Perché i darknet market cambiano indirizzi onion e come verificare i link autentici

Un indirizzo onion Tor di solito smette di funzionare perché il suo percorso circuitale cade localmente, non perché il mercato è sparito. Problemi lato servizio, rotazione dei nodi guardia o un cambio volontario di mirror possono tutti imitare la stessa schermata “sito onion non trovato”—e proprio questa confusione aumenta il rischio di cloni di phishing quando gli utenti cercano troppo in fretta un link sostitutivo.

La causa più comune è un problema temporaneo della rete Tor: un descrittore del servizio nascosto non riesce a propagarsi, un punto di rendezvous cade, oppure il bilanciatore di carico dietro al mercato rifiuta le connessioni. Il mercato resta online, ma il tuo browser non riesce a raggiungere il punto di introduzione.

1. Errore di connessione localeIl tuo client Tor costruisce un circuito, ma l’ultimo salto non completa mai l’handshake con il servizio nascosto: l’indirizzo sembra morto anche se il servizio è attivo.
2. Scadenza del descrittoreIl servizio onion smette brevemente di pubblicizzarsi; Tor memorizza nella cache un descrittore vecchio e i client non riescono a risolvere l’indirizzo finché non se ne diffonde uno nuovo.
3. Rotazione del nodo guardiaIl tuo client sceglie un nuovo guardia d’ingresso che fatica a raggiungere il servizio nascosto, creando un falso stato di “link rotto” su un dispositivo mentre un altro funziona ancora.
4. Cambio lato gestoreIl mercato passa a un nuovo mirror privato e smette di servire il vecchio indirizzo, lasciando i link salvati non più validi da un giorno all’altro.

Un’analogia utile: pensa a un indirizzo onion come a un numero di telefono che funziona solo quando entrambi i telefoni sono raggiungibili e la rete tra di loro non è congestionata. Il “telefono” del mercato può squillare, ma il tuo operatore (Tor) potrebbe non instradare la chiamata.

Indirizzo onion

Un identificatore auto-autenticante di un servizio nascosto Tor, di solito termina in .onion, che instrada il traffico attraverso più relay cifrati.

Descrittore del servizio nascosto

Un record firmato che dice ai client Tor come raggiungere un determinato servizio onion; deve essere pubblicato e distribuito prima che una connessione possa iniziare.

Punto di rendezvous

Un relay in cui il circuito del client incontra il circuito del servizio nascosto senza che nessuna delle due parti venga a conoscenza dell’indirizzo IP dell’altra.

Clone di phishing

Una copia falsa di una pagina reale di un mercato che riutilizza un marchio simile e un frammento simile di indirizzo onion per rubare dati di accesso o di pagamento.

Gli operatori evitano di pubblicare un unico indirizzo onion stabile perché ogni indirizzo fisso diventa un bersaglio permanente per richieste di rimozione, attacchi DDoS e pagine di login clonate. La rotazione funziona come cambiare l'ingresso laterale di un edificio dopo che troppe persone hanno scoperto dov'è: l'accesso si sposta, ma la struttura interna resta raggiungibile per chi segue il cambiamento.

Perché due utenti diversi vivono la rotazione in modo differente

Un link che ruota sotto pressione non è la stessa cosa di uno che muore a caso. Gli operatori spesso pre-generano diversi mirror e li rilasciano lentamente: uno diventa pubblico, un altro resta privato per dispute o recupero tramite escrow, e un terzo attende le emergenze. Così il mercato non crolla quando un singolo indirizzo viene bloccato o bruciato.

I cloni di phishing funzionano catturando la tua fiducia prima ancora che tu effettui l’accesso. Copiano l’impostazione grafica di un market, i caratteri, gli annunci dei prodotti e perfino le comunicazioni recenti, poi collocano lo specchio falso a un solo carattere di distanza da un vero indirizzo onion, oppure dentro un “link finale” condiviso in un forum, in una chat o in un codice QR. Un genitore che controlla un forum dal telefono o uno studente che segue il link ricevuto in un messaggio di un compagno vede una schermata di accesso familiare e pensa che sia autentica.

L’indizio pratico è la mancata corrispondenza con una routine di verifica preesistente. Se un link arriva tramite un messaggio diretto, un post sui social o un adesivo con QR code e l’utente non ha mai salvato prima quell’indirizzo onion, l’impostazione predefinita dovrebbe essere trattarlo come non verificato, non provarlo digitando una password.

Un’analogia semplice è un sito bancario clonato: il logo è giusto, la pagina si carica e l’errore “password errata” può essere phishing vero e proprio, perché l’aggressore salva il tuo primo tentativo e poi lo usa sul sito reale. Lo stesso principio vale per qualsiasi pagina di accesso nel darknet che compaia da una fonte non richiesta o sconosciuta.

Un kit di verifica dei link autentici non è un singolo strumento, ma una piccola routine riutilizzabile che prepari prima di aprire qualsiasi indirizzo onion. Funziona perché i link di phishing contano sull’impulso; pochi secondi di controllo prima del clic spezzano questo schema. È come controllare una banconota confrontandola con tre caratteristiche note prima di accettarla: prima confronti, poi tocchi, mai il contrario.

Costruisci la tua routine pre-clic sul confronto, non sul riconoscimento

Il principio fondamentale è avere almeno due àncore indipendenti per lo stesso tipo di indirizzo: un segnalibro salvato dalla tua sessione verificata e una nota offline con i dati identitari a lungo termine del mercato, come la sua impronta PGP o un frammento di testo firmato. Non verificare mai un link rileggendo lo stesso thread, la stessa pagina di elenchi o la stessa chat in cui l’hai trovato per la prima volta, perché possono essere falsificati in blocco. Chi tiene un piccolo taccuino cartaceo con una breve stringa di impronta digitale dispone di un secondo canale che una pagina di phishing non può modificare silenziosamente.

Tratta ogni nuovo indirizzo onion come non verificato finché non corrisponde a qualcosa che controlli già in locale. Non partire dall’indirizzo per cercare conferme; parti dai tuoi appunti confermati e poi guarda il link. Questa inversione trasforma «sembra ufficiale» in «corrisponde al mio registro».

CHECKLIST Prima di cliccare qualsiasi link onion :: Metti l’indirizzo completo accanto al tuo segnalibro salvato, non solo uno screenshot || Prima di cliccare qualsiasi link onion :: Leggi l’indirizzo ad alta voce in gruppi di quattro caratteri; le differenze saltano all’occhio più in fretta || Prima di cliccare qualsiasi link onion :: Apri il link prima in un editor di testo, mai direttamente in Tor Browser || Prima di cliccare qualsiasi link onion :: Confronta il primo e l’ultimo blocco, non solo la parte centrale, perché i cloni spesso condividono un nucleo visivo || Prima di cliccare qualsiasi link onion :: Se il link è arrivato con un conto alla rovescia, un «ultima possibilità» o un popup che chiede l’accesso, fermati e ricomincia dal tuo segnalibro

Un viaggiatore verifica l’attuale link di un mercato incrociando tre livelli indipendenti: mirror privati ricevuti direttamente da un profilo del mercato, annunci firmati con PGP e segnalibri della community conservati a lungo. Nessun singolo livello dimostra da solo l’autenticità, ma due o tre che concordano sullo stesso indirizzo onion riducono nettamente la probabilità che passi un clone di phishing.

Verifica a livelli nella pratica

Un giornalista che si sposta tra città potrebbe partire da un mirror privato salvato nelle proprie note cifrate. Poiché quel mirror può smettere di funzionare durante il viaggio, controlla anche un annuncio firmato con PGP per ottenere un indirizzo aggiornato. Infine, lo confronta con un segnalibro condiviso mesi prima da un account del forum con una storia lenta e coerente. Quando tutti e tre indicano lo stesso prefisso onion e il comportamento del login corrisponde alle aspettative, il link è probabilmente legittimo.

Mirror privato

un indirizzo onion condiviso solo all’interno di una sessione autenticata del mercato o tramite messaggio diretto dell’operatore, non pubblicato su elenchi pubblici

Annuncio firmato con PGP

un avviso testuale che porta la firma crittografica dell’operatore, che gli utenti verificano con una chiave pubblica salvata in precedenza

Segnalibro della community

un link salvato o ricondiviso da membri di lunga data dei forum, utile come controprova ma mai come unica fonte

Sei voci “ufficiali” diverse spesso indicano tre punti di rottura separati: un vecchio elenco mai aggiornato, un elenco copiato da un thread morto del forum e una rotazione reale dei mirror avvenuta dopo la copia. Un genitore che oggi fa una nuova ricerca può vedere un insieme di indirizzi, mentre la clipboard salvata due settimane fa da un adolescente ne mostra un altro — ed entrambi possono sembrare ugualmente convincenti perché ogni pagina usa lo stesso logo, lo stesso nome del market e lo stesso badge “verificato”.

• Giorno 1l’onion principale dell’operatore è stabile e indicato in un forum ;; Giorno 2

• Una copia di una copia mantiene indirizzi morti ma si definisce comunque ufficiale
• I mirror regionali possono variare perché l’operatore assegna link diversi a moderatori o gruppi di acquirenti diversi
• Alcuni link sono intenzionalmente sacrificali e scadono dopo poche ore, quindi due elenchi creati in momenti diversi non coincidono mai riga per riga

Quando un indirizzo .onion si apre sul portatile ma mostra “Onion Site Not Found” su un telefono, il problema è di solito ambientale, non la prova che un dispositivo abbia il link “vero”. I livelli di sicurezza predefiniti di Tor Browser, la deriva dell’orologio e la configurazione del proxy cambiano da un’installazione all’altra, quindi lo stesso indirizzo può non funzionare per motivi tecnici che non hanno nulla a che fare con l’autenticità.

Inizia dai controlli noiosi prima di mettere in dubbio il link. Confronta le impostazioni dell’orologio sui due dispositivi: pochi minuti di scarto possono far rifiutare la connessione a Tor, mentre un desktop con l’ora sincronizzata correttamente apre il sito senza problemi. Controlla se il cursore di sicurezza di Tor Browser è impostato su “Safest” sul telefono; quella modalità disattiva parti del codice JavaScript e dei font da cui dipendono alcuni mercati, e il risultato può sembrare un onion non raggiungibile.

Un link che non funziona solo su una rete può essere bloccato localmente o fermato da un bridge non aggiornato. Gli operatori mobili a volte instradano il traffico Tor lungo percorsi con molte uscite che vanno in timeout, mentre il Wi‑Fi di casa usa un circuito diverso. Questo non dimostra che si tratti di un clone di phishing: chi fa phishing vuole che i propri link si carichino ovunque.