黑客组织

ChainCatcher 消息，据 Insurance Journal 报道，区块链分析公司 Elliptic 披露，已追踪到 50 余起与朝鲜相关的安全事件，今年以来累计被盗资金约 12 亿美元。部分 Bitget 被盗资金与去年 Bybit 交易所 15 亿美元被盗事件的关联地址存在重叠，链上洗钱模式初步显示，本次 Bitget 事件系黑客组织 TraderTraitor 所为。

ChainCatcher 消息，据链上侦探 Specter 监测，其通过追踪链上资金流，朝鲜黑客组织 Lazarus Group 可能是 Bitget 被盗事件的幕后攻击者。本次事件与今年 7 月发生的 AFX 攻击存在关联，后者造成约 2400 万美元损失，并被归因于 Lazarus Group 关联的 TraderTraitor。 Bitget 被盗的 XRP 经过跨链后，相关资金路径可直接关联至 AFX 攻击中的被盗资金。

ChainCatcher 消息，朝鲜黑客组织 WaterPlum 伪装加密货币、AI 及 NFT 公司招聘人员，向软件开发者和 IT 从业者投放伪装成编程任务或视频会议修复文件的恶意软件。该组织已在 100 多个国家感染至少 3 万台设备，并于 2025 年 12 月至 2026 年 7 月从逾 7000 个加密货币钱包提取资金或账户凭证，至少盗取 1070 万美元。

ChainCatcher 消息，据 Forbes 报道，由美国联邦调查局（FBI）和日本警察厅（NPA）在内的多国机构联合发布的预警显示，朝鲜关联黑客组织 WaterPlum（又称 Contagious Interview）自 2025 年 12 月至 2026 年 7 月，通过伪装成 AI、加密货币或 NFT 领域的公司提供虚假职位，对全球 IT 开发者发起攻击。攻击者在社交媒体、招聘平台接触求职者，以技术面试或编程测试为由，诱使下载恶意文件，成功感染超 3 万台设备，覆盖 100 多个国家和地区，并从超过 7000 个加密钱包中窃取数据。相关资金至少 1071 万美元流入攻击者控制的钱包。

ChainCatcher 消息，据 Lookonchain 监测，黑客组织 Lazarus Group 在过去 2 小时内以均价 2499 美元卖出 911 枚 ETH（228 万美元）。

ChainCatcher 消息，据 ZEIT 报道，柏林市政府两周前遭受网络攻击后，黑客组织疑似以窃取的数据实施勒索。据《明镜》报道，攻击者疑为活跃多年的 Rhysida 黑客组织，要求支付 30 枚比特币（约合 200 万欧元），并威胁公开数据。涉及敏感信息可能包括违章处理记录和密码等。柏林州政府迄今未确认数据泄露范围，也未回应勒索金额和攻击者身份，称“出于侦查策略原因”暂不表态。柏林市长 Kai Wegner 明确表示，柏林不会屈服于勒索。受影响的主要是交通和建设管理部门，事件发生后曾暂时与州政府网络隔离。

ChainCatcher 消息，据链上分析师 Ai 姨监测，黑客组织 Lazarus Group 2 小时前将 262.2 枚 BTC 转移至新地址，价值 1,664 万美元，或计划进行清洗。 目前，该组织在链上仍持有价值超过 7,306 万美元的资产，主要包括 BTC、USDT 和 ETH。

ChainCatcher 消息，据 Bitcoin.com 报道，网络安全公司 Genians Security Center 发布分析报告称，朝鲜侦察总局下属黑客组织 Kimsuky 正在构建并测试一套以 AI 为核心的网络攻击工具体系。研究人员在其基础设施中发现了 Ollama、GPT4All、Msty 三个本地 AI 平台的部署痕迹，以及 Microsoft Semantic Kernel、LLaMaSharp 等 AI 开发框架组件，表明该组织正在系统性开发专用 AI 攻击工具，而非仅作临时性尝试。自 2026 年初起，Kimsuky 已将生成式 AI 制作的高质量文档用于针对虚拟资产、金融投资及游戏开发领域的鱼叉式网络钓鱼攻击，AI 生成的专业文档大幅降低了传统识别钓鱼邮件的有效性。攻击载体为伪装成合法文档的 ZIP 压缩包，内含恶意 LNK 文件，触发后可在后台静默执行 PowerShell 命令。

ChainCatcher 消息，据 Crypto.news 报道，与朝鲜有关联的黑客组织 BlueNoroff 利用虚假的 Zoom 和 Microsoft Teams 会议来分析加密货币用户，然后再投放恶意软件。黑客先控制受害者信任的加密行业联系人账号，然后通过 Calendly 等发送看似正常的会议链接，指向假冒 Zoom/Teams 域名。用户进入假会议页面后，页面悄悄扫描浏览器中的钱包，根据钱包价值决定是否继续攻击。假会议中会要求“更新 Zoom/Teams”或运行命令，实际下载恶意软件（支持 Windows 和 macOS）。恶意软件会窃取浏览器密钥、系统数据和 Telegram 会话。

ChainCatcher 消息，据韩国媒体 Daily NK 报道，朝鲜当局于 7 月 12 日逮捕了一个精英黑客团伙，该团伙涉嫌入侵朝鲜央行和外贸银行内部网络，窃取国家贸易资金并通过加密货币洗钱。消息人士称，团伙头目为朝鲜侦察总局下属网络战部队的退伍军人，招募了金策工业大学和平壤科技大学的天才 IT 毕业生，利用加密通信和无线设备作案。他们将被盗资金小额拆分后转入海外加密钱包，通过中间人兑换现金，再经边境地区换为美元等资金。平壤官员发现外币支付审批异常和海外 IP 访问记录后展开调查，最终突袭安全屋逮捕了正在洗钱的嫌疑人，缴获数十万美元设备。该案已在平壤精英和军方圈层引发震动，侦察总局和科技教育界高层担心被牵连。朝鲜此前长期被指控通过 Lazarus Group 等黑客组织盗取数十亿美元加密资产，但此次事件罕见显示其本国金融系统也成为内部攻击目标。

ChainCatcher 消息，据 Financefeeds 报道，美国司法部公布对 19 岁美爱双重国籍人士 Peter Stokes 的刑事指控，后者被指为网络犯罪组织 “Scattered Spider” 成员，并已由芬兰引渡至美国。

ChainCatcher 消息，据 Cryptopolitan 报道，网络安全分析师发现了一种名为 RemotePE 的新型无文件远程访问木马 (RAT)。据信与朝鲜有关联的网络犯罪组织 Lazarus Group 正在利用该木马攻击银行和加密货币公司。该木马完全在内存中运行，传统杀毒和取证工具难以检测。攻击者通过 Telegram 冒充交易公司员工，使用伪造的 Calendly 和 Picktime 链接进行社交工程攻击。恶意软件通过 DPAPILoader、RemotePELoader 和 RemotePE 三个阶段链式加载，整个过程不接触文件系统，利用进程挖空、反分析检查和加密 C2 通信规避检测。该恶意软件于 2025 年 9 月首次被发现。2026 年前四个月，Lazarus 组织已窃取约 5.77 亿美元加密资产，占全球加密盗窃总额的 76%。自 2017 年以来，该组织累计窃取金额已达 60 亿美元。

ChainCatcher 消息，据 GoPlus 监测，黑客组织 TeamPCP 声称已拿到 GitHub 内部约 4000 个私有仓库中的源代码，并在地下论坛上标价 5 万美元进行出售，并支持样本验证。如果没人买，后续可能会免费公开这批数据。此前消息，GitHub 官方确认正在调查此次的“内部仓库的未经授权访问”问题，疑似 GitHub 员工设备上安装了恶意 VS Code/AI Coding 插件。

ChainCatcher 消息，据 OpenSourceMalware 研究，朝鲜黑客组织 Lazarus 在 “传染性面试” 和 “TaskJacker” 等针对开发者的恶意活动中采用了新手法，将第二阶段加载器隐藏在 Git Hooks 的 pre-commit 脚本中。“传染性面试”是该组织通过伪造加密货币/DeFi 领域招聘流程，诱使开发者克隆恶意代码仓库的系列攻击活动，最终窃取加密资产和凭证。研究员建议，被要求克隆代码仓库作为面试流程一部分的开发者，应警惕此类风险，最好在隔离环境中运行，避免挂载个人浏览器配置、SSH 密钥和加密钱包。

ChainCatcher 消息，据网络安全公司 Expel 研究报告披露，其正追踪一个被高度评估为朝鲜（DPRK）国家支持的 APT 组织“HexagonalRodent”，该组织以 Web3 开发者为主要目标，专门窃取加密货币与 NFT 等高价值数字资产。该组织主要通过伪造招聘信息实施攻击——在 LinkedIn 及 Web3 招聘平台发布高薪职位，诱导求职者完成内嵌恶意代码的“技能测试”，利用 VSCode 的 tasks.json 功能在受害者打开项目文件夹时自动执行恶意程序。所使用的恶意软件包括 BeaverTail、OtterCookie 和 InvisibleFerret，具备密码窃取、远程控制及反向 Shell 等功能。值得关注的是，该组织大量借助 ChatGPT、Cursor 等生成式 AI 工具开发恶意软件、构建虚假公司网站及 AI 生成的高管团队，甚至在墨西哥注册了空壳企业以提升攻击可信度。此外，该组织近期首次实施供应链攻击，成功入侵 VSCode 扩展。

ChainCatcher 消息，据 CoinDesk 报道，区块链分析公司 Elliptic 表示，Drift Protocol 遭攻击事件损失 2.85 亿美元，“多个迹象”指向朝鲜支持的 DPRK 黑客组织。Elliptic 重点分析了链上行为、洗钱手法及网络层面信号，均与此前的国家关联攻击相吻合。Elliptic 报告指出：“若得到确认，这将是 Elliptic 今年追踪的第 18 起 DPRK 攻击行动，迄今共盗取逾 3 亿美元。”技术层面，Elliptic 分析将此次攻击描述为“有预谋、精心布局”，在主要攻击前已有早期测试交易和预先布置的钱包。攻击执行后，资金被迅速整合并通过跨链转移，转换为流动性更高的资产，形成了一套有组织、可重复的洗钱流程，旨在混淆资金来源同时保持控制权。此次事件涉及超过十种资产类型，资金从 Solana 跨链转移至以太坊及其他链，进一步凸显了跨链溯源能力的重要性。Drift Protocol 是 Solana 区块链上最大的去中心化永续合约交易平台，其代币自遭黑客攻击以来已下跌逾 40% 至约 0.06 美元。

ChainCatcher 消息，安全研究机构 Ctrl-Alt-Intel 披露，一组疑似与朝鲜有关的黑客针对质押平台、交易所软件供应商及加密交易所发起攻击。 攻击者利用 React2Shell 漏洞（CVE-2025-55182）及已获取的 AWS 访问凭证入侵云环境，枚举 S3、EC2、RDS、EKS、ECR 等资源，并从 Secrets Manager、Terraform 文件、Kubernetes 配置及 Docker 容器中提取密钥和凭证。研究人员称，攻击者下载 5 个 Docker 镜像并窃取源代码，其中包括 ChainUp 客户相关软件组件。 攻击基础设施涉及韩国服务器 64.176.226[.]36 及域名 itemnania[.]com。报告称该活动与朝鲜相关攻击特征一致，但归因置信度为中等，AWS 凭证来源未明确。

ChainCatcher 消息，据 Cointelegraph 报道，隶属于 Google Cloud 的美国网络安全公司 Mandiant 发现朝鲜关联威胁组织正在加大针对加密货币和金融科技公司的社会工程攻击。 该威胁组织（代号 UNC1069）部署了七个恶意软件集合，包括新发现的 SILENCELIFT、DEEPBREATH 和 CHROMEPUSH，旨在获取敏感数据并窃取数字资产。攻击者利用被入侵的 Telegram 账户和通过人工智能生成的深度伪造视频进行虚假 Zoom 会议诱骗。 自 2018 年以来，Mandiant 一直追踪该组织，但人工智能的进步帮助该组织自 2025 年 11 月起扩大了恶意活动规模。在一起入侵事件中，攻击者使用被盗的加密货币创始人 Telegram 账户发起联系，通过所谓的 ClickFix 攻击诱导受害者执行含有隐藏命令的“故障排除”指令。

ChainCatcher 消息，AhnLab 发布的《2025 网络威胁趋势与 2026 安全展望》报告显示，朝鲜背景黑客组织 Lazarus 在过去 12 个月被点名次数最多，其主要利用“鱼叉式（定向）钓鱼”实施攻击，常伪装成讲座邀请、面试请求等邮件诱导目标开载。报告称，Lazarus 被认为是多起重大攻击的主要嫌疑人，包括今年 2 月 21 日的 Bybit 遭黑事件（损失 14 亿美元）以及近期韩国交易所 Upbit 遭遇的 3000 万美元漏洞攻击。 AhnLab 表示，为提高安全性，企业需建立多层防护体系，包括定期安全审计、及时更新补丁及加强员工教育。该公司并建议个人用户使用多因子认证、谨慎处理未知链接与附件、避免过度暴露个人信息，同时仅从官方渠道下载内容。AhnLab 指出，随着 AI 应用的普及，攻击者将更易生成难以分辨的钓鱼邮件、伪装页面与深度伪造内容，未来相关威胁可能进一步复杂化。（Cointelegraph）

ChainCatcher 消息，据韩联社报道，韩国虚拟资产交易所 Upbit 遭遇黑客攻击，价值 445 亿韩元的虚拟资产被盗。目前，朝鲜侦察总局旗下的黑客组织 Lazarus Group 被高度怀疑是此次事件的幕后黑手。 当地时间，韩联社从信息通信技术（ICT）行业及韩国政府相关部门获悉，鉴于朝鲜侦察总局下属黑客组织 Lazarus Group 有较大作案嫌疑，当局正在对 Upbit 开展现场检查工作。该黑客组织曾被指参与 2019 年 Upbit 价值 580 亿韩元以太坊的盗窃案。政府相关人士称：“此次攻击不太可能是针对服务器的，更有可能的情况是窃取了管理员账户，或者伪装成管理员进行资金转账。”他还表示：“就目前掌握的情况来看，6 年前黑客就是采用这种方式实施攻击的，所以推测此次也是同样的作案方式。”。