Visión general
Lurk es un agregador de OSINT anónimo basado en tokens, diseñado para profesionales de ciberseguridad, periodistas, pentesters e investigadores conscientes de la privacidad que necesitan inteligencia de filtraciones, datos de reputación de IP y monitoreo de la darknet sin dejar rastro de identidad. La plataforma rechaza deliberadamente el modelo estándar de SaaS: no hay cuentas de usuario, no hay registros por correo electrónico, no hay restablecimientos de contraseña y no hay tickets de soporte que puedan ser subpuestos. El acceso se compra con criptomonedas, Bitcoin, Ethereum, Monero o USDT, y se canjea mediante un token criptográfico que se muestra una vez y nunca se almacena en texto plano. Esta arquitectura convierte a Lurk en una de las pocas herramientas de inteligencia de grado profesional que opera genuinamente como un servicio sin KYC de extremo a extremo.
La interfaz es deliberadamente minimalista. Los usuarios llegan a una única página, seleccionan un tipo de consulta, correo electrónico, dirección IP, dominio, nombre de usuario o hash, y ejecutan una búsqueda gratuita limitada o se autentican con un token de pago. En segundo plano, Lurk indexa más de 15 mil millones de credenciales de filtraciones públicas, enriquece direcciones IP con datos en vivo de GreyNoise y Shodan, monitorea más de 50 foros de la darknet y canales de Telegram, y ofrece enumeración de nombres de usuario multiplataforma en más de 600 servicios. El acceso a la API está disponible para los niveles Pro y Elite, devolviendo JSON estructurado para integración en pipelines.
Privacidad y KYC
Lurk se sitúa en el Nivel de KYC L1, totalmente anónimo y seudónimo. No se solicita en ninguna etapa nombre, correo electrónico, número de teléfono, documento de identidad gubernamental ni verificación de geolocalización. La arquitectura de privacidad se extiende más allá de la política hacia el diseño técnico. Según su documentación de privacidad publicada, Lurk recopila únicamente un hash SHA-256 del token del usuario para autenticación y un ID de transacción de pago para validación del libro mayor. Las direcciones IP, huellas digitales del navegador, consultas de búsqueda, metadatos de comportamiento y URLs de referencia están explícitamente listados como nunca recopilados ni en la capa de aplicación ni en la de red. El tráfico se enruta a través de una red perimetral configurada para privacidad con registro completamente deshabilitado.
- Modelo de token: Inspirado en el enfoque de Mullvad VPN, el pago crea un token, el token en texto plano se muestra una vez, y únicamente su hash se retiene en el lado del servidor. Los tokens perdidos son irrecuperables por diseño.
- Privacidad de pagos: Monero es compatible de forma nativa y recomendado; Bitcoin, Ethereum y USDT también son aceptados. Las direcciones sigilosas y las firmas en anillo de Monero rompen el enlace en cadena entre el pago y el token.
- Canario de garantía: Un canario de garantía firmado con PGP se publica mensualmente. Si las actualizaciones cesan, se instruye a los usuarios a tratarlo como una señal de compromiso.
- Mecanismo de exclusión voluntaria: Las personas pueden enviar identificadores en lurk.st/optout; únicamente se almacena un hash SHA-256, y las consultas futuras coincidentes se suprimen automáticamente.
La puntuación de privacidad de la plataforma en nuestra metodología se ve moderada por la opacidad inherente de cualquier afirmación de infraestructura de código cerrado. Los usuarios no pueden verificar completamente las afirmaciones de cero registros, y Lurk reconoce esto directamente en su FAQ: "No puedes verificar esto completamente, y cualquiera que diga lo contrario está mintiendo". El modelo económico, no retener datos minimiza la superficie de ataque legal y los costos operativos, proporciona una garantía plausible pero no demostrable.
Activos y pagos admitidos
Lurk acepta cuatro criptomonedas para la compra de tokens: Bitcoin (BTC), Ethereum (ETH), Monero (XMR) y Tether (USDT). El fiat no se acepta directamente, aunque la referencia a "Fiat" y "Cash" en los datos de directorio agregados probablemente refleja flexibilidad de rampa de entrada indirecta en lugar de soporte nativo. Monero se posiciona explícitamente como la opción preferida para los usuarios que buscan la máxima privacidad en los pagos, con el sitio señalando que "Bitcoin deja un rastro" y el análisis de cadena es efectivo contra los libros de contabilidad transparentes.
La estructura de precios se divide en tres niveles. El nivel Gratuito no requiere pago y permite cinco búsquedas diarias solo con tipos de consulta por correo electrónico e IP, datos básicos de amenazas y contraseñas ocultas. El acceso Pro, listado a €15 mensuales bajo un "Bloqueo de Fundador", se expande a 2,500 búsquedas diarias, revela credenciales completas, desbloquea todas las fuentes, incluye acceso a API y soporta exportación en JSON/CSV. Elite a €25 mensuales eleva el límite a 10,000 búsquedas, añade carga masiva de CSV para consultas por lotes, prioridad en la cola de API y funcionalidad de exportación masiva. Todos los pagos son finales; la política de no reembolso es estricta, justificada por la naturaleza irreversible de las transacciones con criptomonedas y la ausencia intencional de infraestructura de cuenta que permitiría la emisión de crédito.
Seguridad y custodia
Lurk es no-custodial en el sentido de que no retiene fondos de usuario, ni datos personales, ni historial de consultas. El modelo de custodia es arquitectónico más que financiero: los usuarios retienen el control total de su token de acceso, y la plataforma no puede congelar, revocar por razones políticas ni entregar contenidos de cuenta porque no existen cuentas. La revocación de tokens es técnicamente posible por violaciones de los términos de servicio, las actividades prohibidas incluyen acecho, doxxing, credential stuffing, pruebas de penetración no autorizadas, scraping automatizado y uso desde jurisdicciones sancionadas, pero el operador no tiene identidad para asociar con el token, haciendo que la aplicación dependa de la detección conductual más que de la atribución personal.
Las características de seguridad incluyen disponibilidad de Tor para usuarios que buscan anonimato adicional a nivel de red, componentes de código abierto cuando corresponde, y tránsito cifrado para todas las conexiones. La página de estado indica monitoreo operativo para los subsistemas de API de búsqueda, inteligencia de brechas, inteligencia de IP, inteligencia de amenazas, procesamiento de pagos y validación de tokens. Una única cookie de sesión de primera parte almacena solo el token hasheado durante sesiones activas; no se cargan scripts analíticos, de marketing ni de terceros. La puntuación de confianza de la plataforma refleja su novedad y la dificultad natural de verificar las afirmaciones sobre infraestructura, aunque los datos de ScamAdviser para el dominio relacionado lurk.org sugieren un historial de registro de varios años y una configuración SSL válida.
Para quién es, veredicto
Lurk ocupa un nicho estrecho pero crítico: OSINT de grado profesional e inteligencia de amenazas para usuarios que rechazan la verificación de identidad. Es más adecuado para investigadores de seguridad independientes, operadores de red team, periodistas que investigan filtraciones de datos y defensores de la privacidad que necesitan correlación de brechas, reputación de IP y monitoreo de darknet sin crear un rastro de papel descubrible. La herramienta no es un producto de consumo casual; la fricción deliberada de la gestión de tokens, la irreversibilidad del acceso perdido y la naturaleza técnica de los resultados de consulta asumen una base de usuarios competente y autosuficiente.
La puntuación general de 8/10 refleja una fuerte alineación con los principios de no-KYC, una arquitectura de privacidad bien documentada y una utilidad práctica, lastrada por las inevitables suposiciones de confianza de cualquier sistema cerrado que afirma cero registros. Para usuarios ya familiarizados con Monero y modelos de acceso basados en tokens, Lurk ofrece una alternativa convincente a las plataformas de inteligencia convencionales que requieren registro por correo electrónico, registran consultas por defecto y representan objetivos vulnerables para la compulsión legal. Para quienes necesitan orientación, resolución de disputas o recurso regulatorio, las mismas decisiones de diseño que protegen la privacidad se sentirán como un riesgo inaceptable.
