克里斯·塔贝尔：端掉丝绸之路的 FBI 特工

抓罗斯·乌布利希（Ross Ulbricht）那天，FBI 没有破译任何密码。

2013 年 10 月，旧金山一家图书馆，探员趁他的笔记本电脑还开着、丝绸之路（Silk Road）的后台还登录着，把机器拿走了。这个网站是十亿美元级别的毒品市场，服务器藏在洋葱网络里，钱全部走比特币，执法部门跟了两年多，一直找不到入口。

撬开它的东西都很朴素：一个在网站里做到系统管理员的卧底，和一台聊天服务器的时区设置。

顺着同一条线，FBI 还抓过另一个人，LulzSec 和匿名者（Anonymous）的核心成员萨布（Sabu），真名赫克托·蒙塞古尔（Hector Monsegur）。2010 年代初最重要的两场网络犯罪追捕，执行者都是纽约的同一个小组。

克里斯·塔贝尔（Chris Tarbell）当时是这个组的特工。这一期播客，他讲的是执法者视角下的技术细节，以及这些细节背后的人。

一个什么都能买的地方，除了两样

丝绸之路是第一个真正意义上的暗网市场。塔贝尔的说法很直接：上面几乎什么都能买。

从阿富汗直发的海洛因，黑客工具，雇人入侵某个系统，还有买凶杀人的服务。有两样东西买不到：枪，因为枪有另一个专门的站；假文凭，所以没人能靠这个当上医生。

网站是罗斯·乌布利希做起来的。他最早在加州的野外种蘑菇，然后拿去卖。做平台的动机更接近一套政治主张：你自己的身体，你自己决定往里放什么。

塔贝尔要办这个案子，得先说服上级。FBI 内部的判断很实在，这首先是个毒品案。所以他需要在网站上找到最恶劣的东西来讲这个故事。他见过一条卖婴儿器官的广告：如果你有个孩子需要换肝，可以上去发帖求一个六个月大的肝。

我见过最黑的还不是这些。我在 FBI 的时候采访过一个食人者，那是另一个故事。那个案子确实让我有点不舒服。（克里斯·塔贝尔）

网站的主要内容是毒品，这一点没有争议。争议在别处：一个明知自己在干什么的人，把一套自由意志主义的价值观放在了交易规则的最上面。他在网站上扮演船长，规则由他定，什么留下什么删掉，最终解释权在他手里。FBI 后来拿到了服务器，聊天记录全都读得到。塔贝尔说，他没看到多少激烈的内部辩论，因为这里没有议会，只有一个 CEO。

洋葱是这么一层层剥的

要理解这个案子难在哪，得先理解 Tor。

Tor 的全名是洋葱路由（The Onion Router），美国海军在九十年代中期做出来的，初衷是让境外的情报人员能安全联络国内，谁也追踪不到。后来这套技术被免费放给了全世界。

它有两种用法。

一种是访问 .onion 结尾的站点。这类网站不在普通互联网上，只有用 Tor 浏览器、并且知道完整地址才能打开。丝绸之路就是这样一个站。

另一种是普通上网时借 Tor 藏住自己的 IP。你想访问一个正常网站，又不想让对方知道你是谁，就让流量绕进 Tor 网络，从另一个出口出来。

原理是层层包裹。

假设你要去一个 .onion 地址。你的电脑先找到一个 Tor 中继，这些中继的地址是公开的。你把数据加密，外面套一层壳，交给第一个中继。第一个中继知道你是谁，也知道下一站在哪里，但它看不到壳里装了什么。它再加一层壳，转给第二个中继。第二个中继只知道包裹从第一个来，不知道最初寄件人是谁。这样一层层加下去，一直到出口。出口再把壳一层层剥开，送到目的地。

层数够多之后，难度就变了性质。每加一层，要还原的代价都往上翻一次，增长是指数级的，多攒一点算力补不回来。加到某个程度，数学上就没有解了。

这也是为什么 Tor 到今天依然是执法部门最头疼的东西。塔贝尔在 FBI 的日常工作里，有大量案子查着查着就撞上这么一行字：线索指向 Tor，然后没了。一个案子的卷宗翻开，最后几页永远是这个收尾。

所以他的小组决定换个思路。与其一个个追案子，不如直接对 Tor 下手。

他们在暗网上挑出 26 个 .onion 站点做目标。他这个小组叫 Cy Two，是纽约负责刑事网络入侵的王牌小队。挑选标准是做黑客生意的地方：提供黑客工具、提供入侵服务、或者像现在这样把勒索软件和钓鱼攻击打包成付费服务卖的地方。案件需要起名字，他和同事商量半天，选了“剥洋葱的人”（Onion Peeler），带点自嘲，也带点对这门技术的敬意。

丝绸之路排在这份清单的第六位。但所有人都清楚，那才是最顶上那颗葡萄。真能把这个站拔掉，引起的关注会让后来者掂量掂量。让犯罪者害怕，本来就是执法的一部分。

不用技术破解，绕到人背后去

服务器进不去，那就从操作服务器的人下手。

塔贝尔的搭档杰瑞·德里亚根（Jerry Derryagan）是国土安全调查局的调查员，用的办法是耐心。他在网站里一步步往上做，最后拿到了系统管理员的身份。他就在里面，和那个署名“Dread Pirate Roberts”（恐怖海盗罗伯茨，简称 DPR）的人直接对话。当时外界对这个人一无所知，不知道他是谁，只知道这个代号。现在有了一个能持续说话的口子。

技术层面的突破口来自一个聊天服务器。

网站运营用的是 Jabber 协议搭的服务，罗斯在配置里把自己的时区设成了太平洋时间。就这么一个默认设置，把搜索范围从一个国家压缩到了美国西海岸的几个州。

而这恰恰说明了一件事：他的技术能力配不上这个网站的野心。

塔贝尔在节目里说得很坦率：真正技术过硬的那批人，他们抓不到，甚至碰不到。能抓到的，都是有破绽的。

我们抓的都是容易抓的。技术真正好的那批人，我们碰不着，找不到。向技术好的犯罪分子致敬，他们说不定正在看这期节目。（克里斯·塔贝尔）

被抓那天的场景现在已经进了网络犯罪的教科书。旧金山那家图书馆，罗斯的笔记本电脑开着，丝绸之路的管理后台登录着，屏幕还亮着。探员趁这个窗口把设备拿了下来，没有给他合盖或者关机的时间。

一旦笔记本合上或者关机，磁盘加密生效，里面的东西就没了。一个人坐在图书馆里，用一台私人电脑管理着一个十亿美元的市场，所有身份都藏在那层加密后面。他就是输在没合上盖。

那些抓不到的人

被问到这场追捕最遗憾的部分，塔贝尔提到一个代号：AV Unit。

这个人是 LulzSec 和匿名者的基础设施负责人。队里有人负责入侵，萨布和凯拉（Kayla）属于这一类；有人负责对外发声，比如英国的 Topiary；还有几个人各有分工。AV Unit 干的是最不显眼也最要紧的活：搭环境。要挂巴西的 VPN 才能穿出去，他搭；需要某个节点的服务器，他弄。

AV Unit 到现在还让我睡不着。其他人都抓了，就他没抓到。他确实厉害。他偶尔还会在网上冒出来，每次看到我都来气。（克里斯·塔贝尔）

有意思的是他被抓的同伙怎么描述他。萨布落网后最先向塔贝尔交代的一件事是：AV Unit 是特勤局的人。

这个说法至今没有证据。但萨布给了一套观察依据：这个人会连着出现好几天，然后突然消失三周，生活方式像在轮班。刚被抓、还在试探期的萨布，说的话未必可信。他可能是在做社会工程，反过来给审讯者施加压力，暗示你们内部有问题。塔贝尔自己承认，那时候他已经有点招架不住，手上压着几百起针对军方机构的入侵案要查，人是在深水区游泳。

等到案子收尾回头看，他才意识到那个缺口一直摆在那里，原本可以顺手补上。

节目里有一段对话挺有意思。Lex 问他，能不能邀请一个还没落网的罪犯上播客。塔贝尔从技术顾问的角度给了建议：不要对外预告，知道的人越少越好；见面可以，但别露脸；录音要处理过，原始文件必须销毁；对方得对你这个人有完全的信任。他说，你总不能让人家蒙着头来见你，虽然他自己也承认这话容易被人断章取义。

对 Lex 来说，这值得费这个劲。他关心的重点在那些人的世界观上，操作细节倒在其次：他们怎么看善恶，有没有把怨恨指向政府或者某个国家，童年经历了什么才走到这条路上，对自己小圈子里的同伴有没有真正的情感。犯罪者往往构建了一套自洽的叙事，他们觉得自己在攻击这套系统的弱点，最终会让世界更安全，哪怕顺手偷走一大笔钱，那也是逼着你把钱投到该保护的地方去。

塔贝尔的怀疑更实际：

我审过的人里，大多数时候是谎言掺着半真话。如果他讲得好，这套故事能撑很久。撑不住的时候，你能看到他松一口气的样子，那层墙塌了。（克里斯·塔贝尔）

不过他对 Lex 这个想法本身不反对。他说自己会很想听，只是提醒一句，坐在对面的人可能正在制造真实的痛苦，这件事不能因为对话精彩就被抹掉。

十七岁的女孩，三十五岁的男人

塔贝尔说，他见过有黑客的身份认同是彻底虚构出来的。

LulzSec 里有个成员叫凯拉，萨布一直认定对方是个十七岁的女孩，甚至有一段时间近乎迷恋。萨布本人做了大量基于语言习惯的分析，坚信不疑。后来查实，这个人是个三十五岁的英国男人，凯拉的 ID 取自他姐姐名字的变体。

这种事在黑客圈不算稀奇。塔贝尔说，这帮人彼此之间社会工程玩得极狠。目的很现实：万一哪天有人被抓，剩下的同伙能编出一整套背景故事，让所有人相信对方是巴西某个 ISP 的老板之类，把自己撇得干干净净。

社会工程算不上什么外挂技能，它就是这种生活本身的一部分。无论进攻还是防守，最后都要回到人身上。

理想主义者的两面

罗斯·乌布利希的那套逻辑，塔贝尔并不陌生：我的身体我做主，我愿意往里放什么就放什么，你管不着。作为一个人，他和这种说法之间隔着一道东西。

他在 FBI 期间做过一段儿童剥削案件。他说那段经历改变了他：任何为侵害儿童提供便利的东西，都会让他真正愤怒。这直接塑造了他对 Tor 的态度。

因为有些人用它干坏事，这东西就该消失吗？不该。我是搞技术的，我希望技术往前走。人总会做坏事，也总会用技术帮忙做坏事。（克里斯·塔贝尔）

于是问题绕回来了：Tor 这种东西，好处和代价到底怎么算。

塔贝尔的看法带着某种现实主义。没人愿意放弃隐私，这是嘴上说的。但他以前要进你家得先拿到搜查令，现在他登录你的 Facebook 就能看见你家客厅长什么样。人们嘴上说在乎隐私，手上一直在往外送：手腕上戴的表把心跳数据传给了不知道哪家公司，还有什么比心跳更私密。

他承认大多数普通人其实不需要那么强的隐私保护。真正站得住的反驳在另一头：当你想批评政府的时候，尤其是在局势紧张的时候，你得有这个空间。一个国家最宝贵的东西之一，是那种个人层面的反抗精神，政府不能太强，你永远可以指着它骂。大规模监控的可怕之处不在今天，在那种慢慢长出来的、细微的怯意：算了，何必开口，说了就是一身麻烦。

Lex 在这里补了一个区分：政府和技术公司都在限制言论，但人类有几千年政府滥权的历史可查，技术公司是新生事物。权力的腐蚀性在政府这个形态里被证明过太多次，规模也更大。

塔贝尔同意，但也提了另一面：技术公司同样在决定你能说什么，而且有些时候，政府官员和平台的方向看上去是一致的，那才真正让人不安。

他也没回避那条最扎眼的例子。美国总统被从社交平台上移除了，在他看来这很疯狂。至于当年拿下丝绸之路是不是靠了 NSA 的大规模监控，他的回答干脆：没有这回事。Lex 追问了一句，如果有呢？塔贝尔说，那我大概不会告诉你。

和一个“敌人”做了九年朋友

故事的另一半是萨布。

塔贝尔抓到赫克托·蒙塞古尔之后，两个人在一个房间里并排坐了九个月。一个是被抓的黑客，一个是抓他的特工。九个月之后，案子收网，LulzSec 和匿名者的一批人落网。

这段关系没有随着案子结束。他们成了很好的朋友，赫克托会讲自己过去做过的事。塔贝尔说他听着听着会冒出一句：赫克托，那就是我啊。

但他对另一个犯人就没有这份宽容。他听了布雷特·约翰逊（Brett Johnson）那一期节目，听说这人从美国政府骗福利金、搞欺诈，火气就上来了。

他自己也说不清这种差别从哪来。为什么赫克托就是“赫克托嘛”，而另一个人让他恼火。答案大概就在他自己的话里：他先认识的是萨布，那是他要抓的目标；赫克托是在那九个月里一点点长出来的。人和代号，从来不是一回事。

给想认真理解这件事的人

这期对话信息密度很高，但落到普通人身上，能带走的东西其实很具体。

• 别把匿名当成安全。丝绸之路的服务器藏得再深，最后暴露它的是一台没合上的笔记本电脑和一个没改的时区设置。技术防护再强，操作习惯上的一个小疏漏就能全部作废。
• 重新算一遍你交出去的隐私。你的心跳、你的位置、你家里客厅的样子，很多是主动给的，给的时候没觉得是代价。抽个时间看看手机里那些权限，把不必要的一项项关掉。
• 分清楚“技术厉害”和“不被抓”。塔贝尔说得很清楚，执法部门抓到的是有破绽的那批人，真正顶尖的至今在外面。网上那些被神化的黑客故事，多数是失败者留下的传说。
• 理解社会工程是真实的攻击面。最危险的一击往往来自一段代码之外，而是一个能让你相信的身份。任何一个自称是某个人的账号，都值得多问一句。
• 如果你关心言论和隐私的边界，别只看政府。也看看平台在决定什么能说、什么不能说，两边一起看，才看得清自己站在哪里。
• 对“坏人”保持一点好奇，但别丢掉判断。塔贝尔能和赫克托做朋友，也能对另一个人动怒。理解一个人的动机，和接受他的行为，是两件完全不同的事。