黑客组织

ChainCatcher 消息，据 CoinDesk 报道，区块链分析公司 Elliptic 表示，Drift Protocol 遭攻击事件损失 2.85 亿美元，“多个迹象”指向朝鲜支持的 DPRK 黑客组织。Elliptic 重点分析了链上行为、洗钱手法及网络层面信号，均与此前的国家关联攻击相吻合。Elliptic 报告指出：“若得到确认，这将是 Elliptic 今年追踪的第 18 起 DPRK 攻击行动，迄今共盗取逾 3 亿美元。”技术层面，Elliptic 分析将此次攻击描述为“有预谋、精心布局”，在主要攻击前已有早期测试交易和预先布置的钱包。攻击执行后，资金被迅速整合并通过跨链转移，转换为流动性更高的资产，形成了一套有组织、可重复的洗钱流程，旨在混淆资金来源同时保持控制权。此次事件涉及超过十种资产类型，资金从 Solana 跨链转移至以太坊及其他链，进一步凸显了跨链溯源能力的重要性。Drift Protocol 是 Solana 区块链上最大的去中心化永续合约交易平台，其代币自遭黑客攻击以来已下跌逾 40% 至约 0.06 美元。

ChainCatcher 消息，安全研究机构 Ctrl-Alt-Intel 披露，一组疑似与朝鲜有关的黑客针对质押平台、交易所软件供应商及加密交易所发起攻击。 攻击者利用 React2Shell 漏洞（CVE-2025-55182）及已获取的 AWS 访问凭证入侵云环境，枚举 S3、EC2、RDS、EKS、ECR 等资源，并从 Secrets Manager、Terraform 文件、Kubernetes 配置及 Docker 容器中提取密钥和凭证。研究人员称，攻击者下载 5 个 Docker 镜像并窃取源代码，其中包括 ChainUp 客户相关软件组件。 攻击基础设施涉及韩国服务器 64.176.226[.]36 及域名 itemnania[.]com。报告称该活动与朝鲜相关攻击特征一致，但归因置信度为中等，AWS 凭证来源未明确。

ChainCatcher 消息，据 Cointelegraph 报道，隶属于 Google Cloud 的美国网络安全公司 Mandiant 发现朝鲜关联威胁组织正在加大针对加密货币和金融科技公司的社会工程攻击。 该威胁组织（代号 UNC1069）部署了七个恶意软件集合，包括新发现的 SILENCELIFT、DEEPBREATH 和 CHROMEPUSH，旨在获取敏感数据并窃取数字资产。攻击者利用被入侵的 Telegram 账户和通过人工智能生成的深度伪造视频进行虚假 Zoom 会议诱骗。 自 2018 年以来，Mandiant 一直追踪该组织，但人工智能的进步帮助该组织自 2025 年 11 月起扩大了恶意活动规模。在一起入侵事件中，攻击者使用被盗的加密货币创始人 Telegram 账户发起联系，通过所谓的 ClickFix 攻击诱导受害者执行含有隐藏命令的“故障排除”指令。

ChainCatcher 消息，AhnLab 发布的《2025 网络威胁趋势与 2026 安全展望》报告显示，朝鲜背景黑客组织 Lazarus 在过去 12 个月被点名次数最多，其主要利用“鱼叉式（定向）钓鱼”实施攻击，常伪装成讲座邀请、面试请求等邮件诱导目标开载。报告称，Lazarus 被认为是多起重大攻击的主要嫌疑人，包括今年 2 月 21 日的 Bybit 遭黑事件（损失 14 亿美元）以及近期韩国交易所 Upbit 遭遇的 3000 万美元漏洞攻击。 AhnLab 表示，为提高安全性，企业需建立多层防护体系，包括定期安全审计、及时更新补丁及加强员工教育。该公司并建议个人用户使用多因子认证、谨慎处理未知链接与附件、避免过度暴露个人信息，同时仅从官方渠道下载内容。AhnLab 指出，随着 AI 应用的普及，攻击者将更易生成难以分辨的钓鱼邮件、伪装页面与深度伪造内容，未来相关威胁可能进一步复杂化。（Cointelegraph）

ChainCatcher 消息，据韩联社报道，韩国虚拟资产交易所 Upbit 遭遇黑客攻击，价值 445 亿韩元的虚拟资产被盗。目前，朝鲜侦察总局旗下的黑客组织 Lazarus Group 被高度怀疑是此次事件的幕后黑手。 当地时间，韩联社从信息通信技术（ICT）行业及韩国政府相关部门获悉，鉴于朝鲜侦察总局下属黑客组织 Lazarus Group 有较大作案嫌疑，当局正在对 Upbit 开展现场检查工作。该黑客组织曾被指参与 2019 年 Upbit 价值 580 亿韩元以太坊的盗窃案。政府相关人士称：“此次攻击不太可能是针对服务器的，更有可能的情况是窃取了管理员账户，或者伪装成管理员进行资金转账。”他还表示：“就目前掌握的情况来看，6 年前黑客就是采用这种方式实施攻击的，所以推测此次也是同样的作案方式。”。

ChainCatcher 消息，安全研究人员发现朝鲜黑客组织 KONNI 开发了一种新型攻击手法，首次利用 Google 的 Find Hub 资产追踪功能对 Android 设备实施远程数据擦除攻击。 攻击者通过伪装成心理咨询师和人权活动家，在韩国 KakaoTalk 通讯平台分发名为"减压程序"的恶意软件。一旦受害者执行这些文件，攻击者会窃取 Google 账户凭据，利用 Find Hub 功能跟踪设备位置并执行远程重置，导致个人数据被删除。 此次攻击被确认为 KONNI APT 活动的后续行动，该组织与朝鲜政府支持的 Kimsuky 和 APT 37 有密切关联。安全专家建议用户加强账户安全，启用双因素认证，并对通过即时通讯工具接收的文件保持警惕。

ChainCatcher 消息，国家计算机病毒应急处理中心发布 LuBian 矿池遭黑客攻击被窃取巨额比特币事件技术溯源分析报告，其中指出：LuBian 矿池发生一起重大黑客攻击事件，总计 127272.06953176 枚比特币（当时市值约 35 亿美元，现市值已达 150 亿美元）被攻击者窃取，这批巨额比特币的持有者正是柬埔寨太子集团主席陈志。 黑客攻击事件发生后，存放于攻击者控制的比特币钱包地址中沉寂长达 4 年之久，几乎分文未动，这显然不符合一般黑客急于变现追逐利益的行为，更像是一场由“国家级黑客组织”操盘的精准行动。直到 2024 年 6 月，这批被盗比特币才再次被转移到新的比特币钱包地址中，至今未动。2025 年 10 月 14 日，美国司法部宣布对陈志提起刑事指控，并称没收陈志及其太子集团的 12.7 万枚比特币。 种种证据表明，美国政府没收的陈志及其太子集团的这批巨额比特币正是早在 2020 年就已经被黑客攻击者利用技术手段窃取的 LuBian 矿池比特币。 也就是说，美国政府或早在 2020 年就已经通过黑客技术手段窃取了陈志持有的 12.7 万枚比特币，这是一起典型的国家级黑客组织操盘的“黑吃黑”事件。LuBian 矿池 2020 年遭黑客攻击事件的影响深远，导致矿池实际解散，损失相当于当时总资产的 90% 以上，而被盗比特币现值已升至 150 亿美元，凸显价格波动放大风险。

ChainCatcher 消息，据 Cryptopolitan 报道，英国警方逮捕了一名与 Scattered Spider 黑客组织有关的青少年。该组织被指控从超过 100 个组织中勒索超 1.15 亿美元赎金。被捕的 19 岁嫌疑人 Thalha Jubair 涉嫌参与约 120 起网络入侵事件。据法庭文件显示，该组织在 2022 年 5 月至今实施了多起勒索攻击，其中 5 起受害公司支付了约 8950 万美元赎金。美国联邦调查局（FBI）表示已从 Jubair 控制的服务器钱包中缴获了 3600 万美元数字资产。调查显示，Jubair 因使用勒索所得购买游戏礼品卡和外卖而暴露踪迹。该组织此前通过 SIM 卡盗用和社会工程攻击手段实施犯罪，受害者包括美国联邦法院系统在内的多个重要机构。

ChainCatcher 消息，EurekaTrading 创始人 Kuan Sun 发推回顾其因钓鱼攻击险些丢失 1,300 万美元：2025 年 9 月 2 日，其钱包中约 1,300 万美元资产险些被 Lazarus 黑客组织盗走，安全团队紧急出手，最终追回资金。 起因是一次看似正常的 Zoom 会议邀请，实际上为精心布置的钓鱼陷阱。黑客利用“半熟人”关系、deepfake 视频及伪造 Rabby 插件，针对受害者 Venus 仓位量身定制攻击。在误信假插件操作下执行 withdraw，资产面临被连带负债转走的风险。PeckShield、SlowMist、Venus 及多支安全团队迅速响应，暂停协议并排查风险，最终阻止了资金被盗。硬件钱包并非万能，插件和前端被劫持仍有风险；Zoom 链接、升级弹窗、半熟人关系均可能成为攻击入口。

ChainCatcher 消息，慢雾余弦在社交媒体发文表示，Venus 大户 Kuan Sun（@KuanSun1990）的钓鱼事件迎来圆满结局，该用户几乎挽回了全部损失。相关黑客组织因此付出了近 300 万美元的攻击成本。

ChainCatcher 消息，慢雾首席信息安全官 23pds 发推表示，“疑似朝鲜黑客组织 Kimsuky APT 一名成员遭遇重大数据泄露，泄露数百 GB 的内部文件和工具。入侵大概发生在 2025 年 6 月初，暴露该组织复杂的后门、网络钓鱼框架和侦察行动，根据对泄露档案的分析，内部转储源自化名为『KIM』的 Kimsuky 操作员的两个受损系统。一个是运行 Deepin 20.9 的 Linux 开发工作站；另一个是用于鱼叉式网络钓鱼活动的面向公众的 VPS。”

ChainCatcher 消息，以色列关联黑客组织 Gonjeshke Darande 宣布，已公开伊朗最大加密货币交易所 Nobitex 的全部源代码，相关资产信息现已完全暴露。该组织警告，留存在 Nobitex 的用户资产正面临极高风险，并在社交平台展示了 Nobitex 内部系统细节。

ChainCatcher 消息，据 CoinDesk 报道，区块链安全公司 Elliptic 称，与以色列有关联的黑客组织 Gonjeshke Darande 对伊朗加密货币交易所 Nobitex 进行攻击导致损失 9000 万美元并非出于经济动机，相关资金被发送到 Vanity Address，本质上是销毁代币。 此前消息，黑客组织"Gonjeshke Darande"（波斯语意为"凶猛的麻雀"）宣布已对伊朗加密货币交易所 Nobitex 发动网络攻击，并警告将在 24 小时内公开该交易所的源代码和内部网络信息。

ChainCatcher 消息，黑客组织 Gonjeshke Darande（波斯语意为"凶猛的麻雀"）宣布已对伊朗加密货币交易所 Nobitex 发动网络攻击，并警告将在 24 小时内公开该交易所的源代码和内部网络信息。 该组织指控 Nobitex 是伊朗政权规避国际制裁和资助恐怖活动的核心工具，甚至公开指导用户如何利用其基础设施绕过制裁。黑客组织还声称，在 Nobitex 工作被伊朗政府视为有效的军事服务，凸显了该交易所对伊朗政权的重要性。 此前，该黑客组织曾针对伊朗革命卫队的"塞帕银行"（Bank Sepah）发动攻击。黑客警告 Nobitex 用户尽快撤出资产，称"任何在该时间点后仍留在平台上的资产将面临风险"。 此前消息，伊朗加密交易所 Nobitex 疑似被黑客攻击，损失 4865 万美元。

ChainCatcher 消息，黑客组织 Librarian Ghouls（又称Rare Werewolf）已入侵数百台俄罗斯设备并利用它们进行加密货币挖矿。 该组织通过伪装成合法组织的钓鱼邮件传播恶意软件，感染设备后建立远程连接并禁用 WindowsDefender 等安全系统。黑客会收集设备的 RAM、CPU 核心和 GPU 信息，以优化配置加密货币挖矿程序。 这一黑客事件始于 2023 年 12 月，攻击活动主要影响俄罗斯的工业企业和工程学校，白俄罗斯和哈萨克斯坦也有受害者。 Kaspersky 推测 Librarian Ghouls 可能是黑客行动主义者，因为他们依赖合法的第三方工具而非开发自己的恶意程序，这是类似组织常用的技术。

ChainCatcher 消息，安全公司 Wiz 发现代号 JINX-0132 的黑客组织正大规模利用 DevOps 工具配置漏洞进行加密货币挖矿攻击。该攻击主要针对 HashiCorp Nomad/Consul、Docker API 和 Gitea 等工具，约 25%的云环境存在风险。攻击手法包括：利用 Nomad 默认配置部署 XMRig 挖矿软件、通过 Consul 未授权 API 执行恶意脚本、控制暴露的 Docker API 创建挖矿容器。

ChainCatcher 消息，据 Finance Feeds 报道，朝鲜黑客组织 Lazarus Group 近期将攻击目标转向个人投资者，5 月 24 日通过恶意软件一名商家处窃取了超过 520 万美元。被盗资金涉及多个钱包类型，包括交易所钱包、多签钱包和外部账户。 区块链分析师 ZackXBT 追踪发现，黑客已通过混币器 Tornado Cash 转移约 1000 枚 ETH。 安全专家建议个人投资者采取防护措施：使用硬件钱包存储大额资产、启用双因素认证、定期更新软件补丁、警惕可疑链接及定期核查交易记录。此次攻击标志着该组织从针对机构转向个人投资者的策略转变。

ChainCatcher 消息，据 Bitcoin.com News 报道，朝鲜黑客组织 Lazarus Group 攻击 Bybit 之后开始将部分盗窃资产兑换成比特币，数据显示该集团现在已拥有 13562 枚 BTC，价值约 11.4 亿美元，这也使得朝鲜的比特币持仓量不断攀升，目前已经超越了萨尔瓦多（6117 枚 BTC）和不丹（10635 枚 BTC），成为全球比特币持仓量第三大的政府实体，仅次于美国（198109 枚 BTC）和英国（61245 枚 BTC）。

ChainCatcher 消息，据 Decrypt 报道，Socket 研究团队在一场新的攻击中发现，朝鲜黑客组织 Lazarus 与六个新的恶意 npm 软件包有关，这些软件包试图部署后门以窃取用户凭证。 此外，这些恶意软件还能提取加密货币数据，窃取 Solana 和 Exodus 加密钱包中的敏感信息。攻击主要针对 Google Chrome、Brave 和 Firefox 浏览器的文件以及 macOS 的钥匙串数据，专门诱骗开发者无意中安装这些恶意软件包。 此次发现的六个恶意软件包包括：is-buffer-validator、yoojae-validator、event-handle-package、array-empty-validator、react-event-dependency 和 auth-validator。它们通过“typosquatting”（利用拼写错误的名称）诱骗开发者安装。APT 组织为其中五个软件包创建并维护了 GitHub 仓库，伪装成合法开源项目，增加了恶意代码被开发者使用的风险。这些软件包已被下载超过 330 次。目前，Socket 团队已请求删除这些软件包，并报告了相关的 GitHub 仓库和用户账户。 Lazarus 是臭名昭著的朝鲜黑客组织，与最近的 14 亿美元 Bybit 黑客攻击、4100 万美元的 Stake 黑客攻击、2700 万美元的 CoinEx 黑客攻击以及加密行业中无数其他攻击有关。