朝鮮

ChainCatcher 消息，CoinBureau 援引鏈上調查人員 ZachXBT 的說法稱，疑似朝鮮相關攻擊者正通過 Zcash 對 Bitget 被盜資金進行屏蔽。約 2700 枚 ZEC、價值約 380 萬美元的資金已開始轉入 Zcash 的 Ironwood。這些被盜 ZEC 正被轉入屏蔽池，交易細節可被隱藏。Bitget 涉及多類資產、總額約 3.88 億美元的安全事件中，約 18900 枚 ZEC、價值約 2830 萬美元被盜。此前，Bitget 首席執行官 Gracy Chen 表示，她對追回被盜資金"並不十分樂觀"。

ChainCatcher 消息，据 Insurance Journal 報導，區塊鏈分析公司 Elliptic 披露，已追蹤到 50 余起與朝鮮相關的安全事件，今年以來累計被盜資金約 12 億美元。部分 Bitget 被盜資金與去年 Bybit 交易所 15 億美元被盜事件的關聯地址存在重疊，鏈上洗錢模式初步顯示，本次 Bitget 事件系黑客組織 TraderTraitor 所為。

ChainCatcher 消息，据鏈上分析師 Specter 監測，朝鮮正在多條鏈上清洗資金，甚至包括 dYdX、Noble 和 Osmosis 等底層鏈，並在 dYdX 上開設了永續合約倉位。

ChainCatcher 消息，GoPlus Security 在 X 平台發文稱，THORChain 資金流出需由驗證人通過 TSS 門檻簽名主動簽署，與比特幣、以太坊不同； Bitget 被盜資金中已有約 101.5 枚 BTC (約 850 萬美元)經其轉出，另有約 2763 萬枚 XRP(約 4300 萬美元)正兌換為 BTC ，呼籲其攔截朝鮮關聯地址。

ChainCatcher 消息，据鏈上偵探 Specter 監測，其通過追蹤鏈上資金流，北韓駭客組織 Lazarus Group 可能是 Bitget 被盜事件的幕後攻擊者。本次事件與今年 7 月發生的 AFX 攻擊存在關聯，後者造成約 2400 萬美元損失，並被歸因於 Lazarus Group 相關的 TraderTraitor。Bitget 被盜的 XRP 經過跨鏈後，相關資金路徑可直接關聯至 AFX 攻擊中的被盜資金。

ChainCatcher 消息，Bitget CEO Gracy Chen 在平台安全事件直播問答中表示，初步調查發現，部分相關 IP 地址與某個朝鮮黑客組織使用的 VPN 服務相吻合，攻擊模式也與朝鮮黑客此前的行動相似，因此不排除該組織參與此次涉及約 3.516 億美元的攻擊。相關歸因仍處於初步調查階段。Gracy Chen 表示，Bitget 目前不認為此次事件屬於內部人員作案。攻擊者直接入侵平台系統並轉移資金，並未偽造用戶提幣請求，也沒有取得冷錢包、熱錢包的私鑰。調查人員仍在確認具體受影響的系統以及攻擊者的入侵方式。

ChainCatcher 消息，朝鮮黑客組織 WaterPlum 偽裝加密貨幣、AI 及 NFT 公司招聘人員，向軟體開發者和 IT 從業者投放偽裝成程式設計任務或視頻會議修復文件的惡意軟體。該組織已在 100 多個國家感染至少 3 萬台設備，並於 2025 年 12 月至 2026 年 7 月從逾 7000 個加密貨幣錢包提取資金或帳戶憑證，至少盜取 1070 萬美元。

ChainCatcher 消息，据 Forbes 報導，由美國聯邦調查局（FBI）和日本警察廳（NPA）在內的多國機構聯合發布的預警顯示，朝鮮關聯黑客組織 WaterPlum（又稱 Contagious Interview）自 2025 年 12 月至 2026 年 7 月，通過偽裝成 AI、加密貨幣或 NFT 領域的公司提供虛假職位，對全球 IT 開發者發起攻擊。攻擊者在社交媒體、招聘平台接觸求職者，以技術面試或編程測試為由，誘使下載惡意文件，成功感染超 3 萬台設備，覆蓋 100 多個國家和地區，並從超過 7000 個加密錢包中竊取數據。相關資金至少 1071 萬美元流入攻擊者控制的錢包。

ChainCatcher 消息，据日本警察廳聯合 FBI、ASD/ACSC、BND 及 BfV 發布警報，北朝鮮背景網路攻擊組織 "WaterPlum"（又名 Contagious Interview）以求職者為目標，偽裝成 AI、加密資產及 NFT 企業發布虛假招聘信息，誘導求職者下載含 BeaverTail、InvisibleFerret、OtterCookie 等惡意軟體的 NPM 包，進而竊取加密資產錢包信息及機密數據。截至 2026 年 7 月，該組織已在全球 100 餘個國家和地區感染逾 3 萬台設備，竊取 7000 餘件加密資產錢包信息，其控制的錢包累計收到至少約 17 億日元（約 1071 萬美元）加密資產。日本警察廳首次在國內發現並捣毀由本土 "支援者" 設立的 "筆記本農場"，北朝鮮 IT 勞工通過遠程操控支援者住所內的 PC 承接業務，相關涉案金額達數億日元。警察廳與 FBI 評估，WaterPlum 及部分北朝鮮 IT 勞工均受朝鮮勞動中央委員會軍需工業部 313 總局統一指揮，所獲收益直接流入北朝鮮國家資金池。警方提醒 IT 技術者及企業發注方提高警惕，避免在未經核實的環境中執行第三方代碼。

ChainCatcher 消息，据 Cointelegraph 報導，Chainalysis 報告顯示，過去 12 個月攻擊者在公共區塊鏈上存儲惡意軟體指令或基礎設施資訊的次數激增 420%，國家背景黑客每季度貢獻約三分之二的新增活動。Chainalysis 將此前未歸因的 Tron、Aptos 與 BNB Smart Chain 活動關聯至朝鮮背景組織 UNC5342。報告指出，Tron 與 Aptos 交易中的編碼指針將受感染設備導向同一筆 BSC 交易，其中包含加密的伺服器地址與配置數據，用於連接遠程訪問和數據竊取基礎設施。公共區塊鏈上的資訊在域名、伺服器或代碼倉庫被關閉後仍可訪問，提升了惡意軟體活動的持久性。2025 年朝鮮黑客曾使用類似技術 EtherHiding 將竊幣代碼植入智能合約。此外，自 2025 年 7 月以來惡意區塊鏈寫入量增長 440%，當時高容量開源中國 AI 模型開始具備生成惡意代碼的能力。Chainalysis 網路犯罪研究負責人 Eric Jardine 表示發現明確的時間點關聯，但無法證明攻擊者使用了這些模型。Chainalysis 還識別出疑似與伊朗情報部有關聯的威脅行為者，將編碼命令與控制路由數據寫入比特幣區塊鏈，並向與中本聰有歷史關聯的知名地址發送小額付款，該地址與攻擊者無關，僅作為受感染設備獲取更新指令的永久公共位置。

ChainCatcher 消息，据 NBC 报道，朝鮮正在利用來自伊朗、黎巴嫩等第三國的遠程 IT 員工，協助其滲透美國企業並獲取資金以資助武器計劃。美國及多個外國機構在 7 月發布的警報指出，朝鮮 IT 員工"尋求簽訂合同，意圖將工資匯回朝鮮相關機構"，同時對企業構成內部威脅，涉及數據外洩、加密貨幣盜竊及敏感信息竊取。隨著美國等國政府加大反制力度，朝鮮越來越多地借助第三國 IT 員工通過求職面試，在獲得工作合同後，相關職位通常由朝鮮特工接管。報導稱，這些外國 IT 員工在 LinkedIn 上被物色，部分人每月可獲得約 500 美元的加密貨幣，以兼職擔任"面試協助者"。Cointelegraph 5 月援引網絡安全公司 CrowdStrike 的數據報導，朝鮮國家關聯黑客及威脅行為者在 2025 年造成的加密貨幣損失超過 20 億美元，同比增長 51%。韓國央行估計，儘管面臨全球制裁，朝鮮 2025 年 GDP 仍增長 3.5%。

ChainCatcher 消息，据韓聯社報導，美國華盛頓特區聯邦法院下令沒收一個涉朝鮮海外 IT 勞工洗錢的錢包資產，包括 158,123 USDC 和 54,574 USDT，總值約 21.27 萬美元。美國司法部正尋求沒收合計 774 萬美元的朝鮮相關加密資產。

ChainCatcher 消息，据 Arkham 區塊鏈數據顯示，與朝鮮國家支持的黑客組織 Lazarus Group 相關的錢包在過去三週內於去中心化永續合約交易平台 Hyperliquid 上出售了超過 3000 萬美元的比特幣，並將所得資金用於購買以太坊和 Solana，隨後轉移至 Kraken、LBank 和 KuCoin 等中心化交易所。Kraken 回應稱其維持行業領先的合規計劃，持續監控鏈上活動以識別並阻止受制裁錢包相關資產；LBank 與 KuCoin 則表示相關風險屬於行業整體面臨的持續挑戰，並強調公開鏈上數據未必能反映平台層面的合規措施。此事發生之際，特朗普政府正探索將 Hyperliquid 納入受監管的美國金融體系。特朗普在本月早些時候的白宮活動中表示，美國商品期貨交易委員會主席 Mike Selig 正在制定一條以完全合規合法方式將 Hyperliquid 引入美國的路徑。據彭博社報導，Kraken 母公司 Payward 正與 Hyperliquid Labs 就向美國交易者提供永續合約進行深入談判。Hyperliquid 是去中心化永續合約領域的主導平台，用戶可直接連接加密錢包交易而無需傳統經紀帳戶或 KYC 檢查。據 DefiLlama 數據，其累計永續合約交易量已超過 5 萬億美元，當前未平倉合約約 133 億美元。

ChainCatcher 消息，据 Cryptopolitan 报道，攻擊者透過供應鏈攻擊發布了三個廣泛使用的 Rust 代碼包惡意版本，其中名為 arrayref 的庫被約四分之三的 Rust 開發環境使用。惡意更新隱藏了一個後門，可在用戶編譯項目時自動竊取登錄信息，編譯過受影響版本的用戶可能已暴露電腦和密鑰。Wiz 研究人員指出，arrayref 攻擊的命令與控制路徑與朝鮮黑客組織 Sapphire Sleet 和 UNC1069 使用的 Mastra 行動重疊，IP 地址共享同一安全證書且使用同一托管商 Hostwinds。攻擊者僅新增了拼寫錯誤的 proc-macro1 依賴，模仿流行的 proc-macro2，未修改原有代碼，使其通過測試和構建。攻擊在發布 86 分鐘後被刪除，但已被大量下載。受影響包在 Solana 和 Ethereum 工具中廣泛使用。Rust 團隊認為維護者非惡意行為，其設備或憑證可能遭入侵。

ChainCatcher 消息，据 Cointelegraph 報導，網路安全公司 BCA LTD 創始人 Mauro Eldritch 與 Telefónica Tech 網路威脅情報分析師 Heiner García 聯合搭建虛假加密初創公司 "Ballena Azul"，成功誘使疑似朝鮮 IT 工人在受控虛擬桌面環境中工作長達五週，並全程監控其行為。調查顯示，相關工人使用的外部伺服器與此前分發 InvisibleFerret、BeaverTail 及 OtterCookie 等惡意軟體的朝鮮網路行動基礎設施存在關聯；工人還大量依賴 ChatGPT 輔助編程、Google Gemini 偽造身份文件。研究人員指出，朝鮮 IT 工人透過偽造美國身份獲取遠程工作，所得薪資最終流向平壤政權的大規模殺傷性武器項目，美國財政部數據顯示，此類計畫 2024 年為朝鮮創收近 8 億美元。

ChainCatcher 消息，据 Bitcoin.com 報導，網絡安全公司 Genians Security Center 發布分析報告稱，朝鮮偵察總局下屬黑客組織 Kimsuky 正在構建並測試一套以 AI 為核心的網絡攻擊工具體系。研究人員在其基礎設施中發現了 Ollama、GPT4All、Msty 三個本地 AI 平台的部署痕跡，以及 Microsoft Semantic Kernel、LLaMaSharp 等 AI 開發框架組件，表明該組織正在系統性開發專用 AI 攻擊工具，而非僅作臨時性嘗試。自 2026 年初起，Kimsuky 已將生成式 AI 製作的高品質文檔用於針對虛擬資產、金融投資及遊戲開發領域的魚叉式網絡釣魚攻擊，AI 生成的專業文檔大幅降低了傳統識別釣魚郵件的有效性。攻擊載體為偽裝成合法文檔的 ZIP 壓縮包，內含惡意 LNK 文件，觸發後可在後台靜默執行 PowerShell 命令。

ChainCatcher 消息，加密貨幣交易所 Bybit 已向美國哥倫比亞特區聯邦地區法院提起民事訴訟，起訴朝鮮、朝鮮偵察總局及駭客組織 Lazarus Group，案件涉及 2025 年 2 月約 15 億美元被盜事件。Bybit 表示，法官已批准初步禁令，禁止案件審理期間轉移或處置已識別的被盜資產，並認為 Bybit 在實體問題上勝訴可能性較高。訴訟還將持有或轉移相關資金的未知個人及實體列為 John Doe 被告。Bybit 披露，約 4840 萬美元已追回，約 3050 萬美元已在 28 家以上交易所及托管機構凍結，兩者合計約占被盜金額 5%。攻擊者於 2025 年 2 月從 Bybit 冷錢包轉出約 50 萬枚 ETH，多數資金隨後經 Thorchain 兌換為比特幣並通過混幣服務轉移。Bybit 表示，案件與刑事調查並行推進。

ChainCatcher 消息，加密貨幣交易所 Bybit 已對朝鮮民主主義人民共和國、其情報機構 Reconnaissance General Bureau（RGB）及受國家制裁的黑客組織 Lazarus Group 提起民事訴訟，涉及一宗價值 15 億美元的黑客攻擊事件。美國聯邦法院發布初步禁令，禁止在訴訟期間轉移或消散與該案有關的已識別資產。

ChainCatcher 消息，据 Wired 报道，一位在朝鮮黑客組織系統中潛伏近兩年的安全研究員發出警告，指出針對個人員工和承包商的攻擊手段極其有效且影響範圍廣泛，已導致全球眾多組織遭受入侵。希臘網絡安全研究員 Vangelis Stykas 表示，自 22 個月前獲得朝鮮系統的訪問權限以來，已發現證據表明，57 個國家的 1,640 家公司都受到了朝鮮黑客行動的影響。其中約有 700 至 800 家受影響的組織遭受了"極具破壞性"的入侵。

ChainCatcher 消息，据 Crypto.news 報導，與朝鮮有關聯的黑客組織 BlueNoroff 利用虛假的 Zoom 和 Microsoft Teams 會議來分析加密貨幣用戶，然後再投放惡意軟體。黑客先控制受害者信任的加密行業聯絡人帳號，然後通過 Calendly 等發送看似正常的會議連結，指向假冒 Zoom/Teams 網域。用戶進入假會議頁面後，頁面悄悄掃描瀏覽器中的錢包，根據錢包價值決定是否繼續攻擊。假會議中會要求"更新 Zoom/Teams"或運行命令，實際下載惡意軟體（支持 Windows 和 macOS）。惡意軟體會竊取瀏覽器金鑰、系統數據和 Telegram 會話。