窃取

ChainCatcher 消息，据慢雾披露，发现 Shai-Hulud Hades 新变种正在攻击 PyPI。恶意包会投放 .pth 文件，在 Python 启动时自动执行，并检测本地是否安装 Bun；若未安装，则从 GitHub Releases 下载官方 Bun 二进制文件，再执行多层混淆 JavaScript 载荷，用于窃取 GitHub、npm、AWS 及云服务凭证。 慢雾称，该变种与此前 Shai-Hulud 攻击使用相同 RSA 公钥和基础设施，并具备加密外传、持久化、CI/CD 注入及 GitHub Actions 注入等能力。

ChainCatcher 消息，据 Bits.media 报道，NovaBox 平台的奖励池于 6 月 9 日在以太坊上遭到黑客攻击，损失约 56.73 枚 ETH，超过 130 名存款用户受影响。攻击者仅通过一笔交易就将池中资金从 65.11 ETH 耗尽至 0.09 ETH，占比约 99.86%。安全公司 F12 表示，此次事件并非源于智能合约漏洞，而是奖励分配机制中的缺陷。攻击者通过 Aave V3 闪电贷借入 427.5 WETH，利用 NovaBox 在用户存取款时先发放股息后更新余额的机制漏洞。黑客先存入少量 NOVA 代币触发股息计算，再存入大量 ETH 使实际份额大幅增加，但由于系统未及时更新余额，仍按之前的小额份额计算股息，却按新的大额份额进行支付，产生了约 145.82 ETH 的“幻影股息”，从而耗尽奖励池。

ChainCatcher 消息，链上调查员 Specter 发布安全警告，Solana DeFi 协议 Raydium 的某个旧流动性池疑似遭到攻击，攻击者窃取约 134 万美元资产，主要包括 USDC、RAY 和 wSOL。黑客已将窃取的资金通过桥接转移至以太坊，随后存入 Tornado Cash 进行混币。

ChainCatcher 消息，据 Cryptopolitan 报道，一种名为 Reaper 的新型 macOS 恶意软件正通过微信和 Miro 等应用的虚假下载页面传播，目标为窃取加密货币钱包数据、浏览器密码和敏感文档。该恶意软件利用 AppleScript URL 触发系统自带的脚本编辑器，通过 ASCII 艺术和空格隐藏恶意代码。用户点击运行按钮后，伪造的 Apple 安全更新弹窗会诱导受害者输入电脑密码。 Reaper 针对 Ledger Live、Trezor Suite 和 Exodus 等桌面加密应用，修改钱包内部代码以拦截未来交易并重定向资金。同时从 Chrome、Firefox 和 Edge 中窃取保存的凭证，从桌面和文档文件夹中提取 .docx、.pdf、.wallet 等文件。Reaper 还会安装伪装成 Google 软件更新目录的后门以实现持久化攻击。安全专家建议用户核实下载链接，勿在意外弹窗中输入密码，若网站要求打开脚本编辑器应立即关闭页面。

ChainCatcher 消息，安全公司 Socket Security 披露，一场名为 TrapDoor 的加密货币窃取活动正在 npm、PyPI 和 Crates.io 等软件包仓库中发起主动供应链攻击。目前已发现 34 个恶意软件包和 384 个版本及构件，攻击者持续在各生态系统中推送新版本。 TrapDoor 主要针对加密货币、DeFi、AI 和安全领域的开发者，窃取钱包、SSH 密钥、云凭证、GitHub 令牌、浏览器数据、环境变量和 API 密钥。Socket 检测到恶意版本的中位检测时间为 5 分 27 秒，最快检测发生在发布后 58 秒。

ChainCatcher 消息，福州市仓山区人民检察院披露，一名男子因窃取他人 4 枚 Bitcoin 并非法获利约 90 万元，被法院以盗窃罪判处有期徒刑 12 年 7 个月，并处罚金 30 万元，二审维持原判。 案情显示，2020 年底，汪某委托林某协助将其持有的 Bitcoin 变现。林某在接触汪某 Bitcoin 钱包硬盘及电脑过程中，窃取了钱包“秘钥”及相关数据，并将 4 枚 Bitcoin 转入自己名下，随后陆续出售获利。2024 年，汪某发现资产异常后报警，林某随后被警方抓获。 检察机关表示，尽管现行规定明确虚拟货币不具有法定货币地位，但 Bitcoin 具备价值性、可管理性及可转移性，符合刑法中“财产”的一般特征，属于财产犯罪的对象，相关侵权行为同样将被追究刑事责任。

ChainCatcher 消息，开源数据可视化工具 Grafana 在 X 平台发文表示，近期发现一名未经授权的攻击者获取了可访问 Grafana Labs GitHub 环境的 Token，并借此下载代码库。 经调查确认，此次事件未涉及客户数据或个人信息泄露，也没有发现客户系统或业务运营受到影响，事件发生后已立即启动取证分析，并认为已定位凭证泄露源头，同时已部署额外安全措施以加强环境防护。 此外，Grafana 披露攻击者曾试图通过勒索方式要求支付赎金以阻止代码库被公开，但公司最终决定拒绝支付赎金，待调查结束后将公布更多事件复盘信息。

ChainCatcher 消息，慢雾首席信息安全官 23pds 在 X 平台披露，node-ipc 再次遭受入侵。发布的 node-ipc 三个恶意版本（9.1.6、9.2.3、12.1）携带相同的凭证窃取负载，该包每周下载量超过 1,000 万。

ChainCatcher 消息，据区块链安全机构 SlowMist (@SlowMist_Team) 旗下威胁监控系统 MistEye 监测，一款名为 “Mini Shai-Hulud” 的高度复杂 npm 蠕虫正通过 TanStack、UiPath、DraftLab 等知名开发者项目传播。攻击者劫持 GitHub 凭证，发布伪装成合法更新的恶意软件包，并在其中植入隐藏脚本 router_init.js，在 GitHub Actions 等 CI/CD 环境中静默运行，专门窃取 CI/CD 密钥、云基础设施密钥及加密货币钱包信息，并借助 GitHub 自身基础设施进行数据外传。 SlowMist 已向客户同步相关威胁情报 (IOC)，建议使用受影响软件包的项目立即排查 CI/CD 管道中是否存在 router_init.js 文件，轮换所有已暴露的 GitHub、云服务及加密货币凭证，并持续监控开发环境中的异常后台活动。

ChainCatcher 消息，据市场消息，微软安全研究团队发现，攻击者自 2025 年底起通过发布虚假的 macOS 故障排除指南，诱导用户运行恶意终端命令，从而窃取加密钱包、iCloud 数据和浏览器保存的密码。 这些虚假指南发布在 Medium、Craft 和 Squarespace 等平台上，针对用户常见问题如释放磁盘空间或修复系统错误，诱导用户复制并粘贴恶意命令至终端，该命令会自动下载并运行恶意软件。这种名为 ClickFix 的社会工程技术绕过 macOS 的 Gatekeeper 安全机制，因为受害者是主动执行命令。 涉及的恶意软件家族包括 AMOS、Macsync 和 SHub Stealer，可窃取 Exodus、Ledger 和 Trezor 的加密钱包密钥，以及 Chrome 和 Firefox 中保存的用户名和密码。部分情况下攻击者还会删除合法钱包应用并替换为木马版本。苹果已在 macOS 26.4 版本中增加了阻止粘贴潜在恶意命令的保护功能。

ChainCatcher 消息，据网络安全公司 Expel 研究报告披露，其正追踪一个被高度评估为朝鲜（DPRK）国家支持的 APT 组织“HexagonalRodent”，该组织以 Web3 开发者为主要目标，专门窃取加密货币与 NFT 等高价值数字资产。该组织主要通过伪造招聘信息实施攻击——在 LinkedIn 及 Web3 招聘平台发布高薪职位，诱导求职者完成内嵌恶意代码的“技能测试”，利用 VSCode 的 tasks.json 功能在受害者打开项目文件夹时自动执行恶意程序。所使用的恶意软件包括 BeaverTail、OtterCookie 和 InvisibleFerret，具备密码窃取、远程控制及反向 Shell 等功能。值得关注的是，该组织大量借助 ChatGPT、Cursor 等生成式 AI 工具开发恶意软件、构建虚假公司网站及 AI 生成的高管团队，甚至在墨西哥注册了空壳企业以提升攻击可信度。此外，该组织近期首次实施供应链攻击，成功入侵 VSCode 扩展。

ChainCatcher 消息，随着抄袭针对加密行业的渗透与攻击持续升级，安全专家指出，其与其他国家背景黑客的核心差异在于：加密资产已成为该国维持军费的重要直接融资来源。据报道，在近期针对 Drift Protocol 的长达数月渗透行动中，北韩黑客再次引发行业震动。专家表示，该模式并非单纯“资金转移工具”，而是直接“掠夺式获利”，用于绕过国际制裁并获取即时可用的硬通货资金。安全研究人员指出，与俄罗斯、伊朗等国家不同，North Korea 几乎缺乏可持续对外经济与商品出口能力，因此更依赖加密盗窃作为核心收入来源，用于支持核武与弹道导弹计划。专家还强调，北韩黑客攻击目标已从简单钓鱼扩展至交易所、钱包服务及 DeFi 协议关键权限持有者，并普遍采用长周期社工与身份伪装渗透手段。由于区块链交易“一旦确认即不可逆”的特性，加密行业在资金冻结与追回方面远弱于传统金融体系，使此类攻击在速度与规模上更具破坏力。安全人士警告，这类“长期潜伏+精准夺权”的攻击模式仍未被行业有效解决。

ChainCatcher 消息，据 DefiLlama 数据显示，2026 年第一季度，黑客共从 34 个去中心化金融（DeFi）协议中窃取逾 1.686 亿美元加密资产，较 2025 年同期的 15.8 亿美元大幅下降，彼时的高额损失主要源于 Bybit 14 亿美元被盗事件。 本季度最大单起攻击为 1 月发生的 Step Finance 私钥泄露事件，损失约 4000 万美元；其次为 1 月 8 日 Truebit 遭智能合约漏洞攻击，损失 2640 万美元以太坊；第三为 3 月 21 日稳定币发行商 Resolv Labs 私钥被盗事件。

ChainCatcher 消息，攻击者窃取了 JavaScript 最流行 HTTP 客户端库 Axios 首席维护者的 npm 访问令牌，并利用该令牌发布了两个包含跨平台远程访问木马（RAT）的恶意版本（[email protected] 和 [email protected]），目标覆盖 macOS、Windows 及 Linux 系统。恶意包在 npm 注册表上存活约 3 小时后被移除。据安全公司 Wiz 数据，Axios 每周下载量超 1 亿次，存在于约 80% 的云和代码环境中。安全公司 Huntress 在恶意包上线 89 秒后即检测到首批感染，并在暴露窗口期内确认至少 135 个系统遭到入侵。值得注意的是，Axios 项目此前已部署了 OIDC 可信发布机制和 SLSA 溯源证明等现代安全措施，但攻击者完全绕过了这些防线。调查发现，项目在配置 OIDC 的同时仍保留了传统长期有效的 NPM_TOKEN，而 npm 在两者共存时默认优先使用传统令牌，使得攻击者无需突破 OIDC 即可完成发布。

ChainCatcher 消息，据慢雾监测，Apifox 桌面客户端遭遇供应链攻击，其官方 CDN 托管的前端脚本文件被注入高度混淆的恶意 JavaScript 代码。受影响用户可能面临凭证窃取、敏感数据泄露、远程命令执行等风险，且恶意代码自动执行、高度隐蔽。慢雾建议用户立即撤销所有 Token、重置密码、退出并重新登录以使会话失效，阻止 *.apifox.it.com 域名，清除本地存储，并审查 API 日志和异常活动。

ChainCatcher 消息，慢雾首席信息安全官 23pds（山哥）在 X 平台发文表示，有消息称 LiteLLM 漏洞攻击者已盗取约 300GB 数据，并窃取约 50 万个凭证。他建议所有加密货币开发人员立即核查，尽快轮换相关密钥与凭证，核查日志、访问记录及敏感数据暴露情况，避免出现类似 Trust Wallet 事件的损失。 此前消息，每月下载量达 9700 万次的 LiteLLM 遭供应链攻击，简单安装即可窃取 SSH 密钥等全部敏感凭据。

ChainCatcher 消息，Andrej Karpathy 在 X 平台发文表示，litellm 遭遇 PyPI 供应链攻击，仅需执行 pip install litellm 即可窃取 SSH 密钥、AWS/GCP/Azure 凭据、Kubernetes 配置、git 凭据、环境变量、加密钱包、SSL 私钥、CI/CD 密钥及数据库密码。 litellm 每月下载量达 9700 万次，且风险会扩散至所有依赖 litellm 的项目，例如 dspy。被植入恶意代码的版本上线时间不到约 1 小时，因攻击代码存在缺陷导致 Callum McMahon 的机器内存耗尽崩溃而被发现。Andrej Karpathy 表示，供应链攻击是现代软件中最具威胁的问题，每次安装依赖项都可能在依赖树深处引入被篡改的软件包，他因此越来越倾向于减少依赖，转而使用 LLM 直接实现简单功能。

ChainCatcher 消息，据市场消息，曾因隐私功能闻名的比特币钱包 Samourai Wallet 的域名在被美国联邦调查局查封后，现已被诈骗分子控制，用于托管钓鱼网站窃取比特币。域名记录显示该网站通过隐私保护服务注册，当前所有者身份不明。多名 X 平台用户已向域名注册商 NameCheap 举报，要求关闭该钓鱼网站，但尚未收到回应。

ChainCatcher 消息，据 Cryptopolitan 报道，一款名为 GhostClaw 的新型恶意软件正在针对 macOS 设备上的加密钱包。 该恶意软件通过伪装成合法的 OpenClaw CLI 工具，在 npm 注册表中存在一周时间，感染了 178 名开发者后被移除。一旦开发者运行 “npm install” 命令，隐藏脚本会全局安装 GhostClaw 包，并通过混淆的设置文件逃避检测。GhostClaw 每三秒扫描一次剪贴板，捕获私钥、助记词、公钥等加密钱包和交易相关数据。 在第二阶段的载荷下载后，GhostLoader 会扫描 Chromium 浏览器、macOS 钥匙串和系统存储中的加密钱包数据，克隆浏览器会话以获取已登录钱包的访问权限，并窃取连接 AI 平台（如 OpenAI 和 Anthropic）的 API Token。窃取的数据通过 Telegram、GoFile 和命令服务器发送给攻击者。

ChainCatcher 消息，据市场消息，安全平台 OX Security 披露，AI 代理项目 OpenClaw 的开发者正成为加密货币钓鱼活动的目标。攻击者创建虚假 GitHub 账号，在攻击者控制的仓库中发起议题并 @ 数十名开发者，声称其赢得 5000 美元 CLAW 代币奖励，并引导至与 openclaw.ai 几乎完全相同的克隆网站。该钓鱼网站多了一个“连接钱包”按钮，旨在窃取连接的钱包资产。恶意代码隐藏在经过深度混淆的 JavaScript 文件中，具备清除浏览器本地存储数据的“nuke”功能以阻碍取证分析，并将钱包地址、交易值等信息编码后传回 C2 服务器。研究者识别出一个疑似用于接收被盗资金的加密钱包地址。相关账号上周创建，数小时内即被删除，目前尚无确认受害者。OpenClaw 因其高关注度已成为诈骗分子的目标，其 Discord 社区此前也遭遇大量加密货币垃圾信息。此前消息，OpenClaw 创始人提醒称，警惕假冒 OpenClaw 名义发送的加密货币诈骗邮件。