美国联邦检方指控两名洛杉矶居民尼古拉斯·阿吉拉尔（Nicholas Aguilar，44岁）与杰西卡·马科利纳（Jessica Marcolina，37岁）自约2020年9月至2026年6月，以暗网卖家名“HotGirlzClub”在多个暗网市场运营毒品贩运业务，向美国全境包括南佛罗里达州在内的客户销售芬太尼、甲基苯丙胺等受控物质，并通过加密货币交易洗钱以掩盖资金来源与所有权。两人被控共谋分销受控物质及共谋洗钱。 暗网卖家通过邮政寄货，警方卧底购毒识别身份 据法院文件与美国司法部、国税局刑事调查司及缉毒局相关通报，两人在多个暗网市场以“HotGirlzClub”名义开设卖家账户，合谋向美国各地客户分销受控物质，包括迈阿密-戴德县与布劳沃德县。检方称，自2020年起直至被捕，他们持续通过美国邮政寄送装有受控物质的包裹。 调查期间，迈阿密的卧底探员从该卖家处购入标称为海洛因的毒品，但实验室检测发现其中含有超过14克芬太尼。这些毒品连同5.8克冰毒（甲基苯丙胺），被装在透明的热封塑料袋中运输，“藏匿于各种家用物品之中寄出”。 调查人员表示，仅在2025年的七个月内，执法部门就识别出超过500个据信含毒品、与该行动相关的寄出包裹。调查人员通过邮局监控录像、假身份证件、加密货币交易与提现账户等线索，锁定寄件地址并最终确认嫌疑人身份。 加州住所搜查到包装设备、假证与“幽灵枪”制造系统 调查最终指向马科利纳与阿吉拉尔在洛杉矶的住所。搜查马科利纳住所时，两人均在场。当局查获分销量的疑似受控物质、毒品包装材料（包括热封袋与黑色铝箔袋）、印制警告标签、美国邮政服务（USPS）包装材料、标签打印机、热封机、真空封口机、带有疑似毒品残留的食品加工机，以及电子设备等。 在阿吉拉尔住所，当局查获毒品、与暗网相关的文件，以及约10张假身份证件。刑事投诉称，后院棚屋内还发现一套枪支制造系统，用于制作“幽灵枪”（无序列号枪支）、消音器以及枪机上机匣与下机匣等部件。阿吉拉尔还被指持有两支上膛手枪与一支步枪。 部分报道提到，执法部门还查获了与卧底购买的药品包装内附带的警告插页相同的物品，查获的警告标签内容包括提醒买家“在确认自身对该产品的耐受性之前请注意安全”等表述；检方认为这显示被告知悉产品危险性。假身份证件上还出现身份盗窃受害者姓名。 指控与可能刑罚 美国国税局刑事调查局网络犯罪部门和美国缉毒局迈阿密反毒品网络调查工作组（一个由美国缉毒局、美国国税局刑事调查局、联邦调查局、美国邮政监察局和劳德代尔堡警察局组成的多机构工作组）正在调查此案。 阿吉拉尔与马科利纳被控共谋分销受控物质以及共谋洗钱。若罪名成立，毒品共谋指控最高可面临终身监禁，洗钱共谋指控最高可处20年监禁。 案件由佛罗里达南区联邦大陪审团起诉，调查涉及国土安全调查等部门针对跨国犯罪网络的行动。上述均为检方指控，两人在法院作出有罪认定前享有无罪推定。

2026年10月27日，美国司法部弗吉尼亚东区检察官办公室与联邦调查局（FBI）华盛顿外勤办公室宣布，经法院授权查封网站域名virtualine.net。该域名属于Virtualine——一家面向犯罪客户公开推广服务的俄语“防弹主机”（bulletproof hosting）提供商，亦以Secury、Massgod、Spamhouse、Lanedo、Omegatech等名称出现。美方称，该服务被用于实施并便利大量犯罪活动，包括未成年人性剥削图像的广告与传播、未经同意公开成年人及未成年人私密影像，以及旨在掩盖并推动犯罪的国际洗钱。 调查由FBI华盛顿外勤办公室主导，德国黑森州警察（Polizei Hessen）、荷兰中荷兰警察（Politie Midden-Nederland）、英国国家犯罪局（NCA）以及私营部门合作伙伴OverRIPE与Lumen提供重要协助。司法部国际事务办公室亦提供支持。弗吉尼亚东区第一助理检察官Theophani K. Stamos与FBI华盛顿外勤办公室助理主任Darren B. Cox对外公布了这一结果。 什么是“防弹主机” 防弹主机是一类有意无视滥用投诉、DMCA下架通知及执法请求的网络与服务器托管服务。通过提供难以被关停的离岸基础设施，这类服务商为勒索软件命令与控制服务器、钓鱼工具包、恶意软件分发、盗卡商店、信息窃取木马日志及非法市场等提供持久运行环境。 美国网络安全机构在2025年11月19日发布的联合指南《Bulletproof Defense: Mitigating Risks from Bulletproof Hosting Providers》中指出，此类服务可用于快速切换混淆、命令与控制、恶意软件投递、钓鱼及托管非法内容，进而支持勒索软件、数据勒索与拒绝服务攻击等。 Virtualine的公开营销与“额外保护计划” Virtualine于2024年8月28日加入暗网论坛Exploit.in，并自称自2019年起运营。它在Exploit.in、HackForums等暗网论坛向犯罪分子公开推广服务，宣称提供“离岸网络托管、防弹云服务器、防弹域名与专用机器”，价格起价约每月0.79美元。客户可通过两个Telegram账号联系。 2024年9月，Virtualine在Exploit.in上对用户表示：“你可以用Virtualine做所有非法/黑帽活动（包括钓鱼、盗卡、邮件垃圾、端口扫描等），儿童色情内容和恐怖主义活动除外。”2025年6月，它在HackForums上宣称：“Virtualine忽略的滥用投诉比你过去三个治疗师还多。” 2026年3月，Virtualine开始推销“额外保护计划”：一旦收到执法部门正式请求，会将客户的犯罪基础设施迁移到与Virtualine无关的空壳公司，再重新激活服务器。 尽管声称禁止儿童色情内容，仍被控托管相关论坛 美方称，尽管Virtualine对外宣称不允许服务器上出现“儿童内容”，却明知故犯地托管了一个犯罪在线论坛（法院文件中称为Vendor 1）。该论坛允许用户发布并出售未成年人及成年人的裸露、性暗示或性露骨图像与视频，并推广“有偿黑客”服务，供用户付费让黑客在未经同意情况下侵入受害者在线账户、获取露骨影像。 2026年1月，Virtualine为Vendor 1分配IP地址约一个月后，开始收到该服务器存在未成年人性露骨图像与视频的通知。尽管接到德国、加拿大、澳大利亚执法部门，美国失踪与受剥削儿童国家中心（NCMEC），乃至一名受害者律师的多起通知，Virtualine仍继续托管Vendor 1的服务。此外，Virtualine还与Vendor 1合作搭建新网站，供其客户上传非法内容并在购买后下载。美方称，Virtualine至今仍在托管该新网站，且已至少收到一次关于该网站发现儿童性露骨图像的滥用投诉。 加密货币支付与链上资金流向 Virtualine向客户提供多种支付方式，包括接受BTC（无AML）、通过特定未托管比特币地址直接收款，使客户无需担心资金因非法来源被标记。美方称，犯罪客户支付的资金部分可直接追溯至各类犯罪组织，Virtualine收款后进一步洗钱以掩盖资金来源。 区块链分析公司TRM Labs称，2026年迄今，在其标记的防弹主机提供商中，Virtualine收到的“非法归因”加密货币金额最多，尽管总流入金额低于部分同行。Virtualine客户构成显示了为该基础设施付费的犯罪活动范围之广：其直接客户包括勒索软件组织、信息窃取木马运营者以及一家俄罗斯毒品市场。2026年，勒索软件组织约占Virtualine直接流入的约5%，一家俄罗斯毒品市场约占约44%；一个大型性勒索团伙和一个资金混合器也是其主要资金来源。 Chainalysis称，Virtualine通过未托管钱包地址接受比特币直接支付，并洗钱以掩盖来源。链上足迹显示其与勒索软件运营者、信息窃取木马基础设施、俄语网络犯罪论坛、非法商店以及诈骗与钓鱼地址存在直接关联。StealC信息窃取木马在2026年全年持续向Virtualine付款；另一防弹主机提供商Volhav也是其直接交易对手，表明该领域服务商之间存在基础设施转售关系。 TRM指出，在其标记的防弹主机板块中，2026年第三季度流入金额较2025年第一季度约高4%，入账交易笔数则高出约60%。全行业直接付款方包括Coinbase Cartel、The Gentlemen、INC、DragonForce、Qilin等勒索软件组织，以及StealC、Matanbuchus加载器等恶意软件运营者，还有暗网市场、非法商品与服务运营者、僵尸网络与恶意软件分发服务，以及与儿童性剥削材料相关的网站；混币器也贡献了相当比例资金。 此次查封的意义与后续可能的发展 域名查封打断了客户查找与访问该服务的途径，但本身并不等于运营者已停止活动，或客户已失去全部底层基础设施。TRM与Chainalysis均表示，已标记的相关加密货币地址仍可在链上监测：后续交易可能显示向合规交易所提现、继续向Virtualine已知地址付款，或转向其他防弹主机；客户活动也可能显示向替代服务商迁移。 Chainalysis称，此次行动凸显防弹主机是支撑勒索软件、信息窃取木马与网络诈骗规模化的基础性基础设施。对加密货币合规团队而言，接触已知防弹主机支付地址可视为更广泛下游风险的早期信号。Chainalysis已在其产品套件中标记与Virtualine相关的加密货币地址。

印度北阿坎德邦特别行动队（STF）与州网络犯罪部门近日在奈尼塔尔地区逮捕一名未成年人。警方称，其涉嫌在暗网以获利为目的分享儿童性剥削材料，并使用人工智能工具编辑、生成相关内容后按客户要求出售。调查人员从其电子设备中查获超过100段视频，部分据称为人工智能生成。 中央机构提供线索与哈尔德瓦尼案件牵出嫌疑人 据《印度时报》等媒体报道，STF总监尼莱什·阿南德·巴尔内（Nilesh Anand Bharne）在STF总部向媒体通报：行动基于中央机构提供的情报，以及对哈尔德瓦尼（Haldwani）已登记五起FIR（第一信息报告）的调查。在与儿童性剥削材料相关的哈尔德瓦尼案件侦查中，该未成年人的涉案迹象浮出水面。警方随后收集情报，对其住所实施突袭并实施抓捕。 Pioneer Edge等进一步称，案件与国家网络犯罪报告门户（NCRP）于10月25日收到的约11份投诉有关。哈尔德瓦尼警察局据此登记案件，适用《保护儿童免受性犯罪法》（POCSO）第14条、第15条，以及《信息技术法》第67B条。 查扣电子设备，发现性剥削材料 调查人员查扣两部手机、一台笔记本电脑和一台平板电脑。STF官员表示，设备中发现超过100段视频，内容涉及其他儿童以及该未成年人本人。设备检查还发现与儿童性剥削材料相关的搜索与下载记录，以及存储的视频和照片。 巴尔内表示，部分被恢复的视频据称是人工智能生成的，如今Z世代和年轻人很容易就能访问暗网。巴尔内说道：“在审讯过程中，他承认与暗网上的一些网络犯罪分子有联系。他经常按要求向他们发送不雅内容，以此换取金钱。” 在审讯过程中，被捕的未成年人供认自己积极参与暗网论坛。他提到，买家会下达特定订单，要求提供虐待儿童的视频。为了满足这些需求，他会在自己身边拍摄儿童，并将视频直接上传到暗网平台。作为提供这些非法内容的回报，他获得了丰厚的报酬，这表明这是一起精心策划且以经济利益为驱动的犯罪活动。 警方正在继续调查，以查明是否还有其他人员或团伙参与。 AI生成与按需售卖指控 据Dainik Bhaskar等报道，STF指控该未成年人从互联网下载违规材料，使用人工智能工具进行编辑并制作新内容，再在暗网上出售；还按客户偏好定制内容。另有指控称，其曾试图勒索部分客户、实施敲诈。警方正在核查是否有其他人或有组织团伙牵涉其中。 STF强调，制作、下载、观看或分享儿童性剥削材料均属违法行为。 相关调查仍在进行中 STF高级警司阿杰·辛格（Ajai Singh）表示，依据中央机构分享的关于儿童性剥削材料的情报，北阿坎德邦今年已登记调查了超过150起涉及传播儿童性虐待材料的案件，其中五起案件发生在哈尔德瓦尼。巴尔内亦提到，在网络犯罪与儿童色情相关案件中，近期依据《信息技术法》登记调查的案件约有160起。 STF称，已就该未成年人采取法律行动，并继续追查暗网联系人及其他可能涉案人员。涉未成年人案件的具体处理需遵循相关司法与保护程序。上述均为执法部门公开陈述，最终事实与责任以法院认定为准。

今天，臭名昭著的暗网数据泄露论坛DarkForums的管理员“knox”在该论坛发布公告，宣布进行了全平台更新，推出了全新的“Emerald Dark”主题、改进的导航功能、性能优化以及大量bug修复。此次更新还包含额外的安全增强措施，并提供了一份专门的更新日志，会员可通过该日志跟踪新功能、改进内容及已解决的问题。 更新内容的介绍 在公告中，“knox”说，我们很高兴向大家介绍DarkForums的最新更新，本次更新带来了焕然一新的视觉风格、改进的功能、增强的安全性以及大量bug修复。 “knox”表示，他们的目标是提供更简洁、更快速、更可靠的体验，同时继续为DarkForums社区优化平台。 “knox”在帖子中发布了此次更新新增的内容： 🎨 焕新主题 — 全新设计的“翡翠暗色”主题，导航更便捷、可读性更强，界面也更加精致。 ⚡ 平台增强 — 在功能、易用性和整体性能方面进行了多项改进。 🛠️ 错误修复与优化 — 解决了多个问题，以提高稳定性并确保更流畅的体验。 🔐 安全增强 — 增加了额外的安全措施，以加强平台保护和可靠性。 📋 全新更新日志系统 — 我们推出了专门的更新日志页面，会员可在此追踪更新内容、新功能、改进项及已解决的问题。 “knox”宣称以后其会员们可以随时掌握最新的更新动态，称未来所有平台变更和改进都将记录在他们的官方更新日志中，并提供了查看更新日志的页面：/changelog。 “knox”称本次更新标志着DarkForums持续发展历程中的又一重要里程碑。更多功能、改进和优化即将推出。 本站评论 DarkForums这几年发展迅猛，似乎已经完全取代了之前换了若干版本的暗网数据泄露论坛BreachForums。然而，在FBI的持续打击下，DarkForums的多个域名也曾经被封，正如“暗网下/AWX”前期介绍：该论坛长期在执法机构的查封压力下负重前行。 此前，DarkForums被曝出存在漏洞，新成立的暗网论坛PwnForums发布了该论坛的用户数据库，号称泄露了42.7万条记录，其中包括4.43万用户的IP地址。不知此次修复了的安全问题是否能够拯救该论坛？ “暗网下/AWX”认为，无论模板怎么变化，底层没有改变。DarkForums使用的还是开源BBS程序MyBB，还是基于PHP+Mysql，前期PHP修复两项严重的远程代码执行漏洞：CVE-2026-109618、CVE-2026-109619，AI近几年挖掘了很多漏洞，因此无法判断PHP是否还存在其他的漏洞。 此外，“暗网下/AWX”看到，DarkForums本次更新看起来是通过AI进行Vibe Coding完成的，在通过AI工具修改代码的过程中，个人信息是否通过AI服务送给了FBI，不得而知。 随着国际执法环境的日益严峻，违法犯罪，终究会有消亡的那么一天。 更新内容的原文 Hello DarkForums Community, We’re pleased to introduce a new update to DarkForums, bringing a refreshed visual identity, improved functionality, security enhancements, and numerous bug fixes. Our goal is to deliver a cleaner, faster, and more reliable experience while continuing to improve the platform for our community.

英国皇家海军士兵泰迪·扬（Teddy Young，24岁）被控图谋通过暗网向俄罗斯泄露机密情报，已在伦敦中央刑事法院（老贝利）出席初步聆讯，并面临新增罪名。检方称，他在服役期间利用高级别安全许可获取国防与情报数据，起草含机密内容的俄文信息，并据称通过暗网试图与俄罗斯方面建立联系。案件暂定于2027年10月开审。 该士兵的身份与指控情况 扬是英国国民，居住在贝德福德郡克拉彭（Clapham）。他于2024年4月加入皇家海军，担任作战情报水兵（warfare intelligence rating），拥有高级别安全许可及情报系统访问权限。检方称，其涉嫌行为始于首次部署期间，自2024年11月4日起开始犯罪。 扬曾担任英国皇家海军作战情报官，拥有高级安全许可和情报系统访问权限。他在海军舰艇上服役期间滥用其高级安全许可，获取了机密的国防和情报数据。 他最初被控两项违反《2023年国家安全法》的罪名：一是从事为披露受保护信息做准备的行为，目的不利于英国安全或利益、并意图使外国势力受益；二是在2024年11月26日至2025年5月21日期间获取、复制、记录或保留受保护信息。 检察官凯利·布罗克赫斯特（Kelly Brocklehurst）在老贝利表示，相关指控源于其作为现役海军人员的职责；证据显示他获取并在未经授权情况下保留敏感情报信息，并与海外第三方通信，意图将部分或全部情报分享给外国势力。检方称，他对“由外国情报机构设立的网站”表现出特别兴趣，该网站为俄罗斯对外情报局（SVR）。 被捕后出庭情况与后期被审判计划 扬于2025年5月21日在汉普郡首次被捕，并立即被停职和解除职务，后于2026年10月6日在贝德福德郡住所再次被捕。 伦敦反恐警务负责人海伦·弗拉纳根指挥官（Commander Helen Flanagan）表示，这些是针对现役武装部队成员的非常严重的指控。“我们在调查推进过程中与国防部相关业务同事极为密切地合作，以确保采取适当措施，降低与此事相关的任何潜在风险。现在重要的是避免对本案作进一步臆测，以便案件能够通过法院推进，司法程序不受妨碍。” 皇家海军此前曾确认有服役人员被捕。扬在首次被捕后安全许可被暂停，并被调离岗位。所有指控均为检方主张，扬尚未认罪；在法院作出最终判决前，他享有无罪推定。 他通过视频连线自贝尔马什监狱出现在老贝利刑事法庭出庭，身穿灰色运动套装，参加了预审听证会。在法庭上，扬发言确认了自己的身份。他没有被要求认罪或认罪，审判暂定于2027年10月开始。 大法官奇玛-格拉布夫人（Mrs Justice Cheema-Grubb）为案件设定时间表：暂定于10月8日起由高等法院法官主持为期约八周的老贝利审判，答辩聆讯定于2027年3月12日。扬被还押羁押，未要求当庭答辩。 扬被控犯有五项罪行 周五聆讯中，检方称扬现面临进一步指控：一项公职人员不当行为罪，以及两项未遵守《2000年调查权法》（RIPA）第53条通知的罪名。 第一项指控称，在2024年11月26日至2025年5月21日期间，他从事了为实施犯罪而进行的准备行为，即“披露受保护的信息”，其目的“损害英国的安全或利益，意图使外国势力受益”。 第二项指控称，在同一时期，他获取或披露了受保护的信息。 新增的指控是公职人员不当行为，该指控称，他在2024年2月15日至2025年3月25日作为皇家海军水兵期间“故意行为不当”：将机密信息发送至个人电子邮箱，通过WhatsApp与Discord传输，并在个人设备上保留机密信息。 他还面临两项未遵守通知的指控，违反了2000年《调查权力监管法》(RIPA) 第53条。这些指控与他涉嫌未披露有关一张闪迪（SanDisk）U盘与一张SD存储卡的信息有关。 媒体报道称，他据称起草含机密信息的俄文信息，并采取步骤通过暗网试图直接联系俄罗斯当局。BBC等此前报道指，指控包括将信息翻译成俄文，以及寻找邀请人们向俄罗斯提交信息的网络入口。

巴基斯坦国家网络犯罪调查局（NCCIA）近期在卡拉奇查处一起涉嫌通过暗网诱骗未成年儿童的案件：一名13岁女孩被要求执行危险任务，包括毒害宠物并最终被指示自残；调查人员在其执行后一项指令前找到她并实施保护。与此同时，该局公布在儿童性剥削与色情内容相关案件中逮捕了42名嫌疑人，并在行动中查扣多家公司手机设备，继续追查本地与境外线索。 警方在新闻发布会上概述了该机构近期打击网络犯罪的行动，包括网络剥削、虚假视频和被盗用的社交媒体账户。 国际执法情报锁定巴基斯坦IP，发现“嫌疑人”实为受害者 据The Current等报道，NCCIA是在收到国际执法情报通报后采取行动的。外方提供了与可疑在线活动相关的IP地址，涉及包括巴基斯坦在内的13个国家。NCCIA卡拉奇团队对其中巴基斯坦相关IP展开调查，起初意在锁定可疑活动背后的人员。 调查发现，与该地址关联的并非施害者，而是一名受害者——卡拉奇的这名13岁女孩。官员表示，正是国际情报通报帮助调查人员识别并及时介入，避免她按照指令伤害自己。 据官方消息，这名女孩使用了社交媒体平台和即时通讯应用。 女孩被指派的任务与家庭不知情 NCCIA官员称，该女孩卷入一个在线团体，团体为其布置危险任务。第一项据称是毒害一只猫，动物因此死亡；团体随后指示她严重伤害自己。调查人员在她执行第二项任务前找到了她。 女孩的父母此前对她参与该在线团体毫不知情，直到NCCIA调查人员与之联系。询问中，父母表示过去约六个月已注意到女儿行为有变化，但未将其与网上活动联系起来。机构向家属说明了她的在线互动及所面临的潜在风险。 调查人员正在追溯用于联系该女孩的账号，并试图识别疑似网络的运营者；同时核查巴基斯坦境内是否还有其他儿童遭受类似在线针对。NCCIA尚未公布疑似运营者的身份或所在地，也未就该条线索单独宣布逮捕，调查仍在进行。 该案例凸显了人们对儿童网络安全的担忧，以及当父母或监护人注意到孩子可能面临网络威胁的迹象时，及早干预的重要性。 更广泛调查：42名嫌疑人涉嫌动画色情内容制作 据Times of Karachi、Tribune等报道，NCCIA副局长Shahzad Akbar在新闻发布会上表示，在涉及涉嫌儿童性剥削与色情内容的案件中，已有42人被纳入调查或被抓，其中包括12名未成年人。机构正在调查一起单独的暗网相关案件，称有12名儿童成为目标。 调查人员称，有证据显示儿童被支付约100美元（约合6000卢比）用于制作色情动画内容。机构从Pixel Craft查扣19部手机（该公司据称运营约两年），从Art Office查扣5部，从Art Design查扣17部（该公司据称雇有17人）。调查还在梳理境外联系、本地中间人以及其他可能被针对的儿童。官员提到案件可能与德国、英国等地的个人存在关联。 Akbar还称，机构在一周内追回39个被黑账号，并封锁了70多个被描述为涉反国家活动的账号；另有一名名为Hamza的嫌疑人此前一天因涉嫌自2026年3月起传播相关内容而被捕。部分报道称，在古利斯坦-约哈尔（Gulistan-e-Jauhar）一带的行动中，42人被拘留，其中13人被正式逮捕并获法院羁押。 后续通报中，NCCIA称卡拉奇三家公司据称与同一人关联，通过分阶段方式运作：利用以女孩或年轻女性名义开设的社交媒体账号寻找美国、德国等地客户；制作涉及未成年人的动画色情内容，以及模仿真实人物的头像类材料；既出售已有素材库中的片段，也按客户要求定制内容；部分买家在获得材料后据称还遭勒索。上述均为机构陈述，嫌疑人尚未经审判定罪。 暗网与儿童在线安全 报道指出，暗网通常指常规搜索引擎（如谷歌、必应）不索引的互联网部分，用户多需借助专用软件访问，技术有助于隐藏身份与在线活动。暗网也有合法用途，例如私人通信与规避审查；当局同时将其与毒品交易、武器销售及网络犯罪等非法活动相联系。 NCCIA官员警告，在线剥削对儿童安全与隐私构成严重风险，人工智能等手段也被用于针对未成年人。相关案件仍在调查中，是否还有更多儿童受害、本地是否存在协助者，以及境外网络如何组织，尚待进一步查清。

2026年10月9日，Tor项目发布声明：在继续与瑞典VPN厂商Mullvad进行技术合作的同时，暂停联合品牌宣传，并调整官方渠道中对Mullvad Browser的表述，避免被理解为双方在价值观上全面一致。直接导火索，是Mullvad联合创始人兼共同所有人丹尼尔·伯恩特松（Daniel Berntsson）在2025年以个人名义向瑞典厄勒布鲁党（Örebropartiet）捐赠500万瑞典克朗。 Tor项目声明表示： Mullvad公司一位联合创始人向其捐赠政治资金一事引发了人们对Tor项目与该公司资金关系的质疑。我们不会终止与Mullvad的合作关系，但会明确划定双方关系的界限。 与此同时，洋葱路由技术本身起源于美国海军研究实验室，Tor项目长期公开接受美国政府相关机构资助——这一对照，构成理解“代码开源、技术真实有效，但优先级、取舍与资金依赖仍是事实”的重要背景。 个人捐款的争议与Tor的回应 瑞典媒体Flamman在2026年6月报道：伯恩特松于2025年向厄勒布鲁党个人捐赠500万瑞典克朗（约合51万至52万美元），约占该党当年收入的72%。该党主张在极有限例外之外实行零庇护移民，并推动大规模“遣返”（remigration）等政策，在隐私与人权社群中引发争议。 Mullvad方面澄清：捐款为个人行为，公司及关联企业未参与；另一位联合创始人兼共同CEO弗雷德里克·斯特伦贝里（Fredrik Strömberg）公开表示不认同此次捐款，同时强调公司将继续捍卫普遍隐私权。公司称对捐款“既不纵容也不谴责”，并认为“很可能是个坏主意”。 Tor项目在10月9日的声明中表示：社区成员要求作出说明，也有人呼吁终止合作。经与社区、员工、董事会讨论，并完成员工调查与财务分析后，Tor决定：在双方范围有限的协议下继续技术协作；暂停主动联合品牌宣传；修订自身渠道中对Mullvad Browser的描述与推荐用语，避免暗示更广泛的价值观对齐。 Tor强调，与Mullvad的合作改善了Tor Browser代码库的结构、可维护性与可审计性，并通过Mullvad Browser获得不同用户反馈、测试未来可能纳入Tor Browser的功能。Mullvad Browser可理解为“不经过Tor网络的Tor Browser”，同样免费、开源。Tor还写到：“虽然Tor捍卫言论自由，但并非所有言论都同等符合我们的使命。我们坚决反对威胁其他人权与自由的表述。” 需要区分的是：捐款来自联合创始人个人，并非Mullvad公司出资；Tor暂停的是联合宣传与措辞层面的“价值对齐暗示”，而非切断浏览器开发协作。 洋葱路由的起源：美国海军实验室与情报通信保护 洋葱路由（onion routing）并非民间从零发明。1990年代中期，美国海军研究实验室（Naval Research Laboratory）的保罗·赛弗森（Paul Syverson）与同事迈克尔·里德（Michael G. Reed）、戴维·戈尔德施拉格（David Goldschlag）提出并原型化该技术。初始目标之一，是保护美国情报人员在线通信、使路由信息不暴露“谁在与谁通信”。后续发展得到国防高级研究计划局（DARPA）等支持；美国海军曾就洋葱路由申请专利。 2002年前后，罗杰·丁格莱因（Roger Dingledine）、尼克·马修森（Nick Mathewson）与赛弗森等人在此基础上推进第二代设计，Tor网络于2002年10月部署，代码以自由开源许可发布。2006年，The Tor Project, Inc. 作为美国501(c)(3)非营利组织成立，以维护与发展该技术。技术从军方实验室走向全球志愿者节点与公开代码，但“为谁设计、由谁资助”始终是可查的公开记录，而非阴谋论。 Tor项目资金结构：美国政府占比从高位回落，但仍是重要资金来源 Tor项目按财年（通常为7月1日至次年6月30日）公开Form 990与审计报表。“暗网下/AWX”去年曾报道，据Tor项目在其博客发布的2023–2024财年说明： 美国政府：约35.08%（约255.6万美元） 企业/组织：约21.59% 基金会：约18.67% 个人捐赠：约15.61% 非美国政府：约7.58% 其他：约1.47% Form 990口径总收入约728.8万美元。与2021–2022财年美国政府占比约53.5%相比，依赖度有所下降；组织称降低对美国政府单一来源的依赖是长期目标。 在美国政府资金中，美国国务院民主、人权与劳工局（Bureau of Democracy, Human Rights, and Labor）约占212万美元，用于反审查技术、某些特定地区的访问扩展、Android端基于Tor的VPN客户端、对抗恶意中继、以及向Rust实现（Arti）迁移等项目。开放技术基金（Open Technology Fund, OTF）等也有资助条目。 更早时期，广播理事会（Broadcasting Board of Governors，后演变为美国全球媒体署USAGM相关体系，管理美国之音、自由欧洲电台等）曾通过开放技术基金等渠道资助Tor。公开报道与研究常引用：2007至2015年间经OTF等向Tor注入约610万美元量级资金。OTF本身长期由美国国会拨款、经全球媒体署等渠道支持互联网自由与反审查工具（含Tor、Signal等）。 另有依据《信息自由法》（FOIA）获取的大量往来文件（媒体与研究者常提及约2500页量级），内容涉及在华盛顿政策关注的国家部署Tor、与情报与执法及国务院部门的会议与培训、向资助方提交的详细月度报告及带义务的合同条款等。这些材料被用来说明：资金并非“无条件赠款”，而与具体项目目标、汇报义务绑定。Tor方面则强调代码开源、可独立审计，且资助比例与用途已在财报中披露。 “双标”引发争论，“技术真实”与“资金事实”如何并存 一边是合作伙伴联合创始人向地方政党的一次大额个人捐款，触发意识形态距离、措辞澄清与联合宣传暂停；另一边是技术起源于美国海军实验室、数十年来持续接受美国国务院、OTF等机构的数百万美元资助，并有合同、会议与汇报记录——这一结构自项目早期即被接受，并在近年财报中仍占三分之一以上。 两者并不构成简单的“双标”口号，但确实提出同一类问题：当一个以人权、反监视、反审查为使命表述的项目，在资金与合作上依赖特定国家的外交与“互联网自由”预算时，它对“何种言论、何种合作伙伴政治立场与使命不兼容”的划界，必然进入公共讨论。代码开源提供了可验证的技术保护；资金来源、合同义务以及被判定为“与使命不相容”的表述，则构成数字主权讨论中不可省略的一层。 Tor与洋葱路由的设计目标是：在不可信网络上隐藏通信关系，使审查与流量分析更困难。开源代码、可审计实现、全球志愿者中继，是其技术可信度的基础。与此同时： 起源上，它首先服务于美国情报通信保护需求； 资金上，美国政府长期是最大或主要来源之一，尽管占比在下降； 合作上，与Mullvad的浏览器协作被保留为“窄范围技术合作”，但联合品牌与“共同价值观”表述被主动收缩。 “暗网下/AWX”认为，对使用者而言，这意味着：工具可以提供真实的技术层保护，但不应被简化为“完全独立于任何国家权力结构的中立基础设施”。了解资金来自何处、哪些政治表态被项目方视为与使命冲突，本身就是评估数字工具与数字主权时的一部分。

近日，瑞士的安全研究专家发布文章，披露了其本月初协助Tor团队移除了300多个受后门感染的Tor出口节点。“暗网下/AWX”在本文对该文章进行了翻译，并将技术细节进行讲解。 文章称，2026年10月2日上午约9时35分，333个已遭感染的Tor出口节点开始协同行动：拦截SSH连接，并尽可能收集未加密数据。Tor网络全网出口中继约3000个，这意味着攻击方一度控制了约十分之一的出口节点。攻击者早在8月份就获得了服务器的访问权限，并悄悄部署了Ebury 1.8.3有效载荷——这是一种用于Linux的OpenSSH后门与凭据窃取程序。 Tor出口节点是构成Tor回路的三跳中继中的最后一跳，负责把匿名网络内的流量接到开放互联网。目标站点若使用HTTPS，出口节点通常只能看到加密流量；若使用HTTP或其它明文协议，出口节点则可能看到甚至改写内容。本次事件中，攻击者正是利用对出口节点的控制，把特定协议（尤其是22端口的SSH）导向自有拦截基础设施。 攻击目的与攻击方法 此次协同攻击至少有两个主要目的：一是尽可能多地收集未加密的邮件流量；二是对SSH连接进行拦截实施中间人攻击（MITM）。 攻击方通过封锁部分端口，使得受控出口节点只能处理未加密的邮件流量。一位资深Tor运营者在tor-relays邮件列表中详细描述了相关现象。本文（来自KABA.CX）重点介绍了第二类行为：SSH中间人攻击。 若用户的Tor回路恰好经上述333个恶意出口之一离开网络，初期往往难以察觉：加密网页流量会照常转发；一旦尝试通过22端口建立SSH连接，请求会被重定向到12台SSH拦截服务器中的一台。用户端可能收到类似如下的主机密钥变更警告： @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY! Someone could be eavesdropping on you right now (man-in-the-middle attack)! It is also possible that a host key has just been changed. The fingerprint for the ED25519 key sent by the remote host is SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E. Please contact your system administrator. 若用户忽略警告并继续登录，攻击者会完成三件事：窃取密码；建立通向真实目标服务器的连接并监视用户输入的每一条命令（真正的中间人会话）；再开第二条连接，向目标服务器植入Ebury。 发现、报告与下线时间线 安全研究者（KABA.

GoBalance工具的漏洞因2026年10月知名暗网论坛Dread被劫持相关事件而格外引人关注，Dread论坛管理HugBunter曾表示有多个暗网市场的地址被接管（含部分已关闭站点），但未点出具体名称或给出数量。不过“暗网下/AWX”在Dread论坛中看到，暗网市场Omega已经确认受GoBalance漏洞影响，并更换了新的onion域名。 Omega Market是一个成立于2025年2月10日的暗网市场，也是目前暗网里仍在存活的较大暗网市场之一， 商家在此销售实物和数字产品及服务。该暗网平台设计简洁大方，大概率是Vibe Coding开发的网站，自称拥有：全球范围内的毒品和数字商品——内置赌场——内置论坛——减害措施（Harm Reduction）——支持PGP的双因素认证——反钓鱼系统——7×24小时客服支持——第三方托管及FE服务，宣称其团队重视用户反馈并定期更新平台。 “暗网下/AWX”看到，Omega Market除了支持暗网通用的门罗币（XMR），还支持比特币（BTC）与莱特币（LTC），并在其暗网网站提醒： ➙ 请直接从您自己的钱包中发送 BTC/LTC，切勿通过交易所或需要 KYC 认证的其他加密货币交易服务进行转账，且需一次性完成交易。 ➙ 生成的 BTC 或 LTC 地址仅在 15 分钟内有效，且仅限使用一次。 ➙ 交易所的提现存在延迟且采用批量处理，因此您可能会错过汇率窗口。 ➙ 可选择提供退款地址，以便在存款延迟或过期时获得退款。但退款并非保证。 如此专业的暗网市场为了防范DDoS攻击也使用了GoBalance工具，于是也受到了GoBalance漏洞的影响，被攻击并跳转至攻击者的Conclave服务。 10月7日晚上19点07分， 有用户在Dread论坛发帖询问为什么Omega市场主链接会跳转到Conclave，称“当我点击子论坛面板中的市场链接时，它会跳转到Conclave。那个人是不是对Omega也做了和对Dread一样的事？其他市场是否也面临威胁？目前使用DNN是否存在风险？” 该帖子下有用户/u/Darkazon提醒称，所有暗网市场都需要更换其洋葱地址；如果它们仍在使用之前的地址，执法部门便能轻松实施中间人攻击，并表示，可以肯定地说中间人攻击100%可行。/u/shadowrealm称，Omega正在使用GoBalance。GoBalance存在一个漏洞，会危及任何使用该服务的网站的私钥安全。该链接很可能因此而遭到入侵。不过别担心，目前尚未有数据泄露的确认消息。 随后，Omega Market的管理员/u/quark于10月8日在Dread论坛发布公告：“OMEGA MARKET: WE’RE BACK, BABY, YA! NEW URL Marketplace Updates”，该公告解释称，因GoBalance缺陷导致的问题已将旧地址下线并迁至新地址。原文如下： —–BEGIN PGP SIGNED MESSAGE—– Hash: SHA256 OMEGA MARKET: WE’RE BACK, BABY, YA! Our new URL is: http://omegaartzedzoquzbsaf3wmza4fqeqx6msl4smeybd5suqpkb36norqd[.]onion We’re sorry we had to take omega7eye…….onion offline due to an issue caused by the GoBalance bug.

上文“暗网下/AWX”详细讲解了暗网网站广泛使用的负载均衡工具GoBalance存在严重漏，任何人都可以从其公开数据中恢复洋葱域名的密钥，从而接管暗网网站。接下来本站（anwangxia.com）将用两个具体的案例介绍该漏洞的严重程度，本文首先讲解暗网最大的英文论坛Dread遭受GoBalance漏洞攻击的情形，该暗网论坛由化名为HugBunter和Paris的管理员运营。 在中国的国庆节期间（10月5日至10月7日），知名暗网论坛Dread的两个洋葱地址均被接管并重定向至竞争对手平台Conclave。Dread的运营者最初将此次事件归咎于密钥意外泄露，但后来才得知，GoBalance漏洞才是罪魁祸首。 Dread论坛已迁移至新地址，并通知用户更改密码。在10月7日发布的一份署名声明中，运营方表示，由于第三方软件漏洞导致洋葱私钥泄露，该论坛已“永久迁移”，并且“其他隐藏服务也可能受到影响”。他们声称Dread的服务器并未遭到入侵。 Dread的2个主洋葱地址相继被攻击的过程 10月5日大约5点31分，Dread的主洋葱地址（“dreadytofat”）上出现了一条名为“dread²”的通知，称该暗网网站已被黑客入侵。 10月5日6点02分，同一洋葱地址显示了来自Conclave管理员的消息，声称已控制Dread的洋葱密钥，攻击者还声称掌握敏感数据。 当天晚些时候，Dread的创始人HugBunter发布了一份透明度报告，将此次数据泄露归咎于联合管理员Paris，称包含私钥的软件存档被误上传。HugBunter表示，Dread的主洋葱域名dreadytofatroptsdj6io7l3xptbet6onoyno2yv7jicoxknyazubrad.onion已经退休，不再使用，同时他表示：没有服务器遭到入侵；没有用户数据被访问；服务器仍未暴露。 Paris随后发表声明，承认责任，并表示这是软件部署过程中用户操作失误造成的。 随后，在服务中断期间，10月6日，Dread管理员将用户引导至备用“VIP”镜像站点（“dreadlands”），该地址此前仅供高级会员使用，用于规避DDoS攻击。同时，HugBunter重申，此次重大安全漏洞是由于操作失误造成的，而不是Dread基础设施的缺陷。 然而，大约在10月7日凌晨2点29分，“dreadlands”域名上出现了一份声明，对管理员的账户提出质疑。这份声明用俄语写成，声称接管了第二个据称安全的域名，表明此次入侵并非意外上传。声明中还包含对管理员的隐晦威胁，要求道歉和赔偿，并链接到Conclave，同时承诺稍后公布入侵方法的细节。 第二个地址的泄露意义重大。一次意外上传不足以解释两个独立密钥的丢失。10月7日12点37分，Dread的管理员已经重新控制了VIP地址，并将其重定向回合法网站。 HugBunter随后承认，攻击者利用GoBalance的零日漏洞攻击了多个暗网服务。他表示“过去一小时里，我仔细检查了所有系统，可以肯定地告诉大家：我们的基础设施完好无损，也没有任何服务器遭到入侵。遗憾的是，看来是最近上传的GoBalance软件更新包出了问题——该包中包含了本应仅保存在本地环境的我们的洋葱私钥。” 随后，Dread团队开始通过其官方链接渠道推广一个新生成的洋葱地址（“dreadohbles”）。 HugBunter确认漏洞源自GoBalance，并表示Dread的服务器未遭到入侵 HugBunter解释说，尽管洋葱地址被劫持，但Dread的服务器并未遭到入侵，也没有证据表明其数据库被访问。然而，他警告说，不能完全排除中间人攻击的可能性，并建议用户出于谨慎起见，更改Dread和其他可能受影响的服务的密码。 据HugBunter称，该漏洞源自GoBalance，这是一款用于管理Tor洋葱服务的工具，该漏洞影响所有已发布的版本，攻击者无需访问服务器本身即可恢复冒充受影响洋葱地址所需的签名能力。他还声称，该漏洞的发现使用了人工智能技术，Dread的团队在调查过程中也使用了人工智能技术发现了同样的问题。 HugBunter还透露，攻击者声称拥有Dread的数据库并试图勒索他，但拒绝提供任何证据。这些反复发生的服务器接管事件最初让管理员们感到困惑，他们难以理解为何在没有任何服务器入侵迹象的情况下，其他地址也会被攻破。 HugBunter警告称，任何之前使用过GoBalance的服务都可能受到影响。Dread团队宣布计划发布修复版本，并协助受影响的服务恢复其地址或将用户重定向到合法的替代地址。 HugBunter还证实，Dread将进行全面的运营安全审查，并采取进一步措施防止再次发生被攻击事件。他承认这些事件损害了社区的信任，但坚称Dread将继续运营，不会受到攻击。