopuoti. Miten se vaikutti toiminnan käynnistämiseen?

Uusien markettien on vaikea kilpailla jo olemassaolevien markettien kanssa, koska alussa kukaan ei tiedä, voiko uuteen kauppapaikkaan luottaa. Piilopuoti oli jo ollut toiminnassa jonkin aikaa, joten moni sen käyttäjä ei nähnyt syytä alkaa käyttämään uutta tuntematonta kauppapaikkaa. Sipulitie kuitenkin tarjosi vetonaulana mahdollisuuden käyttää moneroa, kun Piilopuoti ei vielä tukenut sitä.

Miten takaat Sipulitien käyttäjien turvallisuuden?

1) Sivusto kryptaa ostoksien toimitustiedot automaattisesti myyjän julkisella PGP-avaimella, joten osoitetietoja ei ikinä tallenneta palvelimelle selkokielisenä.

2) Tilauksien osoitetieto poistetaan heti, kun myyjä merkitsee tilauksen lähetetyksi.

3) Vanhat viestit, vastaanotetuksi/peruutetuksi merkityt ostokset ja lompakkotapahtumat poistetaan automaattisesti kahden viikon jälkeen. Kahden viikon viive on valittu sillä perusteella, että tarvitaan hieman aikaa asioiden selvittämiseen esim. jos joku käyttäjä hävittää tunnuksensa tai tapahtuu jokin virhetilanne.

4) Sivusto tukee kaksivaiheista sisäänkirjautumista PGP-avaimella, jolloin pelkkä salasanan tietäminen ei riitä tilille murtautumiseen. Kaksivaiheinen sisäänkirjautuminen on pakollinen kaikille myyjille, joten myyjät eivät voi myydä ilman PGP-avainta.

5) Sivusto kryptaa kaikki yksityisviestit eli ne eivät ole selkokielisenä tietokannassa, vaan viestien salaus puretaan aina niitä lukiessa. Jos tietokanta vuotaisi, hyökkääjä ei pystyisi lukemaan viestejä. Kannattaa kuitenkin salata omalla laitteella PGP:llä kaikki viestit, joissa on jotain tietoa, jolla henkilöllisyytesi voisi paljastua.

6) Käyttäjät voivat poistaa käyttäjätilinsä. Tili kuitenkin poistetaan lopullisesti vasta, kun kaikki tilin tilaukset ovat käsitelty loppuun eli kun viimeisimmän tilauksen perumisesta, vastaanotetuksi merkitsemisestä tai palautteen muokkaamisesta on kulunut kaksi viikkoa.

Edellämainituilla marketin ominaisuuksilla yritän suojella käyttäjiä mahdollisimman hyvin, mutta loppujen lopuksi käyttäjät itse ovat vastuussa siitä, että salaavat itse osoitetietonsa PGP:llä, eivätkä siirrä esim. bitcoinia suoraan suomalaisilta kryptovälittäjiltä, mistä on aiheutunut ennenkin ongelmia.

Toivon että kaikki käyttäisivät moneroa ja PGP:tä niin kenenkään ei tarvitsisi kuumotella, mitä jälkiä kaupankäynnistä jää markettiin.

Kun viranomaiset saivat haltuunsa Silkkitien palvelimen vuonna 2019, pystyivät he tunnistamaan 7500 sivuston käyttäjää, ja tuhannet saivat tuomion huumerikoksista. Myös Sipulimarketin palvelin päätyi viranomaisten haltuun, mutta tietooni ei ole tullut ketään, jolle siitä olisi koitunut seuraamuksia. Mistä tämä johtuu?

Sipulimarketissa kaikki palvelimella oleva tieto, mitä ei tarvittu enää, poistettiin tietokannasta automaattisesti. Silkkitiellä tilaukset ja viestit vain piilotettiin näkyvistä tietyn ajan jälkeen. Ehkä Kapteeni (Silkkitien ylläpitäjä) toteutti välinpitämättömyyden takia "poistamisen" helpoimmalla mahdollisella tavalla, koska kukaan ulkopuolinen ei voinut ennen takavarikon seurauksia tietää, poistettiinko tiedot oikeasti vai ei.

Sipulitie on ostajan näkökulmasta erittäin käyttäjäystävällinen. Mitkä ovat mielestäsi Sipulitien parhaat ominaisuudet?

Sipulitiellä on vaivatonta tehdä myyjältä useamman tuotteen tilaus kerralla ostoskoria käyttämällä. Ostaja maksaa koko tilauksesta vain yhden toimitusmaksun, ja tilauksen voi maksaa jälkikäteen tunnin sisällä tilauksen luomisesta.

Tilauksen maksun ei tarvitse edes saada lohkovarmistuksia tunnin aikarajan kuluessa, vaan kunhan siirto on pistetty edes liikkelle, sivusto jää odottamaan lohkovarmistuksia, kunnes maksu on saanut kaksi lohkovarmistusta, jolloin tilaus ilmestyy näkyviin myös myyjälle.

Joskus ostaja lähettää väärän määrän kryptovaluuttaa, joten sivusto antaa tilauksesta vaihtorahat saldoon, tai jos lähetetty määrä on liian pieni, tilaus peruuntuu, mutta ostaja saa automaattisesti lähettämänsä kryptovaluutat marketin tilin saldoonsa uutta tilausta tai lompakkonostoa varten.

Perinteinenkin tapa tilata on mahdollista: kryptovaluutan tallettaminen marketin saldoon ensin ja vasta sitten tilauksen tekeminen.

Myyjät pystyvät lisäämään tuotteisiin kymmenen eri määrä/hinta-paria, joten listausspämmiä ei ole eri määrien takia, vaan ne ovat selkeästi esillä yhdessä tuotelistauksessa. Myyjät voivat myös asettaa toimitustavoille tilauksen minimi- ja maksimiarvot, jolloin myyjä voi määrittää, että esim. haluaa tehdä maastokätköjä vain +1000 euron tilauksille.

Miten Sipulitie vertautuu aikaisempiin kotimaisiin darknet marketeihin?

Jokaisesta aikaisemmasta kotimaisesta darknet marketista on voinut oppia jotain, mitä voisi tehdä paremmin. Silkkitien takavarikko osoitti, että käyttäjien turvallisuutta pitää suojella niin hyvin kuin mahdollista. Tiedän myös, että Silkkitien palvelimen IP-osoite vuoti jossain vaiheessa myyjän tuotekuvan lähettämiseen liittyen, eikä sitä ongelmaa ole Sipulitiellä.

Silkkitietä ja Sipulimarketia vaivasivat koodin race condition -ongelmat, jotka johtivat varkauksiin. Sipulitiellä on heti alusta asti lukittu tietokanta oikealla tavalla kryptovaluuttoihin liittyvissä toiminnoissa, joten samaa ei tule tapahtumaan tällä kertaa.

Spurdomarketin ylläpitäjä väitti, että sulki sivuston, koska havaitsi jotain epäilyttävää toimintaa palvelimella. Oli se tekosyy tai ei, Sipulitietäkin on jo skannailtu esim Acunetix Vulnerability Scannerilla, eikä se ole mikään ongelma. Piilopuodin ongelmakohdista en tiedä tarkemmin, mutta sieltäkin tietääkseni varastettiin jonkin verran kryptovaluuttaa, ja sivusto oli pois linjoiltakin välillä. Virheistä on nyt opittu, ja nyt alkoi uusi kultainen Suomen darknet-skenen aikakausi.

Mitä Sipulitiellä saa myydä ja mitä ei?

Sipulitiellä saa myydä huumeita, lääkkeitä, ja dopingaineita. Mielestäni jokaisen terveen aikuisen ihmisen pitäisi pystyä päättämään mitä päihdettä haluaa käyttää vai käyttääkö mitään. Päihdeongelmat ovat kuitenkin ikäviä, ja toivon että päihdeongelmaiset ihmiset ainakin yrittäisivät hakea apua ongelmiinsa, eivätkä yrittäisi hoitaa niitä päihteillä. Ikärajojakin valvoisin tietenkin, jos se olisi mahdollista.

Aseita ja petoksiin liittyviä listauksia (kuten luottokorttitietoja) en hyväksy myytäväksi markettiin, koska en halua auttaa ketään aiheuttamaan niillä ihmisille ongelmia. Tietenkin laittomissa aineissakin on huonot puolensa, mutta ainakin niitä voi tavallinen työssäkäyvä ihminenkin käyttää kohtuudella ilman, että siitä aiheutuu väistämättä kenellekään ongelmia.

Fentanyyli ja muut yhtä vaaralliset aineet ovat kiellettyjä, koska en halua että huumekuolemien määrä kasvaisi niiden myötä.

Sipulitie on alkanut toimia myös englanninkielisenä nimellä Onion Road. Miten aiot tehdä Onion Roadia tunnetuksi ulkomailla?

Tavoitteena on ensin vakiinnuttaa Sipulitien asema suomalaisten suosikkimarkettina, ja sitten vähitellen haalia myös kansainvälisiä käyttäjiä esim. Dreadin avulla. Suunnitelmissa on, että sivustolla olisi vuoden päästä useita myyjiä eri maista.

Syyskuussa 2023 viranomaiset takavarikoivat Piilopuodin palvelimen. Mitä ajatuksia tämä herättää ja onko se vaikuttanut Sipulitien toimintaan?

Piilopuodin takavarikko oli tietenkin ikävä asia suomalaisen darknet-skenen kannalta. Ilman lisätietoja on vaikea tehdä mitään uusia toimenpiteitä, joilla voisi yrittää välttää vastaavaa ongelmaa. En kuitenkaan usko, että viranomaisilla on mitään uusia keinoja käytössään, joista pitäisi olla huolissaan.

Sipulimarketin palvelimen takavarikkoa olen pohtinut, ja tullut siihen lopputulokseen, että se oli yhdistelmä huonoa tuuria (laitteistovika) ja huono päätös ottaa yhteyttä palvelimen vuokraajaan ongelman korjaamiseksi. Jatkossa vaihdan heti sivuston palvelinta, jos siinä ilmenee jokin vika, jota en pysty itse ratkaisemaan. Se onnistuu, koska sivuston tietokannasta lähetetään tunnin välein PGP-kryptattu kopio toiselle palvelimelle, jolloin sivuston siirtäminen toiselle palvelimelle on helppoa, vaikka sivuston backendiin ei saisikaan enää yhteyttä.

Takavarikon varalta säilyttäisin mieluusti sivuston hot walletissa vähemmän kryptovaluuttaa nostettavissa, mutta ymmärrän kyllä että käyttäjät hätääntyvät heti, jos lompakkonostot eivät mene läpi yhden päivän ajan. Pidän nostettavissa aina sen verran kryptovaluuttoja, että käyttäjät pystyvät nostamaan varansa ulos, mutta viranomaiset eivät saa takavarikoitua liikaa, jos löytävät palvelimen.

Mahdollisen takavarikon sattuessa paikkaan itse kassaan takavarikoidut kryptovaluutat, ja aloitamme uudelta palvelimelta kuin mitään ei olisi tapahtunut. Toivon kuitenkin, että saamme useita rauhallisia vuosia ilman viranomaisten väliintuloa.

Viime vuosina suomalaisia sivustoja on häiritty paljon palvelunestohyökkäyksillä. Onko Sipulitie joutunut kärsimään tästä?

Sipulitie ei ole kärsinyt palvelunestohyökkäyksistä (eikä Sipulimarket). Jotain pientä yritystä olen nähnyt lokitiedoista, mutta hyökkääjällä ei ole ollut tarpeeksi resursseja aiheuttaa mitään ongelmaa.

Lokakuussa 2022 Tor-verkkoon perustettiin uudenlainen kotimainen sivusto nimeltä Tsätti. Siellä on jokaiselle kaupungille oma chat, ja ne ovat täyttyneet huumeiden osto- ja myynti-ilmoituksista. Mikä on suhteesi Tsättiin? Siellähän on linkki Sipulitielle.

Tsätti on oikeasti oma projektini. Alun perin sivustosta ei ollut tarkoitus tulla mitään vakavasti otettavaa, eikä edes huumekauppoihin tarkoitettua sivustoa, mutta sellaiseksi nämä Tor-verkon suomalaiset sivustot tuntuvat väistämättä ajautuvan, vaikka yrittäisi vain tarjota jotain anonymiteettiä tarjoavaa palvelua.

Torilaudan sulkeutuessa jo mainitsin sinulle, Aarno, että pohdin loisinko itse jotain paikkaamaan Torilaudan jättämää aukkoa. Se nyt sitten syntyi paljon myöhemmin. Osittain sivusto toimii Sipulitien mainoksena, eikä minulla valitettavasti ole aikaa tai motivaatiota yrittää edes moderoida sitä. Muumi siivoilee Tsättiä kiitettävän ahkerasti, vaikka ei hyödy moderoinnista itse mitenkään.

Mitkä ovat Sipulitien tulevaisuuden suunnitelmat?

Tavoite Sipulitielle on olla toiminnassa jopa pidempään kuin Silkkitie (joka toimi yli viisi vuotta), suojella käyttäjiä paremmin ja ylläpitää aktiivinen asiakaspalvelu suomeksi ja englanniksi alusta loppuun asti. Sivusto ei ole yksin minun varassa, vaan asiakaspalvelua hoitaa toinenkin moderaattori suomeksi ja englanniksi. Hankimme lisää työntekijöitä tarvittaessa, jotta asiakaspalvelu voi vastata viesteihin isommillakin käyttäjämäärillä ilman isompia viiveitä.

Sivusto tulee käyttämään Silkkitie/Valhalla-tapaan kumpaakin nimeä Sipulitie/Onion Road, vaikka sivuston kansainvälinen kauppa kasvaisikin merkittävästi.

Millaisena näet kotimaisen skenen tulevaisuuden?

Ennustan että nyt on alkanut pitkästä aikaa pitkä rauhallinen ajanjakso Suomen Tor-skenessä, jonka aikana Sipulitie ja Tsätti pysyvät linjoilla vuosia. Vaikka F2F-kauppa siirtyisi entistä enemmän Tor-verkosta pois erilaisiin sovelluksiin, niin Tsätistä voi aina vähintään tulla metsästämään kutsua niihin ryhmiin. Sipulitietä kehitetään edelleen, ja ehdotuksia voi aina laittaa asiakaspalveluun. Vaikka en lupaakaan, että kaikkia toteutettaisiin, niin ainakin mietitään mitkä ehdotuksista olisi syytä toteuttaa.

Sipulitie: http://sipulitiepbdalnatudqhfp3gngna37xylawfnk4ywk2ohm64c2mfayd.onion/

Onion Road: http://onionxsyeiqfjqrksdmaycpuh5cuc43gsx3wnw5dto7qgdp5udabroad.onion/

Tsätti: http://tsattickdplsh2i2xqzlybvreiuppgoqsicmzkrotuudnk7h665ukgid.onion/

Suomiskene: http://suomidrm4jxoggzwe4ibav6e74xlx2qoriq33vyqe2gk2gaibngw3uyd.onion/

Dread /Finland/: http://g66ol3eb5ujdckzqqfmjsbpdjufmjd5nsgdipvxmsh7rckzlhywlzlqd.onion/d/finland/

Koska nykyään kaikenlaiset sisällöntuottajat ottavat vastaan lahjoituksia, teen minäkin niin. Alla bitcoin- ja monero-osoitteeni tippiä varten.

BTC: bc1q5fnejpcp76tap7rw07czhy78ajann3sj2fdxxl

XMR: 42QRpoEJUNo7KyRF5q2bR961U75KY9tbS1PjAMj2oMoP4fAtpjrd3FP3ja9kyun7fWTiKh7Fvokhxay3ed1zC5rx5U43beQ