lazarus

ChainCatcher 消息，「鏈上偵探」ZachXBT 發文稱，其曾偽裝成客戶滲透一個涉嫌為朝鮮背景黑客組織 Lazarus Group 洗錢的犯罪團夥，並協助凍結 2025 年 Bybit 攻擊事件相關資金。ZachXBT 表示，2025 年 2 月 Bybit 遭遇價值 15 億美元攻擊後，他發現 Telegram 和 Discord 公開群組中有超過 15 個帳戶尋求幫助處理與被盜資金相關的交易。隨後，他聯繫其中一名使用「Jimmy Green」別名的 Telegram 用戶，並通過多筆交易建立信任。據其披露，2025 年 3 月 6 日，他向一個以太坊地址轉入 349.7 萬美元 USDC，用於與對方進行 USDC 與 TRON 鏈 USDT 兌換交易。該地址的 Gas 資金來源可追溯至 Bybit 攻擊資金，並被公開標記為 Bybit 攻擊黑名單地址。ZachXBT 稱，後續交流中，對方透露其團隊曾參與處理 Bybit 被盜資金，並提前透露資金將在 Solana 等鏈上轉移。通過交易時間、金額及鏈上數據匹配，他發現一個涉及超過 1,200 萬美元 Bybit 攻擊資金的錢包集群，資金路徑包括 BTC→ETH→SOL→TRON 等多個網絡，其中約 44.2 萬枚 USDT 已被 Tether 凍結，該團夥還嘗試通過 Uniswap 流動性池和低流動性代幣等方式進行洗錢。此外，對方還透露曾幫助其他客戶處理約 300 萬美元詐騙所得資金，ZachXBT 追蹤發現相關資金流向已被制裁的 Huione Guarantee 相關錢包。ZachXBT 透露，此次調查中他先行投入 349.7 萬美元資金，並承擔每筆交易約 5% 的損失風險，最終獲得的情報已第一時間提供給相關調查機構和執法部門。自 2022 年以來已協助凍結與朝鮮相關事件有關資金超過 7,500 萬美元。

ChainCatcher 消息，据派盾監測，NEAR Intents 攻擊者已將盜取的資金轉移至 Kucoin，並橋接到 BTC。攻擊者地址已與一個標記為朝鮮 LazarusGroup 的地址（0x098B7...E2f96）進行交互。

ChainCatcher 消息，据鏈上偵探 Specter 監測，其通過追蹤鏈上資金流，北韓駭客組織 Lazarus Group 可能是 Bitget 被盜事件的幕後攻擊者。本次事件與今年 7 月發生的 AFX 攻擊存在關聯，後者造成約 2400 萬美元損失，並被歸因於 Lazarus Group 相關的 TraderTraitor。Bitget 被盜的 XRP 經過跨鏈後，相關資金路徑可直接關聯至 AFX 攻擊中的被盜資金。

ChainCatcher 消息，据 Lookonchain 監測，黑客組織 Lazarus Group 在過去 2 小時內以均價 2499 美元賣出 911 枚 ETH（228 萬美元）。

ChainCatcher 消息，据 Lookonchain 監測，Lazarus Group 黑客轉移了 244.148 枚 Bitcoin，價值 1942 萬美元。

ChainCatcher 消息，据鏈上分析師 Ai 姨監測，黑客組織 Lazarus Group 2 小時前將 262.2 枚 BTC 轉移至新地址，價值 1,664 萬美元，或計劃進行清洗。目前，該組織在鏈上仍持有價值超過 7,306 萬美元的資產，主要包括 BTC、USDT 和 ETH。

ChainCatcher 消息，加密貨幣交易所 Bybit 已向美國哥倫比亞特區聯邦地區法院提起民事訴訟，起訴朝鮮、朝鮮偵察總局及駭客組織 Lazarus Group，案件涉及 2025 年 2 月約 15 億美元被盜事件。Bybit 表示，法官已批准初步禁令，禁止案件審理期間轉移或處置已識別的被盜資產，並認為 Bybit 在實體問題上勝訴可能性較高。訴訟還將持有或轉移相關資金的未知個人及實體列為 John Doe 被告。Bybit 披露，約 4840 萬美元已追回，約 3050 萬美元已在 28 家以上交易所及托管機構凍結，兩者合計約占被盜金額 5%。攻擊者於 2025 年 2 月從 Bybit 冷錢包轉出約 50 萬枚 ETH，多數資金隨後經 Thorchain 兌換為比特幣並通過混幣服務轉移。Bybit 表示，案件與刑事調查並行推進。

ChainCatcher 消息，加密貨幣交易所 Bybit 已對朝鮮民主主義人民共和國、其情報機構 Reconnaissance General Bureau（RGB）及受國家制裁的黑客組織 Lazarus Group 提起民事訴訟，涉及一宗價值 15 億美元的黑客攻擊事件。美國聯邦法院發布初步禁令，禁止在訴訟期間轉移或消散與該案有關的已識別資產。

ChainCatcher 消息，据 Lookonchain 監測，Lazarus Group 黑客在一小時前轉移了 121.5 枚 BTC（774 萬美元）

ChainCatcher 消息，据 Bitcoin.com 报道，美國參議員 Cynthia Lummis 力推 CLARITY 法案在國會休會前完成參議院投票。該法案第 303 條賦予財政部對外國司法管轄區實施數位資產專項制裁的權力，第 305 條允許交易所對可疑交易實施最長 180 天的凍結。鏈上數據顯示，北韓 Lazarus Group 2026 年上半年共盜取約 6.43 億美元，占全球同期加密被盜總額（9.72 億美元）的三分之二，其中包括 4 月對 Drift Protocol 的 2.85 億美元攻擊及對 KelpDAO 跨鏈橋的 2.92 億美元攻擊。該組織自 2019 年以來累計盜竊額已達 67.5 億美元。目前，Galaxy Research 將 CLARITY 法案 2026 年內通過的概率下調至 30%，該法案尚需獲得 60 票方可推進，意味著至少需要 7 名民主黨議員跨黨投票支持。

ChainCatcher 消息，据 Cryptopolitan 報導，網絡安全分析師發現了一種名為 RemotePE 的新型無文件遠程訪問木馬 (RAT)。据信與朝鮮有關聯的網絡犯罪組織 Lazarus Group 正在利用該木馬攻擊銀行和加密貨幣公司。該木馬完全在內存中運行，傳統殺毒和取證工具難以檢測。攻擊者通過 Telegram 冒充交易公司員工，使用偽造的 Calendly 和 Picktime 鏈接進行社交工程攻擊。惡意軟件通過 DPAPILoader、RemotePELoader 和 RemotePE 三個階段鏈式加載，整個過程不接觸文件系統，利用進程挖空、反分析檢查和加密 C2 通信規避檢測。該惡意軟件於 2025 年 9 月首次被發現。2026 年前四個月，Lazarus 組織已竊取約 5.77 億美元加密資產，占全球加密盜竊總額的 76%。自 2017 年以來，該組織累計竊取金額已達 60 億美元。

ChainCatcher 消息，据 OpenSourceMalware 研究，朝鮮黑客組織 Lazarus 在 "傳染性面試" 和 "TaskJacker" 等針對開發者的惡意活動中採用了新手法，將第二階段加載器隱藏在 Git Hooks 的 pre-commit 腳本中。"傳染性面試" 是該組織通過偽造加密貨幣/DeFi 領域招聘流程，誘使開發者克隆惡意代碼倉庫的系列攻擊活動，最終竊取加密資產和憑證。研究員建議，被要求克隆代碼倉庫作為面試流程一部分的開發者，應警惕此類風險，最好在隔離環境中運行，避免掛載個人瀏覽器配置、SSH 密鑰和加密錢包。

ChainCatcher 消息，据 CoinDesk 報導，據 CertiK 監測，Lazarus 集團正在針對金融科技及加密貨幣行業高管開展名為 Mach-O Man 的攻擊行動。該操作利用 ClickFix 社交工程技術，通過發送虛假在線會議邀請，誘導受害者在 Mac 終端粘貼修復指令，從而獲取公司及財務系統訪問權限。CertiK 研究員 Natalie Newson 表示，Lazarus Group 過去兩周通過 Drift 和 KelpDAO 攻擊已竊取超 5 億美元。Mach-O Man 是由 Lazarus Group 下屬 Chollima 部門開發的模組化 macOS 惡意軟體工具包，能夠在使用後自動刪除以規避檢測。此外，已有攻擊者通過劫持 DeFi 項目域名並替換為虛假 Cloudflare 消息的方式實施該攻擊。

ChainCatcher 消息，AhnLab 發布的《2025 網絡威脅趨勢與 2026 安全展望》報告顯示，朝鮮背景黑客組織 Lazarus 在過去 12 個月被點名次數最多，其主要利用"魚叉式（定向）釣魚"實施攻擊，常偽裝成講座邀請、面試請求等郵件誘導目標開載。報告稱，Lazarus 被認為是多起重大攻擊的主要嫌疑人，包括今年 2 月 21 日的 Bybit 遭黑事件（損失 14 億美元）以及近期韓國交易所 Upbit 遭遇的 3000 萬美元漏洞攻擊。AhnLab 表示，為提高安全性，企業需建立多層防護體系，包括定期安全審計、及時更新補丁及加強員工教育。該公司並建議個人用戶使用多因子認證、謹慎處理未知鏈接與附件、避免過度暴露個人信息，同時僅從官方渠道下載內容。AhnLab 指出，隨著 AI 應用的普及，攻擊者將更易生成難以分辨的釣魚郵件、偽裝頁面與深度偽造內容，未來相關威脅可能進一步複雜化。（Cointelegraph）

ChainCatcher 消息，針對 Upbit 遭遇約 445 億韓元（約 3600 萬美元）加密資產被盜一事，CryptoQuant CEO Ki Young Ju 今日發文指出，Upbit 所披露的攻擊方式"幾乎不可能由普通黑客完成"。Upbit 此前表示，攻擊者可能透過分析用戶錢包地址模式來"推斷私鑰"。Ki Young Ju 直言，這類攻擊技術難度極高，若情況屬實，"我懷疑除了朝鮮 Lazarus，沒有任何黑客組織能做到這一點"。

ChainCatcher 消息，据韓聯社報導，韓國虛擬資產交易所 Upbit 遭遇黑客攻擊，價值 445 億韓元的虛擬資產被盜。目前，朝鮮偵察總局旗下的黑客組織 Lazarus Group 被高度懷疑是此次事件的幕後黑手。當地時間，韓聯社從信息通信技術（ICT）行業及韓國政府相關部門獲悉，鑑於朝鮮偵察總局下屬黑客組織 Lazarus Group 有較大作案嫌疑，當局正在對 Upbit 開展現場檢查工作。該黑客組織曾被指參與 2019 年 Upbit 價值 580 億韓元以太坊的盜竊案。政府相關人士稱："此次攻擊不太可能是針對伺服器的，更有可能的情況是竊取了管理員帳戶，或者偽裝成管理員進行資金轉帳。"他還表示："就目前掌握的情況來看，6 年前黑客就是採用這種方式實施攻擊的，所以推測此次也是同樣的作案方式。"

ChainCatcher 消息，EurekaTrading 創始人 Kuan Sun 發推回顧其因釣魚攻擊險些丟失 1,300 萬美元：2025 年 9 月 2 日，其錢包中約 1,300 萬美元資產險些被 Lazarus 黑客組織盜走，安全團隊緊急出手，最終追回資金。起因是一場看似正常的 Zoom 會議邀請，實際上為精心佈置的釣魚陷阱。黑客利用"半熟人"關係、deepfake 視頻及偽造 Rabby 插件，針對受害者 Venus 倉位量身定制攻擊。在誤信假插件操作下執行 withdraw，資產面臨被連帶負債轉走的風險。PeckShield、SlowMist、Venus 及多支安全團隊迅速響應，暫停協議並排查風險，最終阻止了資金被盜。硬體錢包並非萬能，插件和前端被劫持仍有風險；Zoom 連結、升級彈窗、半熟人關係均可能成為攻擊入口。

ChainCatcher 消息，据 The Telegraph 報導，英國註冊加密貨幣平台 Lykke 因被駭客盜取約 1700 萬英鎊（約2280萬美元）比特幣及以太坊，被迫停運並於今年 3 月清算。英國財政部下屬 OFSI 報告稱，駭客來自朝鮮 Lazarus 組織，資金被用於軍事和核項目。Lykke 創始人 Richard Olsen 已被宣布破產，案件仍在調查中。

ChainCatcher 消息，据鏈上偵探 ZachXBT 監測，某用戶疑似於 5 月 16 日遭朝鮮黑客組織 Lazarus Group 攻擊，損失約 320 萬美元資產。被盜資產在市場出售，盜取的資金隨後從 Solana 跨鏈至以太坊。6 月 25 日 400 枚 ETH 被存入 Tornado Cash；6 月 27 日 400 枚 ETH 被存入 Tornado Cash。

ChainCatcher 消息，慢霧安全團隊最新情報顯示，朝鮮 Lazarus 黑客組織正在使用名為 OtterCookie 的新型竊密木馬，針對加密貨幣及金融從業者發起定向攻擊。共計手法包括偽造高薪職位面試/投資人洽談、使用深度偽造 (Deepfake) 視頻冒充招聘方、將惡意軟體偽裝成"編程測試題"或"系統更新包"。竊取目標包括瀏覽器保存的登錄憑證、macOS 鑰匙串中的密碼與數字證書，以及加密錢包信息及私鑰。慢霧建議，對主動提供的職位/投資邀約保持警惕，遠程面試需多重驗證，切勿運行來歷不明的可執行文件，尤其是所謂"技術測試題"或"更新補丁"，強化終端防護 (EDR)，部署殺毒軟體並定期排查異常進程。