朝鮮黑客

ChainCatcher 消息，比特幣支付服務商 Bitrefill 在 X 平台發文披露於 2026 年 3 月 1 日遭受網路攻擊導致客戶數據洩露，攻擊源自一名員工被入侵的筆記本電腦，並導致部分資料庫和加密貨幣錢包被攻擊者訪問。調查顯示，此次攻擊手法與朝鮮 DPRK Lazarus/Bluenoroff 黑客組織過去針對加密企業的攻擊高度相似，約 18,500 條購買記錄涉及有限客戶信息（郵箱、加密支付地址及 IP 元數據），其中約 1,000 條記錄的客戶姓名信息被加密存儲，但可能被訪問。Bitrefill 表示，客戶無需採取特別操作，但建議警惕異常信息。Bitrefill 補充表示，目前已關閉相關系統進行隔離，並與安全專家、鏈上分析師及執法部門合作，現幾乎已恢復正常運營。公司強調，業務長期盈利且資金充足，可吸收此次損失，並將持續強化網路安全措施，包括內部訪問控制、監控與應急響應機制。

ChainCatcher 消息，安全研究機構 Ctrl-Alt-Intel 披露，一組疑似與朝鮮有關的黑客針對質押平台、交易所軟體供應商及加密交易所發起攻擊。攻擊者利用 React2Shell 漏洞（CVE-2025-55182）及已獲取的 AWS 訪問憑證入侵雲環境，枚舉 S3、EC2、RDS、EKS、ECR 等資源，並從 Secrets Manager、Terraform 檔案、Kubernetes 配置及 Docker 容器中提取密鑰和憑證。研究人員稱，攻擊者下載 5 個 Docker 鏡像並竊取源代碼，其中包括 ChainUp 客戶相關軟體組件。攻擊基礎設施涉及韓國伺服器 64.176.226[.]36 及域名 itemnania[.]com。報告稱該活動與朝鮮相關攻擊特徵一致，但歸因信心度為中等，AWS 憑證來源未明確。

ChainCatcher 消息，GoPlus 中文社區在 X 平台發布預警稱，朝鮮黑客向 npm 註冊表發布了一組 26 個惡意軟體包，這些惡意軟體包都附帶一個安裝腳本 ("install.js")，該腳本會在軟體包安裝過程中自動執行，進而運行位於 "vendor/scrypt-js/version.js" 中的惡意代碼。惡意代碼會透過同一惡意 URL 下載並執行遠程訪問木馬（RAT），實施鍵盤記錄、剪貼板竊取、瀏覽器憑據收集、TruffleHog 秘密掃描 Git 倉庫和 SSH 金鑰竊取等惡意行為。此次事件與一個名為 "Famous Chollima" 的朝鮮黑客活動相關。

ChainCatcher 消息，鏈上偵探 ZachXBT 針對 @sexinfochina 用戶發文稱，"該用戶故意隱瞞了自己是運營中國暗網市場 'FreeCity' 的網絡罪犯這一事實，其在 Telegram 上公開宣傳某些非法服務，還明知故犯地為朝鮮黑客進行了 5 次洗錢交易。該用戶兩年前讓我調查一個 CEX 賬戶凍結的原因，結果發現鏈上追溯到一起價值過億的朝鮮黑客盜竊案。"此外，ZachXBT 回應道："雖然該暗網平台的用戶多是中國人，但很多非法交易發生在東南亞等其他地方。"

ChainCatcher 消息，据 Cointelegraph 報導，隸屬於 Google Cloud 的美國網絡安全公司 Mandiant 發現朝鮮關聯威脅組織正在加大針對加密貨幣和金融科技公司的社會工程攻擊。該威脅組織（代號 UNC1069）部署了七個惡意軟件集合，包括新發現的 SILENCELIFT、DEEPBREATH 和 CHROMEPUSH，旨在獲取敏感數據並竊取數字資產。攻擊者利用被入侵的 Telegram 賬戶和通過人工智能生成的深度偽造視頻進行虛假 Zoom 會議誘騙。自 2018 年以來，Mandiant 一直追蹤該組織，但人工智能的進步幫助該組織自 2025 年 11 月起擴大了惡意活動規模。在一起入侵事件中，攻擊者使用被盜的加密貨幣創始人 Telegram 賬戶發起聯繫，通過所謂的 ClickFix 攻擊誘導受害者執行含有隱藏命令的"故障排除"指令。

ChainCatcher 消息，据 Cointelegraph 報導，隸屬於 Google Cloud 的美國網絡安全公司 Mandiant 發現朝鮮關聯威脅組織正在加大針對加密貨幣和金融科技公司的社會工程攻擊。該威脅組織（代號 UNC1069）部署了七個惡意軟件集合，包括新發現的 SILENCELIFT、DEEPBREATH 和 CHROMEPUSH，旨在獲取敏感數據並竊取數字資產。攻擊者利用被入侵的 Telegram 賬戶和通過人工智能生成的深度偽造視頻進行虛假 Zoom 會議誘騙。自 2018 年以來，Mandiant 一直追蹤該組織，但人工智能的進步幫助該組織自 2025 年 11 月起擴大了惡意活動規模。在一起入侵事件中，攻擊者使用被盜的加密貨幣創始人 Telegram 賬戶發起聯繫，通過所謂的 ClickFix 攻擊誘導受害者執行含有隱藏命令的"故障排除"指令。

ChainCatcher 消息，据 Decrypt 報導，谷歌旗下安全團隊 Mandiant 近日發布報告警告稱，與朝鮮相關的黑客組織正利用 AI 生成的深度偽造視頻和虛假 Zoom 會議，對加密貨幣及金融科技公司發起更具針對性的網絡攻擊。報告指出，被稱為 UNC1069（或 CryptoCore）的黑客組織近期入侵一家金融科技公司時，通過被劫持的 Telegram 賬戶發起虛假 Zoom 會議，並在會議中使用偽造的知名加密貨幣高管深度偽造視頻騙取信任。攻擊者以"音頻故障"為借口，誘使受害者運行惡意命令，最終在其系統中部署了 7 個不同的惡意軟件家族，旨在竊取憑證、瀏覽器數據及會話令牌。該組織主要針對加密貨幣行業的企業與個人，包括軟件公司、風投機構及其員工。

ChainCatcher 消息，與朝鮮有關聯的黑客組織正持續升級其針對加密行業從業者的攻擊手法，通過 AI 生成的深度偽造視頻通話，冒充受害者熟悉或信任的人士，誘導其安裝惡意軟件。BTC Prague 聯合創始人 Martin Kuchař 披露，攻擊者利用被入侵的 Telegram 帳號發起視頻通話，並以"修復 Zoom 音頻問題"為由，誘使受害者安裝偽裝成插件的惡意程序，從而獲取設備的完全控制權。安全研究機構 Huntress 指出，該攻擊模式與其此前披露的針對加密開發者的行動高度一致，惡意腳本可在 macOS 設備上執行多階段感染，包括植入後門、記錄鍵盤輸入、竊取剪貼板內容及加密錢包資產。研究人員已將該系列攻擊高度確信歸因於朝鮮國家支持的黑客組織 Lazarus Group（又稱 BlueNoroff）。區塊鏈安全公司 SlowMist 的信息安全負責人表示，此類攻擊在不同行動中存在明顯復用特徵，目標集中於特定錢包和加密從業人員。分析認為，隨著深度偽造與語音克隆技術普及，圖像和視頻已難以作為身份真實性的可靠依據，加密行業需提高警惕，加強多重驗證與安全防護措施。

ChainCatcher 消息，据市場消息，安全公司 Recorded Future 最新研究顯示，朝鮮關聯黑客組織 PurpleBravo 通過虛假招聘面試，針對人工智能、加密貨幣及金融服務公司的 3100 多個 IP 地址發起網絡間諜活動。該組織偽裝成招聘人員或開發者，以技術面試為由誘使目標執行惡意代碼。攻擊者自稱來自加密或科技公司，要求求職者審查代碼、克隆存儲庫或完成編程任務。安全研究人員已識別出來自南亞、北美等地區的 20 家受害機構。該組織使用多個別名，並利用虛假的烏克蘭敖德薩身份進行偽裝。攻擊中使用了 PylangGhost 和 GolangGhost 等遠程訪問木馬，可自動竊取瀏覽器憑證與 Cookies。黑客還通過惡意 GitHub 倉庫、Astrill VPN 以及 17 個服務提供商托管其惡意軟件伺服器。此外，調查發現相關 Telegram 頻道在售賣 LinkedIn 和 Upwork 帳號，攻擊者亦曾與加密貨幣交易平台 MEXC Exchange 互動。

ChainCatcher 消息，据 DL News 引援韓媒 Dailian 報導，韓國最高法院維持對一名加密貨幣交易所員工判處四年有期徒刑的判決，因其協助朝鮮黑客招募一名韓國陸軍上尉，企圖以比特幣換取軍事機密。涉案交易所員工從朝鮮黑客處獲得 48.7 萬美元比特幣作為報酬，並向上尉支付 3.35 萬美元比特幣作為酬金。法院認定該員工違反《國家安全法》，其行為可能危及國家安全。涉事上尉此前因違反《軍事機密保護法》已被判處十年監禁並處罰金。調查顯示，朝鮮黑客指使該員工向涉事上尉提供"手錶形狀的隱藏攝像頭"及用於植入軍事筆記本電腦的 USB 黑客設備，企圖遠程訪問韓美聯合指揮控制系統，但未能成功。涉事上尉此前因違反《軍事機密保護法》已被判處十年監禁並處罰金。

ChainCatcher 消息，Chainalysis 週四發布的一份報告顯示，朝鮮的加密貨幣黑客行動在 2025 年竊取了 20.2 億美元，再次打破紀錄。此前，朝鮮通過黑客攻擊和盜竊（如比特幣和以太坊）竊取的加密貨幣金額最高紀錄是 13 億美元。這使得朝鮮累計竊取的加密貨幣總額達到約 67.5 億美元。全球被盜加密貨幣總額上升至 34 億美元。其中很大一部分源於今年對迪拜加密貨幣交易所 Bybit 的攻擊。Bybit 首席執行官表示，據美國特勤局稱，這些為朝鮮精英政府黑客小組工作的黑客在 2 月竊取了約 15 億美元，其中大部分是以太坊。聯合國和私人研究人員長期以來一直指控，受到國際制裁且只與少數國家保持關係的朝鮮，部署黑客竊取加密貨幣，為其核武器和導彈計劃提供資金。Chainalysis 是越來越多繪製加密貨幣交易網絡圖譜的公司之一，包括追蹤被犯罪分子洗錢的被盜資金。Chainalysis 報告指出，儘管這些平台擁有機構資源和專業的安全團隊，但由於這一根本的安全挑戰，它們仍然容易受到攻擊。戰略與國際研究中心戰略技術項目主任 Matt Pearl 表示，由於朝鮮在很大程度上與世界隔絕，並且是一個"流氓國家"，因此很難阻止其行動。報告稱，部分盜竊最可能是由於朝鮮黑客越來越多地通過欺詐手段在國際公司獲得遠程技術職位。這種訪問權限可以使他們有機會為黑客同事提供竊取加密貨幣密鑰、並將加密貨幣轉移到平壤的立足點。Pearl 表示，鑑於朝鮮已經面臨極限制裁，幾乎沒有其他辦法可以阻止其繼續通過攻擊數字資產來資助軍事行動。

ChainCatcher 消息，据 Decrypt 報導，參議員 Elizabeth Warren 本週在一封信中公開談論了對去中心化交易所 (DEX) 可能存在的國家安全風險發出警告，並特別指出 PancakeSwap 與特朗普關聯的穩定幣 USD1 的交易以及朝鮮黑客竊取的資金有關。Warren 指出，鏈上加密貨幣用戶可以使用 DEX 而無需嚴格的反洗錢程序控制，例如 KYC 披露，這使他們能夠"利用去中心化平台轉移、混合和兌現非法資金"。此前，Warren 還批評了加密貨幣遊說行業，同時對以穩定幣為重點的 GENIUS 法案發出警告：當時正在審議的加密貨幣監管"極大地助長了特朗普總統的腐敗"，並要求對1 月份推出的 TRUMP meme 幣進行調查。

ChainCatcher 消息，網絡安全非營利組織 Security Alliance 警告稱，他們目前每天都會發現多起由朝鮮黑客發起的詐騙企圖，這些攻擊透過偽造的 Zoom 會議誘騙受害者上鉤。該詐騙手法是在一場"假 Zoom 通話"中誘導受害者下載惡意軟體，從而竊取包括密碼和私鑰在內的敏感資訊。安全研究員 Taylor Monahan 警告稱，這一戰術已從用戶手中掠走超過 3 億美元的資產。詐騙通常始於一個 Telegram 帳號發來的消息，而該帳號往往屬於受害者"認識的人"。由於熟人身份，受害者會放鬆警惕。隨後，對話會自然過渡到"透過 Zoom 叙叙舊"的邀請。一旦通話開始，黑客就會假裝遇到音頻問題，並發送一個所謂的"補丁文件"。當受害者打開該文件時，設備即被植入惡意軟體。隨後，黑客會以"改天再約"為由結束這場假通話。

ChainCatcher 消息，据 Hackread.com 報導，網絡安全公司 Hudson Rock 在分析一份 LummaC2 信息竊取惡意軟件日誌時，發現了一台被感染的設備，其操作者疑似為朝鮮國家支持的黑客組織中的惡意軟件開發者。該設備曾被用於搭建支持 2025 年 2 月加密貨幣交易所 Bybit 價值 14 億美元竊取案的基礎設施。分析表明，該設備上發現的憑據與攻擊前註冊的、用於仿冒 Bybit 的域名存在關聯。設備本身配置高端，安裝了 Visual Studio、Enigma Protector 等開發工具，以及 Astrill VPN、Slack、Telegram 等通信和數據存儲類應用。其活動痕跡還顯示，攻擊者為實施釣魚攻擊，購買了相關域名並準備了虛假 Zoom 安裝程序。這一發現罕見地揭示了朝鮮支持的黑客行動中資產共享的內部運作細節。

ChainCatcher 消息，AhnLab 發布的《2025 網絡威脅趨勢與 2026 安全展望》報告顯示，朝鮮背景黑客組織 Lazarus 在過去 12 個月被點名次數最多，其主要利用"魚叉式（定向）釣魚"實施攻擊，常偽裝成講座邀請、面試請求等郵件誘導目標開載。報告稱，Lazarus 被認為是多起重大攻擊的主要嫌疑人，包括今年 2 月 21 日的 Bybit 遭黑事件（損失 14 億美元）以及近期韓國交易所 Upbit 遭遇的 3000 萬美元漏洞攻擊。AhnLab 表示，為提高安全性，企業需建立多層防護體系，包括定期安全審計、及時更新補丁及加強員工教育。該公司並建議個人用戶使用多因子認證、謹慎處理未知鏈接與附件、避免過度暴露個人信息，同時僅從官方渠道下載內容。AhnLab 指出，隨著 AI 應用的普及，攻擊者將更易生成難以分辨的釣魚郵件、偽裝頁面與深度偽造內容，未來相關威脅可能進一步複雜化。（Cointelegraph）

ChainCatcher 消息，据韓聯社報導，韓國虛擬資產交易所 Upbit 遭遇黑客攻擊，價值 445 億韓元的虛擬資產被盜。目前，朝鮮偵察總局旗下的黑客組織 Lazarus Group 被高度懷疑是此次事件的幕後黑手。當地時間，韓聯社從信息通信技術（ICT）行業及韓國政府相關部門獲悉，鑑於朝鮮偵察總局下屬黑客組織 Lazarus Group 有較大作案嫌疑，當局正在對 Upbit 開展現場檢查工作。該黑客組織曾被指參與 2019 年 Upbit 價值 580 億韓元以太坊的盜竊案。政府相關人士稱："此次攻擊不太可能是針對伺服器的，更有可能的情況是竊取了管理員帳戶，或者偽裝成管理員進行資金轉帳。"他還表示："就目前掌握的情況來看，6 年前黑客就是採用這種方式實施攻擊的，所以推測此次也是同樣的作案方式。"

ChainCatcher 消息，据 The Block 報導，美國司法部（DOJ）宣布，已對超 1510 萬美元被朝鮮黑客盜取的 USDT 啟動沒收程序，並成功讓 5 名協助朝鮮 IT 人員滲透美國企業的相關人員認罪。司法部指出，這批被查獲的加密資產與朝鮮軍事黑客組織 APT38 相關，該組織在 2023 年先後攻擊四家海外虛擬貨幣平台。FBI 於 2025 年 3 月查封相關資金，目前正在尋求法院批准沒收並返還被害方。此外，美國司法部還宣布，四名美國公民及一名烏克蘭籍人士已認罪，承認曾向朝鮮 IT 人員提供被盜身份信息並代為托管公司筆記本電腦，使其偽裝成在美國本土工作。這些行為幫助朝鮮 IT 人員成功滲透 136 家美國企業，為朝鮮政府帶來超 220 萬美元收入，並導致至少 18 名美國公民的身份被盜。