朝鲜黑客

ChainCatcher 消息，据网络安全公司 Expel 研究报告披露，其正追踪一个被高度评估为朝鲜（DPRK）国家支持的 APT 组织“HexagonalRodent”，该组织以 Web3 开发者为主要目标，专门窃取加密货币与 NFT 等高价值数字资产。该组织主要通过伪造招聘信息实施攻击——在 LinkedIn 及 Web3 招聘平台发布高薪职位，诱导求职者完成内嵌恶意代码的“技能测试”，利用 VSCode 的 tasks.json 功能在受害者打开项目文件夹时自动执行恶意程序。所使用的恶意软件包括 BeaverTail、OtterCookie 和 InvisibleFerret，具备密码窃取、远程控制及反向 Shell 等功能。值得关注的是，该组织大量借助 ChatGPT、Cursor 等生成式 AI 工具开发恶意软件、构建虚假公司网站及 AI 生成的高管团队，甚至在墨西哥注册了空壳企业以提升攻击可信度。此外，该组织近期首次实施供应链攻击，成功入侵 VSCode 扩展。

ChainCatcher 消息，加密钱包 Zerion 披露，朝鲜黑客使用 AI 进行长期社交工程攻击，从公司热钱包中盗取约 10 万美元。Zerion 确认用户资金、应用及基础设施未受影响，已主动禁用网页应用作为预防措施。Zerion 还表示，攻击者获取了部分团队成员已登录的会话和凭证以及公司热钱包私钥，并指出 AI 正在改变网络威胁的运作方式。

ChainCatcher 消息，据 CoinDesk 报道，区块链分析公司 Elliptic 表示，Drift Protocol 遭攻击事件损失 2.85 亿美元，“多个迹象”指向朝鲜支持的 DPRK 黑客组织。Elliptic 重点分析了链上行为、洗钱手法及网络层面信号，均与此前的国家关联攻击相吻合。Elliptic 报告指出：“若得到确认，这将是 Elliptic 今年追踪的第 18 起 DPRK 攻击行动，迄今共盗取逾 3 亿美元。”技术层面，Elliptic 分析将此次攻击描述为“有预谋、精心布局”，在主要攻击前已有早期测试交易和预先布置的钱包。攻击执行后，资金被迅速整合并通过跨链转移，转换为流动性更高的资产，形成了一套有组织、可重复的洗钱流程，旨在混淆资金来源同时保持控制权。此次事件涉及超过十种资产类型，资金从 Solana 跨链转移至以太坊及其他链，进一步凸显了跨链溯源能力的重要性。Drift Protocol 是 Solana 区块链上最大的去中心化永续合约交易平台，其代币自遭黑客攻击以来已下跌逾 40% 至约 0.06 美元。

ChainCatcher 消息，Ledger 首席技术官 Charles Guillemet 发文表示，Drift Protocol 此次漏洞利用所采用的攻击手法与 2025 年 Bybit 黑客事件如出一辙，后者被广泛认为与朝鲜相关联的黑客有关。 Guillemet 指出，此次攻击并未针对任何智能合约，而是攻击者通过长期渗透多签签名者的设备，诱骗其批准恶意交易，签名者可能始终以为自己在授权合法操作。他强调，问题根源在于人员与运营层面的安全缺失，而非代码本身。

ChainCatcher 消息，比特币支付服务商 Bitrefill 在 X 平台发文披露于 2026 年 3 月 1 日遭受网络攻击导致客户数据泄露，攻击源自一名员工被入侵的笔记本电脑，并导致部分数据库和加密货币钱包被攻击者访问。调查显示，此次攻击手法与朝鲜 DPRK Lazarus/Bluenoroff 黑客组织过去针对加密企业的攻击高度相似，约 18,500 条购买记录涉及有限客户信息（邮箱、加密支付地址及 IP 元数据），其中约 1,000 条记录的客户姓名信息被加密存储，但可能被访问。Bitrefill 表示，客户无需采取特别操作，但建议警惕异常信息。Bitrefill 补充表示，目前已关闭相关系统进行隔离，并与安全专家、链上分析师及执法部门合作，现几乎已恢复正常运营。公司强调，业务长期盈利且资金充足，可吸收此次损失，并将持续强化网络安全措施，包括内部访问控制、监控与应急响应机制。

ChainCatcher 消息，安全研究机构 Ctrl-Alt-Intel 披露，一组疑似与朝鲜有关的黑客针对质押平台、交易所软件供应商及加密交易所发起攻击。 攻击者利用 React2Shell 漏洞（CVE-2025-55182）及已获取的 AWS 访问凭证入侵云环境，枚举 S3、EC2、RDS、EKS、ECR 等资源，并从 Secrets Manager、Terraform 文件、Kubernetes 配置及 Docker 容器中提取密钥和凭证。研究人员称，攻击者下载 5 个 Docker 镜像并窃取源代码，其中包括 ChainUp 客户相关软件组件。 攻击基础设施涉及韩国服务器 64.176.226[.]36 及域名 itemnania[.]com。报告称该活动与朝鲜相关攻击特征一致，但归因置信度为中等，AWS 凭证来源未明确。

ChainCatcher 消息，GoPlus 中文社区在 X 平台发布预警称，朝鲜黑客向 npm 注册表发布了一组 26 个恶意软件包，这些恶意软件包都附带一个安装脚本 (“install.js”)，该脚本会在软件包安装过程中自动执行，进而运行位于 “vendor/scrypt-js/version.js” 中的恶意代码。 恶意代码会通过同一恶意 URL 下载并执行远程访问木马（RAT），实施键盘记录、剪贴板窃取、浏览器凭据收集、TruffleHog 秘密扫描 Git 仓库和 SSH 密钥窃取等恶意行为。此次事件与一个名为 “Famous Chollima” 的朝鲜黑客活动相关。

ChainCatcher 消息，链上侦探 ZachXBT 针对 @sexinfochina 用户发文称，“该用户故意隐瞒了自己是运营中国暗网市场 ‘FreeCity’ 的网络罪犯这一事实，其在 Telegram 上公开宣传某些非法服务，还明知故犯地为朝鲜黑客进行了 5 次洗钱交易。该用户两年前让我调查一个 CEX 账户被冻结的原因，结果发现链上追溯到一起价值过亿的朝鲜黑客盗窃案。” 此外，ZachXBT 回应道：“虽然该暗网平台的用户多是中国人，但很多非法交易发生在东南亚等其他地方。”

ChainCatcher 消息，据 Cointelegraph 报道，隶属于 Google Cloud 的美国网络安全公司 Mandiant 发现朝鲜关联威胁组织正在加大针对加密货币和金融科技公司的社会工程攻击。 该威胁组织（代号 UNC1069）部署了七个恶意软件集合，包括新发现的 SILENCELIFT、DEEPBREATH 和 CHROMEPUSH，旨在获取敏感数据并窃取数字资产。攻击者利用被入侵的 Telegram 账户和通过人工智能生成的深度伪造视频进行虚假 Zoom 会议诱骗。 自 2018 年以来，Mandiant 一直追踪该组织，但人工智能的进步帮助该组织自 2025 年 11 月起扩大了恶意活动规模。在一起入侵事件中，攻击者使用被盗的加密货币创始人 Telegram 账户发起联系，通过所谓的 ClickFix 攻击诱导受害者执行含有隐藏命令的“故障排除”指令。

ChainCatcher 消息，据 Decrypt 报道，谷歌旗下安全团队 Mandiant 近日发布报告警告称，与朝鲜相关的黑客组织正利用 AI 生成的深度伪造视频和虚假 Zoom 会议，对加密货币及金融科技公司发起更具针对性的网络攻击。 报告指出，被称为 UNC1069（或 CryptoCore）的黑客组织近期入侵一家金融科技公司时，通过被劫持的 Telegram 账户发起虚假 Zoom 会议，并在会议中使用伪造的知名加密货币高管深度伪造视频骗取信任。 攻击者以“音频故障”为借口，诱使受害者运行恶意命令，最终在其系统中部署了 7 个不同的恶意软件家族，旨在窃取凭证、浏览器数据及会话令牌。该组织主要针对加密货币行业的企业与个人，包括软件公司、风投机构及其员工。

ChainCatcher 消息，与朝鲜有关联的黑客组织正持续升级其针对加密行业从业者的攻击手法，通过 AI 生成的深度伪造视频通话，冒充受害者熟悉或信任的人士，诱导其安装恶意软件。BTC Prague 联合创始人 Martin Kuchař 披露，攻击者利用被入侵的 Telegram 账号发起视频通话，并以“修复 Zoom 音频问题”为由，诱使受害者安装伪装成插件的恶意程序，从而获取设备的完全控制权。安全研究机构 Huntress 指出，该攻击模式与其此前披露的针对加密开发者的行动高度一致，恶意脚本可在 macOS 设备上执行多阶段感染，包括植入后门、记录键盘输入、窃取剪贴板内容及加密钱包资产。研究人员已将该系列攻击高度确信归因于朝鲜国家支持的黑客组织 Lazarus Group（又称 BlueNoroff）。区块链安全公司 SlowMist 的信息安全负责人表示，此类攻击在不同行动中存在明显复用特征，目标集中于特定钱包和加密从业人员。分析认为，随着深度伪造与语音克隆技术普及，图像和视频已难以作为身份真实性的可靠依据，加密行业需提高警惕，加强多重验证与安全防护措施。

ChainCatcher 消息，据市场消息，安全公司 Recorded Future 最新研究显示，朝鲜关联黑客组织 PurpleBravo 通过虚假招聘面试，针对人工智能、加密货币及金融服务公司的 3100 多个 IP 地址发起网络间谍活动。该组织伪装成招聘人员或开发者，以技术面试为由诱使目标执行恶意代码。攻击者自称来自加密或科技公司，要求求职者审查代码、克隆存储库或完成编程任务。安全研究人员已识别出来自南亚、北美等地区的 20 家受害机构。该组织使用多个别名，并利用虚假的乌克兰敖德萨身份进行伪装。攻击中使用了 PylangGhost 和 GolangGhost 等远程访问木马，可自动窃取浏览器凭证与 Cookies。黑客还通过恶意 GitHub 仓库、Astrill VPN 以及 17 个服务提供商托管其恶意软件服务器。此外，调查发现相关 Telegram 频道在售卖 LinkedIn 和 Upwork 账号，攻击者亦曾与加密货币交易平台 MEXC Exchange 互动。

ChainCatcher 消息，Chainalysis 周四发布的一份报告显示，朝鲜的加密货币黑客行动在 2025 年窃取了 20.2 亿美元，再次打破纪录。此前，朝鲜通过黑客攻击和盗窃（如比特币和以太坊）窃取的加密货币金额最高纪录是 13 亿美元。这使得朝鲜累计窃取的加密货币总额达到约 67.5 亿美元。全球被盗加密货币总额上升至 34 亿美元。其中很大一部分源于今年对迪拜加密货币交易所 Bybit 的攻击。Bybit 首席执行官表示，据美国特勤局称，这些为朝鲜精英政府黑客小组工作的黑客在 2 月窃取了约 15 亿美元，其中大部分是以太坊。联合国和私人研究人员长期以来一直指控，受到国际制裁且只与少数国家保持关系的朝鲜，部署黑客窃取加密货币，为其核武器和导弹计划提供资金。Chainalysis 是越来越多绘制加密货币交易网络图谱的公司之一，包括追踪被犯罪分子洗钱的被盗资金。Chainalysis 报告指出，尽管这些平台拥有机构资源和专业的安全团队，但由于这一根本的安全挑战，它们仍然容易受到攻击。战略与国际研究中心战略技术项目主任 Matt Pearl 表示，由于朝鲜在很大程度上与世界隔绝，并且是一个“流氓国家”，因此很难阻止其行动。报告称，部分盗窃最可能是由于朝鲜黑客越来越多地通过欺诈手段在国际公司获得远程技术职位。这种访问权限可以使他们有机会为黑客同事提供窃取加密货币密钥、并将加密货币转移到平壤的立足点。Pearl 表示，鉴于朝鲜已经面临极限制裁，几乎没有其他办法可以阻止其继续通过攻击数字资产来资助军事行动。

ChainCatcher 消息，据 Decrypt 报道，参议员 Elizabeth Warren 本周在一封信中公开谈论了对去中心化交易所 (DEX) 可能存在的国家安全风险发出警告，并特别指出 PancakeSwap 与特朗普关联的稳定币 USD1 的交易以及朝鲜黑客窃取的资金有关。  Warren 指出，链上加密货币用户可以使用 DEX 而无需严格的反洗钱程序控制，例如 KYC 披露，这使他们能够“利用去中心化平台转移、混合和兑现非法资金”。  此前，Warren 还批评了加密货币游说行业，同时对以稳定币为重点的 GENIUS 法案发出警告：当时正在审议的加密货币监管“极大地助长了特朗普总统的腐败”，并要求对1 月份推出的 TRUMP meme 币进行调查。

ChainCatcher 消息，网络安全非营利组织 Security Alliance 警告称，他们目前每天都会发现多起由朝鲜黑客发起的诈骗企图，这些攻击通过伪造的 Zoom 会议诱骗受害者上钩。 该诈骗手法是在一场“假 Zoom 通话”中诱导受害者下载恶意软件，从而窃取包括密码和私钥在内的敏感信息。安全研究员 Taylor Monahan 警告称，这一战术已从用户手中掠走超过 3 亿美元的资产。 诈骗通常始于一个 Telegram 账号发来的消息，而该账号往往属于受害者“认识的人”。由于熟人身份，受害者会放松警惕。随后，对话会自然过渡到“通过 Zoom 叙叙旧”的邀请。一旦通话开始，黑客就会假装遇到音频问题，并发送一个所谓的“补丁文件”。当受害者打开该文件时，设备即被植入恶意软件。随后，黑客会以“改天再约”为由结束这场假通话。