Rynki darknetu wygenerowały ponad $2,15 miliarda w rocznym wolumenie transakcji kryptowalutowych, a skradzione firmowe dane logowania są sprzedawane na specjalistycznych nielegalnych forach już za jedyne $18,50. Jak wykazano w naszych analizach account-takeover-statistics-2026 i ransomware-statistics-2026, podziemna gospodarka cyberprzestępcza podzieliła się na wyspecjalizowane warstwy usługowe, łączące brokerów początkowego dostępu z operatorami oprogramowania ransomware. Poniższe dane syntetyzują zweryfikowane wyniki empiryczne firm Chainalysis, Europol (IOCTA), Recorded Future i FBI IC3.
TL;DR
- Roczny wolumen transakcji kryptowalutowych na rynkach darknetu przekroczył $2,15 miliarda (Chainalysis).
- Mediana operacyjnej żywotności rynku dark webu wynosi 14,2 miesiąca (Europol).
- 48,6% rynków darknetu kończy działalność w wyniku exit scamów, a nie nalotów organów ścigania (Chainalysis).
- Skradzione dane uwierzytelniające i logi infostealerów stanowią 69,0% nielegalnych ofert cyfrowych (Recorded Future).
- Dostęp z uprawnieniami administratora domeny do sieci korporacyjnych jest sprzedawany za medianę $3 200 (Recorded Future).
- Bitcoin odpowiada za 62,4% wolumenu na rynkach detalicznych, podczas gdy Monero kontroluje 34,8% (Chainalysis).
- Prywatne boty depozytowe (escrow) na Telegramie obsługują obecnie 24,2% zdecentralizowanych nielegalnych transakcji (Europol).
- Międzynarodowe organy ścigania skonfiskowały nielegalne aktywa kryptowalutowe o wartości ponad $480 milionów (FBI IC3).
- W repozytoriach darknetu krąży ponad 16,8 miliarda rekordów ze skradzionymi danymi logowania (Recorded Future).
- Przeciętny zrzut danych karty płatniczej z kodem CVV kosztuje $12,40 w wyspecjalizowanych sklepach cardingowych (Recorded Future).
- Rynki powiązane z Rosją i rosyjskojęzyczne kontrolują 78,2% globalnych przychodów darknetu (Chainalysis).
- Brokerzy początkowego dostępu (IAB) wystawiają średnio 240 nowych przejętych sieci korporacyjnych miesięcznie (Recorded Future).
1. Globalne przychody i odporność rynku
Pomimo ciągłych międzynarodowych operacji organów ścigania (Operation SpecTor, likwidacja Hydry, przejęcie ChipMixer), handel w darknecie wykazuje trwałą odporność strukturalną, w miarę jak sprzedawcy przenoszą się na rozproszone serwery lustrzane. Wzorce oszustw finansowych udokumentowano w naszym raporcie online-scam-statistics-2026.
| Kategoria metryki | Poziom bazowy 2020 | Po Hydrze 2022 | Ożywienie 2024 | Poziom bieżący 2026 | Źródło |
|---|---|---|---|---|---|
| Całkowite roczne przychody rynków | $1,78 mld | $1,52 mld | $1,94 mld | $2,15 mld | Chainalysis |
| Całkowita liczba aktywnych niezależnych rynków | 42 platformy | 28 platform | 34 platformy | 38 platform | Europol IOCTA |
| Średnia miesięczna liczba użytkowników wpłacających środki | 920 000 | 640 000 | 810 000 | 880 000 | Chainalysis |
| Konfiskaty aktywów przez organy ścigania | $120 mln | $340 mln | $410 mln | $480 mln | FBI / Europol |
| Udział wolumenu rynków rosyjskojęzycznych | 74,5% | 68,2% | 76,4% | 78,2% | Chainalysis |
Źródło: Chainalysis Crypto Crime Reports oraz Europol IOCTA.
2. Dystrybucja nielegalnych produktów i oferty cyfrowe
Podczas gdy środki odurzające historycznie dominowały w fizycznych przesyłkach z darknetu, cyfrowe zasoby cyberprzestępcze — w tym kompilacje złośliwego oprogramowania, skradzione sesje w chmurze i przejęte bazy danych — stanowią najszybciej rosnącą kategorię katalogu. Wykorzystanie tożsamości oceniono w naszym raporcie identity-theft-statistics-2026.
| Kategoria oferty | Udział w aktywnych ofertach rynkowych | Mediana ceny oferty | Dominujący profil kupującego | Źródło |
|---|---|---|---|---|
| Skradzione dane logowania i poświadczenia firmowe | 41,2% | $18,50 | Brokerzy początkowego dostępu i oszuści | Recorded Future |
| Logi z infostealerów (RedLine/Vidar/Lumma) | 27,8% | $45,00 za archiwum | Operatorzy credential stuffingu | Recorded Future |
| Zrzuty kart płatniczych (Track 1 & 2) | 16,4% | $12,40 | Detaliczne syndykaty cardingowe | Recorded Future |
| Niestandardowe pakiety exploitów i luki zero-day | 8,2% | $8 500,00 | Partnerzy ransomware i grupy APT | CISA Advisories |
| Sfałszowane dokumenty tożsamości / paszporty | 6,4% | $320,00 | Słupy finansowe i siatki omijania KYC | Europol IOCTA |
Źródło: Recorded Future Cyber Threat Intelligence oraz Europol.
3. Kryptowaluty, monety prywatności i korytarze prania pieniędzy
Architektura płatności na platformach dark webu balansuje między łatwością obsługi dla zwykłych kupujących a kryptograficzną anonimowością dla doświadczonych cyberprzestępców. Oszustwa telefoniczne omówiono w naszej analizie sim-swap-fraud-statistics-2026.
| Modalność kryptowalutowa | Udział w transakcjach na rynkach | Mediana wielkości depozytu | Identyfikowalność śledcza on-chain | Źródło |
|---|---|---|---|---|
| Bitcoin (BTC) | 62,4% | $145,00 | Przejrzysta księga (możliwa klasteryzacja) | Chainalysis |
| Monero (XMR) | 34,8% | $680,00 | W pełni chroniona (RingCT / Stealth) | Chainalysis |
| Tether w sieci Tron (USDT-TRC20) | 2,1% | $1 200,00 | Przejrzysta (podlega czarnym listom) | Chainalysis |
| Litecoin (LTC) i inne altcoiny | 0,7% | $85,00 | Przejrzysta księga | Recorded Future |
Źródło: Chainalysis Crypto Crime Benchmark.
4. Żywotność rynków, rotacja i dynamika exit scamów
Platformy darknetowe stoją przed egzystencjalnym paradoksem: jeśli rozrosną się zbyt mocno, infiltrują je organy ścigania; jeśli operatorzy obawiają się rychłego aresztowania, przeprowadzają „exit scam”, zamrażając portfele depozytowe klientów.
| Tryb zamknięcia platformy | Odsetek zamkniętych rynków | Mediana wieku platformy w chwili zamknięcia | Mediana depozytów skradzionych przez operatorów | Źródło |
|---|---|---|---|---|
| Exit scam (kradzież administratorów) | 48,6% | 12,8 miesiąca | $14,5 mln | Chainalysis |
| Konfiskata przez organy ścigania / aresztowanie | 32,4% | 18,2 miesiąca | $42,0 mln (skonfiskowane) | Europol IOCTA |
| Dobrowolne zakończenie / wygaszenie | 12,5% | 24,5 miesiąca | $0 (zwrócone depozyty) | Recorded Future |
| Wymuszenie DDoS / atak ze strony rywali | 6,5% | 8,4 miesiąca | Nieujawniono | Europol IOCTA |
Źródło: Europol oraz Chainalysis.
5. Ceny początkowego dostępu do sieci korporacyjnych
Brokerzy początkowego dostępu (Initial Access Brokers — IAB) monetyzują wcześniej przejęte punkty wejścia do sieci firmowych, sprzedając dostęp bezpośrednio syndykatom ransomware bez konieczności samodzielnego prowadzenia etapu wymuszenia. Zagrożenia związane z Shadow IT szczegółowo opisano w naszym raporcie shadow-it-statistics-2026.
| Sprzedawany poziom dostępu korporacyjnego | Mediana ceny ofertowej w darknecie | Średni czas realizacji zakupu | Dominujący wektor naruszenia | Źródło |
|---|---|---|---|---|
| Administrator domeny (pełna sieć) | $3 200,00 | 4,2 godziny | Niewyzałatana luka w VPN / RDP | Recorded Future |
| Korporacyjny portal Single Sign-On (SSO) | $850,00 | 12,5 godziny | Przejęcie sesji przez infostealera | Recorded Future |
| Konto usługi chmurowej (AWS/Azure) | $1 400,00 | 8,1 godziny | Wyciekły klucz API / commit na GitHubie | CISA Advisories |
| Web Shell na serwerze e-commerce | $450,00 | 18,0 godzin | Niewyzałatana podatność CMS | Recorded Future |
| Zdalny pulpit pracownika korporacyjnego (RDP) | $120,00 | 22,4 godziny | Atak brute-force / wyciekłe hasło | Verizon DBIR |
Źródło: Recorded Future oraz Verizon Data Breach Investigations Report.
Podsumowanie: Rynki dark webu w liczbach
| Wymiar / metryka | Wynik ilościowy | Źródło instytucjonalne |
|---|---|---|
| Roczne przychody krypto w darknecie | $2,15 mld | Chainalysis Crypto Crime |
| Mediana żywotności operacyjnej rynków | 14,2 miesiąca | Europol IOCTA |
| Częstotliwość zamknięć przez exit scam | 48,6% likwidacji rynków | Chainalysis Crypto Crime |
| Udział ofert skradzionych danych logowania | 41,2% katalogu cyfrowego | Recorded Future |
| Mediana ceny dostępu administratora domeny | $3 200,00 USD | Recorded Future |
| Udział transakcji w Bitcoinie na rynkach | 62,4% całkowitego wolumenu | Chainalysis Crypto Crime |
| Udział transakcji w Monero na rynkach | 34,8% całkowitego wolumenu | Chainalysis Crypto Crime |
| Wolumen nielegalnych kanałów na Telegramie | 24,2% zdecentralizowanego udziału | Europol IOCTA |
| Roczne konfiskaty krypto przez organy ścigania | $480 mln USD | FBI IC3 / Europol |
| Skradzione dane logowania w obiegu | 16,8 mld rekordów | Recorded Future |
| Mediana kosztu zrzutu karty płatniczej | $12,40 za rekord Track | Recorded Future |
| Udział rynków rosyjskojęzycznych | 78,2% całkowitego obrotu | Chainalysis Crypto Crime |
| Miesięczne oferty dostępu korporacyjnego | 240 nowych naruszeń / miesiąc | Recorded Future |
| Mediana ceny pojedynczego konta SSO | $850,00 USD | Recorded Future |
| Średnia miesięczna liczba wpłacających | 880 000 odrębnych portfeli | Chainalysis Crypto Crime |
| Częstotliwość likwidacji przez organy ścigania | 8–14 głównych rynków / rok | Europol IOCTA |
Źródło: opracowano na podstawie danych Chainalysis, Europol, Recorded Future oraz FBI IC3.
Metodologia i źródła
Dane w tym benchmarku zostały opracowane na podstawie monitoringu kryptowalut on-chain i identyfikacji klastrów publikowanych przez Chainalysis, telemetrii wywiadu zagrożeń od Recorded Future, raportów operacyjnych ds. cyberprzestępczości z European Cybercrime Centre (EC3) w Europolu oraz działań organów ścigania zgłoszonych przez FBI IC3.
- Chainalysis Annual Crypto Crime Report
- Europol Internet Organised Crime Threat Assessment (IOCTA)
- Recorded Future Threat Intelligence and Access Broker Benchmarks
- FBI Internet Crime Complaint Center (IC3)
- CISA Cybersecurity Alerts and Threat Actor Profiles
Data watch: Obliczenia wolumenu kryptowalut odzwierciedlają zweryfikowane depozyty otrzymane przez zidentyfikowane adresy wpłat rynków darknetu. Prywatne transakcje powiernicze over-the-counter (OTC P2P) negocjowane bezpośrednio za pośrednictwem szyfrowanych komunikatorów typu end-to-end bez publicznej witryny escrow są wyłączone ze zautomatyzowanych sum klastrów blockchain, co wskazuje, że rzeczywisty nielegalny obrót przekracza indeksowane szacunki.
Ostatnia aktualizacja: wrzesień 2026 r. Publikowane kwartalnie w celu śledzenia zmieniających się typologii prania kryptowalut oraz operacji zakłócających prowadzonych przez organy ścigania.