Скажем, после ввода запроса типа «валюта и курсы биткойнов» наш администратор попадает на
nbrb.by,
myfin.by и еще куда-нибудь. Это предсказуемо. Следовательно, интернет-провайдер (и другие люди, которым это нужно) отслеживают IP-адреса этих сайтов за короткий промежуток времени для соединений. Ночью это сделать не очень сложно.
Скорее всего, у них уже есть некоторая информация, позволяющая сузить круг поиска. Например, город, в котором живет админ. Таким образом, мы получаем набор IP для проверки. Вы можете повторить этот трюк несколько раз, чтобы еще больше сузить поиск. Остается пять адресов. Вот и все, полиция их забирает.