Resumo

  • Em 20 de janeiro de 2021, às 16h57min35s UTC, uma atualização de rota reproduzida mostrou 11.0.0.0/8 sob o AS8003; em 15 de março, John Curran, identificado na mensagem como presidente e CEO do ARIN, escreveu na mesma lista pública: "The number resources remain assigned to the DoD".
  • Em 7 de setembro de 2021, às 17h05 UTC, todos menos um dos 765 prefixos passaram a ter o AS749 como origem; a trânsito continuou na Hurricane Electric e o traceroute terminou no mesmo roteador em Ashburn. Foi substituição de origem, não desaparecimento do bloco, e o titular registrado nunca mudou.

Em 20 de janeiro de 2021, às 16h57min35s UTC, uma atualização de rota colocou 11.0.0.0/8 na tabela global, com caminho de AS terminando em 6939 8003. Duas reproduções independentes fixam esse instante: o relato técnico de Stephane Bortzmeyer decodifica uma atualização do RouteViews, e a análise da Kentik reproduz aquela que descreve como uma das primeiras atualizações do AS8003, com caminho 1299 6939 6939 8003. Nenhuma das duas reivindica o primeiro segundo global; ambas falam da janela que observaram.

A escala logo deixou de ser ignorável. A Kentik reporta cerca de 56 milhões de endereços de origem no fim de janeiro de 2021 e 175 milhões de endereços únicos em meados de abril. São números do próprio editor, no escopo dele, não uma contagem desta publicação — mas bastam para explicar por que um bloco adormecido fez a comunidade operacional levantar a cabeça.

A pergunta pública surgiu em 11 de março de 2021. Um operador de rede, Siyuan Miao, escreveu na lista do NANOG que 7.0.0.0/8, 11.0.0.0/8, 22.0.0.0/8 e prefixos menores estavam sendo anunciados sob o AS8003, com o rótulo GRSCORP, e perguntou se aqueles anúncios eram autorizados. Cinquenta dias separam essa postagem da primeira atualização reproduzida.

Quatro dias depois, o próprio registro falou. Na mesma lista pública, em 15 de março de 2021, John Curran, identificado na mensagem como presidente e CEO do ARIN, escreveu: "The number resources remain assigned to the DoD". E explicou o mecanismo: anunciar rotas de um bloco não transfere os recursos de numeração, e tal anúncio pode ser um serviço comum que um operador presta a um cliente.

Misturar "na época" com "hoje" numa única leitura produz erro. Em 26 de abril de 2021, o texto de WHOIS reproduzido por Bortzmeyer traz Organization: DoD Network Information Center (DNIC), direct allocation, data de registro 1984-01-19 e atualização 2007-08-22. A leitura atual do ARIN é outra: 11.0.0.0/8 (NET-11-0-0-0-1, nome de rede DODIIS) é alocação direta para United States Department of Defense (DoD), organização USDDD, registro em 1984-01-19 e atualização do registro em 2025-08-27.

Os oito blocos apontam hoje para o mesmo titular: 7.0.0.0/8 (NET-7-0-0-0-1, DISANET7, 1997-11-24, atualização 2025-09-05), 22.0.0.0/8 (NET-22-0-0-0-1, DNIC-SNET-022, 1989-06-26), 21.0.0.0/8 (NET-21-0-0-0-1, DNIC-SNET-021, 1991-07-01), 26.0.0.0/8 (NET-26-0-0-0-1, DISANET26, 1995-05-01), 28.0.0.0/8 (NET-28-0-0-0-1, DNIC-NET-028, 1996-03-11), 30.0.0.0/8 (NET-30-0-0-0-1, DNIC-NET-030, 1991-07-01) e 33.0.0.0/8 (NET-33-0-0-0-1, DISN-IP-LEGACY, 1991-01-01).

Do lado das rotas, a cronologia vem de outra mão. A revisão anual de Geoff Huston no blog da APNIC registra o AS8003 como pertencente a Global Resource Systems — a ficha desta publicação no diretório trata dessa entidade, cujo papel operacional não está confirmado — e datou os anúncios de 11.0.0.0/8 e 22.0.0.0/8 em 20 de janeiro de 2021, o de 33.0.0.0/8 em 7 de abril, e os de 21.0.0.0/8, 26.0.0.0/8, 28.0.0.0/8 e 30.0.0.0/8 entre 19 e 20 de abril.

Então veio a virada. Em 7 de setembro de 2021, às 17h05 UTC, todos menos um dos 765 prefixos até então anunciados pelo AS8003 passaram a ter o AS749 como origem, e a mesma análise identifica o AS749 com o Departamento de Defesa. Os caminhos observados mudaram de 6939 8003 para 6939 749, a Hurricane Electric seguiu como trânsito exclusivo naquelas rotas, e o traceroute continuou terminando no mesmo roteador em Ashburn. A conclusão do autor é seca: substituição de origem, não desaparecimento dos endereços.

Do primeiro anúncio reproduzido, em 20 de janeiro, à migração em bloco de 7 de setembro, são 230 dias. Da postagem pública de 11 de março até a mesma migração, 180 dias. Ao longo desses 230 dias, nenhum material lido nesta apuração registra mudança de titular — e a migração de setembro também não produziu nenhuma.

Esse é o achado inteiro, e também o seu limite: um prefixo prova quem o anunciava num instante; o registro carrega quem responde pela posse daquele bloco. Confundir os dois é tratar a camada de operação como camada de titularidade. Basta uma troca de origem para que filtros, listas de reputação e inventários de ativos construídos sobre a camada errada percam o chão.

O que mudaria essa classificação é concreto: uma exportação do histórico de registro do ARIN de 2021 cobrindo todos os prefixos anunciados, um documento de transferência mostrando alteração de titular, ou um documento da Global Resource Systems explicando qual papel ela exerce sobre endereços do Departamento de Defesa. Até que um desses apareça, a leitura mais firme é esta: a visibilidade de rota mudou, a alegação de posse não.

As lacunas também precisam ser ditas. Esta apuração não obteve uma exportação histórica do ARIN de 2021 que cobrisse todos os prefixos anunciados; o documento de registro de nível de ASN do AS8003 não foi lido na forma original; os horários dependem de análises de medição publicadas, não de uma série de histórico de rotas rederivada aqui; nenhum arquivo MRT bruto foi decodificado. O instante de 7 de setembro é a transição em bloco de origem, com um prefixo explicitamente excluído, não o momento de retirada de cada rota do AS8003. DNIC e USDDD são observações de momentos distintos do mesmo bloco e não podem ser coladas num único registro.

E nenhum documento societário, site ou declaração pública da Global Resource Systems foi lido nesta apuração.