竊取

ChainCatcher 消息，据 Apnews 報導，某年輕加密詐騙團夥於 2024 年 8 月透過 "社會工程" 攻擊竊取超過 4100 枚 BTC，當時價值超過 2.4 億美元。得手後，團夥成員迅速開啟奢侈消費，包括購買跑車、租賃豪宅、乘坐私人飛機及雇用安保人員，其中被指為主謀的 22 歲新加坡男子 Malone Lam 甚至曾在洛杉磯一家夜店一晚消費超過 56.9 萬美元。調查顯示，嫌疑人透過冒充 Google 及加密交易平台 Gemini 工作人員，誘騙受害者交出 Google Drive 訪問權限及安全驗證碼，從而轉走其比特幣。隨後，他們透過多個交易平台及洗錢中介轉移資金。揮霍生活最終引起執法部門注意。其中一名嫌疑人因隱藏近 3000 萬美元被盜加密資產時暴露 IP 地址，警方由此追查到其租住的加州豪宅。另有嫌疑人被查獲價值 3700 萬美元的被盜加密資產。Lam 則被指使用被盜資金購買價值 200 萬美元的手錶及 30 多輛保時捷、蘭博基尼和法拉利。目前已有 18 名被告遭起訴，Lam 預計將於本週二出席認罪協議聽證會。美國司法部門已對其中多名共犯作出判決，相關案件仍在持續推進。

ChainCatcher 消息，据慢霧安全團隊披露，其監測到一項偽裝成免費 VPS 服務的攻擊活動，專門針對運行 iOS 18.4 至 18.6.2 版本的 iPhone Safari 瀏覽器發起攻擊。攻擊者利用代號為 DarkSword 的六個漏洞形成完整攻擊鏈，涵蓋 WebKit 遠程代碼執行、沙箱逃逸及內核讀寫等環節，可在用戶無感知的情況下獲取 App 容器文件、鑰匙串數據，並在 imToken、TokenPocket 或 TronLink 等錢包處於前台時記錄鍵盤輸入。慢霧團隊表示，上述 6 個漏洞目前均已被 Apple 修復，當前攻擊屬於 n-day 漏洞鏈的複用。僅訪問惡意頁面並不能直接證明助記詞或私鑰已被竊取，仍需通過設備取證進行確認。建議 iOS/iPadOS 用戶儘快將系統升級至 18.7.3 或 26.3 及以上版本。

ChainCatcher 消息，据 Cointelegraph 報導，網絡安全公司 Morphisec 披露，一款偽裝成 Anthropic 旗下"Claude Opus 5 Free Desktop"的假冒桌面應用正被用於傳播 Windows 惡意軟體 RevStealer。該軟體可竊取超過 50 種加密貨幣錢包數據，同時還會收集瀏覽器密碼、Cookie、VPN 配置、消息記錄及截圖等敏感信息。RevStealer 具備反檢測機制，會在執行前對目標設備進行環境檢測，若發現調試或虛擬環境特徵則停止運行。此外，俄羅斯網絡安全公司卡巴斯基也披露了另一針對加密投資者的新型惡意軟體框架 OkoBot，可收割錢包文件、注入惡意擴展並捕獲錢包應用窗口以盜取資產。

ChainCatcher 消息，据安全公司 Huntress 披露，黑客透過偽造 Google Docs 文件、GitHub 托管惡意文件及仿冒 Claude.ai 頁面，向加密貨幣用戶傳播竊密惡意軟體。攻擊者在社交平台 X 上偽裝成 CoinDesk 高級員工，以邀請參加線上會議為由誘導受害者打開含惡意代碼的 Google Docs 文檔，進而引導用戶自行安裝惡意程序。Mac 用戶面臨 Atomic macOS Stealer（AMOS）威脅，可竊取瀏覽器密碼、加密錢包數據及 Telegram 文件；Windows 用戶則被推送偽造的 Google API Connector 更新，安裝後植入 NetSupport RAT 及仿冒 Ledger 硬體錢包應用。此外，黑客還在 Bing 等搜尋引擎投放虛假廣告，誘導用戶訪問仿冒 Claude.ai 頁面並執行惡意命令，相關惡意程序 MacSync 和 SectopRAT 可竊取 Cookie、保存密碼、助記詞及支付卡信息。安全公司 Socket 亦同期發現 16 款針對 Chrome 和 Edge 的惡意擴展，可清空 EVM、Solana 及 Tron 錢包資產。

ChainCatcher 消息，加密項目 Refi Hub 聯合創始人 Numa Lunah 表示，自己因使用 Claude 聊天窗口提供的下載鏈接安裝轉錄應用而遭黑客攻擊。該鏈接指向仿冒網站，並捆綁惡意軟體，執行後試圖竊取其設備中的全部信息。Numa Lunah 稱，自己清除並重裝了涉事筆記本電腦，未發現敏感信息外洩。隨後，他在備份中發現受污染的 Claude Code 技能文件 SKILL.md，該文件偽裝成其本人編寫的風格指南，並包含每次加載時重新下載惡意軟體、竊取憑證的指令。Microsoft Defender Experts 曾警告，攻擊者已從搜索引擎優化投毒轉向大語言模型回答投毒，相關手段包括推薦攻擊者控制的下載鏈接、AI 品牌仿冒安裝程序，以及受污染的代碼庫和代理技能。加密行業從業者可能持有助記詞、私鑰文件、熱錢包 JSON、具備提現權限的交易所 API 密鑰和部署者密鑰等不可撤銷憑證。

ChainCatcher 消息，据 Galaxy 研究主管監測，Coldcard 黑客仍在活動，一名黑客竊取了通過 5 次骰子投擲增加熵生成的密鑰。

ChainCatcher 消息，据 Decrypt 報導，安全公司 Socket 發布研究結果，將 77 個 Firefox 擴展身份關聯到其稱為"越位錢包盜竊工廠"的惡意活動，其中 40 個已確認存在惡意行為。這些擴展偽裝成 OKX、Rabby Wallet、TronLink 等 Web3 產品，通過偽造錢包介面誘導用戶導入錢包，或使用修改版真實錢包代碼，在用戶輸入時竊取助記詞和私鑰。Mozilla 簽名記錄顯示該活動從 3 月 9 日持續至 8 月 3 日，Socket 報告時仍有多個擴展在線。其中約半數擴展展示逼真的錢包介面並要求用戶導入現有錢包，從而截獲輸入的助記詞或私鑰；另有 13 個是 Rabby 的修改版本，在正常運作的同時將錢包存儲的帳戶數據發送至外部伺服器；還有 5 個專門收集已保存的憑證和剪貼板內容。此外，37 個擴展偽裝成密碼生成器、暗黑模式切換、VPN、貨幣轉換器和筆記工具，實際運行共享同一硬編碼憑證的體育比分應用。9 個已確認的惡意擴展最初以足球、籃球等比分應用形式發布，後續更新才替換為錢包竊取代碼。Socket 將該活動命名為"越位錢包盜竊工廠"，但提醒尚未確認所有擴展背後由同一操作者控制。Socket 團隊表示，任何在這些擴展中輸入過助記詞或私鑰的用戶都應視為"永久洩露"，並立即將資金轉移至新錢包，因為卸載擴展無法撤銷已發送到別處的助記詞。

ChainCatcher 消息，据 CoinDesk 報導，美國國稅局（IRS）發布警告稱，一場針對美國加密貨幣持有者的高級郵件釣魚活動正在擴散，攻擊者通過偽造官方稅務信件，誘導用戶掃描惡意二維碼，以竊取加密錢包憑證和私鑰。據悉，攻擊者冒充 IRS 發送紙質信件，利用「稅務合規」「帳戶驗證」等名義製造緊迫感，並在信件中附帶二維碼。一旦用戶掃描，可能被引導至仿冒網站，進而洩露錢包登錄信息、助記詞或私鑰，導致數字資產被盜。IRS 提醒納稅人，官方機構不會通過非官方渠道要求用戶提供加密錢包私鑰、助記詞或進行類似「錢包驗證」操作。加密貨幣持有者應警惕任何要求掃描二維碼、連接錢包或提交敏感信息的可疑郵件和信件。隨著加密資產持有者規模擴大，針對數字錢包的社會工程攻擊持續增加，監管機構和安全機構正加強對相關詐騙活動的防範提醒。

ChainCatcher 消息，据 Decrypt 報導，美國司法部對 17 名據稱隸屬於伊朗 Mabna 研究所的黑客提起訴訟，指控其參與長達數年的網絡攻擊活動，包括 2017 年入侵美國有線電視網絡 HBO，竊取數據後要求對方以 Bitcoin 支付約 600 萬美元贖金。檢方稱該組織為伊朗伊斯蘭革命衛隊及其他伊朗政府客戶實施黑客攻擊，目標涵蓋全球數百所大學、企業和政府機構，竊取至少 31.5 TB 的學術數據和知識產權。該組織還針對全球超 10 萬個教授帳戶，入侵了 144 所美國大學和 178 所外國大學的約 8,000 個帳戶。美國國務院懸賞最高 1,000 萬美元徵集其中 5 名被告下落。美國財政部近月已對多家伊朗加密交易所實施制裁，並凍結了與伊朗央行和革命衛隊相關的逾 1.31 億美元加密資產。

ChainCatcher 消息，据 Decrypt 报道，安全公司 Bitdefender 警告稱，新上映好萊塢大片 "奧德賽" (The Odyssey) 的盜版下載資源已被攻擊者植入 Lumma Stealer 信息竊取惡意軟體，試圖通過虛假電影文件竊取用戶加密貨幣錢包、密碼及瀏覽器數據。據 Bitdefender 披露，惡意文件在影片上線數日內便開始傳播，攻擊者將其偽裝成高清 WEBRip 或藍光版本資源，並使用類似正規種子文件的名稱吸引用戶下載。實際上，這些文件並非視頻，而是 Windows 可執行程序，運行後會感染設備。攻擊者通常會替換文件圖標，使其看起來像 VLC 播放器或視頻文件，同時利用 Windows 預設隱藏文件擴展名的設置，降低用戶識別風險的能力。一旦運行，Lumma Stealer 將搜集瀏覽器保存的密碼、支付信息、自動填充數據、遠程桌面憑證，以及包括加密貨幣錢包在內的敏感信息。此外，該惡意軟體還會竊取身份驗證 Cookie，使攻擊者即使在用戶啟用多因素認證 (MFA) 的情況下，也可能繞過部分帳戶保護措施。

ChainCatcher 消息，据 Cointelegraph 報導，BTCPay 伺服器已暫時限制對運行 Lightning Network Daemon (LND) 軟體的 Lightning Network 節點的公共遠程連接，此前攻擊者利用一個嚴重漏洞獲取了憑證並轉移了資金。BTCPay 表示，此限制可防止 Zeus 等外部錢包通過 BTCPay 伺服器域名進行連接。BTCPay 表示，Lightning 支付可以繼續進行，並計劃在認為安全時恢復遠程訪問選項。

ChainCatcher 消息，据鏈上偵探 Specter 監測，同一攻擊者正在針對 Ledger 運行類似的釣魚活動。相關截圖拍攝於兩天前，該贊助廣告目前已被移除。截至目前，這些活動已竊取超過 300 萬美元。

ChainCatcher 消息，据英國《金融時報》報導，詐騙者正利用歐盟 MiCA 新規，在牌照截止日期後針對被迫從無牌加密平台提取資產的用戶實施詐騙。騙子冒充監管機構和加密交易所，誘騙用戶將資金轉移至虛假帳戶。

ChainCatcher 消息，据 Axios 报道，尽管 AI 實驗室為爭奪頂尖人才提供了巨額薪酬、頂級頭銜和大量算力資源，但人才流失問題依然突出。數據顯示，超過 400 名前蘋果員工現任職於 OpenAI，蘋果公司已對 OpenAI 提起訴訟，指控其利用蘋果內部代號來提取從潛在應聘者處獲得的機密信息。最新案例是 Thinking Machines Lab 聯合創始人 Lilian Weng 離職數日後即重返 OpenAI ，負責遞歸自我改進研究。她是該實驗室過去一年內第四位離職的聯合創始人。與此同時， Google 近期也有兩名知名研究人員跳槽------ Noam Shazeer 重返 OpenAI ，諾貝爾化學獎得主 John Jumper 加入 Anthropic 。 Meta 同樣面臨高價招募人才快速流失的問題。報導援引知情人士稱， Anthropic CEO Dario Amodei 已對"為錢而來而非使命"的新人才趨勢表示擔憂。

ChainCatcher 消息，據韓國媒體 Daily NK 報導，朝鮮當局於 7 月 12 日逮捕了一個精英黑客團伙，該團伙涉嫌入侵朝鮮央行和外貿銀行內部網絡，竊取國家貿易資金並通過加密貨幣洗錢。消息人士稱，團伙頭目為朝鮮偵察總局下屬網絡戰部隊的退伍軍人，招募了金策工業大學和平壤科技大學的天才 IT 畢業生，利用加密通信和無線設備作案。他們將被盜資金小額拆分後轉入海外加密錢包，通過中間人兌換現金，再經邊境地區換為美元等資金。平壤官員發現外幣支付審批異常和海外 IP 訪問記錄後展開調查，最終突襲安全屋逮捕了正在洗錢的嫌疑人，繳獲數十萬美元設備。該案已在平壤精英和軍方圈層引發震動，偵察總局和科技教育界高層擔心被牽連。朝鮮此前長期被指控通過 Lazarus Group 等黑客組織竊取數十億美元加密資產，但此次事件罕見顯示其本國金融系統也成為內部攻擊目標。

ChainCatcher 消息，在 BitMEX 宣布關停當天，BKX Services Inc. 及 David Namdar 向紐約南區聯邦法院提起集體訴訟，指控該平台利用內幕交易權限及伺服器凍結手段，操縱用戶強制平倉並竊取比特幣抵押品。原告聲稱合計損失約 623 枚BTC，其中 BKX 損失至少 305.81 枚BTC，Namdar 損失超 316.85 枚BTC，訴訟要求返還比特幣並索賠。訴狀稱 BitMEX 允許客戶使用最高 100 倍槓桿，而在抵押物價值仍約為損失兩倍時即強制平倉，剩餘比特幣被納入平台保險基金，使 BitMEX 從中獲利。本次訴訟可追溯至 2018 年 7 月 23 日 起的相關交易，此前 2020 年類似案件於 2025 年 6 月 30 日 自願撤回。

ChainCatcher 消息，財政部長 Scott Bessent 在 X 平台發文表示，支持開源 AI 及其帶來的創新，但開源並非肆意侵犯美國知識產權的藉口。如果中國公司進行秘密的、工業規模的提煉攻擊，並越過界限構成知識產權盜竊，將考慮對其進行制裁，並將其列入實體清單。

ChainCatcher 消息，据 Bits.media 報導，卡巴斯基安全研究人員發現新的惡意軟體 OkoBot，通過約 20 個模組竊取加密錢包助記詞和憑證。攻擊者利用 ClickFix 社會工程學技術誘騙用戶運行惡意命令，並通過偽裝成 SQL Server Management Studio 等合法工具的 GitHub 倉庫傳播。OkoBot 的模組包括：SeedHunter 注入 Trezor 和 Ledger 等硬體錢包，在恢復助記詞時顯示虛假介面；MC Keylogger 記錄鍵盤和剪貼板活動；OkoSpyware 追蹤錢包密碼並錄製視窗視頻。一旦攻擊者獲得助記詞，即可完全控制受害者的加密資產，資金幾乎無法追回。卡巴斯基表示，OkoBot 已存在超過一年，多數受害者分布於巴西、越南、加拿大、墨西哥和土耳其。攻擊者還對俄羅斯和獨聯體國家的 IP 地址實施了地理封鎖。

ChainCatcher 消息，美國聯邦檢方起訴一名 21 歲佛羅里達州男子 Zyaire Wilkins，指控其於 2024 年 5 月至 2026 年 2 月期間，與同夥將竊取加密資產的惡意軟體植入至少 8 款遊戲，通過遊戲平台傳播，導致約 8000 台設備感染、約 80 個加密錢包被盜，涉案金額超過 22 萬美元。起訴文件顯示，涉案遊戲包括 BlockBlasters、Chemia、Dashverse、DashFPS、Lampy、Lunara、PirateFi 和 Tokenova。其中部分遊戲此前已因存在安全風險被 Steam 下架。調查人員稱，嫌疑人通過 Discord、Telegram、X 和 LinkedIn 等平台推廣這些遊戲，誘導用戶下載安裝，惡意軟體隨後竊取受害者敏感信息，並盜取加密錢包資產。FBI 表示，執法部門通過鏈上資金流向分析及數字支付記錄鎖定嫌疑人身份。調查發現，其關聯加密錢包曾在加密禮品卡平台 Bitrefill 購買逾 150 張禮品卡，包括 Uber Eats 禮品卡，最終幫助調查人員確認其電話號碼及住址。目前，該案件已在美國華盛頓西區聯邦地區法院提起訴訟。

ChainCatcher 消息，据 FinanceFeeds 報導，安全研究人員發現一種針對 macOS 設備的信息竊取惡意軟體正在攻擊加密用戶。該軟體可通過劫持 Telegram Desktop 會話、竊取密碼及錢包資料庫等方式，進一步控制用戶帳戶並盜取數位資產。目前受影響的錢包和應用包括 Exodus、Atomic、Electrum、Wasabi、Monero 等軟體錢包。該惡意軟體能夠從 macOS Keychain、Safari Cookie、Apple Notes、Telegram Desktop 以及多個加密錢包相關資料庫中提取敏感信息，包括登錄憑證、已認證會話檔案、錢包數據和瀏覽器擴展信息。安全分析指出，該攻擊鏈的危險之處在於其並非依賴單一錢包漏洞，而是通過收集設備上的多類數據，將設備入侵、帳戶接管、錢包破解和助記詞竊取串聯起來。其中，Telegram Desktop 會話成為重點目標。攻擊者可複製已認證的 Telegram 本地會話數據，並在另一台 Mac 設備上恢復登錄，無需輸入手機號碼、驗證碼或 Telegram 雙重驗證密碼。這意味著 Telegram 2FA 在該攻擊場景下無法提供完整保護，因為攻擊者並非進行新登錄，而是在利用已經信任的本地會話。對於加密用戶而言，風險進一步擴大。由於 Telegram 廣泛用於交易所客服、項目社區、OTC 交易以及錢包溝通，一旦攻擊者獲得用戶會話權限，可能冒充受害者身份、讀取私密聊天、定位資產信息，甚至向聯絡人傳播惡意鏈接。