窃取

ChainCatcher 消息，据 Law360 报道，涉及 Uranium Finance 的加密资产盗窃案已在美国曼哈顿联邦法院开审。 检方指控，马里兰州网络安全顾问 Jonathan Spalletta 于 2021 年利用该协议智能合约漏洞发动攻击，其中第二次攻击从 26 个资金池转出约 5,330 万美元，并导致协议停止运营。相关说法为检方指控，尚非定罪结论。

ChainCatcher 消息，区块链安全公司 SlowMist 首席信息安全官 23pds 表示，攻击者正利用 Darksword 漏洞，通过 Safari 绕过 iOS 安全机制，控制设备并提取自托管加密钱包中的私钥及其他数据。该漏洞曾被用于针对沙特、土耳其、马来西亚和乌克兰用户的攻击。Google Threat Intelligence Group 此前披露，Darksword 最初仅影响 iOS 18.4 至 18.7 版本。23pds 称，攻击者已将其适配至 iOS 26.5，但这一判断尚未获得官方验证。攻击通常始于社会工程，用户点击通过社交媒体或通信应用发送的恶意链接后，设备可能被取得 Root 权限并提取钱包数据。用户应及时更新手机系统，避免访问陌生人发送的网站链接；另有三名投资者因从苹果官方 App Store 下载虚假钱包应用损失近 180 万美元比特币，已对苹果提起诉讼。

ChainCatcher 消息，网络安全公司 Hudson Rock 披露，流媒体服务 HBO Max 的 Reddit 认证账号于本月早些时候遭黑客劫持，并在约 48 小时内投放了 108 条恶意广告。这些广告以不存在的 HBO Max 原生 macOS 应用为诱饵，诱导用户打开终端或 PowerShell 粘贴恶意命令，该手法被称为 ClickFix。研究人员将该行动命名为 PasteSwitch，其投递系统会根据访问者设备与所宣传软件自适应调整。已观测到的 Mac 端载荷包括 MacSync 与 Atomic macOS（AMOS）信息窃取木马，目标涵盖浏览器凭据、Telegram 数据、Apple Notes、已保存密码及加密货币钱包助记词。恶意软件还利用币安智能链合约作为可变 C2 地址投递点，并关联到替换剪贴板钱包地址的加密货币剪贴板劫持程序。据 Malwarebytes 称，Reddit 管理员在收到举报后已暂停相关广告并展开安全调查。报告未说明账号遭入侵的具体方式及受害者数量，也未发现 HBO Max 流媒体服务本身被攻破的证据。此前 ClickFix 手法已多次被用于针对加密货币用户的攻击，包括约 2000 个被入侵的 WordPress 网站及伪装 CAPTCHA 的恶意活动。

ChainCatcher 消息，据 Apnews 报道，某年轻加密诈骗团伙于 2024 年 8 月通过 “社会工程” 攻击窃取超过 4100 枚 BTC，当时价值超过 2.4 亿美元。 得手后，团伙成员迅速开启奢侈消费，包括购买跑车、租赁豪宅、乘坐私人飞机及雇佣安保人员，其中被指为主谋的 22 岁新加坡男子 Malone Lam 甚至曾在洛杉矶一家夜店一晚消费超过 56.9 万美元。 调查显示，嫌疑人通过冒充 Google 及加密交易平台 Gemini 工作人员，诱骗受害者交出 Google Drive 访问权限及安全验证码，从而转走其比特币。随后，他们通过多个交易平台及洗钱中介转移资金。挥霍生活最终引起执法部门注意。 其中一名嫌疑人因隐藏近 3000 万美元被盗加密资产时暴露 IP 地址，警方由此追查到其租住的加州豪宅。另有嫌疑人被查获价值 3700 万美元的被盗加密资产。Lam 则被指使用被盗资金购买价值 200 万美元的手表及 30 多辆保时捷、兰博基尼和法拉利。 目前已有 18 名被告遭起诉，Lam 预计将于本周二出席认罪协议听证会。美国司法部门已对其中多名共犯作出判决，相关案件仍在持续推进。

ChainCatcher 消息，据慢雾安全团队披露，其监测到一项伪装成免费 VPS 服务的攻击活动，专门针对运行 iOS 18.4 至 18.6.2 版本的 iPhone Safari 浏览器发起攻击。攻击者利用代号为 DarkSword 的六个漏洞形成完整攻击链，涵盖 WebKit 远程代码执行、沙箱逃逸及内核读写等环节，可在用户无感知的情况下获取 App 容器文件、钥匙串数据，并在 imToken、TokenPocket 或 TronLink 等钱包处于前台时记录键盘输入。慢雾团队表示，上述 6 个漏洞目前均已被 Apple 修复，当前攻击属于 n-day 漏洞链的复用。仅访问恶意页面并不能直接证明助记词或私钥已被窃取，仍需通过设备取证进行确认。建议 iOS/iPadOS 用户尽快将系统升级至 18.7.3 或 26.3 及以上版本。

ChainCatcher 消息，据 Cointelegraph 报道，网络安全公司 Morphisec 披露，一款伪装成 Anthropic 旗下"Claude Opus 5 Free Desktop"的假冒桌面应用正被用于传播 Windows 恶意软件 RevStealer。该软件可窃取超过 50 种加密货币钱包数据，同时还会收集浏览器密码、Cookie、VPN 配置、消息记录及截图等敏感信息。 RevStealer 具备反检测机制，会在执行前对目标设备进行环境检测，若发现调试或虚拟环境特征则停止运行。此外，俄罗斯网络安全公司卡巴斯基也披露了另一针对加密投资者的新型恶意软件框架 OkoBot，可收割钱包文件、注入恶意扩展并捕获钱包应用窗口以盗取资产。

ChainCatcher 消息，据安全公司 Huntress 披露，黑客通过伪造 Google Docs 文件、GitHub 托管恶意文件及仿冒 Claude.ai 页面，向加密货币用户传播窃密恶意软件。攻击者在社交平台 X 上伪装成 CoinDesk 高级员工，以邀请参加线上会议为由诱导受害者打开含恶意代码的 Google Docs 文档，进而引导用户自行安装恶意程序。Mac 用户面临 Atomic macOS Stealer（AMOS）威胁，可窃取浏览器密码、加密钱包数据及 Telegram 文件；Windows 用户则被推送伪造的 Google API Connector 更新，安装后植入 NetSupport RAT 及仿冒 Ledger 硬件钱包应用。此外，黑客还在 Bing 等搜索引擎投放虚假广告，诱导用户访问仿冒 Claude.ai 页面并执行恶意命令，相关恶意程序 MacSync 和 SectopRAT 可窃取 Cookie、保存密码、助记词及支付卡信息。安全公司 Socket 亦同期发现 16 款针对 Chrome 和 Edge 的恶意扩展，可清空 EVM、Solana 及 Tron 钱包资产。

ChainCatcher 消息，加密项目 Refi Hub 联合创始人 Numa Lunah 表示，自己因使用 Claude 聊天窗口提供的下载链接安装转录应用而遭黑客攻击。该链接指向仿冒网站，并捆绑恶意软件，执行后试图窃取其设备中的全部信息。Numa Lunah 称，自己清除并重装了涉事笔记本电脑，未发现敏感信息外泄。随后，他在备份中发现受污染的 Claude Code 技能文件 SKILL.md，该文件伪装成其本人编写的风格指南，并包含每次加载时重新下载恶意软件、窃取凭证的指令。Microsoft Defender Experts 曾警告，攻击者已从搜索引擎优化投毒转向大语言模型回答投毒，相关手段包括推荐攻击者控制的下载链接、AI 品牌仿冒安装程序，以及受污染的代码库和代理技能。加密行业从业者可能持有助记词、私钥文件、热钱包 JSON、具备提现权限的交易所 API 密钥和部署者密钥等不可撤销凭证。

ChainCatcher 消息，据 Galaxy 研究主管监测，Coldcard 黑客仍在活动，一名黑客窃取了通过 5 次骰子投掷增加熵生成的密钥。

ChainCatcher 消息，据 Decrypt 报道，安全公司 Socket 发布研究结果，将 77 个 Firefox 扩展身份关联到其称为“越位钱包盗窃工厂”的恶意活动，其中 40 个已确认存在恶意行为。 这些扩展伪装成 OKX、Rabby Wallet、TronLink 等 Web3 产品，通过伪造钱包界面诱导用户导入钱包，或使用修改版真实钱包代码，在用户输入时窃取助记词和私钥。Mozilla 签名记录显示该活动从 3 月 9 日持续至 8 月 3 日，Socket 报告时仍有多个扩展在线。 其中约半数扩展展示逼真的钱包界面并要求用户导入现有钱包，从而截获输入的助记词或私钥；另有 13 个是 Rabby 的修改版本，在正常运作的同时将钱包存储的账户数据发送至外部服务器；还有 5 个专门收集已保存的凭证和剪贴板内容。 此外，37 个扩展伪装成密码生成器、暗黑模式切换、VPN、货币转换器和笔记工具，实际运行共享同一硬编码凭证的体育比分应用。9 个已确认的恶意扩展最初以足球、篮球等比分应用形式发布，后续更新才替换为钱包窃取代码。 Socket 将该活动命名为“越位钱包盗窃工厂”，但提醒尚未确认所有扩展背后由同一操作者控制。Socket 团队表示，任何在这些扩展中输入过助记词或私钥的用户都应视为“永久泄露”，并立即将资金转移至新钱包，因为卸载扩展无法撤销已发送到别处的助记词。

ChainCatcher 消息，据 CoinDesk 报道，美国国税局（IRS）发布警告称，一场针对美国加密货币持有者的高级邮件钓鱼活动正在扩散，攻击者通过伪造官方税务信件，诱导用户扫描恶意二维码，以窃取加密钱包凭证和私钥。 据悉，攻击者冒充 IRS 发送纸质信件，利用“税务合规”“账户验证”等名义制造紧迫感，并在信件中附带二维码。一旦用户扫描，可能被引导至仿冒网站，进而泄露钱包登录信息、助记词或私钥，导致数字资产被盗。 IRS 提醒纳税人，官方机构不会通过非官方渠道要求用户提供加密钱包私钥、助记词或进行类似“钱包验证”操作。加密货币持有者应警惕任何要求扫描二维码、连接钱包或提交敏感信息的可疑邮件和信件。 随着加密资产持有者规模扩大，针对数字钱包的社会工程攻击持续增加，监管机构和安全机构正加强对相关诈骗活动的防范提醒。

ChainCatcher 消息，据 Decrypt 报道，美国司法部对 17 名据称隶属于伊朗 Mabna 研究所的黑客提起诉讼，指控其参与长达数年的网络攻击活动，包括 2017 年入侵美国有线电视网络 HBO，窃取数据后要求对方以 Bitcoin 支付约 600 万美元赎金。检方称该组织为伊朗伊斯兰革命卫队及其他伊朗政府客户实施黑客攻击，目标涵盖全球数百所大学、企业和政府机构，窃取至少 31.5 TB 的学术数据和知识产权。该组织还针对全球超 10 万个教授账户，入侵了 144 所美国大学和 178 所外国大学的约 8,000 个账户。美国国务院悬赏最高 1,000 万美元征集其中 5 名被告下落。美国财政部近月已对多家伊朗加密交易所实施制裁，并冻结了与伊朗央行和革命卫队相关的逾 1.31 亿美元加密资产。

ChainCatcher 消息，据 Decrypt 报道，安全公司 Bitdefender 警告称，新上映好莱坞大片 “奥德赛” (The Odyssey) 的盗版下载资源已被攻击者植入 Lumma Stealer 信息窃取恶意软件，试图通过虚假电影文件窃取用户加密货币钱包、密码及浏览器数据。据 Bitdefender 披露，恶意文件在影片上线数日内便开始传播，攻击者将其伪装成高清 WEBRip 或蓝光版本资源，并使用类似正规种子文件的名称吸引用户下载。实际上，这些文件并非视频，而是 Windows 可执行程序，运行后会感染设备。攻击者通常会替换文件图标，使其看起来像 VLC 播放器或视频文件，同时利用 Windows 默认隐藏文件扩展名的设置，降低用户识别风险的能力。一旦运行，Lumma Stealer 将搜集浏览器保存的密码、支付信息、自动填充数据、远程桌面凭证，以及包括加密货币钱包在内的敏感信息。此外，该恶意软件还会窃取身份验证 Cookie，使攻击者即使在用户启用多因素认证 (MFA) 的情况下，也可能绕过部分账户保护措施。

ChainCatcher 消息，据 Cointelegraph 报道，BTCPay 服务器已暂时限制对运行 Lightning Network Daemon (LND) 软件的 Lightning Network 节点的公共远程连接，此前攻击者利用一个严重漏洞获取了凭证并转移了资金。BTCPay 表示，此限制可防止 Zeus 等外部钱包通过 BTCPay 服务器域名进行连接。BTCPay 表示，Lightning 支付可以继续进行，并计划在认为安全时恢复远程访问选项。

ChainCatcher 消息，据链上侦探 Specter 监测，同一攻击者正在针对 Ledger 运行类似的钓鱼活动。相关截图拍摄于两天前，该赞助广告目前已被移除。截至目前，这些活动已窃取超过 300 万美元。

ChainCatcher 消息，据英国《金融时报》报道，诈骗者正利用欧盟 MiCA 新规，在牌照截止日期后针对被迫从无牌加密平台提取资产的用户实施诈骗。骗子冒充监管机构和加密交易所，诱骗用户将资金转移至虚假账户。

ChainCatcher 消息，据 Axios 报道，尽管AI实验室为争夺顶尖人才提供了巨额薪酬、顶级头衔和大量算力资源，但人才流失问题依然突出。数据显示，超过 400 名前苹果员工现任职于 OpenAI，苹果公司已对 OpenAI 提起诉讼，指控其利用苹果内部代号来提取从潜在应聘者处获得的机密信息。 最新案例是 Thinking Machines Lab 联合创始人 Lilian Weng 离职数日后即重返 OpenAI ，负责递归自我改进研究。她是该实验室过去一年内第四位离职的联合创始人。与此同时， Google 近期也有两名知名研究人员跳槽—— Noam Shazeer 重返 OpenAI ，诺贝尔化学奖得主 John Jumper 加入 Anthropic 。 Meta 同样面临高价招募人才快速流失的问题。报道援引知情人士称， Anthropic CEO Dario Amodei 已对“为钱而来而非使命”的新人才趋势表示担忧。

ChainCatcher 消息，据韩国媒体 Daily NK 报道，朝鲜当局于 7 月 12 日逮捕了一个精英黑客团伙，该团伙涉嫌入侵朝鲜央行和外贸银行内部网络，窃取国家贸易资金并通过加密货币洗钱。消息人士称，团伙头目为朝鲜侦察总局下属网络战部队的退伍军人，招募了金策工业大学和平壤科技大学的天才 IT 毕业生，利用加密通信和无线设备作案。他们将被盗资金小额拆分后转入海外加密钱包，通过中间人兑换现金，再经边境地区换为美元等资金。平壤官员发现外币支付审批异常和海外 IP 访问记录后展开调查，最终突袭安全屋逮捕了正在洗钱的嫌疑人，缴获数十万美元设备。该案已在平壤精英和军方圈层引发震动，侦察总局和科技教育界高层担心被牵连。朝鲜此前长期被指控通过 Lazarus Group 等黑客组织盗取数十亿美元加密资产，但此次事件罕见显示其本国金融系统也成为内部攻击目标。

ChainCatcher 消息，在 BitMEX 宣布关停当天，BKX Services Inc. 及 David Namdar 向纽约南区联邦法院提起集体诉讼，指控该平台利用内幕交易权限及服务器冻结手段，操纵用户强制平仓并窃取比特币抵押品。原告声称合计损失约 623 枚BTC，其中 BKX 损失至少 305.81 枚BTC，Namdar 损失超 316.85 枚BTC，诉讼要求返还比特币并索赔。 诉状称 BitMEX 允许客户使用最高 100 倍杠杆，而在抵押物价值仍约为损失两倍时即强制平仓，剩余比特币被纳入平台保险基金，使 BitMEX 从中获利。本次诉讼可追溯至 2018 年 7 月 23 日 起的相关交易，此前 2020 年类似案件于 2025 年 6 月 30 日 自愿撤回。

ChainCatcher 消息，财政部长 Scott Bessent 在 X 平台发文表示，支持开源 AI 及其带来的创新，但开源并非肆意侵犯美国知识产权的借口。如果中国公司进行秘密的、工业规模的提炼攻击，并越过界限构成知识产权盗窃，将考虑对其进行制裁，并将其列入实体清单。