黑客組織

ChainCatcher 消息，据 Insurance Journal 報導，區塊鏈分析公司 Elliptic 披露，已追蹤到 50 余起與朝鮮相關的安全事件，今年以來累計被盜資金約 12 億美元。部分 Bitget 被盜資金與去年 Bybit 交易所 15 億美元被盜事件的關聯地址存在重疊，鏈上洗錢模式初步顯示，本次 Bitget 事件系黑客組織 TraderTraitor 所為。

ChainCatcher 消息，据鏈上偵探 Specter 監測，其通過追蹤鏈上資金流，北韓駭客組織 Lazarus Group 可能是 Bitget 被盜事件的幕後攻擊者。本次事件與今年 7 月發生的 AFX 攻擊存在關聯，後者造成約 2400 萬美元損失，並被歸因於 Lazarus Group 相關的 TraderTraitor。Bitget 被盜的 XRP 經過跨鏈後，相關資金路徑可直接關聯至 AFX 攻擊中的被盜資金。

ChainCatcher 消息，朝鮮黑客組織 WaterPlum 偽裝加密貨幣、AI 及 NFT 公司招聘人員，向軟體開發者和 IT 從業者投放偽裝成程式設計任務或視頻會議修復文件的惡意軟體。該組織已在 100 多個國家感染至少 3 萬台設備，並於 2025 年 12 月至 2026 年 7 月從逾 7000 個加密貨幣錢包提取資金或帳戶憑證，至少盜取 1070 萬美元。

ChainCatcher 消息，据 Forbes 報導，由美國聯邦調查局（FBI）和日本警察廳（NPA）在內的多國機構聯合發布的預警顯示，朝鮮關聯黑客組織 WaterPlum（又稱 Contagious Interview）自 2025 年 12 月至 2026 年 7 月，通過偽裝成 AI、加密貨幣或 NFT 領域的公司提供虛假職位，對全球 IT 開發者發起攻擊。攻擊者在社交媒體、招聘平台接觸求職者，以技術面試或編程測試為由，誘使下載惡意文件，成功感染超 3 萬台設備，覆蓋 100 多個國家和地區，並從超過 7000 個加密錢包中竊取數據。相關資金至少 1071 萬美元流入攻擊者控制的錢包。

ChainCatcher 消息，据 Lookonchain 監測，黑客組織 Lazarus Group 在過去 2 小時內以均價 2499 美元賣出 911 枚 ETH（228 萬美元）。

ChainCatcher 消息，据 ZEIT 报道，柏林市政府兩週前遭受網絡攻擊後，黑客組織疑似以竊取的數據實施勒索。据《明鏡》報導，攻擊者疑為活躍多年的 Rhysida 黑客組織，要求支付 30 枚比特幣（約合 200 萬歐元），並威脅公開數據。涉及敏感信息可能包括違章處理記錄和密碼等。柏林州政府迄今未確認數據洩露範圍，也未回應勒索金額和攻擊者身份，稱"出於偵查策略原因"暫不表態。柏林市長 Kai Wegner 明確表示，柏林不會屈服於勒索。受影響的主要是交通和建設管理部門，事件發生後曾暫時與州政府網絡隔離。

ChainCatcher 消息，据鏈上分析師 Ai 姨監測，黑客組織 Lazarus Group 2 小時前將 262.2 枚 BTC 轉移至新地址，價值 1,664 萬美元，或計劃進行清洗。目前，該組織在鏈上仍持有價值超過 7,306 萬美元的資產，主要包括 BTC、USDT 和 ETH。

ChainCatcher 消息，据 Bitcoin.com 報導，網絡安全公司 Genians Security Center 發布分析報告稱，朝鮮偵察總局下屬黑客組織 Kimsuky 正在構建並測試一套以 AI 為核心的網絡攻擊工具體系。研究人員在其基礎設施中發現了 Ollama、GPT4All、Msty 三個本地 AI 平台的部署痕跡，以及 Microsoft Semantic Kernel、LLaMaSharp 等 AI 開發框架組件，表明該組織正在系統性開發專用 AI 攻擊工具，而非僅作臨時性嘗試。自 2026 年初起，Kimsuky 已將生成式 AI 製作的高品質文檔用於針對虛擬資產、金融投資及遊戲開發領域的魚叉式網絡釣魚攻擊，AI 生成的專業文檔大幅降低了傳統識別釣魚郵件的有效性。攻擊載體為偽裝成合法文檔的 ZIP 壓縮包，內含惡意 LNK 文件，觸發後可在後台靜默執行 PowerShell 命令。

ChainCatcher 消息，据 Crypto.news 報導，與朝鮮有關聯的黑客組織 BlueNoroff 利用虛假的 Zoom 和 Microsoft Teams 會議來分析加密貨幣用戶，然後再投放惡意軟體。黑客先控制受害者信任的加密行業聯絡人帳號，然後通過 Calendly 等發送看似正常的會議連結，指向假冒 Zoom/Teams 網域。用戶進入假會議頁面後，頁面悄悄掃描瀏覽器中的錢包，根據錢包價值決定是否繼續攻擊。假會議中會要求"更新 Zoom/Teams"或運行命令，實際下載惡意軟體（支持 Windows 和 macOS）。惡意軟體會竊取瀏覽器金鑰、系統數據和 Telegram 會話。

ChainCatcher 消息，據韓國媒體 Daily NK 報導，朝鮮當局於 7 月 12 日逮捕了一個精英黑客團伙，該團伙涉嫌入侵朝鮮央行和外貿銀行內部網絡，竊取國家貿易資金並通過加密貨幣洗錢。消息人士稱，團伙頭目為朝鮮偵察總局下屬網絡戰部隊的退伍軍人，招募了金策工業大學和平壤科技大學的天才 IT 畢業生，利用加密通信和無線設備作案。他們將被盜資金小額拆分後轉入海外加密錢包，通過中間人兌換現金，再經邊境地區換為美元等資金。平壤官員發現外幣支付審批異常和海外 IP 訪問記錄後展開調查，最終突襲安全屋逮捕了正在洗錢的嫌疑人，繳獲數十萬美元設備。該案已在平壤精英和軍方圈層引發震動，偵察總局和科技教育界高層擔心被牽連。朝鮮此前長期被指控通過 Lazarus Group 等黑客組織竊取數十億美元加密資產，但此次事件罕見顯示其本國金融系統也成為內部攻擊目標。

ChainCatcher 消息，据 Financefeeds 報導，美國司法部公布對 19 歲美愛雙重國籍人士 Peter Stokes 的刑事指控，後者被指為網絡犯罪組織 "Scattered Spider" 成員，並已由芬蘭引渡至美國。

ChainCatcher 消息，据 Cryptopolitan 報導，網絡安全分析師發現了一種名為 RemotePE 的新型無文件遠程訪問木馬 (RAT)。据信與朝鮮有關聯的網絡犯罪組織 Lazarus Group 正在利用該木馬攻擊銀行和加密貨幣公司。該木馬完全在內存中運行，傳統殺毒和取證工具難以檢測。攻擊者通過 Telegram 冒充交易公司員工，使用偽造的 Calendly 和 Picktime 鏈接進行社交工程攻擊。惡意軟件通過 DPAPILoader、RemotePELoader 和 RemotePE 三個階段鏈式加載，整個過程不接觸文件系統，利用進程挖空、反分析檢查和加密 C2 通信規避檢測。該惡意軟件於 2025 年 9 月首次被發現。2026 年前四個月，Lazarus 組織已竊取約 5.77 億美元加密資產，占全球加密盜竊總額的 76%。自 2017 年以來，該組織累計竊取金額已達 60 億美元。

ChainCatcher 消息，据 GoPlus 監測，黑客組織 TeamPCP 聲稱已拿到 GitHub 內部約 4000 個私有倉庫中的源代碼，並在地下論壇上標價 5 萬美元進行出售，並支持樣本驗證。如果沒人買，後續可能會免費公開這批數據。此前消息，GitHub 官方確認正在調查此次的「內部倉庫的未經授權訪問」問題，疑似 GitHub 員工設備上安裝了惡意 VS Code/AI Coding 插件。

ChainCatcher 消息，据 OpenSourceMalware 研究，朝鮮黑客組織 Lazarus 在 "傳染性面試" 和 "TaskJacker" 等針對開發者的惡意活動中採用了新手法，將第二階段加載器隱藏在 Git Hooks 的 pre-commit 腳本中。"傳染性面試" 是該組織通過偽造加密貨幣/DeFi 領域招聘流程，誘使開發者克隆惡意代碼倉庫的系列攻擊活動，最終竊取加密資產和憑證。研究員建議，被要求克隆代碼倉庫作為面試流程一部分的開發者，應警惕此類風險，最好在隔離環境中運行，避免掛載個人瀏覽器配置、SSH 密鑰和加密錢包。

ChainCatcher 消息，据網絡安全公司 Expel 研究報告披露，其正追蹤一個被高度評估為朝鮮（DPRK）國家支持的 APT 組織"HexagonalRodent"，該組織以 Web3 開發者為主要目標，專門竊取加密貨幣與 NFT 等高價值數位資產。該組織主要通過偽造招聘信息實施攻擊------在 LinkedIn 及 Web3 招聘平台發布高薪職位，誘導求職者完成內嵌惡意代碼的"技能測試"，利用 VSCode 的 tasks.json 功能在受害者打開項目文件夾時自動執行惡意程序。所使用的惡意軟體包括 BeaverTail、OtterCookie 和 InvisibleFerret，具備密碼竊取、遠程控制及反向 Shell 等功能。值得關注的是，該組織大量借助 ChatGPT、Cursor 等生成式 AI 工具開發惡意軟體、構建虛假公司網站及 AI 生成的高管團隊，甚至在墨西哥註冊了空殼企業以提升攻擊可信度。此外，該組織近期首次實施供應鏈攻擊，成功入侵 VSCode 擴展。

ChainCatcher 消息，据 CoinDesk 报道，區塊鏈分析公司 Elliptic 表示，Drift Protocol 遭攻擊事件損失 2.85 億美元，"多個跡象"指向朝鮮支持的 DPRK 黑客組織。Elliptic 重點分析了鏈上行為、洗錢手法及網絡層面信號，均與此前的國家關聯攻擊相吻合。Elliptic 報告指出："若得到確認，這將是 Elliptic 今年追蹤的第 18 起 DPRK 攻擊行動，迄今共盜取逾 3 億美元。"技術層面，Elliptic 分析將此次攻擊描述為"有預謀、精心佈局"，在主要攻擊前已有早期測試交易和預先佈置的錢包。攻擊執行後，資金被迅速整合並通過跨鏈轉移，轉換為流動性更高的資產，形成了一套有組織、可重複的洗錢流程，旨在混淆資金來源同時保持控制權。此次事件涉及超過十種資產類型，資金從 Solana 跨鏈轉移至以太坊及其他鏈，進一步凸顯了跨鏈溯源能力的重要性。Drift Protocol 是 Solana 區塊鏈上最大的去中心化永續合約交易平台，其代幣自遭黑客攻擊以來已下跌逾 40% 至約 0.06 美元。

ChainCatcher 消息，安全研究機構 Ctrl-Alt-Intel 披露，一組疑似與朝鮮有關的黑客針對質押平台、交易所軟體供應商及加密交易所發起攻擊。攻擊者利用 React2Shell 漏洞（CVE-2025-55182）及已獲取的 AWS 訪問憑證入侵雲環境，枚舉 S3、EC2、RDS、EKS、ECR 等資源，並從 Secrets Manager、Terraform 檔案、Kubernetes 配置及 Docker 容器中提取密鑰和憑證。研究人員稱，攻擊者下載 5 個 Docker 鏡像並竊取源代碼，其中包括 ChainUp 客戶相關軟體組件。攻擊基礎設施涉及韓國伺服器 64.176.226[.]36 及域名 itemnania[.]com。報告稱該活動與朝鮮相關攻擊特徵一致，但歸因信心度為中等，AWS 憑證來源未明確。

ChainCatcher 消息，据 Cointelegraph 報導，隸屬於 Google Cloud 的美國網絡安全公司 Mandiant 發現朝鮮關聯威脅組織正在加大針對加密貨幣和金融科技公司的社會工程攻擊。該威脅組織（代號 UNC1069）部署了七個惡意軟件集合，包括新發現的 SILENCELIFT、DEEPBREATH 和 CHROMEPUSH，旨在獲取敏感數據並竊取數字資產。攻擊者利用被入侵的 Telegram 賬戶和通過人工智能生成的深度偽造視頻進行虛假 Zoom 會議誘騙。自 2018 年以來，Mandiant 一直追蹤該組織，但人工智能的進步幫助該組織自 2025 年 11 月起擴大了惡意活動規模。在一起入侵事件中，攻擊者使用被盜的加密貨幣創始人 Telegram 賬戶發起聯繫，通過所謂的 ClickFix 攻擊誘導受害者執行含有隱藏命令的"故障排除"指令。

ChainCatcher 消息，AhnLab 發布的《2025 網絡威脅趨勢與 2026 安全展望》報告顯示，朝鮮背景黑客組織 Lazarus 在過去 12 個月被點名次數最多，其主要利用"魚叉式（定向）釣魚"實施攻擊，常偽裝成講座邀請、面試請求等郵件誘導目標開載。報告稱，Lazarus 被認為是多起重大攻擊的主要嫌疑人，包括今年 2 月 21 日的 Bybit 遭黑事件（損失 14 億美元）以及近期韓國交易所 Upbit 遭遇的 3000 萬美元漏洞攻擊。AhnLab 表示，為提高安全性，企業需建立多層防護體系，包括定期安全審計、及時更新補丁及加強員工教育。該公司並建議個人用戶使用多因子認證、謹慎處理未知鏈接與附件、避免過度暴露個人信息，同時僅從官方渠道下載內容。AhnLab 指出，隨著 AI 應用的普及，攻擊者將更易生成難以分辨的釣魚郵件、偽裝頁面與深度偽造內容，未來相關威脅可能進一步複雜化。（Cointelegraph）

ChainCatcher 消息，据韓聯社報導，韓國虛擬資產交易所 Upbit 遭遇黑客攻擊，價值 445 億韓元的虛擬資產被盜。目前，朝鮮偵察總局旗下的黑客組織 Lazarus Group 被高度懷疑是此次事件的幕後黑手。當地時間，韓聯社從信息通信技術（ICT）行業及韓國政府相關部門獲悉，鑑於朝鮮偵察總局下屬黑客組織 Lazarus Group 有較大作案嫌疑，當局正在對 Upbit 開展現場檢查工作。該黑客組織曾被指參與 2019 年 Upbit 價值 580 億韓元以太坊的盜竊案。政府相關人士稱："此次攻擊不太可能是針對伺服器的，更有可能的情況是竊取了管理員帳戶，或者偽裝成管理員進行資金轉帳。"他還表示："就目前掌握的情況來看，6 年前黑客就是採用這種方式實施攻擊的，所以推測此次也是同樣的作案方式。"