Борис Бондаренко

Если отложить в сторону варианты с конфликтом ip и железными проблемами останется еще один интересный вариант - у оператора DPI и он анализирует не просто TTL, но browser-agent и fingerprint, анализ этих пар позволяет определить систему с большой долей вероятности, а то, что происходит это не моментально лишний раз подтверждает идею, аналитика там не совсем реалтайм сбор/кэширование/сброс/анализ кроме того сброс как правило не раньше закрытия сессии. Т.ч. зная, что ттл вовсю подделывают вполне могли пойти на такой метод.

У провайдера стоят как минимум 2 железяки СОРМ и ТСПУ, а как правило еще и свой dpi, кроме того пишутся логи nat и NetFlow, т.ч. да все в том или ином виде, как на ладони... А еще все пишут и операторы мессенджеров и соцсетей, да и операторы VPN, которые не хотят, чтобы их блочили тоже пишут и делятся, tor тоже при должном старании и стремлении разматывается. Всё вам правильно сказали, хотите анонимности - личные встречи а лучше закладки. Но если вам есть чего бояться, значит что-то вы делаете не так.