朝鮮黑客

ChainCatcher 消息，與朝鮮有關聯的黑客組織正持續升級其針對加密行業從業者的攻擊手法，通過 AI 生成的深度偽造視頻通話，冒充受害者熟悉或信任的人士，誘導其安裝惡意軟件。BTC Prague 聯合創始人 Martin Kuchař 披露，攻擊者利用被入侵的 Telegram 帳號發起視頻通話，並以"修復 Zoom 音頻問題"為由，誘使受害者安裝偽裝成插件的惡意程序，從而獲取設備的完全控制權。安全研究機構 Huntress 指出，該攻擊模式與其此前披露的針對加密開發者的行動高度一致，惡意腳本可在 macOS 設備上執行多階段感染，包括植入後門、記錄鍵盤輸入、竊取剪貼板內容及加密錢包資產。研究人員已將該系列攻擊高度確信歸因於朝鮮國家支持的黑客組織 Lazarus Group（又稱 BlueNoroff）。區塊鏈安全公司 SlowMist 的信息安全負責人表示，此類攻擊在不同行動中存在明顯復用特徵，目標集中於特定錢包和加密從業人員。分析認為，隨著深度偽造與語音克隆技術普及，圖像和視頻已難以作為身份真實性的可靠依據，加密行業需提高警惕，加強多重驗證與安全防護措施。

ChainCatcher 消息，据市場消息，安全公司 Recorded Future 最新研究顯示，朝鮮關聯黑客組織 PurpleBravo 通過虛假招聘面試，針對人工智能、加密貨幣及金融服務公司的 3100 多個 IP 地址發起網絡間諜活動。該組織偽裝成招聘人員或開發者，以技術面試為由誘使目標執行惡意代碼。攻擊者自稱來自加密或科技公司，要求求職者審查代碼、克隆存儲庫或完成編程任務。安全研究人員已識別出來自南亞、北美等地區的 20 家受害機構。該組織使用多個別名，並利用虛假的烏克蘭敖德薩身份進行偽裝。攻擊中使用了 PylangGhost 和 GolangGhost 等遠程訪問木馬，可自動竊取瀏覽器憑證與 Cookies。黑客還通過惡意 GitHub 倉庫、Astrill VPN 以及 17 個服務提供商托管其惡意軟件伺服器。此外，調查發現相關 Telegram 頻道在售賣 LinkedIn 和 Upwork 帳號，攻擊者亦曾與加密貨幣交易平台 MEXC Exchange 互動。

ChainCatcher 消息，据 DL News 引援韓媒 Dailian 報導，韓國最高法院維持對一名加密貨幣交易所員工判處四年有期徒刑的判決，因其協助朝鮮黑客招募一名韓國陸軍上尉，企圖以比特幣換取軍事機密。涉案交易所員工從朝鮮黑客處獲得 48.7 萬美元比特幣作為報酬，並向上尉支付 3.35 萬美元比特幣作為酬金。法院認定該員工違反《國家安全法》，其行為可能危及國家安全。涉事上尉此前因違反《軍事機密保護法》已被判處十年監禁並處罰金。調查顯示，朝鮮黑客指使該員工向涉事上尉提供"手錶形狀的隱藏攝像頭"及用於植入軍事筆記本電腦的 USB 黑客設備，企圖遠程訪問韓美聯合指揮控制系統，但未能成功。涉事上尉此前因違反《軍事機密保護法》已被判處十年監禁並處罰金。

ChainCatcher 消息，Chainalysis 週四發布的一份報告顯示，朝鮮的加密貨幣黑客行動在 2025 年竊取了 20.2 億美元，再次打破紀錄。此前，朝鮮通過黑客攻擊和盜竊（如比特幣和以太坊）竊取的加密貨幣金額最高紀錄是 13 億美元。這使得朝鮮累計竊取的加密貨幣總額達到約 67.5 億美元。全球被盜加密貨幣總額上升至 34 億美元。其中很大一部分源於今年對迪拜加密貨幣交易所 Bybit 的攻擊。Bybit 首席執行官表示，據美國特勤局稱，這些為朝鮮精英政府黑客小組工作的黑客在 2 月竊取了約 15 億美元，其中大部分是以太坊。聯合國和私人研究人員長期以來一直指控，受到國際制裁且只與少數國家保持關係的朝鮮，部署黑客竊取加密貨幣，為其核武器和導彈計劃提供資金。Chainalysis 是越來越多繪製加密貨幣交易網絡圖譜的公司之一，包括追蹤被犯罪分子洗錢的被盜資金。Chainalysis 報告指出，儘管這些平台擁有機構資源和專業的安全團隊，但由於這一根本的安全挑戰，它們仍然容易受到攻擊。戰略與國際研究中心戰略技術項目主任 Matt Pearl 表示，由於朝鮮在很大程度上與世界隔絕，並且是一個"流氓國家"，因此很難阻止其行動。報告稱，部分盜竊最可能是由於朝鮮黑客越來越多地通過欺詐手段在國際公司獲得遠程技術職位。這種訪問權限可以使他們有機會為黑客同事提供竊取加密貨幣密鑰、並將加密貨幣轉移到平壤的立足點。Pearl 表示，鑑於朝鮮已經面臨極限制裁，幾乎沒有其他辦法可以阻止其繼續通過攻擊數字資產來資助軍事行動。

ChainCatcher 消息，据 Decrypt 報導，參議員 Elizabeth Warren 本週在一封信中公開談論了對去中心化交易所 (DEX) 可能存在的國家安全風險發出警告，並特別指出 PancakeSwap 與特朗普關聯的穩定幣 USD1 的交易以及朝鮮黑客竊取的資金有關。Warren 指出，鏈上加密貨幣用戶可以使用 DEX 而無需嚴格的反洗錢程序控制，例如 KYC 披露，這使他們能夠"利用去中心化平台轉移、混合和兌現非法資金"。此前，Warren 還批評了加密貨幣遊說行業，同時對以穩定幣為重點的 GENIUS 法案發出警告：當時正在審議的加密貨幣監管"極大地助長了特朗普總統的腐敗"，並要求對1 月份推出的 TRUMP meme 幣進行調查。

ChainCatcher 消息，網絡安全非營利組織 Security Alliance 警告稱，他們目前每天都會發現多起由朝鮮黑客發起的詐騙企圖，這些攻擊透過偽造的 Zoom 會議誘騙受害者上鉤。該詐騙手法是在一場"假 Zoom 通話"中誘導受害者下載惡意軟體，從而竊取包括密碼和私鑰在內的敏感資訊。安全研究員 Taylor Monahan 警告稱，這一戰術已從用戶手中掠走超過 3 億美元的資產。詐騙通常始於一個 Telegram 帳號發來的消息，而該帳號往往屬於受害者"認識的人"。由於熟人身份，受害者會放鬆警惕。隨後，對話會自然過渡到"透過 Zoom 叙叙舊"的邀請。一旦通話開始，黑客就會假裝遇到音頻問題，並發送一個所謂的"補丁文件"。當受害者打開該文件時，設備即被植入惡意軟體。隨後，黑客會以"改天再約"為由結束這場假通話。

ChainCatcher 消息，据 Hackread.com 報導，網絡安全公司 Hudson Rock 在分析一份 LummaC2 信息竊取惡意軟件日誌時，發現了一台被感染的設備，其操作者疑似為朝鮮國家支持的黑客組織中的惡意軟件開發者。該設備曾被用於搭建支持 2025 年 2 月加密貨幣交易所 Bybit 價值 14 億美元竊取案的基礎設施。分析表明，該設備上發現的憑據與攻擊前註冊的、用於仿冒 Bybit 的域名存在關聯。設備本身配置高端，安裝了 Visual Studio、Enigma Protector 等開發工具，以及 Astrill VPN、Slack、Telegram 等通信和數據存儲類應用。其活動痕跡還顯示，攻擊者為實施釣魚攻擊，購買了相關域名並準備了虛假 Zoom 安裝程序。這一發現罕見地揭示了朝鮮支持的黑客行動中資產共享的內部運作細節。

ChainCatcher 消息，AhnLab 發布的《2025 網絡威脅趨勢與 2026 安全展望》報告顯示，朝鮮背景黑客組織 Lazarus 在過去 12 個月被點名次數最多，其主要利用"魚叉式（定向）釣魚"實施攻擊，常偽裝成講座邀請、面試請求等郵件誘導目標開載。報告稱，Lazarus 被認為是多起重大攻擊的主要嫌疑人，包括今年 2 月 21 日的 Bybit 遭黑事件（損失 14 億美元）以及近期韓國交易所 Upbit 遭遇的 3000 萬美元漏洞攻擊。AhnLab 表示，為提高安全性，企業需建立多層防護體系，包括定期安全審計、及時更新補丁及加強員工教育。該公司並建議個人用戶使用多因子認證、謹慎處理未知鏈接與附件、避免過度暴露個人信息，同時僅從官方渠道下載內容。AhnLab 指出，隨著 AI 應用的普及，攻擊者將更易生成難以分辨的釣魚郵件、偽裝頁面與深度偽造內容，未來相關威脅可能進一步複雜化。（Cointelegraph）

ChainCatcher 消息，据韓聯社報導，韓國虛擬資產交易所 Upbit 遭遇黑客攻擊，價值 445 億韓元的虛擬資產被盜。目前，朝鮮偵察總局旗下的黑客組織 Lazarus Group 被高度懷疑是此次事件的幕後黑手。當地時間，韓聯社從信息通信技術（ICT）行業及韓國政府相關部門獲悉，鑑於朝鮮偵察總局下屬黑客組織 Lazarus Group 有較大作案嫌疑，當局正在對 Upbit 開展現場檢查工作。該黑客組織曾被指參與 2019 年 Upbit 價值 580 億韓元以太坊的盜竊案。政府相關人士稱："此次攻擊不太可能是針對伺服器的，更有可能的情況是竊取了管理員帳戶，或者偽裝成管理員進行資金轉帳。"他還表示："就目前掌握的情況來看，6 年前黑客就是採用這種方式實施攻擊的，所以推測此次也是同樣的作案方式。"

ChainCatcher 消息，据 The Block 報導，美國司法部（DOJ）宣布，已對超 1510 萬美元被朝鮮黑客盜取的 USDT 啟動沒收程序，並成功讓 5 名協助朝鮮 IT 人員滲透美國企業的相關人員認罪。司法部指出，這批被查獲的加密資產與朝鮮軍事黑客組織 APT38 相關，該組織在 2023 年先後攻擊四家海外虛擬貨幣平台。FBI 於 2025 年 3 月查封相關資金，目前正在尋求法院批准沒收並返還被害方。此外，美國司法部還宣布，四名美國公民及一名烏克蘭籍人士已認罪，承認曾向朝鮮 IT 人員提供被盜身份信息並代為托管公司筆記本電腦，使其偽裝成在美國本土工作。這些行為幫助朝鮮 IT 人員成功滲透 136 家美國企業，為朝鮮政府帶來超 220 萬美元收入，並導致至少 18 名美國公民的身份被盜。

ChainCatcher 消息，安全研究人員發現朝鮮黑客組織 KONNI 開發了一種新型攻擊手法，首次利用 Google 的 Find Hub 資產追蹤功能對 Android 設備實施遠程數據擦除攻擊。攻擊者透過偽裝成心理諮詢師和人權活動家，在韓國 KakaoTalk 通訊平台分發名為"減壓程序"的惡意軟件。一旦受害者執行這些文件，攻擊者會竊取 Google 賬戶憑據，利用 Find Hub 功能跟蹤設備位置並執行遠程重置，導致個人數據被刪除。此次攻擊被確定為 KONNI APT 活動的後續行動，該組織與朝鮮政府支持的 Kimsuky 和 APT 37 有密切關聯。安全專家建議用戶加強賬戶安全，啟用雙因素認證，並對通過即時通訊工具接收的文件保持警惕。

ChainCatcher 消息，据慢霧餘弦消息，朝鮮黑客有關的木馬程序 SilentSiphon 能夠從蘋果備忘錄、Telegram、瀏覽器擴展程序中獲取數據，還能從瀏覽器和密碼管理器中獲取憑證，以及從與眾多服務相關的配置文件中獲取機密信息。用戶應提高安全防範意識，定期更新軟件版本，避免下載來源不明的應用程序，並使用可靠的安全軟件進行防護。

ChainCatcher 消息，由美日韓等 11 國組成的多邊制裁監測小組（MSMT）近日發布題為《朝鮮通過網絡與信息技術人員活動違反及規避聯合國制裁》（MSMT/2025/2）的報告稱，自 2024 年 1 月至 2025 年 9 月，朝鮮黑客組織通過攻擊全球交易所共竊取至少 28.37 億美元加密貨幣，其中 2025 年前九個月的盜取規模已達 16.45 億美元。報告指出，朝鮮通過設在俄羅斯、香港及柬埔寨的中介機構洗錢，並利用"匯旺集團（Huione Group）"旗下"匯旺支付"等平台將加密資產兌換為現金。朝鮮還與俄羅斯勒索軟件團夥合作，並使用 ChatGPT 等 AI 工具提升攻擊隱蔽性。此外，朝鮮約有 1000 至 2000 名 IT 人員在俄羅斯、老撾、柬埔寨、非洲多國等地以假身份遠程工作，將薪資匯回朝鮮，用於核武及導彈項目資金。

ChainCatcher 消息，据 Decrypt 報導，Google 威脅情報小組發現朝鮮駭客正在使用 EtherHiding 惡意軟體進行網路攻擊。該惡意軟體通過在區塊鏈智能合約中隱藏惡意代碼來實現加密貨幣盜竊，主要針對以太坊和 BNB Chain。

ChainCatcher 消息，幣安聯合創始人趙長鵬於 X 平台發文提醒稱，加密項目方需注意朝鮮黑客安全威脅。他表示，在幾個月前，一家印度大型外包服務公司遭到黑客攻擊，泄露了一家美國大型交易所的用戶數據，導致用戶資產損失超過 4 億美元。加密無畏引用此推文並表示，結合之前的報導和公開信息，這家美國大型交易所應該是 Coinbase。 另據鏈上偵探 Zachxbt 披露，每年 Coinbase 用戶因社交工程詐騙造成的損失高達 3 億美元。

ChainCatcher 消息，幣安創始人 CZ 於 X 平台發文提醒加密項目方注意朝鮮黑客安全威脅。他提到："這些朝鮮黑客先進、富有創造力且有耐心。我看到/聽說過（的例子有）：1. 他們冒充求職者試圖在您的公司找到工作。這讓他們"踏入大門"。他們特別喜歡開發、安全、財務職位。2. 他們冒充雇主並試圖面試/提供您的員工。在面試期間，他們將說 Zoom 軟件發生問題，他們會向您的員工發送一個"更新"鏈接，其中包含將接管您員工設備的病毒。或者他們會給您的員工一個編碼問題，然後發送一些"示例代碼"。3. 他們冒充用戶並在客戶支持請求中向您發送鏈接。鏈接的頁面將有某種病毒可供下載。4. 他們付錢/賄賂你的員工，外包供應商以訪問數據。就在幾個月前，印度一家主要的外包服務遭到黑客攻擊，洩露了美國一家主要交易所的用戶數據，導致用戶資產損失超過 4 億美元。這樣的事情還在繼續。對於所有加密平台，培訓您的員工不要下載文件，並仔細篩選您的候選人。保持警惕！"

ChainCatcher 消息，据 BusinessInsider 報導，Coinbase 首席執行官 Brian Armstrong 表示，朝鮮 IT 工作者正瞄準 Coinbase，他正在強制進行面對面培訓，以打擊尋求遠程工作的朝鮮黑客。Coinbase 要求所有員工前往美國接受現場培訓，任何可以訪問敏感系統的人都必須擁有美國公民身份並接受指紋識別。Brian Armstrong 表示，Coinbase 要求潛在員工在面試時打開攝像頭，以證明他們不是人工智能或沒有接受過指導。