朝鲜

ChainCatcher 消息，据韩联社报道，美国华盛顿特区联邦法院下令没收一个涉朝鲜海外 IT 劳工洗钱的钱包资产，包括 158,123 USDC 和 54,574 USDT，总值约 21.27 万美元。美国司法部正寻求没收合计 774 万美元的朝鲜相关加密资产。

ChainCatcher 消息，据 Arkham 区块链数据显示，与朝鲜国家支持的黑客组织 Lazarus Group 相关的钱包在过去三周内于去中心化永续合约交易平台 Hyperliquid 上出售了超过 3000 万美元的比特币，并将所得资金用于购买以太坊和 Solana，随后转移至 Kraken、LBank 和 KuCoin 等中心化交易所。Kraken 回应称其维持行业领先的合规计划，持续监控链上活动以识别并阻止受制裁钱包相关资产；LBank 与 KuCoin 则表示相关风险属于行业整体面临的持续挑战，并强调公开链上数据未必能反映平台层面的合规措施。此事发生之际，特朗普政府正探索将 Hyperliquid 纳入受监管的美国金融体系。特朗普在本月早些时候的白宫活动中表示，美国商品期货交易委员会主席 Mike Selig 正在制定一条以完全合规合法方式将 Hyperliquid 引入美国的路径。据彭博社报道，Kraken 母公司 Payward 正与 Hyperliquid Labs 就向美国交易者提供永续合约进行深入谈判。Hyperliquid 是去中心化永续合约领域的主导平台，用户可直接连接加密钱包交易而无需传统经纪账户或 KYC 检查。据 DefiLlama 数据，其累计永续合约交易量已超过 5 万亿美元，当前未平仓合约约 133 亿美元。

ChainCatcher 消息，据 Cryptopolitan 报道，攻击者通过供应链攻击发布了三个广泛使用的 Rust 代码包恶意版本，其中名为 arrayref 的库被约四分之三的 Rust 开发环境使用。恶意更新隐藏了一个后门，可在用户编译项目时自动窃取登录信息，编译过受影响版本的用户可能已暴露电脑和密钥。Wiz 研究人员指出，arrayref 攻击的命令与控制路径与朝鲜黑客组织 Sapphire Sleet 和 UNC1069 使用的 Mastra 行动重叠，IP 地址共享同一安全证书且使用同一托管商 Hostwinds。攻击者仅新增了拼写错误的 proc-macro1 依赖，模仿流行的 proc-macro2，未修改原有代码，使其通过测试和构建。攻击在发布 86 分钟后被删除，但已被大量下载。受影响包在 Solana 和 Ethereum 工具中广泛使用。Rust 团队认为维护者非恶意行为，其设备或凭证可能遭入侵。

ChainCatcher 消息，据 Cointelegraph 报道，网络安全公司 BCA LTD 创始人 Mauro Eldritch 与 Telefónica Tech 网络威胁情报分析师 Heiner García 联合搭建虚假加密初创公司 “Ballena Azul”，成功诱使疑似朝鲜 IT 工人在受控虚拟桌面环境中工作长达五周，并全程监控其行为。调查显示，相关工人使用的外部服务器与此前分发 InvisibleFerret、BeaverTail 及 OtterCookie 等恶意软件的朝鲜网络行动基础设施存在关联；工人还大量依赖 ChatGPT 辅助编程、Google Gemini 伪造身份文件。研究人员指出，朝鲜 IT 工人通过伪造美国身份获取远程工作，所得薪资最终流向平壤政权的大规模杀伤性武器项目，美国财政部数据显示，此类计划 2024 年为朝鲜创收近 8 亿美元。

ChainCatcher 消息，据 Bitcoin.com 报道，网络安全公司 Genians Security Center 发布分析报告称，朝鲜侦察总局下属黑客组织 Kimsuky 正在构建并测试一套以 AI 为核心的网络攻击工具体系。研究人员在其基础设施中发现了 Ollama、GPT4All、Msty 三个本地 AI 平台的部署痕迹，以及 Microsoft Semantic Kernel、LLaMaSharp 等 AI 开发框架组件，表明该组织正在系统性开发专用 AI 攻击工具，而非仅作临时性尝试。自 2026 年初起，Kimsuky 已将生成式 AI 制作的高质量文档用于针对虚拟资产、金融投资及游戏开发领域的鱼叉式网络钓鱼攻击，AI 生成的专业文档大幅降低了传统识别钓鱼邮件的有效性。攻击载体为伪装成合法文档的 ZIP 压缩包，内含恶意 LNK 文件，触发后可在后台静默执行 PowerShell 命令。

ChainCatcher 消息，加密货币交易所 Bybit 已向美国哥伦比亚特区联邦地区法院提起民事诉讼，起诉朝鲜、朝鲜侦察总局及黑客组织 Lazarus Group，案件涉及 2025 年 2 月约 15 亿美元被盗事件。Bybit 表示，法官已批准初步禁令，禁止案件审理期间转移或处置已识别的被盗资产，并认为 Bybit 在实体问题上胜诉可能性较高。 诉讼还将持有或转移相关资金的未知个人及实体列为 John Doe 被告。Bybit 披露，约 4840 万美元已追回，约 3050 万美元已在 28 家以上交易所及托管机构被冻结，两者合计约占被盗金额 5%。攻击者于 2025 年 2 月从 Bybit 冷钱包转出约 50 万枚 ETH，多数资金随后经 Thorchain 兑换为比特币并通过混币服务转移。Bybit 表示，案件与刑事调查并行推进。

ChainCatcher 消息，加密货币交易所 Bybit 已对朝鲜民主主义人民共和国、其情报机构 Reconnaissance General Bureau（RGB）及受国家制裁的黑客组织 Lazarus Group 提起民事诉讼，涉及一宗价值 15 亿美元的黑客攻击事件。 美国联邦法院发布初步禁令，禁止在诉讼期间转移或消散与该案有关的已识别资产。

ChainCatcher 消息，据 Wired 报道，一位在朝鲜黑客组织系统中潜伏近两年的安全研究员发出警告，指出针对个人员工和承包商的攻击手段极其有效且影响范围广泛，已导致全球众多组织遭受入侵。 希腊网络安全研究员 Vangelis Stykas 表示，自 22 个月前获得朝鲜系统的访问权限以来，已发现证据表明，57 个国家的 1,640 家公司都受到了朝鲜黑客行动的影响。其中约有 700 至 800 家受影响的组织遭受了“极具破坏性”的入侵。

ChainCatcher 消息，据 Crypto.news 报道，与朝鲜有关联的黑客组织 BlueNoroff 利用虚假的 Zoom 和 Microsoft Teams 会议来分析加密货币用户，然后再投放恶意软件。黑客先控制受害者信任的加密行业联系人账号，然后通过 Calendly 等发送看似正常的会议链接，指向假冒 Zoom/Teams 域名。用户进入假会议页面后，页面悄悄扫描浏览器中的钱包，根据钱包价值决定是否继续攻击。假会议中会要求“更新 Zoom/Teams”或运行命令，实际下载恶意软件（支持 Windows 和 macOS）。恶意软件会窃取浏览器密钥、系统数据和 Telegram 会话。

ChainCatcher 消息，据韩国媒体 Daily NK 报道，朝鲜当局于 7 月 12 日逮捕了一个精英黑客团伙，该团伙涉嫌入侵朝鲜央行和外贸银行内部网络，窃取国家贸易资金并通过加密货币洗钱。消息人士称，团伙头目为朝鲜侦察总局下属网络战部队的退伍军人，招募了金策工业大学和平壤科技大学的天才 IT 毕业生，利用加密通信和无线设备作案。他们将被盗资金小额拆分后转入海外加密钱包，通过中间人兑换现金，再经边境地区换为美元等资金。平壤官员发现外币支付审批异常和海外 IP 访问记录后展开调查，最终突袭安全屋逮捕了正在洗钱的嫌疑人，缴获数十万美元设备。该案已在平壤精英和军方圈层引发震动，侦察总局和科技教育界高层担心被牵连。朝鲜此前长期被指控通过 Lazarus Group 等黑客组织盗取数十亿美元加密资产，但此次事件罕见显示其本国金融系统也成为内部攻击目标。

ChainCatcher 消息，据 Protos 报道，AI 购物代理开发商 ORO 披露其因疑似朝鲜黑客攻击损失约 63 万美元。攻击者通过入侵的 Telegram 账号向 ORO 员工发送仿冒 Microsoft Teams 链接，诱导安装恶意扩展，持续近一个月窃取数据后于 7 月 13 日盗取 14.7 万枚 Alpha 代币。ORO 高度确信攻击来自朝鲜黑客组织 Sapphire Sleet。ORO 同时承认自身存在安全疏忽——因 Bittensor 协议对硬件钱包支持不足，公司“暂时”将所有者密钥设为软件钱包，违背了硬件钱包优先的内部原则，导致密钥从被入侵电脑中被窃取。ORO 表示正与交易所、执法部门及 Bittensor 生态合作方追索被盗资产，并强调其子网完全正常运行，其他钱包、用户数据及验证者签名密钥未受影响。

ChainCatcher 消息，据 Cointelegraph 报道，Consensys 今年早些时候通过 “信誉良好的第三方服务提供商” 引入了一名软件开发者，后经调查发现其与朝鲜有关联。该开发者以 Tyler Knapp 的化名在 Consensys 系统内拥有约一个月的访问权限。Consensys 总法律顾问 Matt Corva 表示，该开发者并非 Consensys 员工，而是以顾问身份合作，公司发现威胁后立即终止了访问权限并展开全面调查，确认没有资产或数据被盗、没有恶意代码部署、用户安全未受影响。Consensys 表示将重新评估工程和开发工作外包的实践。

ChainCatcher 消息，七国集团领导人在法国埃维昂莱班举行的 G7 峰会上通过声明，再次呼吁联合打击朝鲜的加密货币盗窃和网络犯罪。联合国的安全研究人员将朝鲜的加密货币盗窃与该国武器计划的资金关联。此前，疑似与朝鲜黑客相关的攻击包括 4 月 Drift Protocol 遭到的 2.85 亿美元攻击，以及 6 月 Humanity Protocol 遭到的 3600 万美元破坏。据 Chainalysis 数据显示，朝鲜黑客在 2025 年至少盗取了 20 亿美元加密货币，使其历史盗窃总额达到至少 67.5 亿美元。

ChainCatcher 消息，Humanity 公布 Quantstamp 独立调查报告，其中披露 H 代币安全事件中攻击者使用具有朝鲜黑客特征的工具与手法，通过钓鱼邮件伪装成 Bithumb 交易所进行沟通，诱导项目董事点击恶意附件，从而在其设备上部署远程控制木马，最终获取完整桌面控制权限及钱包私钥，随后又在以太坊与 BNB Chain 上发动链上攻击：在以太坊侧通过盗取密钥升级合约并转移约 1.4118 亿枚 H，在 BSC 侧接管 ProxyAdmin 合约并铸造新增代币，被盗资产随后在 Uniswap 与 PancakeSwap 上持续抛售约 8 小时，对流动性与市场价格造成明显冲击。 目前以太坊侧的 H 代币合约已被冻结，主网桥未受影响，但 BSC 部署已被攻击者控制并仍具铸币权限，团队正在与交易所及安全方协同推进后续处置与恢复方案，同时提醒用户警惕虚假“补偿/领取”链接，并表示将通过官方渠道发布后续进展。 此前，Humanity Protocol 遭遇攻击，一位 Humanity 基金会成员的私钥泄露，导致超 3100 万美元资金被盗。

ChainCatcher 消息，据 Cryptopolitan 报道，网络安全分析师发现了一种名为 RemotePE 的新型无文件远程访问木马 (RAT)。据信与朝鲜有关联的网络犯罪组织 Lazarus Group 正在利用该木马攻击银行和加密货币公司。该木马完全在内存中运行，传统杀毒和取证工具难以检测。攻击者通过 Telegram 冒充交易公司员工，使用伪造的 Calendly 和 Picktime 链接进行社交工程攻击。恶意软件通过 DPAPILoader、RemotePELoader 和 RemotePE 三个阶段链式加载，整个过程不接触文件系统，利用进程挖空、反分析检查和加密 C2 通信规避检测。该恶意软件于 2025 年 9 月首次被发现。2026 年前四个月，Lazarus 组织已窃取约 5.77 亿美元加密资产，占全球加密盗窃总额的 76%。自 2017 年以来，该组织累计窃取金额已达 60 亿美元。

ChainCatcher 消息，据 Cointelegraph 报道，网络安全公司 CrowdStrike 发布的报告显示，2025 年朝鲜黑客和威胁行为者造成的加密资产损失超过 20 亿美元，同比增长 51%，尽管攻击次数有所减少。CrowdStrike 称，朝鲜黑客是针对加密货币用户的最大威胁组织，被盗资金几乎肯定被用于资助该政权的军事计划。 攻击者优先瞄准高价值目标，主要针对 Web3 项目和加密货币交易所，因为被盗资金更容易匿名兑现和转移。今年 4 月，以太坊基金会识别出 100 名朝鲜黑客，Drift Protocol 被朝鲜技术工人渗透并造成 2.8 亿美元损失，这些威胁行为者通过第三方中介进行面对面关系建立。

ChainCatcher 消息，Web3 安全公司 CertiK 发布《Skynet 朝鲜加密威胁报告》。数据显示，自 2016 年至今，朝鲜黑客组织已累计掠夺约 67.5 亿美元数字资产。仅 2025 年，其制造的盗窃案损失便高达 20.6 亿美元，占全球加密行业全年总损失的近 60%（其中包括 15 亿美元的 Bybit 被盗案）。截至 2026 年初，这一威胁趋势仍在延续，其造成的损失占比约为 55%。报告强调，朝鲜黑客的攻击模式已发生根本性转变，正从单纯的代码漏洞利用，升级为结合社会工程学、深层供应链攻击及“物理渗透”的国家级攻击体系。在近期的 Drift 协议事件中，攻击者甚至耗时半年潜伏于线下行业会议，通过真实资金与人际交往建立信任后实施攻击。CertiK 安全专家警告，面对此级别的系统性攻击，单纯的技术防线已显薄弱。加密机构亟需全面落实“零信任”招聘模式，加固第三方供应链，设置资金熔断机制，并联合专业安全机构构建覆盖代码审计、全天候风险监测与链上反洗钱/KYT（了解你的交易）资金追踪的全生命周期防御体系。

ChainCatcher 消息，美国曼哈顿联邦法院法官 Margaret Garnett 批准 Aave 推进 rsETH 攻击事件后的资产恢复计划，允许此前在 Arbitrum 上被冻结的约 7100 万美元 ETH 转移至 Aave 控制的钱包。 法院文件显示，该决定修改了此前针对 Arbitrum DAO 的限制令，允许社区通过链上治理投票完成 ETH 转移，同时豁免参与投票与执行转移者的相关法律责任。此次事件源于 4 月发生的 rsETH 攻击事件，相关攻击被广泛归因于与朝鲜有关联的 Lazarus Group。此前，代表朝鲜恐怖主义受害者家属的律师曾主张冻结相关资产，并尝试将其纳入约 8.77 亿美元未偿判决的赔偿范围。 Arbitrum 社区已在 Snapshot 温度检查投票中，高票支持将被冻结 ETH 返还至 Aave 恢复方案，但实际转移仍需正式链上治理通过。报道指出，该案也是美国相关原告追索朝鲜关联加密资产行动的一部分。除 Arbitrum 外，原告此前还起诉隐私协议 Railgun DAO，并将 Digital Currency Group（DCG）列为被告之一，指控其参与相关治理与经济活动。

ChainCatcher 消息，据 OpenSourceMalware 研究，朝鲜黑客组织 Lazarus 在 “传染性面试” 和 “TaskJacker” 等针对开发者的恶意活动中采用了新手法，将第二阶段加载器隐藏在 Git Hooks 的 pre-commit 脚本中。“传染性面试”是该组织通过伪造加密货币/DeFi 领域招聘流程，诱使开发者克隆恶意代码仓库的系列攻击活动，最终窃取加密资产和凭证。研究员建议，被要求克隆代码仓库作为面试流程一部分的开发者，应警惕此类风险，最好在隔离环境中运行，避免挂载个人浏览器配置、SSH 密钥和加密钱包。

ChainCatcher 消息，据 FinanceFeeds 报道，朝鲜的受害者律师在曼哈顿联邦法院听证会前，试图将 Aave 发生的 rsETH 攻击事件重新定义为 “欺诈” 而非 “盗窃”，以维持对价值 7100 万美元 ETH 的冻结令。 律师辩称，攻击者利用无价值抵押品借入资产且未偿还，属于欺诈性贷款交易，旨在根据《恐怖主义风险保险法》将这些冻结资产用于偿还恐怖主义判决赔偿。 此前，与 Lazarus Group 相关的黑客通过跨链桥漏洞铸造无担保 rsETH 并在 Aave 借出约 2.3 亿美元资产，其中 7100 万美元被 Arbitrum 开发人员拦截。受害者律师同时质疑 Aave 的抗辩资格，指出其服务条款声明不对用户资产拥有控制权。此外，DeFi United 已筹集 3.27 亿美元资金，超过此次争议金额。