研究人员在预印本网站 arXiv 发表报告《暗网上的新冠疫苗接种证明》，指出部分暗网市场继续出售可在多国使用的疫苗接种证明。报告尚未经过同行评审。四名研究人员都是丹麦哥本哈根奥尔堡大学网络安全小组成员，他们审查了 17 个市场和 10 个供应商商店的疫苗接种证明。研究人员发现，至少有一家供应商在销售注册地为意大利的数字接种证明，该证明被法国和丹麦开发的移动新冠疫苗证明检查应用程序视为有效。

奥尔堡大学研究人员指出，许多暗网市场禁止销售任何与新冠肺炎相关的物品。但一部分暗网市场允许出售实体和数字疫苗证明，在某些情况下还允许出售“黄色疫苗接种卡”或其他可作为疫苗接种证明的疫苗接种记录卡——尽管只在卡片发行国有效。研究人员写道：“这些商品主要集中在欧洲国家和美国，但也有其他大陆和国家，如巴西、加拿大、墨西哥和澳大利亚，”以及俄罗斯。他们写道：“不同的商品定价差异很大，最便宜的证明起价为 39 美元，最高价达到近 2,800 美元，后者包括一份在英国注册的实体证明和一份数字证明。” 大多数市场都接受比特币和门罗币作为支付方式，少数市场接受以太坊、艾达币、莱特币和 zcash 等数字货币。研究人员指出，购买伪造的数字证明给卖家提供了大量机会欺骗买家。

如果伪造的新冠疫苗接种证明确实可被认定为有效证明，那么仍然存在一个悬而未决的问题：是如何做到的？研究人员表示，许多网站声称可访问用于颁发证明的系统，他们要么通过远程入侵的方式，要么通过在医疗保健或其他卫生组织工作的内部人员。他们表示：“就俄罗斯市场 Hydra 上的一个商品而言，商品描述甚至提到了访问该系统的确切位置和医院。”另一种可能性是犯罪分子以某种方式窃取了该欧洲系统的一个或多个私钥，这些私钥是发给参与的卫生组织的。研究人员表示，这将很难撤销这些密钥，因为这会使大量合法证明失效。

至少从 2017 年起，一位神秘威胁源起方运营上千恶意 Tor 网络入口、中继和出口节点，此举被认为旨在对 Tor 网络用户进行去匿名化攻击。这位神秘攻击者被命名为 KAX17，Tor 网络通常有 9000 到 10000 个服务器，而 KAX17 在高峰期间运行了 900 多个恶意服务器。安全研究员、Tor 中继节点维护者 Nusenu 认为，在某个时刻，Tor 用户有 16% 的几率通过 KAX17 的入口节点进入 Tor 网络，有 35% 的几率通过其中继节点，有最高 5% 的几率通过其出口节点离开匿名网络。所有迹象显示 KAX17 的背后是一个国家级的资源丰富的威胁源起方。进入 Tor 网络的服务器通常需要提供联络信息，以便在必要时联络服务器的管理员，比如配置错误或遭到滥用。但由于缺乏足够的节点实现匿名化，一些没有联络信息的服务器也会经常添加到 Tor 网络。Nusenu 是在 2019 年注意到没有提供联络信息的 KAX17，发现其活动至少能被跟踪到 2017 年。Nusenu 和 Tor 项目都不愿猜测幕后者的身份。