黑客組織

ChainCatcher 消息，安全研究機構 Ctrl-Alt-Intel 披露，一組疑似與朝鮮有關的黑客針對質押平台、交易所軟體供應商及加密交易所發起攻擊。攻擊者利用 React2Shell 漏洞（CVE-2025-55182）及已獲取的 AWS 訪問憑證入侵雲環境，枚舉 S3、EC2、RDS、EKS、ECR 等資源，並從 Secrets Manager、Terraform 檔案、Kubernetes 配置及 Docker 容器中提取密鑰和憑證。研究人員稱，攻擊者下載 5 個 Docker 鏡像並竊取源代碼，其中包括 ChainUp 客戶相關軟體組件。攻擊基礎設施涉及韓國伺服器 64.176.226[.]36 及域名 itemnania[.]com。報告稱該活動與朝鮮相關攻擊特徵一致，但歸因信心度為中等，AWS 憑證來源未明確。

ChainCatcher 消息，据 Cointelegraph 報導，隸屬於 Google Cloud 的美國網絡安全公司 Mandiant 發現朝鮮關聯威脅組織正在加大針對加密貨幣和金融科技公司的社會工程攻擊。該威脅組織（代號 UNC1069）部署了七個惡意軟件集合，包括新發現的 SILENCELIFT、DEEPBREATH 和 CHROMEPUSH，旨在獲取敏感數據並竊取數字資產。攻擊者利用被入侵的 Telegram 賬戶和通過人工智能生成的深度偽造視頻進行虛假 Zoom 會議誘騙。自 2018 年以來，Mandiant 一直追蹤該組織，但人工智能的進步幫助該組織自 2025 年 11 月起擴大了惡意活動規模。在一起入侵事件中，攻擊者使用被盜的加密貨幣創始人 Telegram 賬戶發起聯繫，通過所謂的 ClickFix 攻擊誘導受害者執行含有隱藏命令的"故障排除"指令。

ChainCatcher 消息，据 Cointelegraph 報導，隸屬於 Google Cloud 的美國網絡安全公司 Mandiant 發現朝鮮關聯威脅組織正在加大針對加密貨幣和金融科技公司的社會工程攻擊。該威脅組織（代號 UNC1069）部署了七個惡意軟件集合，包括新發現的 SILENCELIFT、DEEPBREATH 和 CHROMEPUSH，旨在獲取敏感數據並竊取數字資產。攻擊者利用被入侵的 Telegram 賬戶和通過人工智能生成的深度偽造視頻進行虛假 Zoom 會議誘騙。自 2018 年以來，Mandiant 一直追蹤該組織，但人工智能的進步幫助該組織自 2025 年 11 月起擴大了惡意活動規模。在一起入侵事件中，攻擊者使用被盜的加密貨幣創始人 Telegram 賬戶發起聯繫，通過所謂的 ClickFix 攻擊誘導受害者執行含有隱藏命令的"故障排除"指令。

ChainCatcher 消息，AhnLab 發布的《2025 網絡威脅趨勢與 2026 安全展望》報告顯示，朝鮮背景黑客組織 Lazarus 在過去 12 個月被點名次數最多，其主要利用"魚叉式（定向）釣魚"實施攻擊，常偽裝成講座邀請、面試請求等郵件誘導目標開載。報告稱，Lazarus 被認為是多起重大攻擊的主要嫌疑人，包括今年 2 月 21 日的 Bybit 遭黑事件（損失 14 億美元）以及近期韓國交易所 Upbit 遭遇的 3000 萬美元漏洞攻擊。AhnLab 表示，為提高安全性，企業需建立多層防護體系，包括定期安全審計、及時更新補丁及加強員工教育。該公司並建議個人用戶使用多因子認證、謹慎處理未知鏈接與附件、避免過度暴露個人信息，同時僅從官方渠道下載內容。AhnLab 指出，隨著 AI 應用的普及，攻擊者將更易生成難以分辨的釣魚郵件、偽裝頁面與深度偽造內容，未來相關威脅可能進一步複雜化。（Cointelegraph）

ChainCatcher 消息，据韓聯社報導，韓國虛擬資產交易所 Upbit 遭遇黑客攻擊，價值 445 億韓元的虛擬資產被盜。目前，朝鮮偵察總局旗下的黑客組織 Lazarus Group 被高度懷疑是此次事件的幕後黑手。當地時間，韓聯社從信息通信技術（ICT）行業及韓國政府相關部門獲悉，鑑於朝鮮偵察總局下屬黑客組織 Lazarus Group 有較大作案嫌疑，當局正在對 Upbit 開展現場檢查工作。該黑客組織曾被指參與 2019 年 Upbit 價值 580 億韓元以太坊的盜竊案。政府相關人士稱："此次攻擊不太可能是針對伺服器的，更有可能的情況是竊取了管理員帳戶，或者偽裝成管理員進行資金轉帳。"他還表示："就目前掌握的情況來看，6 年前黑客就是採用這種方式實施攻擊的，所以推測此次也是同樣的作案方式。"

ChainCatcher 消息，安全研究人員發現朝鮮黑客組織 KONNI 開發了一種新型攻擊手法，首次利用 Google 的 Find Hub 資產追蹤功能對 Android 設備實施遠程數據擦除攻擊。攻擊者透過偽裝成心理諮詢師和人權活動家，在韓國 KakaoTalk 通訊平台分發名為"減壓程序"的惡意軟件。一旦受害者執行這些文件，攻擊者會竊取 Google 賬戶憑據，利用 Find Hub 功能跟蹤設備位置並執行遠程重置，導致個人數據被刪除。此次攻擊被確定為 KONNI APT 活動的後續行動，該組織與朝鮮政府支持的 Kimsuky 和 APT 37 有密切關聯。安全專家建議用戶加強賬戶安全，啟用雙因素認證，並對通過即時通訊工具接收的文件保持警惕。

ChainCatcher 消息，國家計算機病毒應急處理中心發布 LuBian 礦池遭黑客攻擊被竊取巨額比特幣事件技術溯源分析報告，其中指出：LuBian 礦池發生一起重大黑客攻擊事件，總計 127272.06953176 枚比特幣（當時市值約 35 億美元，現市值已達 150 億美元）被攻擊者竊取，這批巨額比特幣的持有者正是柬埔寨太子集團主席陳志。黑客攻擊事件發生後，存放於攻擊者控制的比特幣錢包地址中沉寂長達 4 年之久，幾乎分文未動，這顯然不符合一般黑客急於變現追逐利益的行為，更像是一場由"國家級黑客組織"操盤的精準行動。直到 2024 年 6 月，這批被盜比特幣才再次被轉移到新的比特幣錢包地址中，至今未動。2025 年 10 月 14 日，美國司法部宣布對陳志提起刑事指控，並稱沒收陳志及其太子集團的 12.7 萬枚比特幣。種種證據表明，美國政府沒收的陳志及其太子集團的這批巨額比特幣正是早在 2020 年就已經被黑客攻擊者利用技術手段竊取的 LuBian 礦池比特幣。也就是說，美國政府或早在 2020 年就已經通過黑客技術手段竊取了陳志持有的 12.7 萬枚比特幣，這是一起典型的國家級黑客組織操盤的"黑吃黑"事件。LuBian 礦池 2020 年遭黑客攻擊事件的影響深遠，導致礦池實際解散，損失相當於當時總資產的 90% 以上，而被盜比特幣現值已升至 150 億美元，凸顯價格波動放大風險。

ChainCatcher 消息，据 Cryptopolitan 報導，英國警方逮捕了一名與 Scattered Spider 駭客組織有關的青少年。該組織被指控從超過 100 個組織中勒索超 1.15 億美元贖金。被捕的 19 歲嫌疑人 Thalha Jubair 涉嫌參與約 120 起網絡入侵事件。據法庭文件顯示，該組織在 2022 年 5 月至今實施了多起勒索攻擊，其中 5 起受害公司支付了約 8950 萬美元贖金。美國聯邦調查局（FBI）表示已從 Jubair 控制的伺服器錢包中繳獲了 3600 萬美元數字資產。調查顯示，Jubair 因使用勒索所得購買遊戲禮品卡和外賣而暴露蹤跡。該組織此前通過 SIM 卡盜用和社會工程攻擊手段實施犯罪，受害者包括美國聯邦法院系統在內的多個重要機構。

ChainCatcher 消息，EurekaTrading 創始人 Kuan Sun 發推回顧其因釣魚攻擊險些丟失 1,300 萬美元：2025 年 9 月 2 日，其錢包中約 1,300 萬美元資產險些被 Lazarus 黑客組織盜走，安全團隊緊急出手，最終追回資金。起因是一場看似正常的 Zoom 會議邀請，實際上為精心佈置的釣魚陷阱。黑客利用"半熟人"關係、deepfake 視頻及偽造 Rabby 插件，針對受害者 Venus 倉位量身定制攻擊。在誤信假插件操作下執行 withdraw，資產面臨被連帶負債轉走的風險。PeckShield、SlowMist、Venus 及多支安全團隊迅速響應，暫停協議並排查風險，最終阻止了資金被盜。硬體錢包並非萬能，插件和前端被劫持仍有風險；Zoom 連結、升級彈窗、半熟人關係均可能成為攻擊入口。

ChainCatcher 消息，慢霧餘弦在社交媒體發文表示，Venus 大戶 Kuan Sun（@KuanSun1990）的釣魚事件迎來圓滿結局，該用戶幾乎挽回了全部損失。相關黑客組織因此付出了近 300 萬美元的攻擊成本。

ChainCatcher 消息，慢霧首席信息安全官 23pds 發推表示，"疑似朝鮮黑客組織 Kimsuky APT 一名成員遭遇重大數據洩露，洩露數百 GB 的內部文件和工具。入侵大概發生在 2025 年 6 月初，暴露該組織複雜的後門、網絡釣魚框架和偵察行動，根據對洩露檔案的分析，內部轉儲源自化名為『KIM』的 Kimsuky 操作員的兩個受損系統。一個是運行 Deepin 20.9 的 Linux 開發工作站；另一個是用於魚叉式網絡釣魚活動的面向公眾的 VPS。"

ChainCatcher 消息，以色列關聯黑客組織 Gonjeshke Darande 宣布，已公開伊朗最大加密貨幣交易所 Nobitex 的全部源代碼，相關資產信息現已完全暴露。該組織警告，留存在 Nobitex 的用戶資產正面臨極高風險，並在社交平台展示了 Nobitex 內部系統細節。

ChainCatcher 消息，据 CoinDesk 報導，區塊鏈安全公司 Elliptic 稱，與以色列有關聯的黑客組織 Gonjeshke Darande 對伊朗加密貨幣交易所 Nobitex 進行攻擊導致損失 9000 萬美元並非出於經濟動機，相關資金被發送到 Vanity Address，本質上是銷毀代幣。此前消息，黑客組織"Gonjeshke Darande"（波斯語意為"兇猛的麻雀"）宣布已對伊朗加密貨幣交易所 Nobitex 發動網絡攻擊，並警告將在 24 小時內公開該交易所的源代碼和內部網絡信息。

ChainCatcher 消息，黑客組織 Gonjeshke Darande（波斯語意為"兇猛的麻雀"）宣布已對伊朗加密貨幣交易所 Nobitex 發動網絡攻擊，並警告將在 24 小時內公開該交易所的源代碼和內部網絡信息。該組織指控 Nobitex 是伊朗政權規避國際制裁和資助恐怖活動的核心工具，甚至公開指導用戶如何利用其基礎設施繞過制裁。黑客組織還聲稱，在 Nobitex 工作被伊朗政府視為有效的軍事服務，凸顯了該交易所對伊朗政權的重要性。此前，該黑客組織曾針對伊朗革命衛隊的"塞帕銀行"（Bank Sepah）發動攻擊。黑客警告 Nobitex 用戶儘快撤出資產，稱"任何在該時間點後仍留在平台上的資產將面臨風險"。此前消息，伊朗加密交易所 Nobitex 疑似被黑客攻擊，損失 4865 萬美元。

ChainCatcher 消息，黑客組織 Librarian Ghouls（又稱 Rare Werewolf）已入侵數百台俄羅斯設備並利用它們進行加密貨幣挖礦。該組織透過偽裝成合法組織的釣魚郵件傳播惡意軟體，感染設備後建立遠程連接並禁用 Windows Defender 等安全系統。黑客會收集設備的 RAM、CPU 核心和 GPU 信息，以優化配置加密貨幣挖礦程序。 這一黑客事件始於 2023 年 12 月，攻擊活動主要影響俄羅斯的工業企業和工程學校，白俄羅斯和哈薩克斯坦也有受害者。Kaspersky 推測 Librarian Ghouls 可能是黑客行動主義者，因為他們依賴合法的第三方工具而非開發自己的惡意程序，這是類似組織常用的技術。

ChainCatcher 消息，安全公司 Wiz 發現代號 JINX-0132 的黑客組織正大規模利用 DevOps 工具配置漏洞進行加密貨幣挖礦攻擊。該攻擊主要針對 HashiCorp Nomad/Consul、Docker API 和 Gitea 等工具，約 25% 的雲環境存在風險。攻擊手法包括：利用 Nomad 預設配置部署 XMRig 挖礦軟體、透過 Consul 未授權 API 執行惡意腳本、控制暴露的 Docker API 創建挖礦容器。

ChainCatcher 消息，据 Finance Feeds 報導，朝鮮黑客組織 Lazarus Group 近期將攻擊目標轉向個人投資者，5 月 24 日通過惡意軟體一名商家處竊取了超過 520 萬美元。被盜資金涉及多個錢包類型，包括交易所錢包、多簽錢包和外部帳戶。區塊鏈分析師 ZackXBT 追蹤發現，黑客已通過混幣器 Tornado Cash 轉移約 1000 枚 ETH。安全專家建議個人投資者採取防護措施：使用硬體錢包存儲大額資產、啟用雙因素認證、定期更新軟體補丁、警惕可疑連結及定期核查交易記錄。此次攻擊標誌著該組織從針對機構轉向個人投資者的策略轉變。

ChainCatcher 消息，据 Bitcoin.com News 報導，朝鮮黑客組織 Lazarus Group 攻擊 Bybit 之後開始將部分盜竊資產兌換成比特幣，數據顯示該集團現在已擁有 13562 枚 BTC，價值約 11.4 億美元，這也使得朝鮮的比特幣持倉量不斷攀升，目前已經超越了薩爾瓦多（6117 枚 BTC）和不丹（10635 枚 BTC），成為全球比特幣持倉量第三大的政府實體，僅次於美國（198109 枚 BTC）和英國（61245 枚 BTC）。

ChainCatcher 消息，据 Decrypt 報導，Socket 研究團隊在一場新的攻擊中發現，朝鮮黑客組織 Lazarus 與六個新的惡意 npm 軟件包有關，這些軟件包試圖部署後門以竊取用戶憑證。此外，這些惡意軟件還能提取加密貨幣數據，竊取 Solana 和 Exodus 加密錢包中的敏感信息。攻擊主要針對 Google Chrome、Brave 和 Firefox 瀏覽器的文件以及 macOS 的鑰匙串數據，專門誘騙開發者無意中安裝這些惡意軟件包。此次發現的六個惡意軟件包包括：is-buffer-validator、yoojae-validator、event-handle-package、array-empty-validator、react-event-dependency 和 auth-validator。它們通過"typosquatting"（利用拼寫錯誤的名稱）誘騙開發者安裝。APT 組織為其中五個軟件包創建並維護了 GitHub 倉庫，偽裝成合法開源項目，增加了惡意代碼被開發者使用的風險。這些軟件包已被下載超過 330 次。目前，Socket 團隊已請求刪除這些軟件包，並報告了相關的 GitHub 倉庫和用戶賬戶。Lazarus 是臭名昭著的朝鮮黑客組織，與最近的 14 億美元 Bybit 黑客攻擊、4100 萬美元的 Stake 黑客攻擊、2700 萬美元的 CoinEx 黑客攻擊以及加密行業中無數其他攻擊有關。