窃取

ChainCatcher 消息，据韩国媒体 Daily NK 报道，朝鲜当局于 7 月 12 日逮捕了一个精英黑客团伙，该团伙涉嫌入侵朝鲜央行和外贸银行内部网络，窃取国家贸易资金并通过加密货币洗钱。消息人士称，团伙头目为朝鲜侦察总局下属网络战部队的退伍军人，招募了金策工业大学和平壤科技大学的天才 IT 毕业生，利用加密通信和无线设备作案。他们将被盗资金小额拆分后转入海外加密钱包，通过中间人兑换现金，再经边境地区换为美元等资金。平壤官员发现外币支付审批异常和海外 IP 访问记录后展开调查，最终突袭安全屋逮捕了正在洗钱的嫌疑人，缴获数十万美元设备。该案已在平壤精英和军方圈层引发震动，侦察总局和科技教育界高层担心被牵连。朝鲜此前长期被指控通过 Lazarus Group 等黑客组织盗取数十亿美元加密资产，但此次事件罕见显示其本国金融系统也成为内部攻击目标。

ChainCatcher 消息，在 BitMEX 宣布关停当天，BKX Services Inc. 及 David Namdar 向纽约南区联邦法院提起集体诉讼，指控该平台利用内幕交易权限及服务器冻结手段，操纵用户强制平仓并窃取比特币抵押品。原告声称合计损失约 623 枚BTC，其中 BKX 损失至少 305.81 枚BTC，Namdar 损失超 316.85 枚BTC，诉讼要求返还比特币并索赔。 诉状称 BitMEX 允许客户使用最高 100 倍杠杆，而在抵押物价值仍约为损失两倍时即强制平仓，剩余比特币被纳入平台保险基金，使 BitMEX 从中获利。本次诉讼可追溯至 2018 年 7 月 23 日 起的相关交易，此前 2020 年类似案件于 2025 年 6 月 30 日 自愿撤回。

ChainCatcher 消息，财政部长 Scott Bessent 在 X 平台发文表示，支持开源 AI 及其带来的创新，但开源并非肆意侵犯美国知识产权的借口。如果中国公司进行秘密的、工业规模的提炼攻击，并越过界限构成知识产权盗窃，将考虑对其进行制裁，并将其列入实体清单。

ChainCatcher 消息，据 Bits.media 报道，卡巴斯基安全研究人员发现新的恶意软件 OkoBot，通过约 20 个模块窃取加密钱包助记词和凭证。攻击者利用 ClickFix 社会工程学技术诱骗用户运行恶意命令，并通过伪装成 SQL Server Management Studio 等合法工具的 GitHub 仓库传播。 OkoBot 的模块包括：SeedHunter 注入 Trezor 和 Ledger 等硬件钱包，在恢复助记词时显示虚假界面；MC Keylogger 记录键盘和剪贴板活动；OkoSpyware 追踪钱包密码并录制窗口视频。 一旦攻击者获得助记词，即可完全控制受害者的加密资产，资金几乎无法追回。卡巴斯基表示，OkoBot 已存在超过一年，多数受害者分布于巴西、越南、加拿大、墨西哥和土耳其。攻击者还对俄罗斯和独联体国家的 IP 地址实施了地理封锁。

ChainCatcher 消息，美国联邦检方起诉一名 21 岁佛罗里达州男子 Zyaire Wilkins，指控其于 2024 年 5 月至 2026 年 2 月期间，与同伙将窃取加密资产的恶意软件植入至少 8 款游戏，通过游戏平台传播，导致约 8000 台设备感染、约 80 个加密钱包被盗，涉案金额超过 22 万美元。 起诉文件显示，涉案游戏包括 BlockBlasters、Chemia、Dashverse、DashFPS、Lampy、Lunara、PirateFi 和 Tokenova。其中部分游戏此前已因存在安全风险被 Steam 下架。调查人员称，嫌疑人通过 Discord、Telegram、X 和 LinkedIn 等平台推广这些游戏，诱导用户下载安装，恶意软件随后窃取受害者敏感信息，并盗取加密钱包资产。 FBI 表示，执法部门通过链上资金流向分析及数字支付记录锁定嫌疑人身份。调查发现，其关联加密钱包曾在加密礼品卡平台 Bitrefill 购买逾 150 张礼品卡，包括 Uber Eats 礼品卡，最终帮助调查人员确认其电话号码及住址。目前，该案件已在美国华盛顿西区联邦地区法院提起诉讼。

ChainCatcher 消息，据 FinanceFeeds 报道，安全研究人员发现一种针对 macOS 设备的信息窃取恶意软件正在攻击加密用户。该软件可通过劫持 Telegram Desktop 会话、窃取密码及钱包数据库等方式，进一步控制用户账户并盗取数字资产。目前受影响的钱包和应用包括 Exodus、Atomic、Electrum、Wasabi、Monero 等软件钱包。该恶意软件能够从 macOS Keychain、Safari Cookie、Apple Notes、Telegram Desktop 以及多个加密钱包相关数据库中提取敏感信息，包括登录凭证、已认证会话文件、钱包数据和浏览器扩展信息。安全分析指出，该攻击链的危险之处在于其并非依赖单一钱包漏洞，而是通过收集设备上的多类数据，将设备入侵、账户接管、钱包破解和助记词窃取串联起来。其中，Telegram Desktop 会话成为重点目标。攻击者可复制已认证的 Telegram 本地会话数据，并在另一台 Mac 设备上恢复登录，无需输入手机号、验证码或 Telegram 双重验证密码。这意味着 Telegram 2FA 在该攻击场景下无法提供完整保护，因为攻击者并非进行新登录，而是在利用已经信任的本地会话。对于加密用户而言，风险进一步扩大。由于 Telegram 广泛用于交易所客服、项目社区、OTC 交易以及钱包沟通，一旦攻击者获得用户会话权限，可能冒充受害者身份、读取私密聊天、定位资产信息，甚至向联系人传播恶意链接。

ChainCatcher 消息，据链上数据显示，链上侦探 ZachXBT 此前披露的某 Solana 早期投资者（OG）持有的 18.1 万枚 SOL 遭窃，按当前价格计算价值约 1420 万美元。 攻击者随后抛售全部 18.1 万枚 SOL，并将资金跨链转移至以太坊网络，最终兑换为 7,918 枚 ETH。 目前，攻击者已完成从 Solana 到 Ethereum 的资产转移和兑换操作。事件具体原因及资金被盗方式暂未公布。

ChainCatcher 消息，慢雾 SlowMist 发布安全警报，监测到一场协同恶意 npm 供应链攻击，攻击者利用虚假交易机器人仓库和 DeFi 主题 npm 包投放 JavaScript 信息窃取器，目标直指 npm 用户、DeFi 开发者及交易机器人用户。 此次攻击涉及 30 个恶意 npm 包，其中 stake-math@3.5.4 作为锁定依赖项出现在 donoaccestag/forex-mt5-trading-bot 仓库中，该仓库呈现约 2300 个高度同质化的批量生成分叉，大部分集中在 poly-stocks 账户下，信号异常明确。攻击者可窃取的敏感数据范围极广，包括加密钱包库、浏览器 Cookie 与已保存密码、浏览历史、开发者凭据、Shell 历史记录、密码管理器库、私钥、助记词及源代码中暴露的 API 令牌。 慢雾建议开发者立即移除受影响的 npm 包，审计 package.json 与 package-lock.json 及 CI 日志中是否包含 30 个恶意包中的任何一个；将曾执行 npm install 的系统视为可能已被入侵，轮换所有暴露的钱包、私钥、npm 令牌、云凭据、SSH 密钥及 API 令牌，并从干净镜像重建受影响环境。

ChainCatcher 消息，Microsoft Security Blog 发文称，微软安全研究团队发现一种名为 Crypto Clipper 的新型加密货币窃取木马。该恶意软件自 2026 年 2 月起活跃，主要通过 USB 设备传播恶意 .lnk 快捷方式感染 Windows 用户。Crypto Clipper 内置 Tor 客户端，通过本地 SOCKS5 代理连接 .onion 隐藏服务，实现隐蔽 C2 通信。其主要功能包括高频监控剪贴板、窃取助记词和私钥、替换加密货币转账地址、截取屏幕截图并上传，以及接收远程代码执行指令。微软表示，该恶意软件具备蠕虫传播能力，会自动隐藏 U 盘内原始文档并生成同名恶意快捷方式，同时创建计划任务实现持久化控制。研究人员将其检测为 Trojan:Win32/CryptoBandits.A，并建议用户禁用可移动设备自动运行、限制脚本解释器执行权限，并重点监控 localhost:9050 Tor 代理流量及异常剪贴板访问行为。

ChainCatcher 消息，据慢雾披露，发现 Shai-Hulud Hades 新变种正在攻击 PyPI。恶意包会投放 .pth 文件，在 Python 启动时自动执行，并检测本地是否安装 Bun；若未安装，则从 GitHub Releases 下载官方 Bun 二进制文件，再执行多层混淆 JavaScript 载荷，用于窃取 GitHub、npm、AWS 及云服务凭证。 慢雾称，该变种与此前 Shai-Hulud 攻击使用相同 RSA 公钥和基础设施，并具备加密外传、持久化、CI/CD 注入及 GitHub Actions 注入等能力。

ChainCatcher 消息，据 Bits.media 报道，NovaBox 平台的奖励池于 6 月 9 日在以太坊上遭到黑客攻击，损失约 56.73 枚 ETH，超过 130 名存款用户受影响。攻击者仅通过一笔交易就将池中资金从 65.11 ETH 耗尽至 0.09 ETH，占比约 99.86%。安全公司 F12 表示，此次事件并非源于智能合约漏洞，而是奖励分配机制中的缺陷。攻击者通过 Aave V3 闪电贷借入 427.5 WETH，利用 NovaBox 在用户存取款时先发放股息后更新余额的机制漏洞。黑客先存入少量 NOVA 代币触发股息计算，再存入大量 ETH 使实际份额大幅增加，但由于系统未及时更新余额，仍按之前的小额份额计算股息，却按新的大额份额进行支付，产生了约 145.82 ETH 的“幻影股息”，从而耗尽奖励池。

ChainCatcher 消息，链上调查员 Specter 发布安全警告，Solana DeFi 协议 Raydium 的某个旧流动性池疑似遭到攻击，攻击者窃取约 134 万美元资产，主要包括 USDC、RAY 和 wSOL。黑客已将窃取的资金通过桥接转移至以太坊，随后存入 Tornado Cash 进行混币。

ChainCatcher 消息，据 Cryptopolitan 报道，一种名为 Reaper 的新型 macOS 恶意软件正通过微信和 Miro 等应用的虚假下载页面传播，目标为窃取加密货币钱包数据、浏览器密码和敏感文档。该恶意软件利用 AppleScript URL 触发系统自带的脚本编辑器，通过 ASCII 艺术和空格隐藏恶意代码。用户点击运行按钮后，伪造的 Apple 安全更新弹窗会诱导受害者输入电脑密码。 Reaper 针对 Ledger Live、Trezor Suite 和 Exodus 等桌面加密应用，修改钱包内部代码以拦截未来交易并重定向资金。同时从 Chrome、Firefox 和 Edge 中窃取保存的凭证，从桌面和文档文件夹中提取 .docx、.pdf、.wallet 等文件。Reaper 还会安装伪装成 Google 软件更新目录的后门以实现持久化攻击。安全专家建议用户核实下载链接，勿在意外弹窗中输入密码，若网站要求打开脚本编辑器应立即关闭页面。

ChainCatcher 消息，安全公司 Socket Security 披露，一场名为 TrapDoor 的加密货币窃取活动正在 npm、PyPI 和 Crates.io 等软件包仓库中发起主动供应链攻击。目前已发现 34 个恶意软件包和 384 个版本及构件，攻击者持续在各生态系统中推送新版本。 TrapDoor 主要针对加密货币、DeFi、AI 和安全领域的开发者，窃取钱包、SSH 密钥、云凭证、GitHub 令牌、浏览器数据、环境变量和 API 密钥。Socket 检测到恶意版本的中位检测时间为 5 分 27 秒，最快检测发生在发布后 58 秒。

ChainCatcher 消息，福州市仓山区人民检察院披露，一名男子因窃取他人 4 枚 Bitcoin 并非法获利约 90 万元，被法院以盗窃罪判处有期徒刑 12 年 7 个月，并处罚金 30 万元，二审维持原判。 案情显示，2020 年底，汪某委托林某协助将其持有的 Bitcoin 变现。林某在接触汪某 Bitcoin 钱包硬盘及电脑过程中，窃取了钱包“秘钥”及相关数据，并将 4 枚 Bitcoin 转入自己名下，随后陆续出售获利。2024 年，汪某发现资产异常后报警，林某随后被警方抓获。 检察机关表示，尽管现行规定明确虚拟货币不具有法定货币地位，但 Bitcoin 具备价值性、可管理性及可转移性，符合刑法中“财产”的一般特征，属于财产犯罪的对象，相关侵权行为同样将被追究刑事责任。

ChainCatcher 消息，开源数据可视化工具 Grafana 在 X 平台发文表示，近期发现一名未经授权的攻击者获取了可访问 Grafana Labs GitHub 环境的 Token，并借此下载代码库。 经调查确认，此次事件未涉及客户数据或个人信息泄露，也没有发现客户系统或业务运营受到影响，事件发生后已立即启动取证分析，并认为已定位凭证泄露源头，同时已部署额外安全措施以加强环境防护。 此外，Grafana 披露攻击者曾试图通过勒索方式要求支付赎金以阻止代码库被公开，但公司最终决定拒绝支付赎金，待调查结束后将公布更多事件复盘信息。

ChainCatcher 消息，慢雾首席信息安全官 23pds 在 X 平台披露，node-ipc 再次遭受入侵。发布的 node-ipc 三个恶意版本（9.1.6、9.2.3、12.1）携带相同的凭证窃取负载，该包每周下载量超过 1,000 万。

ChainCatcher 消息，据区块链安全机构 SlowMist (@SlowMist_Team) 旗下威胁监控系统 MistEye 监测，一款名为 “Mini Shai-Hulud” 的高度复杂 npm 蠕虫正通过 TanStack、UiPath、DraftLab 等知名开发者项目传播。攻击者劫持 GitHub 凭证，发布伪装成合法更新的恶意软件包，并在其中植入隐藏脚本 router_init.js，在 GitHub Actions 等 CI/CD 环境中静默运行，专门窃取 CI/CD 密钥、云基础设施密钥及加密货币钱包信息，并借助 GitHub 自身基础设施进行数据外传。 SlowMist 已向客户同步相关威胁情报 (IOC)，建议使用受影响软件包的项目立即排查 CI/CD 管道中是否存在 router_init.js 文件，轮换所有已暴露的 GitHub、云服务及加密货币凭证，并持续监控开发环境中的异常后台活动。

ChainCatcher 消息，据市场消息，微软安全研究团队发现，攻击者自 2025 年底起通过发布虚假的 macOS 故障排除指南，诱导用户运行恶意终端命令，从而窃取加密钱包、iCloud 数据和浏览器保存的密码。 这些虚假指南发布在 Medium、Craft 和 Squarespace 等平台上，针对用户常见问题如释放磁盘空间或修复系统错误，诱导用户复制并粘贴恶意命令至终端，该命令会自动下载并运行恶意软件。这种名为 ClickFix 的社会工程技术绕过 macOS 的 Gatekeeper 安全机制，因为受害者是主动执行命令。 涉及的恶意软件家族包括 AMOS、Macsync 和 SHub Stealer，可窃取 Exodus、Ledger 和 Trezor 的加密钱包密钥，以及 Chrome 和 Firefox 中保存的用户名和密码。部分情况下攻击者还会删除合法钱包应用并替换为木马版本。苹果已在 macOS 26.4 版本中增加了阻止粘贴潜在恶意命令的保护功能。

ChainCatcher 消息，据网络安全公司 Expel 研究报告披露，其正追踪一个被高度评估为朝鲜（DPRK）国家支持的 APT 组织“HexagonalRodent”，该组织以 Web3 开发者为主要目标，专门窃取加密货币与 NFT 等高价值数字资产。该组织主要通过伪造招聘信息实施攻击——在 LinkedIn 及 Web3 招聘平台发布高薪职位，诱导求职者完成内嵌恶意代码的“技能测试”，利用 VSCode 的 tasks.json 功能在受害者打开项目文件夹时自动执行恶意程序。所使用的恶意软件包括 BeaverTail、OtterCookie 和 InvisibleFerret，具备密码窃取、远程控制及反向 Shell 等功能。值得关注的是，该组织大量借助 ChatGPT、Cursor 等生成式 AI 工具开发恶意软件、构建虚假公司网站及 AI 生成的高管团队，甚至在墨西哥注册了空壳企业以提升攻击可信度。此外，该组织近期首次实施供应链攻击，成功入侵 VSCode 扩展。