朝鲜

ChainCatcher 消息，美国司法部 10 月 13 日宣布，在打击朝鲜 IT 人员以虚假身份进入美国企业的行动中逮捕两名美国人，并查获约 187 台电脑设备。来自宾夕法尼亚州的 Michael James Bostelle 与得克萨斯州的 Juan Cecilio Pena Carrillo 依据俄亥俄州北区联邦法院起诉书被捕。检方指控该计划涉及超过 70 家美国雇主，为海外 IT 人员带来约 300 万美元收入。两人被控共谋电信与邮件欺诈、共谋洗钱及共谋身份盗窃，Pena 另被控加重身份盗窃罪。设备查获行动属于“孤星围捕行动”，由得州北区联邦执法部门协调。9 月 21 日至 25 日，FBI 对得州 40 多处疑似托管“笔记本农场”的住所执行搜查，查获设备包括笔记本电脑及远程访问用的键盘、视频、鼠标设备。根据俄亥俄州起诉书，美国境内协助者在家中接收雇主发放的笔记本电脑，再通过远程访问软件或硬件让海外人员操控，使其看似身处美国并接触公司系统，协助者则领取工资并将资金转往海外。起诉书提到加密货币是向海外转移资金的途径之一。俄亥俄州居民 Trey Michael Nolte 被列为共谋者但未在本案被起诉，起诉书称他在 2024 年 7 月 8 日的对话中描述用电子表格管理银行账户与虚拟货币之间的转账，随后将资金转给被告 Sun Sheng Ming；

ChainCatcher 消息，CoinBureau 援引链上调查人员 ZachXBT 的说法称，疑似朝鲜相关攻击者正通过 Zcash 对 Bitget 被盗资金进行屏蔽。约 2700 枚 ZEC、价值约 380 万美元的资金已开始转入 Zcash 的 Ironwood。 这些被盗 ZEC 正被转入屏蔽池，交易细节可被隐藏。Bitget 涉及多类资产、总额约 3.88 亿美元的安全事件中，约 18900 枚 ZEC、价值约 2830 万美元被盗。此前，Bitget 首席执行官 Gracy Chen 表示，她对追回被盗资金“并不十分乐观”。

ChainCatcher 消息，据 Insurance Journal 报道，区块链分析公司 Elliptic 披露，已追踪到 50 余起与朝鲜相关的安全事件，今年以来累计被盗资金约 12 亿美元。部分 Bitget 被盗资金与去年 Bybit 交易所 15 亿美元被盗事件的关联地址存在重叠，链上洗钱模式初步显示，本次 Bitget 事件系黑客组织 TraderTraitor 所为。

ChainCatcher 消息，据链上分析师 Specter 监测，朝鲜正在多条链上清洗资金，甚至包括 dYdX、Noble 和 Osmosis 等底层链，并在 dYdX 上开设了永续合约仓位。

ChainCatcher 消息，GoPlus Security 在 X 平台发文称，THORChain 资金流出需由验证人通过 TSS 门限签名主动签署，与比特币、以太坊不同； Bitget 被盗资金中已有约 101.5 枚 BTC (约 850 万美元)经其转出，另有约 2763 万枚 XRP(约 4300 万美元)正兑换为 BTC ，呼吁其拦截朝鲜关联地址。

ChainCatcher 消息，据链上侦探 Specter 监测，其通过追踪链上资金流，朝鲜黑客组织 Lazarus Group 可能是 Bitget 被盗事件的幕后攻击者。本次事件与今年 7 月发生的 AFX 攻击存在关联，后者造成约 2400 万美元损失，并被归因于 Lazarus Group 关联的 TraderTraitor。 Bitget 被盗的 XRP 经过跨链后，相关资金路径可直接关联至 AFX 攻击中的被盗资金。

ChainCatcher 消息，Bitget CEO Gracy Chen 在平台安全事件直播问答中表示，初步调查发现，部分相关 IP 地址与某个朝鲜黑客组织使用的 VPN 服务相吻合，攻击模式也与朝鲜黑客此前的行动相似，因此不排除该组织参与此次涉及约 3.516 亿美元的攻击。相关归因仍处于初步调查阶段。 Gracy Chen 表示，Bitget 目前不认为此次事件属于内部人员作案。攻击者直接入侵平台系统并转移资金，并未伪造用户提币请求，也没有取得冷钱包、热钱包的私钥。调查人员仍在确认具体受影响的系统以及攻击者的入侵方式。

ChainCatcher 消息，朝鲜黑客组织 WaterPlum 伪装加密货币、AI 及 NFT 公司招聘人员，向软件开发者和 IT 从业者投放伪装成编程任务或视频会议修复文件的恶意软件。该组织已在 100 多个国家感染至少 3 万台设备，并于 2025 年 12 月至 2026 年 7 月从逾 7000 个加密货币钱包提取资金或账户凭证，至少盗取 1070 万美元。

ChainCatcher 消息，据 Forbes 报道，由美国联邦调查局（FBI）和日本警察厅（NPA）在内的多国机构联合发布的预警显示，朝鲜关联黑客组织 WaterPlum（又称 Contagious Interview）自 2025 年 12 月至 2026 年 7 月，通过伪装成 AI、加密货币或 NFT 领域的公司提供虚假职位，对全球 IT 开发者发起攻击。攻击者在社交媒体、招聘平台接触求职者，以技术面试或编程测试为由，诱使下载恶意文件，成功感染超 3 万台设备，覆盖 100 多个国家和地区，并从超过 7000 个加密钱包中窃取数据。相关资金至少 1071 万美元流入攻击者控制的钱包。

ChainCatcher 消息，据日本警察厅联合 FBI、ASD/ACSC、BND 及 BfV 发布警报，北朝鲜背景网络攻击组织 “WaterPlum”（又名 Contagious Interview）以求职者为目标，伪装成 AI、加密资产及 NFT 企业发布虚假招聘信息，诱导求职者下载含 BeaverTail、InvisibleFerret、OtterCookie 等恶意软件的 NPM 包，进而窃取加密资产钱包信息及机密数据。截至 2026 年 7 月，该组织已在全球 100 余个国家和地区感染逾 3 万台设备，窃取 7000 余件加密资产钱包信息，其控制的钱包累计收到至少约 17 亿日元（约 1071 万美元）加密资产。日本警察厅首次在国内发现并捣毁由本土 “支援者” 设立的 “笔记本农场”，北朝鲜 IT 劳工通过远程操控支援者住所内的 PC 承接业务，相关涉案金额达数亿日元。警察厅与 FBI 评估，WaterPlum 及部分北朝鲜 IT 劳工均受朝鲜劳动党中央委员会军需工业部 313 总局统一指挥，所获收益直接流入北朝鲜国家资金池。警方提醒 IT 技术者及企业发注方提高警惕，避免在未经核实的环境中执行第三方代码。

ChainCatcher 消息，据 Cointelegraph 报道，Chainalysis 报告显示，过去 12 个月攻击者在公共区块链上存储恶意软件指令或基础设施信息的次数激增 420%，国家背景黑客每季度贡献约三分之二的新增活动。Chainalysis 将此前未归因的 Tron、Aptos 与 BNB Smart Chain 活动关联至朝鲜背景组织 UNC5342。 报告指出，Tron 与 Aptos 交易中的编码指针将受感染设备导向同一笔 BSC 交易，其中包含加密的服务器地址与配置数据，用于连接远程访问和数据窃取基础设施。公共区块链上的信息在域名、服务器或代码仓库被关闭后仍可访问，提升了恶意软件活动的持久性。2025 年朝鲜黑客曾使用类似技术 EtherHiding 将窃币代码植入智能合约。 此外，自 2025 年 7 月以来恶意区块链写入量增长 440%，当时高容量开源中国 AI 模型开始具备生成恶意代码的能力。Chainalysis 网络犯罪研究负责人 Eric Jardine 表示发现明确的时间点关联，但无法证明攻击者使用了这些模型。 Chainalysis 还识别出疑似与伊朗情报部有关联的威胁行为者，将编码命令与控制路由数据写入比特币区块链，并向与中本聪有历史关联的知名地址发送小额付款，该地址与攻击者无关，仅作为受感染设备获取更新指令的永久公共位置。

ChainCatcher 消息，据 NBC 报道，朝鲜正在利用来自伊朗、黎巴嫩等第三国的远程 IT 员工，协助其渗透美国企业并获取资金以资助武器计划。美国及多个外国机构在 7 月发布的警报指出，朝鲜 IT 员工“寻求签订合同，意图将工资汇回朝鲜相关机构”，同时对企业构成内部威胁，涉及数据外泄、加密货币盗窃及敏感信息窃取。随着美国等国政府加大反制力度，朝鲜越来越多地借助第三国 IT 员工通过求职面试，在获得工作合同后，相关职位通常由朝鲜特工接管。报道称，这些外国 IT 员工在 LinkedIn 上被物色，部分人每月可获得约 500 美元的加密货币，以兼职担任“面试协助者”。Cointelegraph 5 月援引网络安全公司 CrowdStrike 的数据报道，朝鲜国家关联黑客及威胁行为者在 2025 年造成的加密货币损失超过 20 亿美元，同比增长 51%。韩国央行估计，尽管面临全球制裁，朝鲜 2025 年 GDP 仍增长 3.5%。

ChainCatcher 消息，据韩联社报道，美国华盛顿特区联邦法院下令没收一个涉朝鲜海外 IT 劳工洗钱的钱包资产，包括 158,123 USDC 和 54,574 USDT，总值约 21.27 万美元。美国司法部正寻求没收合计 774 万美元的朝鲜相关加密资产。

ChainCatcher 消息，据 Arkham 区块链数据显示，与朝鲜国家支持的黑客组织 Lazarus Group 相关的钱包在过去三周内于去中心化永续合约交易平台 Hyperliquid 上出售了超过 3000 万美元的比特币，并将所得资金用于购买以太坊和 Solana，随后转移至 Kraken、LBank 和 KuCoin 等中心化交易所。Kraken 回应称其维持行业领先的合规计划，持续监控链上活动以识别并阻止受制裁钱包相关资产；LBank 与 KuCoin 则表示相关风险属于行业整体面临的持续挑战，并强调公开链上数据未必能反映平台层面的合规措施。此事发生之际，特朗普政府正探索将 Hyperliquid 纳入受监管的美国金融体系。特朗普在本月早些时候的白宫活动中表示，美国商品期货交易委员会主席 Mike Selig 正在制定一条以完全合规合法方式将 Hyperliquid 引入美国的路径。据彭博社报道，Kraken 母公司 Payward 正与 Hyperliquid Labs 就向美国交易者提供永续合约进行深入谈判。Hyperliquid 是去中心化永续合约领域的主导平台，用户可直接连接加密钱包交易而无需传统经纪账户或 KYC 检查。据 DefiLlama 数据，其累计永续合约交易量已超过 5 万亿美元，当前未平仓合约约 133 亿美元。

ChainCatcher 消息，据 Cryptopolitan 报道，攻击者通过供应链攻击发布了三个广泛使用的 Rust 代码包恶意版本，其中名为 arrayref 的库被约四分之三的 Rust 开发环境使用。恶意更新隐藏了一个后门，可在用户编译项目时自动窃取登录信息，编译过受影响版本的用户可能已暴露电脑和密钥。Wiz 研究人员指出，arrayref 攻击的命令与控制路径与朝鲜黑客组织 Sapphire Sleet 和 UNC1069 使用的 Mastra 行动重叠，IP 地址共享同一安全证书且使用同一托管商 Hostwinds。攻击者仅新增了拼写错误的 proc-macro1 依赖，模仿流行的 proc-macro2，未修改原有代码，使其通过测试和构建。攻击在发布 86 分钟后被删除，但已被大量下载。受影响包在 Solana 和 Ethereum 工具中广泛使用。Rust 团队认为维护者非恶意行为，其设备或凭证可能遭入侵。

ChainCatcher 消息，据 Cointelegraph 报道，网络安全公司 BCA LTD 创始人 Mauro Eldritch 与 Telefónica Tech 网络威胁情报分析师 Heiner García 联合搭建虚假加密初创公司 “Ballena Azul”，成功诱使疑似朝鲜 IT 工人在受控虚拟桌面环境中工作长达五周，并全程监控其行为。调查显示，相关工人使用的外部服务器与此前分发 InvisibleFerret、BeaverTail 及 OtterCookie 等恶意软件的朝鲜网络行动基础设施存在关联；工人还大量依赖 ChatGPT 辅助编程、Google Gemini 伪造身份文件。研究人员指出，朝鲜 IT 工人通过伪造美国身份获取远程工作，所得薪资最终流向平壤政权的大规模杀伤性武器项目，美国财政部数据显示，此类计划 2024 年为朝鲜创收近 8 亿美元。

ChainCatcher 消息，据 Bitcoin.com 报道，网络安全公司 Genians Security Center 发布分析报告称，朝鲜侦察总局下属黑客组织 Kimsuky 正在构建并测试一套以 AI 为核心的网络攻击工具体系。研究人员在其基础设施中发现了 Ollama、GPT4All、Msty 三个本地 AI 平台的部署痕迹，以及 Microsoft Semantic Kernel、LLaMaSharp 等 AI 开发框架组件，表明该组织正在系统性开发专用 AI 攻击工具，而非仅作临时性尝试。自 2026 年初起，Kimsuky 已将生成式 AI 制作的高质量文档用于针对虚拟资产、金融投资及游戏开发领域的鱼叉式网络钓鱼攻击，AI 生成的专业文档大幅降低了传统识别钓鱼邮件的有效性。攻击载体为伪装成合法文档的 ZIP 压缩包，内含恶意 LNK 文件，触发后可在后台静默执行 PowerShell 命令。

ChainCatcher 消息，加密货币交易所 Bybit 已向美国哥伦比亚特区联邦地区法院提起民事诉讼，起诉朝鲜、朝鲜侦察总局及黑客组织 Lazarus Group，案件涉及 2025 年 2 月约 15 亿美元被盗事件。Bybit 表示，法官已批准初步禁令，禁止案件审理期间转移或处置已识别的被盗资产，并认为 Bybit 在实体问题上胜诉可能性较高。 诉讼还将持有或转移相关资金的未知个人及实体列为 John Doe 被告。Bybit 披露，约 4840 万美元已追回，约 3050 万美元已在 28 家以上交易所及托管机构被冻结，两者合计约占被盗金额 5%。攻击者于 2025 年 2 月从 Bybit 冷钱包转出约 50 万枚 ETH，多数资金随后经 Thorchain 兑换为比特币并通过混币服务转移。Bybit 表示，案件与刑事调查并行推进。

ChainCatcher 消息，加密货币交易所 Bybit 已对朝鲜民主主义人民共和国、其情报机构 Reconnaissance General Bureau（RGB）及受国家制裁的黑客组织 Lazarus Group 提起民事诉讼，涉及一宗价值 15 亿美元的黑客攻击事件。 美国联邦法院发布初步禁令，禁止在诉讼期间转移或消散与该案有关的已识别资产。