Тогда бы там было скорее МВД а не ФСБ.
Да и наивно полагать, что человек принимающий "на потоке" заказы на взломы, не пользовался ВПН.
Более чем уверен, что была компрометация пользователя от владельцев "не хранящего логи" сервиса. По крайней мере, мне это кажется самым простым способом найти "кулцхакера".