Panoramica
Lurk è un aggregatore OSINT anonimo basato su token, progettato per professionisti della cybersecurity, giornalisti, penetration tester e ricercatori attenti alla privacy che necessitano di intelligence sulle violazioni dati, dati sulla reputazione IP e monitoraggio del darknet senza lasciare tracce identificative. La piattaforma rifiuta deliberatamente il modello SaaS standard: non esistono account utente, registrazioni email, reimpostazioni password né ticket di supporto che potrebbero essere soggetti a subpoena. L'accesso viene acquistato con criptovalute, Bitcoin, Ethereum, Monero o USDT, e riscattato tramite un token crittografico mostrato una sola volta e mai archiviato in chiaro. Questa architettura rende Lurk uno dei pochi strumenti di intelligence di livello professionale che opera effettivamente come servizio no-KYC end-to-end.
L'interfaccia è deliberatamente minimale. Gli utenti atterrano su una singola pagina, selezionano un tipo di query, email, indirizzo IP, dominio, nome utente o hash, ed eseguono una ricerca gratuita limitata o si autenticano con un token a pagamento. Dietro le quinte, Lurk indicizza oltre 15 miliardi di credenziali da dump di violazioni pubblici, arricchisce gli indirizzi IP con dati live da GreyNoise e Shodan, monitora oltre 50 forum del darknet e canali Telegram, e offre enumerazione di nomi utente cross-platform su oltre 600 servizi. L'accesso API è disponibile per i livelli Pro ed Elite, restituendo JSON strutturato per l'integrazione in pipeline.
Privacy & KYC
Lurk si trova al KYC Tier L1, completamente anonimo e pseudonimo. Nessun nome, nessuna email, nessun numero di telefono, nessun documento d'identità governativo e nessuna verifica di geolocalizzazione sono richiesti in alcuna fase. L'architettura della privacy si estende oltre la politica fino alla progettazione tecnica. Secondo la sua documentazione sulla privacy pubblicata, Lurk raccoglie solo un hash SHA-256 del token dell'utente per l'autenticazione e un ID di transazione di pagamento per la validazione del libro mastro. Gli indirizzi IP, le impronte digitali del browser, le query di ricerca, i metadati comportamentali e gli URL referrer sono esplicitamente elencati come mai raccolti a livello di applicazione o di rete. Il traffico viene instradato attraverso una rete edge configurata per la privacy con logging completamente disabilitato.
- Modello token: Ispirato all'approccio di Mullvad VPN, il pagamento crea un token, il token in chiaro viene visualizzato una sola volta, e solo il suo hash viene conservato lato server. I token persi sono irrecuperabili per progettazione.
- Privacy dei pagamenti: Monero è supportato nativamente e raccomandato; Bitcoin, Ethereum e USDT sono anch'essi accettati. Gli stealth address e le ring signatures di Monero interrompono il collegamento on-chain tra pagamento e token.
- Warrant canary: Un warrant canary firmato PGP viene pubblicato mensilmente. Se gli aggiornamenti cessano, gli utenti sono invitati a considerarlo come segnale di compromissione.
- Meccanismo di opt-out: Gli individui possono inviare identificatori a lurk.st/optout; solo un hash SHA-256 viene memorizzato, e le query future corrispondenti vengono automaticamente soppressse.
Il punteggio di privacy della piattaforma nella nostra metodologia è mitigato dall'opacità intrinseca di qualsiasi rivendicazione di infrastruttura closed-source. Gli utenti non possono verificare completamente le asserzioni di zero-logging, e Lurk lo riconosce direttamente nella sua FAQ: "Non puoi verificarlo completamente, e chiunque dica il contrario sta mentendo." Il modello economico, non conservare dati minimizza la superficie di attacco legale e i costi operativi, fornisce una garanzia plausibile ma non dimostrabile.
Asset e pagamenti supportati
Lurk accetta quattro criptovalute per l'acquisto di token: Bitcoin (BTC), Ethereum (ETH), Monero (XMR) e Tether (USDT). Le valute fiat non sono accettate direttamente, sebbene il riferimento a "Fiat" e "Cash" nei dati aggregati delle directory rifletta probabilmente una flessibilità di on-ramp indiretta piuttosto che un supporto nativo. Monero è esplicitamente posizionato come l'opzione preferita per gli utenti che cercano la massima privacy nei pagamenti, con il sito che nota che "Bitcoin lascia una scia" e l'analisi della catena è efficace contro i registri trasparenti.
I prezzi sono strutturati in tre livelli. Il livello Gratuito non richiede alcun pagamento e permette cinque ricerche al giorno con solo tipi di query email e IP, dati di minaccia di base e password nascoste. L'accesso Pro, indicato a €15 mensili in un "Founder's Lock", espande a 2.500 ricerche giornaliere, rivela credenziali complete, sblocca tutte le fonti, include accesso API e supporta esportazione JSON/CSV. L'Elite a €25 mensili aumenta il limite a 10.000 ricerche, aggiunge caricamento CSV in blocco per query batch, priorità nella coda API e funzionalità di esportazione in blocco. Tutti i pagamenti sono definitivi; la politica di non rimborso è rigorosa, giustificata dalla natura irreversibile delle transazioni in criptovaluta e dall'assenza intenzionale di un'infrastruttura account che permetterebbe l'emissione di crediti.
Sicurezza & custodia
Lurk è non-custodial nel senso che non detiene fondi utente, dati personali né cronologia delle query. Il modello di custodia è architetturale piuttosto che finanziario: gli utenti mantengono il pieno controllo del loro token di accesso, e la piattaforma non può congelare, revocare per motivi politici o consegnare contenuti account perché non esistono account. La revoca del token è tecnicamente possibile per violazioni dei termini di servizio, le attività proibite includono stalking, doxxing, credential stuffing, penetration testing non autorizzato, scraping automatizzato e utilizzo da giurisdizioni sanzionate, ma l'operatore non ha alcuna identità da associare al token, rendendo l'applicazione dipendente dalla rilevazione comportamentale piuttosto che dall'attribuzione personale.
Le funzionalità di sicurezza includono la disponibilità di Tor per gli utenti che cercano anonimato aggiuntivo a livello di rete, componenti open-source ove applicabile e transito crittografato per tutte le connessioni. La pagina di stato indica il monitoraggio operativo per i sottosistemi di search API, breach intelligence, IP intelligence, threat intelligence, payment processing e token validation. Un singolo cookie di sessione first-party memorizza solo il token hash durante le sessioni attive; non vengono caricati script analitici, di marketing o di terze parti. Il trust score della piattaforma riflette la sua novità e la naturale difficoltà di verificare le affermazioni sull'infrastruttura, sebbene i dati di ScamAdviser per il dominio correlato lurk.org suggeriscano una storia di registrazione pluriennale e una configurazione SSL valida.
A chi è destinato, verdetto
Lurk occupa una nicchia ristretta ma critica: OSINT e threat intelligence di livello professionale per utenti che rifiutano la verifica dell'identità. È particolarmente adatto a ricercatori indipendenti di sicurezza, operatori red-team, giornalisti che indagano sui data breach e sostenitori della privacy che necessitano di correlazione dei breach, IP reputation e darknet monitoring senza creare una traccia cartacea rintracciabile. Lo strumento non è un prodotto di consumo casuale; l'attrito deliberato della gestione dei token, l'irreversibilità della perdita di accesso e la natura tecnica degli output delle query presuppongono una base di utenti competenti e autosufficienti.
Il punteggio complessivo di 8/10 riflette un forte allineamento con i principi no-KYC, un'architettura della privacy ben documentata e un'utilità pratica, frenato dalle inevitabili assunzioni di fiducia di qualsiasi sistema chiuso che rivendichi zero log. Per gli utenti già a proprio agio con Monero e i modelli di accesso basati su token, Lurk offre un'alternativa convincente alle piattaforme di intelligence mainstream che richiedono registrazione via email, registrano le query per impostazione predefinita e rappresentano bersagli appetibili per la coercizione legale. Per chi necessita di assistenza dettagliata, risoluzione delle controversie o ricorso normativo, le stesse scelte progettuali che proteggono la privacy appariranno come un rischio inaccettabile.
