窃取

ChainCatcher 消息，据 Decrypt 报道，安全公司 Socket 发布研究结果，将 77 个 Firefox 扩展身份关联到其称为“越位钱包盗窃工厂”的恶意活动，其中 40 个已确认存在恶意行为。 这些扩展伪装成 OKX、Rabby Wallet、TronLink 等 Web3 产品，通过伪造钱包界面诱导用户导入钱包，或使用修改版真实钱包代码，在用户输入时窃取助记词和私钥。Mozilla 签名记录显示该活动从 3 月 9 日持续至 8 月 3 日，Socket 报告时仍有多个扩展在线。 其中约半数扩展展示逼真的钱包界面并要求用户导入现有钱包，从而截获输入的助记词或私钥；另有 13 个是 Rabby 的修改版本，在正常运作的同时将钱包存储的账户数据发送至外部服务器；还有 5 个专门收集已保存的凭证和剪贴板内容。 此外，37 个扩展伪装成密码生成器、暗黑模式切换、VPN、货币转换器和笔记工具，实际运行共享同一硬编码凭证的体育比分应用。9 个已确认的恶意扩展最初以足球、篮球等比分应用形式发布，后续更新才替换为钱包窃取代码。 Socket 将该活动命名为“越位钱包盗窃工厂”，但提醒尚未确认所有扩展背后由同一操作者控制。Socket 团队表示，任何在这些扩展中输入过助记词或私钥的用户都应视为“永久泄露”，并立即将资金转移至新钱包，因为卸载扩展无法撤销已发送到别处的助记词。

ChainCatcher 消息，据 CoinDesk 报道，美国国税局（IRS）发布警告称，一场针对美国加密货币持有者的高级邮件钓鱼活动正在扩散，攻击者通过伪造官方税务信件，诱导用户扫描恶意二维码，以窃取加密钱包凭证和私钥。 据悉，攻击者冒充 IRS 发送纸质信件，利用“税务合规”“账户验证”等名义制造紧迫感，并在信件中附带二维码。一旦用户扫描，可能被引导至仿冒网站，进而泄露钱包登录信息、助记词或私钥，导致数字资产被盗。 IRS 提醒纳税人，官方机构不会通过非官方渠道要求用户提供加密钱包私钥、助记词或进行类似“钱包验证”操作。加密货币持有者应警惕任何要求扫描二维码、连接钱包或提交敏感信息的可疑邮件和信件。 随着加密资产持有者规模扩大，针对数字钱包的社会工程攻击持续增加，监管机构和安全机构正加强对相关诈骗活动的防范提醒。

ChainCatcher 消息，据 Decrypt 报道，美国司法部对 17 名据称隶属于伊朗 Mabna 研究所的黑客提起诉讼，指控其参与长达数年的网络攻击活动，包括 2017 年入侵美国有线电视网络 HBO，窃取数据后要求对方以 Bitcoin 支付约 600 万美元赎金。检方称该组织为伊朗伊斯兰革命卫队及其他伊朗政府客户实施黑客攻击，目标涵盖全球数百所大学、企业和政府机构，窃取至少 31.5 TB 的学术数据和知识产权。该组织还针对全球超 10 万个教授账户，入侵了 144 所美国大学和 178 所外国大学的约 8,000 个账户。美国国务院悬赏最高 1,000 万美元征集其中 5 名被告下落。美国财政部近月已对多家伊朗加密交易所实施制裁，并冻结了与伊朗央行和革命卫队相关的逾 1.31 亿美元加密资产。

ChainCatcher 消息，据 Decrypt 报道，安全公司 Bitdefender 警告称，新上映好莱坞大片 “奥德赛” (The Odyssey) 的盗版下载资源已被攻击者植入 Lumma Stealer 信息窃取恶意软件，试图通过虚假电影文件窃取用户加密货币钱包、密码及浏览器数据。据 Bitdefender 披露，恶意文件在影片上线数日内便开始传播，攻击者将其伪装成高清 WEBRip 或蓝光版本资源，并使用类似正规种子文件的名称吸引用户下载。实际上，这些文件并非视频，而是 Windows 可执行程序，运行后会感染设备。攻击者通常会替换文件图标，使其看起来像 VLC 播放器或视频文件，同时利用 Windows 默认隐藏文件扩展名的设置，降低用户识别风险的能力。一旦运行，Lumma Stealer 将搜集浏览器保存的密码、支付信息、自动填充数据、远程桌面凭证，以及包括加密货币钱包在内的敏感信息。此外，该恶意软件还会窃取身份验证 Cookie，使攻击者即使在用户启用多因素认证 (MFA) 的情况下，也可能绕过部分账户保护措施。

ChainCatcher 消息，据 Cointelegraph 报道，BTCPay 服务器已暂时限制对运行 Lightning Network Daemon (LND) 软件的 Lightning Network 节点的公共远程连接，此前攻击者利用一个严重漏洞获取了凭证并转移了资金。BTCPay 表示，此限制可防止 Zeus 等外部钱包通过 BTCPay 服务器域名进行连接。BTCPay 表示，Lightning 支付可以继续进行，并计划在认为安全时恢复远程访问选项。

ChainCatcher 消息，据链上侦探 Specter 监测，同一攻击者正在针对 Ledger 运行类似的钓鱼活动。相关截图拍摄于两天前，该赞助广告目前已被移除。截至目前，这些活动已窃取超过 300 万美元。

ChainCatcher 消息，据英国《金融时报》报道，诈骗者正利用欧盟 MiCA 新规，在牌照截止日期后针对被迫从无牌加密平台提取资产的用户实施诈骗。骗子冒充监管机构和加密交易所，诱骗用户将资金转移至虚假账户。

ChainCatcher 消息，据 Axios 报道，尽管AI实验室为争夺顶尖人才提供了巨额薪酬、顶级头衔和大量算力资源，但人才流失问题依然突出。数据显示，超过 400 名前苹果员工现任职于 OpenAI，苹果公司已对 OpenAI 提起诉讼，指控其利用苹果内部代号来提取从潜在应聘者处获得的机密信息。 最新案例是 Thinking Machines Lab 联合创始人 Lilian Weng 离职数日后即重返 OpenAI ，负责递归自我改进研究。她是该实验室过去一年内第四位离职的联合创始人。与此同时， Google 近期也有两名知名研究人员跳槽—— Noam Shazeer 重返 OpenAI ，诺贝尔化学奖得主 John Jumper 加入 Anthropic 。 Meta 同样面临高价招募人才快速流失的问题。报道援引知情人士称， Anthropic CEO Dario Amodei 已对“为钱而来而非使命”的新人才趋势表示担忧。

ChainCatcher 消息，据韩国媒体 Daily NK 报道，朝鲜当局于 7 月 12 日逮捕了一个精英黑客团伙，该团伙涉嫌入侵朝鲜央行和外贸银行内部网络，窃取国家贸易资金并通过加密货币洗钱。消息人士称，团伙头目为朝鲜侦察总局下属网络战部队的退伍军人，招募了金策工业大学和平壤科技大学的天才 IT 毕业生，利用加密通信和无线设备作案。他们将被盗资金小额拆分后转入海外加密钱包，通过中间人兑换现金，再经边境地区换为美元等资金。平壤官员发现外币支付审批异常和海外 IP 访问记录后展开调查，最终突袭安全屋逮捕了正在洗钱的嫌疑人，缴获数十万美元设备。该案已在平壤精英和军方圈层引发震动，侦察总局和科技教育界高层担心被牵连。朝鲜此前长期被指控通过 Lazarus Group 等黑客组织盗取数十亿美元加密资产，但此次事件罕见显示其本国金融系统也成为内部攻击目标。

ChainCatcher 消息，在 BitMEX 宣布关停当天，BKX Services Inc. 及 David Namdar 向纽约南区联邦法院提起集体诉讼，指控该平台利用内幕交易权限及服务器冻结手段，操纵用户强制平仓并窃取比特币抵押品。原告声称合计损失约 623 枚BTC，其中 BKX 损失至少 305.81 枚BTC，Namdar 损失超 316.85 枚BTC，诉讼要求返还比特币并索赔。 诉状称 BitMEX 允许客户使用最高 100 倍杠杆，而在抵押物价值仍约为损失两倍时即强制平仓，剩余比特币被纳入平台保险基金，使 BitMEX 从中获利。本次诉讼可追溯至 2018 年 7 月 23 日 起的相关交易，此前 2020 年类似案件于 2025 年 6 月 30 日 自愿撤回。

ChainCatcher 消息，财政部长 Scott Bessent 在 X 平台发文表示，支持开源 AI 及其带来的创新，但开源并非肆意侵犯美国知识产权的借口。如果中国公司进行秘密的、工业规模的提炼攻击，并越过界限构成知识产权盗窃，将考虑对其进行制裁，并将其列入实体清单。

ChainCatcher 消息，据 Bits.media 报道，卡巴斯基安全研究人员发现新的恶意软件 OkoBot，通过约 20 个模块窃取加密钱包助记词和凭证。攻击者利用 ClickFix 社会工程学技术诱骗用户运行恶意命令，并通过伪装成 SQL Server Management Studio 等合法工具的 GitHub 仓库传播。 OkoBot 的模块包括：SeedHunter 注入 Trezor 和 Ledger 等硬件钱包，在恢复助记词时显示虚假界面；MC Keylogger 记录键盘和剪贴板活动；OkoSpyware 追踪钱包密码并录制窗口视频。 一旦攻击者获得助记词，即可完全控制受害者的加密资产，资金几乎无法追回。卡巴斯基表示，OkoBot 已存在超过一年，多数受害者分布于巴西、越南、加拿大、墨西哥和土耳其。攻击者还对俄罗斯和独联体国家的 IP 地址实施了地理封锁。

ChainCatcher 消息，美国联邦检方起诉一名 21 岁佛罗里达州男子 Zyaire Wilkins，指控其于 2024 年 5 月至 2026 年 2 月期间，与同伙将窃取加密资产的恶意软件植入至少 8 款游戏，通过游戏平台传播，导致约 8000 台设备感染、约 80 个加密钱包被盗，涉案金额超过 22 万美元。 起诉文件显示，涉案游戏包括 BlockBlasters、Chemia、Dashverse、DashFPS、Lampy、Lunara、PirateFi 和 Tokenova。其中部分游戏此前已因存在安全风险被 Steam 下架。调查人员称，嫌疑人通过 Discord、Telegram、X 和 LinkedIn 等平台推广这些游戏，诱导用户下载安装，恶意软件随后窃取受害者敏感信息，并盗取加密钱包资产。 FBI 表示，执法部门通过链上资金流向分析及数字支付记录锁定嫌疑人身份。调查发现，其关联加密钱包曾在加密礼品卡平台 Bitrefill 购买逾 150 张礼品卡，包括 Uber Eats 礼品卡，最终帮助调查人员确认其电话号码及住址。目前，该案件已在美国华盛顿西区联邦地区法院提起诉讼。

ChainCatcher 消息，据 FinanceFeeds 报道，安全研究人员发现一种针对 macOS 设备的信息窃取恶意软件正在攻击加密用户。该软件可通过劫持 Telegram Desktop 会话、窃取密码及钱包数据库等方式，进一步控制用户账户并盗取数字资产。目前受影响的钱包和应用包括 Exodus、Atomic、Electrum、Wasabi、Monero 等软件钱包。该恶意软件能够从 macOS Keychain、Safari Cookie、Apple Notes、Telegram Desktop 以及多个加密钱包相关数据库中提取敏感信息，包括登录凭证、已认证会话文件、钱包数据和浏览器扩展信息。安全分析指出，该攻击链的危险之处在于其并非依赖单一钱包漏洞，而是通过收集设备上的多类数据，将设备入侵、账户接管、钱包破解和助记词窃取串联起来。其中，Telegram Desktop 会话成为重点目标。攻击者可复制已认证的 Telegram 本地会话数据，并在另一台 Mac 设备上恢复登录，无需输入手机号、验证码或 Telegram 双重验证密码。这意味着 Telegram 2FA 在该攻击场景下无法提供完整保护，因为攻击者并非进行新登录，而是在利用已经信任的本地会话。对于加密用户而言，风险进一步扩大。由于 Telegram 广泛用于交易所客服、项目社区、OTC 交易以及钱包沟通，一旦攻击者获得用户会话权限，可能冒充受害者身份、读取私密聊天、定位资产信息，甚至向联系人传播恶意链接。

ChainCatcher 消息，据链上数据显示，链上侦探 ZachXBT 此前披露的某 Solana 早期投资者（OG）持有的 18.1 万枚 SOL 遭窃，按当前价格计算价值约 1420 万美元。 攻击者随后抛售全部 18.1 万枚 SOL，并将资金跨链转移至以太坊网络，最终兑换为 7,918 枚 ETH。 目前，攻击者已完成从 Solana 到 Ethereum 的资产转移和兑换操作。事件具体原因及资金被盗方式暂未公布。

ChainCatcher 消息，慢雾 SlowMist 发布安全警报，监测到一场协同恶意 npm 供应链攻击，攻击者利用虚假交易机器人仓库和 DeFi 主题 npm 包投放 JavaScript 信息窃取器，目标直指 npm 用户、DeFi 开发者及交易机器人用户。 此次攻击涉及 30 个恶意 npm 包，其中 [email protected] 作为锁定依赖项出现在 donoaccestag/forex-mt5-trading-bot 仓库中，该仓库呈现约 2300 个高度同质化的批量生成分叉，大部分集中在 poly-stocks 账户下，信号异常明确。攻击者可窃取的敏感数据范围极广，包括加密钱包库、浏览器 Cookie 与已保存密码、浏览历史、开发者凭据、Shell 历史记录、密码管理器库、私钥、助记词及源代码中暴露的 API 令牌。 慢雾建议开发者立即移除受影响的 npm 包，审计 package.json 与 package-lock.json 及 CI 日志中是否包含 30 个恶意包中的任何一个；将曾执行 npm install 的系统视为可能已被入侵，轮换所有暴露的钱包、私钥、npm 令牌、云凭据、SSH 密钥及 API 令牌，并从干净镜像重建受影响环境。

ChainCatcher 消息，Microsoft Security Blog 发文称，微软安全研究团队发现一种名为 Crypto Clipper 的新型加密货币窃取木马。该恶意软件自 2026 年 2 月起活跃，主要通过 USB 设备传播恶意 .lnk 快捷方式感染 Windows 用户。Crypto Clipper 内置 Tor 客户端，通过本地 SOCKS5 代理连接 .onion 隐藏服务，实现隐蔽 C2 通信。其主要功能包括高频监控剪贴板、窃取助记词和私钥、替换加密货币转账地址、截取屏幕截图并上传，以及接收远程代码执行指令。微软表示，该恶意软件具备蠕虫传播能力，会自动隐藏 U 盘内原始文档并生成同名恶意快捷方式，同时创建计划任务实现持久化控制。研究人员将其检测为 Trojan:Win32/CryptoBandits.A，并建议用户禁用可移动设备自动运行、限制脚本解释器执行权限，并重点监控 localhost:9050 Tor 代理流量及异常剪贴板访问行为。

ChainCatcher 消息，据慢雾披露，发现 Shai-Hulud Hades 新变种正在攻击 PyPI。恶意包会投放 .pth 文件，在 Python 启动时自动执行，并检测本地是否安装 Bun；若未安装，则从 GitHub Releases 下载官方 Bun 二进制文件，再执行多层混淆 JavaScript 载荷，用于窃取 GitHub、npm、AWS 及云服务凭证。 慢雾称，该变种与此前 Shai-Hulud 攻击使用相同 RSA 公钥和基础设施，并具备加密外传、持久化、CI/CD 注入及 GitHub Actions 注入等能力。

ChainCatcher 消息，据 Bits.media 报道，NovaBox 平台的奖励池于 6 月 9 日在以太坊上遭到黑客攻击，损失约 56.73 枚 ETH，超过 130 名存款用户受影响。攻击者仅通过一笔交易就将池中资金从 65.11 ETH 耗尽至 0.09 ETH，占比约 99.86%。安全公司 F12 表示，此次事件并非源于智能合约漏洞，而是奖励分配机制中的缺陷。攻击者通过 Aave V3 闪电贷借入 427.5 WETH，利用 NovaBox 在用户存取款时先发放股息后更新余额的机制漏洞。黑客先存入少量 NOVA 代币触发股息计算，再存入大量 ETH 使实际份额大幅增加，但由于系统未及时更新余额，仍按之前的小额份额计算股息，却按新的大额份额进行支付，产生了约 145.82 ETH 的“幻影股息”，从而耗尽奖励池。

ChainCatcher 消息，链上调查员 Specter 发布安全警告，Solana DeFi 协议 Raydium 的某个旧流动性池疑似遭到攻击，攻击者窃取约 134 万美元资产，主要包括 USDC、RAY 和 wSOL。黑客已将窃取的资金通过桥接转移至以太坊，随后存入 Tornado Cash 进行混币。