朝鮮黑客

ChainCatcher 消息，据 Wired 报道，一位在朝鮮黑客組織系統中潛伏近兩年的安全研究員發出警告，指出針對個人員工和承包商的攻擊手段極其有效且影響範圍廣泛，已導致全球眾多組織遭受入侵。希臘網絡安全研究員 Vangelis Stykas 表示，自 22 個月前獲得朝鮮系統的訪問權限以來，已發現證據表明，57 個國家的 1,640 家公司都受到了朝鮮黑客行動的影響。其中約有 700 至 800 家受影響的組織遭受了"極具破壞性"的入侵。

ChainCatcher 消息，据 Crypto.news 報導，與朝鮮有關聯的黑客組織 BlueNoroff 利用虛假的 Zoom 和 Microsoft Teams 會議來分析加密貨幣用戶，然後再投放惡意軟體。黑客先控制受害者信任的加密行業聯絡人帳號，然後通過 Calendly 等發送看似正常的會議連結，指向假冒 Zoom/Teams 網域。用戶進入假會議頁面後，頁面悄悄掃描瀏覽器中的錢包，根據錢包價值決定是否繼續攻擊。假會議中會要求"更新 Zoom/Teams"或運行命令，實際下載惡意軟體（支持 Windows 和 macOS）。惡意軟體會竊取瀏覽器金鑰、系統數據和 Telegram 會話。

ChainCatcher 消息，据 Protos 報導，AI 購物代理開發商 ORO 披露其因疑似朝鮮黑客攻擊損失約 63 萬美元。攻擊者透過入侵的 Telegram 帳號向 ORO 員工發送仿冒 Microsoft Teams 連結，誘導安裝惡意擴展，持續近一個月竊取數據後於 7 月 13 日盜取 14.7 萬枚 Alpha 代幣。ORO 高度確信攻擊來自朝鮮黑客組織 Sapphire Sleet。ORO 同時承認自身存在安全疏忽------因 Bittensor 協議對硬體錢包支持不足，公司"暫時"將所有者密鑰設為軟體錢包，違背了硬體錢包優先的內部原則，導致密鑰從被入侵電腦中被竊取。ORO 表示正與交易所、執法部門及 Bittensor 生態合作方追索被盜資產，並強調其子網完全正常運行，其他錢包、用戶數據及驗證者簽名密鑰未受影響。

ChainCatcher 消息，人類公布 Quantstamp 獨立調查報告，其中披露 H 代幣安全事件中攻擊者使用具有朝鮮黑客特徵的工具與手法，透過釣魚郵件偽裝成 Bithumb 交易所進行溝通，誘導項目董事點擊惡意附件，從而在其設備上部署遠程控制木馬，最終獲取完整桌面控制權限及錢包私鑰，隨後又在以太坊與 BNB Chain 上發動鏈上攻擊：在以太坊側透過盜取密鑰升級合約並轉移約 1.4118 億枚 H，在 BSC 側接管 ProxyAdmin 合約並鑄造新增代幣，被盜資產隨後在 Uniswap 與 PancakeSwap 上持續拋售約 8 小時，對流動性與市場價格造成明顯衝擊。目前以太坊側的 H 代幣合約已被冻结，主網橋未受影響，但 BSC 部署已被攻擊者控制並仍具鑄幣權限，團隊正在與交易所及安全方協同推進後續處置與恢復方案，同時提醒用戶警惕虛假"補償/領取"連結，並表示將透過官方渠道發布後續進展。此前，人類協議遭遇攻擊，一位人類基金會成員的私鑰洩露，導致超過 3100 萬美元資金被盜。

ChainCatcher 消息，据 Cryptopolitan 報導，網絡安全分析師發現了一種名為 RemotePE 的新型無文件遠程訪問木馬 (RAT)。据信與朝鮮有關聯的網絡犯罪組織 Lazarus Group 正在利用該木馬攻擊銀行和加密貨幣公司。該木馬完全在內存中運行，傳統殺毒和取證工具難以檢測。攻擊者通過 Telegram 冒充交易公司員工，使用偽造的 Calendly 和 Picktime 鏈接進行社交工程攻擊。惡意軟件通過 DPAPILoader、RemotePELoader 和 RemotePE 三個階段鏈式加載，整個過程不接觸文件系統，利用進程挖空、反分析檢查和加密 C2 通信規避檢測。該惡意軟件於 2025 年 9 月首次被發現。2026 年前四個月，Lazarus 組織已竊取約 5.77 億美元加密資產，占全球加密盜竊總額的 76%。自 2017 年以來，該組織累計竊取金額已達 60 億美元。

ChainCatcher 消息，据 Cointelegraph 報導，網路安全公司 CrowdStrike 發布的報告顯示，2025 年朝鮮黑客和威脅行為者造成的加密資產損失超過 20 億美元，同比增長 51%，儘管攻擊次數有所減少。CrowdStrike 稱，朝鮮黑客是針對加密貨幣用戶的最大威脅組織，被盜資金幾乎肯定被用於資助該政權的軍事計畫。攻擊者優先瞄準高價值目標，主要針對 Web3 項目和加密貨幣交易所，因為被盜資金更容易匿名兌現和轉移。今年 4 月，以太坊基金會識別出 100 名朝鮮黑客，Drift Protocol 被朝鮮技術工人滲透並造成 2.8 億美元損失，這些威脅行為者通過第三方中介進行面對面關係建立。

ChainCatcher 消息，Web3 安全公司 CertiK 發布《Skynet 朝鮮加密威脅報告》。數據顯示，自 2016 年至今，朝鮮黑客組織已累計掠奪約 67.5 億美元數字資產。僅 2025 年，其製造的盜竊案損失便高達 20.6 億美元，占全球加密行業全年總損失的近 60%（其中包括 15 億美元的 Bybit 被盜案）。截至 2026 年初，這一威脅趨勢仍在延續，其造成的損失占比約為 55%。報告強調，朝鮮黑客的攻擊模式已發生根本性轉變，正從單純的代碼漏洞利用，升級為結合社會工程學、深層供應鏈攻擊及"物理滲透"的國家級攻擊體系。在近期的 Drift 協議事件中，攻擊者甚至耗時半年潛伏於線下行業會議，通過真實資金與人際交往建立信任後實施攻擊。CertiK 安全專家警告，面對此級別的系統性攻擊，單純的技術防線已顯薄弱。加密機構亟需全面落實"零信任"招聘模式，加固第三方供應鏈，設置資金熔斷機制，並聯合專業安全機構構建覆蓋代碼審計、全天候風險監測與鏈上反洗錢/KYT（了解你的交易）資金追蹤的全生命周期防禦體系。

ChainCatcher 消息，美國曼哈頓聯邦法院法官 Margaret Garnett 批准 Aave 推進 rsETH 攻擊事件後的資產恢復計劃，允許此前在 Arbitrum 上凍結的約 7100 萬美元 ETH 轉移至 Aave 控制的錢包。法院文件顯示，該決定修改了此前針對 Arbitrum DAO 的限制令，允許社區通過鏈上治理投票完成 ETH 轉移，同時豁免參與投票與執行轉移者的相關法律責任。此次事件源於 4 月發生的 rsETH 攻擊事件，相關攻擊被廣泛歸因於與朝鮮有關聯的 Lazarus Group。此前，代表朝鮮恐怖主義受害者家屬的律師曾主張凍結相關資產，並嘗試將其納入約 8.77 億美元未償判決的賠償範圍。Arbitrum 社區已在 Snapshot 溫度檢查投票中，高票支持將凍結的 ETH 返還至 Aave 恢復方案，但實際轉移仍需正式鏈上治理通過。報導指出，該案也是美國相關原告追索朝鮮關聯加密資產行動的一部分。除 Arbitrum 外，原告此前還起訴隱私協議 Railgun DAO，並將 Digital Currency Group（DCG）列為被告之一，指控其參與相關治理與經濟活動。

ChainCatcher 消息，据 OpenSourceMalware 研究，朝鮮黑客組織 Lazarus 在 "傳染性面試" 和 "TaskJacker" 等針對開發者的惡意活動中採用了新手法，將第二階段加載器隱藏在 Git Hooks 的 pre-commit 腳本中。"傳染性面試" 是該組織通過偽造加密貨幣/DeFi 領域招聘流程，誘使開發者克隆惡意代碼倉庫的系列攻擊活動，最終竊取加密資產和憑證。研究員建議，被要求克隆代碼倉庫作為面試流程一部分的開發者，應警惕此類風險，最好在隔離環境中運行，避免掛載個人瀏覽器配置、SSH 密鑰和加密錢包。

ChainCatcher 消息，据 FinanceFeeds 报道，朝鮮的受害者律師在曼哈頓聯邦法院聽證會前，試圖將 Aave 發生的 rsETH 攻擊事件重新定義為 "欺詐" 而非 "盜竊"，以維持對價值 7100 萬美元 ETH 的凍結令。律師辯稱，攻擊者利用無價值抵押品借入資產且未償還，屬於欺詐性貸款交易，旨在根據《恐怖主義風險保險法》將這些凍結資產用於償還恐怖主義判決賠償。此前，與 Lazarus Group 相關的駭客通過跨鏈橋漏洞鑄造無擔保 rsETH 並在 Aave 借出約 2.3 億美元資產，其中 7100 萬美元被 Arbitrum 開發人員攔截。受害者律師同時質疑 Aave 的抗辯資格，指出其服務條款聲明不對用戶資產擁有控制權。此外，DeFi United 已籌集 3.27 億美元資金，超過此次爭議金額。

ChainCatcher 消息，据 CoinDesk 报道，Drift Protocol 公布了針對 4 月 1 日約 2.95 億美元安全漏洞的用戶恢復計劃，該攻擊被歸因於朝鮮支持的黑客組織。恢復計劃的核心是發行代表已驗證用戶損失的回執代幣，每個代幣代表 1 美元已驗證損失，持有者可依據隨時間累積的恢復池價值進行贖回。恢復池初始資金約 380 萬美元，預計將通過交易所收入最高 1.275 億美元、Tether 支持及合作夥伴最高 2000 萬美元等方式增長，直至覆蓋約 2.954 億美元的總損失。Drift 已凍結約 336 萬美元 USDC，並啟動了追回資產 10% 的公開賞金。Drift 計劃在第二季度以"安全優先"的交易所重新上線。法律追回工作仍在進行中。

ChainCatcher 消息，据 TRM Labs 的最新報告，朝鮮黑客在 Drift Protocol 和 Kelp DAO 攻擊事件中盜取了價值近 6 億美元的加密貨幣，占到了總損失額的 76%。TRM Labs 估計，自 2017 年以來，與朝鮮有關聯的黑客已從加密協議和項目中盜取了超過 60 億美元。報告顯示，朝鮮黑客造成的損失在全球加密貨幣黑客攻擊損失中所占的份額已從 2020 年和 2021 年的不足 10% 增長到 2022 年的 22%，2023 年的 37%，2024 年的 39%，以及 2025 年的 64%。

ChainCatcher 消息，朝鮮黑客在攻擊 Drift Protocol 前，曾與其員工進行數月線下接觸與滲透，最終實施加密行業史上最大規模的社會工程學攻擊之一，造成約 2.85 億美元損失。區塊鏈安全公司 TRM Labs 數據顯示，2026 年迄今朝鮮黑客已占全部加密貨幣黑客損失的 76%。

ChainCatcher 消息，區塊鏈情報機構 TRM Labs 最新報告顯示，全球加密貨幣黑客攻擊損失中，約 76% 與朝鮮相關組織有關，累計盜取金額約 5.77 億美元。朝鮮在全球加密盜竊中的占比持續上升：2022 年為 22%，2023 年 37%，2024 年 39%，2025 年升至 64%，2026 年進一步提升至 76%，自 2017 年以來累計非法獲利已超過 60 億美元。報告指出，這些損失主要來自兩起 4 月重大事件：KelpDAO 遭遇的 2.92 億美元攻擊，以及 Drift Protocol 被盜 2.85 億美元事件，兩起攻擊合計占同期全部黑客事件約 3%。

ChainCatcher 消息，据網絡安全公司 Expel 研究報告披露，其正追蹤一個被高度評估為朝鮮（DPRK）國家支持的 APT 組織"HexagonalRodent"，該組織以 Web3 開發者為主要目標，專門竊取加密貨幣與 NFT 等高價值數位資產。該組織主要通過偽造招聘信息實施攻擊------在 LinkedIn 及 Web3 招聘平台發布高薪職位，誘導求職者完成內嵌惡意代碼的"技能測試"，利用 VSCode 的 tasks.json 功能在受害者打開項目文件夾時自動執行惡意程序。所使用的惡意軟體包括 BeaverTail、OtterCookie 和 InvisibleFerret，具備密碼竊取、遠程控制及反向 Shell 等功能。值得關注的是，該組織大量借助 ChatGPT、Cursor 等生成式 AI 工具開發惡意軟體、構建虛假公司網站及 AI 生成的高管團隊，甚至在墨西哥註冊了空殼企業以提升攻擊可信度。此外，該組織近期首次實施供應鏈攻擊，成功入侵 VSCode 擴展。

ChainCatcher 消息，加密錢包 Zerion 披露，朝鮮黑客使用 AI 進行長期社交工程攻擊，從公司熱錢包中盜取約 10 萬美元。Zerion 確認用戶資金、應用及基礎設施未受影響，已主動禁用網頁應用作為預防措施。Zerion 還表示，攻擊者獲取了部分團隊成員已登錄的會話和憑證以及公司熱錢包私鑰，並指出 AI 正在改變網絡威脅的運作方式。

ChainCatcher 消息，据 CoinDesk 报道，區塊鏈分析公司 Elliptic 表示，Drift Protocol 遭攻擊事件損失 2.85 億美元，"多個跡象"指向朝鮮支持的 DPRK 黑客組織。Elliptic 重點分析了鏈上行為、洗錢手法及網絡層面信號，均與此前的國家關聯攻擊相吻合。Elliptic 報告指出："若得到確認，這將是 Elliptic 今年追蹤的第 18 起 DPRK 攻擊行動，迄今共盜取逾 3 億美元。"技術層面，Elliptic 分析將此次攻擊描述為"有預謀、精心佈局"，在主要攻擊前已有早期測試交易和預先佈置的錢包。攻擊執行後，資金被迅速整合並通過跨鏈轉移，轉換為流動性更高的資產，形成了一套有組織、可重複的洗錢流程，旨在混淆資金來源同時保持控制權。此次事件涉及超過十種資產類型，資金從 Solana 跨鏈轉移至以太坊及其他鏈，進一步凸顯了跨鏈溯源能力的重要性。Drift Protocol 是 Solana 區塊鏈上最大的去中心化永續合約交易平台，其代幣自遭黑客攻擊以來已下跌逾 40% 至約 0.06 美元。

ChainCatcher 消息，Ledger 首席技術官 Charles Guillemet 發文表示，Drift Protocol 此次漏洞利用所採用的攻擊手法與 2025 年 Bybit 駭客事件如出一轍，後者被廣泛認為與朝鮮相關聯的駭客有關。Guillemet 指出，此次攻擊並未針對任何智能合約，而是攻擊者通過長期滲透多簽簽名者的設備，誘騙其批准惡意交易，簽名者可能始終以為自己在授權合法操作。他強調，問題根源在於人員與運營層面的安全缺失，而非代碼本身。