lazarus

ChainCatcher 消息，“链上侦探” ZachXBT 发文称，其曾伪装成客户渗透一个涉嫌为朝鲜背景黑客组织 Lazarus Group 洗钱的犯罪团伙，并协助冻结 2025 年 Bybit 攻击事件相关资金。 ZachXBT 表示，2025 年 2 月 Bybit 遭遇价值 15 亿美元攻击后，他发现 Telegram 和 Discord 公开群组中有超过 15 个账户寻求帮助处理与被盗资金相关的交易。随后，他联系其中一名使用 “Jimmy Green” 别名的 Telegram 用户，并通过多笔交易建立信任。 据其披露，2025 年 3 月 6 日，他向一个以太坊地址转入 349.7 万美元 USDC，用于与对方进行 USDC 与 TRON 链 USDT 兑换交易。该地址的 Gas 资金来源可追溯至 Bybit 攻击资金，并被公开标记为 Bybit 攻击黑名单地址。 ZachXBT 称，后续交流中，对方透露其团队曾参与处理 Bybit 被盗资金，并提前透露资金将在 Solana 等链上转移。通过交易时间、金额及链上数据匹配，他发现一个涉及超过 1,200 万美元 Bybit 攻击资金的钱包集群，资金路径包括 BTC→ETH→SOL→TRON 等多个网络，其中约 44.2 万枚 USDT 已被 Tether 冻结，该团伙还尝试通过 Uniswap 流动性池和低流动性代币等方式进行洗钱。 此外，对方还透露曾帮助其他客户处理约 300 万美元诈骗所得资金，ZachXBT 追踪发现相关资金流向已被制裁的 Huione Guarantee 相关钱包。 ZachXBT 透露，此次调查中他先行投入 349.7 万美元资金，并承担每笔交易约 5% 的损失风险，最终获得的情报已第一时间提供给相关调查机构和执法部门。自 2022 年以来已协助冻结与朝鲜相关事件有关资金超过 7,500 万美元。

ChainCatcher 消息，据派盾监测，NEAR Intents 攻击者已将盗取的资金转移至 Kucoin，并桥接到 BTC。攻击者地址已与一个标记为朝鲜 LazarusGroup 的地址（0x098B7...E2f96）进行交互。

ChainCatcher 消息，据链上侦探 Specter 监测，其通过追踪链上资金流，朝鲜黑客组织 Lazarus Group 可能是 Bitget 被盗事件的幕后攻击者。本次事件与今年 7 月发生的 AFX 攻击存在关联，后者造成约 2400 万美元损失，并被归因于 Lazarus Group 关联的 TraderTraitor。 Bitget 被盗的 XRP 经过跨链后，相关资金路径可直接关联至 AFX 攻击中的被盗资金。

ChainCatcher 消息，据 Lookonchain 监测，黑客组织 Lazarus Group 在过去 2 小时内以均价 2499 美元卖出 911 枚 ETH（228 万美元）。

ChainCatcher 消息，据 Lookonchain 监测，Lazarus Group 黑客转移了 244.148 枚 Bitcoin，价值 1942 万美元。

ChainCatcher 消息，据链上分析师 Ai 姨监测，黑客组织 Lazarus Group 2 小时前将 262.2 枚 BTC 转移至新地址，价值 1,664 万美元，或计划进行清洗。 目前，该组织在链上仍持有价值超过 7,306 万美元的资产，主要包括 BTC、USDT 和 ETH。

ChainCatcher 消息，加密货币交易所 Bybit 已向美国哥伦比亚特区联邦地区法院提起民事诉讼，起诉朝鲜、朝鲜侦察总局及黑客组织 Lazarus Group，案件涉及 2025 年 2 月约 15 亿美元被盗事件。Bybit 表示，法官已批准初步禁令，禁止案件审理期间转移或处置已识别的被盗资产，并认为 Bybit 在实体问题上胜诉可能性较高。 诉讼还将持有或转移相关资金的未知个人及实体列为 John Doe 被告。Bybit 披露，约 4840 万美元已追回，约 3050 万美元已在 28 家以上交易所及托管机构被冻结，两者合计约占被盗金额 5%。攻击者于 2025 年 2 月从 Bybit 冷钱包转出约 50 万枚 ETH，多数资金随后经 Thorchain 兑换为比特币并通过混币服务转移。Bybit 表示，案件与刑事调查并行推进。

ChainCatcher 消息，加密货币交易所 Bybit 已对朝鲜民主主义人民共和国、其情报机构 Reconnaissance General Bureau（RGB）及受国家制裁的黑客组织 Lazarus Group 提起民事诉讼，涉及一宗价值 15 亿美元的黑客攻击事件。 美国联邦法院发布初步禁令，禁止在诉讼期间转移或消散与该案有关的已识别资产。

ChainCatcher 消息，据 Lookonchain 监测，Lazarus Group 黑客在一小时前转移了 121.5 枚 BTC（774 万美元）

ChainCatcher 消息，据 Bitcoin.com 报道，美国参议员 Cynthia Lummis 力推 CLARITY 法案在国会休会前完成参议院投票。该法案第 303 条赋予财政部对外国司法管辖区实施数字资产专项制裁的权力，第 305 条允许交易所对可疑交易实施最长 180 天的冻结。链上数据显示，北韩 Lazarus Group 2026 年上半年共盗取约 6.43 亿美元，占全球同期加密被盗总额（9.72 亿美元）的三分之二，其中包括 4 月对 Drift Protocol 的 2.85 亿美元攻击及对 KelpDAO 跨链桥的 2.92 亿美元攻击。该组织自 2019 年以来累计盗窃额已达 67.5 亿美元。目前，Galaxy Research 将 CLARITY 法案 2026 年内通过的概率下调至 30%，该法案尚需获得 60 票方可推进，意味着至少需要 7 名民主党议员跨党投票支持。

ChainCatcher 消息，据 Cryptopolitan 报道，网络安全分析师发现了一种名为 RemotePE 的新型无文件远程访问木马 (RAT)。据信与朝鲜有关联的网络犯罪组织 Lazarus Group 正在利用该木马攻击银行和加密货币公司。该木马完全在内存中运行，传统杀毒和取证工具难以检测。攻击者通过 Telegram 冒充交易公司员工，使用伪造的 Calendly 和 Picktime 链接进行社交工程攻击。恶意软件通过 DPAPILoader、RemotePELoader 和 RemotePE 三个阶段链式加载，整个过程不接触文件系统，利用进程挖空、反分析检查和加密 C2 通信规避检测。该恶意软件于 2025 年 9 月首次被发现。2026 年前四个月，Lazarus 组织已窃取约 5.77 亿美元加密资产，占全球加密盗窃总额的 76%。自 2017 年以来，该组织累计窃取金额已达 60 亿美元。

ChainCatcher 消息，据 OpenSourceMalware 研究，朝鲜黑客组织 Lazarus 在 “传染性面试” 和 “TaskJacker” 等针对开发者的恶意活动中采用了新手法，将第二阶段加载器隐藏在 Git Hooks 的 pre-commit 脚本中。“传染性面试”是该组织通过伪造加密货币/DeFi 领域招聘流程，诱使开发者克隆恶意代码仓库的系列攻击活动，最终窃取加密资产和凭证。研究员建议，被要求克隆代码仓库作为面试流程一部分的开发者，应警惕此类风险，最好在隔离环境中运行，避免挂载个人浏览器配置、SSH 密钥和加密钱包。

ChainCatcher 消息，据 CoinDesk 报道，据 CertiK 监测，Lazarus 集团正在针对金融科技及加密货币行业高管开展名为 Mach-O Man 的攻击行动。该操作利用 ClickFix 社交工程技术，通过发送虚假在线会议邀请，诱导受害者在 Mac 终端粘贴修复指令，从而获取公司及财务系统访问权限。 CertiK 研究员 Natalie Newson 表示，Lazarus Group 过去两周通过 Drift 和 KelpDAO 攻击已窃取超 5 亿美元。Mach-O Man 是由 Lazarus Group 下属 Chollima 部门开发的模块化 macOS 恶意软件工具包，能够在使用后自动删除以规避检测。 此外，已有攻击者通过劫持 DeFi 项目域名并替换为虚假 Cloudflare 消息的方式实施该攻击。

ChainCatcher 消息，AhnLab 发布的《2025 网络威胁趋势与 2026 安全展望》报告显示，朝鲜背景黑客组织 Lazarus 在过去 12 个月被点名次数最多，其主要利用“鱼叉式（定向）钓鱼”实施攻击，常伪装成讲座邀请、面试请求等邮件诱导目标开载。报告称，Lazarus 被认为是多起重大攻击的主要嫌疑人，包括今年 2 月 21 日的 Bybit 遭黑事件（损失 14 亿美元）以及近期韩国交易所 Upbit 遭遇的 3000 万美元漏洞攻击。 AhnLab 表示，为提高安全性，企业需建立多层防护体系，包括定期安全审计、及时更新补丁及加强员工教育。该公司并建议个人用户使用多因子认证、谨慎处理未知链接与附件、避免过度暴露个人信息，同时仅从官方渠道下载内容。AhnLab 指出，随着 AI 应用的普及，攻击者将更易生成难以分辨的钓鱼邮件、伪装页面与深度伪造内容，未来相关威胁可能进一步复杂化。（Cointelegraph）

ChainCatcher 消息，针对 Upbit 遭遇约 445 亿韩元（约 3600 万美元）加密资产被盗一事，CryptoQuant CEO Ki Young Ju 今日发文指出，Upbit 所披露的攻击方式“几乎不可能由普通黑客完成”。 Upbit 此前表示，攻击者可能通过分析用户钱包地址模式来“推断私钥”。Ki Young Ju 直言，这类攻击技术难度极高，若情况属实，“我怀疑除了朝鲜 Lazarus，没有任何黑客组织能做到这一点”。

ChainCatcher 消息，据韩联社报道，韩国虚拟资产交易所 Upbit 遭遇黑客攻击，价值 445 亿韩元的虚拟资产被盗。目前，朝鲜侦察总局旗下的黑客组织 Lazarus Group 被高度怀疑是此次事件的幕后黑手。 当地时间，韩联社从信息通信技术（ICT）行业及韩国政府相关部门获悉，鉴于朝鲜侦察总局下属黑客组织 Lazarus Group 有较大作案嫌疑，当局正在对 Upbit 开展现场检查工作。该黑客组织曾被指参与 2019 年 Upbit 价值 580 亿韩元以太坊的盗窃案。政府相关人士称：“此次攻击不太可能是针对服务器的，更有可能的情况是窃取了管理员账户，或者伪装成管理员进行资金转账。”他还表示：“就目前掌握的情况来看，6 年前黑客就是采用这种方式实施攻击的，所以推测此次也是同样的作案方式。”。

ChainCatcher 消息，EurekaTrading 创始人 Kuan Sun 发推回顾其因钓鱼攻击险些丢失 1,300 万美元：2025 年 9 月 2 日，其钱包中约 1,300 万美元资产险些被 Lazarus 黑客组织盗走，安全团队紧急出手，最终追回资金。 起因是一次看似正常的 Zoom 会议邀请，实际上为精心布置的钓鱼陷阱。黑客利用“半熟人”关系、deepfake 视频及伪造 Rabby 插件，针对受害者 Venus 仓位量身定制攻击。在误信假插件操作下执行 withdraw，资产面临被连带负债转走的风险。PeckShield、SlowMist、Venus 及多支安全团队迅速响应，暂停协议并排查风险，最终阻止了资金被盗。硬件钱包并非万能，插件和前端被劫持仍有风险；Zoom 链接、升级弹窗、半熟人关系均可能成为攻击入口。

ChainCatcher 消息，据 The Telegraph 报道，英国注册加密货币平台 Lykke 因被黑客盗取约 1700 万英镑（约2280万美元）比特币及以太坊，被迫停运并于今年 3 月清算。英国财政部下属 OFSI 报告称，黑客来自朝鲜 Lazarus 组织，资金被用于军事和核项目。Lykke 创始人 Richard Olsen 已被宣布破产，案件仍在调查中。

ChainCatcher 消息，据链上侦探 ZachXBT 监测，某用户疑似于 5 月 16 日遭朝鲜黑客组织 Lazarus Group 攻击，损失约 320 万美元资产。被盗资产在市场出售，盗取的资金随后从 Solana 跨链至以太坊。6 月 25 日 400 枚 ETH 被存入 Tornado Cash；6 月 27 日 400 枚 ETH 被存入 Tornado Cash。

ChainCatcher 消息，慢雾安全团队最新情报显示，朝鲜 Lazarus 黑客组织正在使用名为 OtterCookie 的新型窃密木马，针对加密货币及金融从业者发起定向攻击。 共计手法包括伪造高薪职位面试/投资人洽谈、使用深度伪造 (Deepfake) 视频冒充招聘方、将恶意软件伪装成“编程测试题”或“系统更新包”。 窃取目标包括浏览器保存的登录凭证、macOS 钥匙串中的密码与数字证书，以及加密钱包信息及私钥。 慢雾建议，对主动提供的职位/投资邀约保持警惕，远程面试需多重验证，切勿运行来历不明的可执行文件，尤其是所谓“技术测试题”或“更新补丁”，强化终端防护 (EDR)，部署杀毒软件并定期排查异常进程。