黑客组织

ChainCatcher 消息，据 Lookonchain 监测，黑客组织 Lazarus Group 在过去 2 小时内以均价 2499 美元卖出 911 枚 ETH（228 万美元）。

ChainCatcher 消息，据 ZEIT 报道，柏林市政府两周前遭受网络攻击后，黑客组织疑似以窃取的数据实施勒索。据《明镜》报道，攻击者疑为活跃多年的 Rhysida 黑客组织，要求支付 30 枚比特币（约合 200 万欧元），并威胁公开数据。涉及敏感信息可能包括违章处理记录和密码等。柏林州政府迄今未确认数据泄露范围，也未回应勒索金额和攻击者身份，称“出于侦查策略原因”暂不表态。柏林市长 Kai Wegner 明确表示，柏林不会屈服于勒索。受影响的主要是交通和建设管理部门，事件发生后曾暂时与州政府网络隔离。

ChainCatcher 消息，据链上分析师 Ai 姨监测，黑客组织 Lazarus Group 2 小时前将 262.2 枚 BTC 转移至新地址，价值 1,664 万美元，或计划进行清洗。 目前，该组织在链上仍持有价值超过 7,306 万美元的资产，主要包括 BTC、USDT 和 ETH。

ChainCatcher 消息，据 Bitcoin.com 报道，网络安全公司 Genians Security Center 发布分析报告称，朝鲜侦察总局下属黑客组织 Kimsuky 正在构建并测试一套以 AI 为核心的网络攻击工具体系。研究人员在其基础设施中发现了 Ollama、GPT4All、Msty 三个本地 AI 平台的部署痕迹，以及 Microsoft Semantic Kernel、LLaMaSharp 等 AI 开发框架组件，表明该组织正在系统性开发专用 AI 攻击工具，而非仅作临时性尝试。自 2026 年初起，Kimsuky 已将生成式 AI 制作的高质量文档用于针对虚拟资产、金融投资及游戏开发领域的鱼叉式网络钓鱼攻击，AI 生成的专业文档大幅降低了传统识别钓鱼邮件的有效性。攻击载体为伪装成合法文档的 ZIP 压缩包，内含恶意 LNK 文件，触发后可在后台静默执行 PowerShell 命令。

ChainCatcher 消息，据 Crypto.news 报道，与朝鲜有关联的黑客组织 BlueNoroff 利用虚假的 Zoom 和 Microsoft Teams 会议来分析加密货币用户，然后再投放恶意软件。黑客先控制受害者信任的加密行业联系人账号，然后通过 Calendly 等发送看似正常的会议链接，指向假冒 Zoom/Teams 域名。用户进入假会议页面后，页面悄悄扫描浏览器中的钱包，根据钱包价值决定是否继续攻击。假会议中会要求“更新 Zoom/Teams”或运行命令，实际下载恶意软件（支持 Windows 和 macOS）。恶意软件会窃取浏览器密钥、系统数据和 Telegram 会话。

ChainCatcher 消息，据韩国媒体 Daily NK 报道，朝鲜当局于 7 月 12 日逮捕了一个精英黑客团伙，该团伙涉嫌入侵朝鲜央行和外贸银行内部网络，窃取国家贸易资金并通过加密货币洗钱。消息人士称，团伙头目为朝鲜侦察总局下属网络战部队的退伍军人，招募了金策工业大学和平壤科技大学的天才 IT 毕业生，利用加密通信和无线设备作案。他们将被盗资金小额拆分后转入海外加密钱包，通过中间人兑换现金，再经边境地区换为美元等资金。平壤官员发现外币支付审批异常和海外 IP 访问记录后展开调查，最终突袭安全屋逮捕了正在洗钱的嫌疑人，缴获数十万美元设备。该案已在平壤精英和军方圈层引发震动，侦察总局和科技教育界高层担心被牵连。朝鲜此前长期被指控通过 Lazarus Group 等黑客组织盗取数十亿美元加密资产，但此次事件罕见显示其本国金融系统也成为内部攻击目标。

ChainCatcher 消息，据 Financefeeds 报道，美国司法部公布对 19 岁美爱双重国籍人士 Peter Stokes 的刑事指控，后者被指为网络犯罪组织 “Scattered Spider” 成员，并已由芬兰引渡至美国。

ChainCatcher 消息，据 Cryptopolitan 报道，网络安全分析师发现了一种名为 RemotePE 的新型无文件远程访问木马 (RAT)。据信与朝鲜有关联的网络犯罪组织 Lazarus Group 正在利用该木马攻击银行和加密货币公司。该木马完全在内存中运行，传统杀毒和取证工具难以检测。攻击者通过 Telegram 冒充交易公司员工，使用伪造的 Calendly 和 Picktime 链接进行社交工程攻击。恶意软件通过 DPAPILoader、RemotePELoader 和 RemotePE 三个阶段链式加载，整个过程不接触文件系统，利用进程挖空、反分析检查和加密 C2 通信规避检测。该恶意软件于 2025 年 9 月首次被发现。2026 年前四个月，Lazarus 组织已窃取约 5.77 亿美元加密资产，占全球加密盗窃总额的 76%。自 2017 年以来，该组织累计窃取金额已达 60 亿美元。

ChainCatcher 消息，据 GoPlus 监测，黑客组织 TeamPCP 声称已拿到 GitHub 内部约 4000 个私有仓库中的源代码，并在地下论坛上标价 5 万美元进行出售，并支持样本验证。如果没人买，后续可能会免费公开这批数据。此前消息，GitHub 官方确认正在调查此次的“内部仓库的未经授权访问”问题，疑似 GitHub 员工设备上安装了恶意 VS Code/AI Coding 插件。

ChainCatcher 消息，据 OpenSourceMalware 研究，朝鲜黑客组织 Lazarus 在 “传染性面试” 和 “TaskJacker” 等针对开发者的恶意活动中采用了新手法，将第二阶段加载器隐藏在 Git Hooks 的 pre-commit 脚本中。“传染性面试”是该组织通过伪造加密货币/DeFi 领域招聘流程，诱使开发者克隆恶意代码仓库的系列攻击活动，最终窃取加密资产和凭证。研究员建议，被要求克隆代码仓库作为面试流程一部分的开发者，应警惕此类风险，最好在隔离环境中运行，避免挂载个人浏览器配置、SSH 密钥和加密钱包。

ChainCatcher 消息，据网络安全公司 Expel 研究报告披露，其正追踪一个被高度评估为朝鲜（DPRK）国家支持的 APT 组织“HexagonalRodent”，该组织以 Web3 开发者为主要目标，专门窃取加密货币与 NFT 等高价值数字资产。该组织主要通过伪造招聘信息实施攻击——在 LinkedIn 及 Web3 招聘平台发布高薪职位，诱导求职者完成内嵌恶意代码的“技能测试”，利用 VSCode 的 tasks.json 功能在受害者打开项目文件夹时自动执行恶意程序。所使用的恶意软件包括 BeaverTail、OtterCookie 和 InvisibleFerret，具备密码窃取、远程控制及反向 Shell 等功能。值得关注的是，该组织大量借助 ChatGPT、Cursor 等生成式 AI 工具开发恶意软件、构建虚假公司网站及 AI 生成的高管团队，甚至在墨西哥注册了空壳企业以提升攻击可信度。此外，该组织近期首次实施供应链攻击，成功入侵 VSCode 扩展。

ChainCatcher 消息，据 CoinDesk 报道，区块链分析公司 Elliptic 表示，Drift Protocol 遭攻击事件损失 2.85 亿美元，“多个迹象”指向朝鲜支持的 DPRK 黑客组织。Elliptic 重点分析了链上行为、洗钱手法及网络层面信号，均与此前的国家关联攻击相吻合。Elliptic 报告指出：“若得到确认，这将是 Elliptic 今年追踪的第 18 起 DPRK 攻击行动，迄今共盗取逾 3 亿美元。”技术层面，Elliptic 分析将此次攻击描述为“有预谋、精心布局”，在主要攻击前已有早期测试交易和预先布置的钱包。攻击执行后，资金被迅速整合并通过跨链转移，转换为流动性更高的资产，形成了一套有组织、可重复的洗钱流程，旨在混淆资金来源同时保持控制权。此次事件涉及超过十种资产类型，资金从 Solana 跨链转移至以太坊及其他链，进一步凸显了跨链溯源能力的重要性。Drift Protocol 是 Solana 区块链上最大的去中心化永续合约交易平台，其代币自遭黑客攻击以来已下跌逾 40% 至约 0.06 美元。

ChainCatcher 消息，安全研究机构 Ctrl-Alt-Intel 披露，一组疑似与朝鲜有关的黑客针对质押平台、交易所软件供应商及加密交易所发起攻击。 攻击者利用 React2Shell 漏洞（CVE-2025-55182）及已获取的 AWS 访问凭证入侵云环境，枚举 S3、EC2、RDS、EKS、ECR 等资源，并从 Secrets Manager、Terraform 文件、Kubernetes 配置及 Docker 容器中提取密钥和凭证。研究人员称，攻击者下载 5 个 Docker 镜像并窃取源代码，其中包括 ChainUp 客户相关软件组件。 攻击基础设施涉及韩国服务器 64.176.226[.]36 及域名 itemnania[.]com。报告称该活动与朝鲜相关攻击特征一致，但归因置信度为中等，AWS 凭证来源未明确。

ChainCatcher 消息，据 Cointelegraph 报道，隶属于 Google Cloud 的美国网络安全公司 Mandiant 发现朝鲜关联威胁组织正在加大针对加密货币和金融科技公司的社会工程攻击。 该威胁组织（代号 UNC1069）部署了七个恶意软件集合，包括新发现的 SILENCELIFT、DEEPBREATH 和 CHROMEPUSH，旨在获取敏感数据并窃取数字资产。攻击者利用被入侵的 Telegram 账户和通过人工智能生成的深度伪造视频进行虚假 Zoom 会议诱骗。 自 2018 年以来，Mandiant 一直追踪该组织，但人工智能的进步帮助该组织自 2025 年 11 月起扩大了恶意活动规模。在一起入侵事件中，攻击者使用被盗的加密货币创始人 Telegram 账户发起联系，通过所谓的 ClickFix 攻击诱导受害者执行含有隐藏命令的“故障排除”指令。

ChainCatcher 消息，AhnLab 发布的《2025 网络威胁趋势与 2026 安全展望》报告显示，朝鲜背景黑客组织 Lazarus 在过去 12 个月被点名次数最多，其主要利用“鱼叉式（定向）钓鱼”实施攻击，常伪装成讲座邀请、面试请求等邮件诱导目标开载。报告称，Lazarus 被认为是多起重大攻击的主要嫌疑人，包括今年 2 月 21 日的 Bybit 遭黑事件（损失 14 亿美元）以及近期韩国交易所 Upbit 遭遇的 3000 万美元漏洞攻击。 AhnLab 表示，为提高安全性，企业需建立多层防护体系，包括定期安全审计、及时更新补丁及加强员工教育。该公司并建议个人用户使用多因子认证、谨慎处理未知链接与附件、避免过度暴露个人信息，同时仅从官方渠道下载内容。AhnLab 指出，随着 AI 应用的普及，攻击者将更易生成难以分辨的钓鱼邮件、伪装页面与深度伪造内容，未来相关威胁可能进一步复杂化。（Cointelegraph）

ChainCatcher 消息，据韩联社报道，韩国虚拟资产交易所 Upbit 遭遇黑客攻击，价值 445 亿韩元的虚拟资产被盗。目前，朝鲜侦察总局旗下的黑客组织 Lazarus Group 被高度怀疑是此次事件的幕后黑手。 当地时间，韩联社从信息通信技术（ICT）行业及韩国政府相关部门获悉，鉴于朝鲜侦察总局下属黑客组织 Lazarus Group 有较大作案嫌疑，当局正在对 Upbit 开展现场检查工作。该黑客组织曾被指参与 2019 年 Upbit 价值 580 亿韩元以太坊的盗窃案。政府相关人士称：“此次攻击不太可能是针对服务器的，更有可能的情况是窃取了管理员账户，或者伪装成管理员进行资金转账。”他还表示：“就目前掌握的情况来看，6 年前黑客就是采用这种方式实施攻击的，所以推测此次也是同样的作案方式。”。

ChainCatcher 消息，安全研究人员发现朝鲜黑客组织 KONNI 开发了一种新型攻击手法，首次利用 Google 的 Find Hub 资产追踪功能对 Android 设备实施远程数据擦除攻击。 攻击者通过伪装成心理咨询师和人权活动家，在韩国 KakaoTalk 通讯平台分发名为"减压程序"的恶意软件。一旦受害者执行这些文件，攻击者会窃取 Google 账户凭据，利用 Find Hub 功能跟踪设备位置并执行远程重置，导致个人数据被删除。 此次攻击被确认为 KONNI APT 活动的后续行动，该组织与朝鲜政府支持的 Kimsuky 和 APT 37 有密切关联。安全专家建议用户加强账户安全，启用双因素认证，并对通过即时通讯工具接收的文件保持警惕。

ChainCatcher 消息，国家计算机病毒应急处理中心发布 LuBian 矿池遭黑客攻击被窃取巨额比特币事件技术溯源分析报告，其中指出：LuBian 矿池发生一起重大黑客攻击事件，总计 127272.06953176 枚比特币（当时市值约 35 亿美元，现市值已达 150 亿美元）被攻击者窃取，这批巨额比特币的持有者正是柬埔寨太子集团主席陈志。 黑客攻击事件发生后，存放于攻击者控制的比特币钱包地址中沉寂长达 4 年之久，几乎分文未动，这显然不符合一般黑客急于变现追逐利益的行为，更像是一场由“国家级黑客组织”操盘的精准行动。直到 2024 年 6 月，这批被盗比特币才再次被转移到新的比特币钱包地址中，至今未动。2025 年 10 月 14 日，美国司法部宣布对陈志提起刑事指控，并称没收陈志及其太子集团的 12.7 万枚比特币。 种种证据表明，美国政府没收的陈志及其太子集团的这批巨额比特币正是早在 2020 年就已经被黑客攻击者利用技术手段窃取的 LuBian 矿池比特币。 也就是说，美国政府或早在 2020 年就已经通过黑客技术手段窃取了陈志持有的 12.7 万枚比特币，这是一起典型的国家级黑客组织操盘的“黑吃黑”事件。LuBian 矿池 2020 年遭黑客攻击事件的影响深远，导致矿池实际解散，损失相当于当时总资产的 90% 以上，而被盗比特币现值已升至 150 亿美元，凸显价格波动放大风险。

ChainCatcher 消息，据 Cryptopolitan 报道，英国警方逮捕了一名与 Scattered Spider 黑客组织有关的青少年。该组织被指控从超过 100 个组织中勒索超 1.15 亿美元赎金。被捕的 19 岁嫌疑人 Thalha Jubair 涉嫌参与约 120 起网络入侵事件。据法庭文件显示，该组织在 2022 年 5 月至今实施了多起勒索攻击，其中 5 起受害公司支付了约 8950 万美元赎金。美国联邦调查局（FBI）表示已从 Jubair 控制的服务器钱包中缴获了 3600 万美元数字资产。调查显示，Jubair 因使用勒索所得购买游戏礼品卡和外卖而暴露踪迹。该组织此前通过 SIM 卡盗用和社会工程攻击手段实施犯罪，受害者包括美国联邦法院系统在内的多个重要机构。

ChainCatcher 消息，EurekaTrading 创始人 Kuan Sun 发推回顾其因钓鱼攻击险些丢失 1,300 万美元：2025 年 9 月 2 日，其钱包中约 1,300 万美元资产险些被 Lazarus 黑客组织盗走，安全团队紧急出手，最终追回资金。 起因是一次看似正常的 Zoom 会议邀请，实际上为精心布置的钓鱼陷阱。黑客利用“半熟人”关系、deepfake 视频及伪造 Rabby 插件，针对受害者 Venus 仓位量身定制攻击。在误信假插件操作下执行 withdraw，资产面临被连带负债转走的风险。PeckShield、SlowMist、Venus 及多支安全团队迅速响应，暂停协议并排查风险，最终阻止了资金被盗。硬件钱包并非万能，插件和前端被劫持仍有风险；Zoom 链接、升级弹窗、半熟人关系均可能成为攻击入口。