英国皇家海军士兵泰迪·扬（Teddy Young，24岁）被控图谋通过暗网向俄罗斯泄露机密情报，已在伦敦中央刑事法院（老贝利）出席初步聆讯，并面临新增罪名。检方称，他在服役期间利用高级别安全许可获取国防与情报数据，起草含机密内容的俄文信息，并据称通过暗网试图与俄罗斯方面建立联系。案件暂定于2027年10月开审。
该士兵的身份与指控情况 扬是英国国民，居住在贝德福德郡克拉彭（Clapham）。他于2024年4月加入皇家海军，担任作战情报水兵（warfare intelligence rating），拥有高级别安全许可及情报系统访问权限。检方称，其涉嫌行为始于首次部署期间，自2024年11月4日起开始犯罪。
扬曾担任英国皇家海军作战情报官，拥有高级安全许可和情报系统访问权限。他在海军舰艇上服役期间滥用其高级安全许可，获取了机密的国防和情报数据。
他最初被控两项违反《2023年国家安全法》的罪名：一是从事为披露受保护信息做准备的行为，目的不利于英国安全或利益、并意图使外国势力受益；二是在2024年11月26日至2025年5月21日期间获取、复制、记录或保留受保护信息。
检察官凯利·布罗克赫斯特（Kelly Brocklehurst）在老贝利表示，相关指控源于其作为现役海军人员的职责；证据显示他获取并在未经授权情况下保留敏感情报信息，并与海外第三方通信，意图将部分或全部情报分享给外国势力。检方称，他对“由外国情报机构设立的网站”表现出特别兴趣，该网站为俄罗斯对外情报局（SVR）。
被捕后出庭情况与后期被审判计划 扬于2025年5月21日在汉普郡首次被捕，并立即被停职和解除职务，后于2026年10月6日在贝德福德郡住所再次被捕。
伦敦反恐警务负责人海伦·弗拉纳根指挥官（Commander Helen Flanagan）表示，这些是针对现役武装部队成员的非常严重的指控。“我们在调查推进过程中与国防部相关业务同事极为密切地合作，以确保采取适当措施，降低与此事相关的任何潜在风险。现在重要的是避免对本案作进一步臆测，以便案件能够通过法院推进，司法程序不受妨碍。”
皇家海军此前曾确认有服役人员被捕。扬在首次被捕后安全许可被暂停，并被调离岗位。所有指控均为检方主张，扬尚未认罪；在法院作出最终判决前，他享有无罪推定。
他通过视频连线自贝尔马什监狱出现在老贝利刑事法庭出庭，身穿灰色运动套装，参加了预审听证会。在法庭上，扬发言确认了自己的身份。他没有被要求认罪或认罪，审判暂定于2027年10月开始。
大法官奇玛-格拉布夫人（Mrs Justice Cheema-Grubb）为案件设定时间表：暂定于10月8日起由高等法院法官主持为期约八周的老贝利审判，答辩聆讯定于2027年3月12日。扬被还押羁押，未要求当庭答辩。
扬被控犯有五项罪行 周五聆讯中，检方称扬现面临进一步指控：一项公职人员不当行为罪，以及两项未遵守《2000年调查权法》（RIPA）第53条通知的罪名。
第一项指控称，在2024年11月26日至2025年5月21日期间，他从事了为实施犯罪而进行的准备行为，即“披露受保护的信息”，其目的“损害英国的安全或利益，意图使外国势力受益”。
第二项指控称，在同一时期，他获取或披露了受保护的信息。
新增的指控是公职人员不当行为，该指控称，他在2024年2月15日至2025年3月25日作为皇家海军水兵期间“故意行为不当”：将机密信息发送至个人电子邮箱，通过WhatsApp与Discord传输，并在个人设备上保留机密信息。
他还面临两项未遵守通知的指控，违反了2000年《调查权力监管法》(RIPA) 第53条。这些指控与他涉嫌未披露有关一张闪迪（SanDisk）U盘与一张SD存储卡的信息有关。
媒体报道称，他据称起草含机密信息的俄文信息，并采取步骤通过暗网试图直接联系俄罗斯当局。BBC等此前报道指，指控包括将信息翻译成俄文，以及寻找邀请人们向俄罗斯提交信息的网络入口。
巴基斯坦国家网络犯罪调查局（NCCIA）近期在卡拉奇查处一起涉嫌通过暗网诱骗未成年儿童的案件：一名13岁女孩被要求执行危险任务，包括毒害宠物并最终被指示自残；调查人员在其执行后一项指令前找到她并实施保护。与此同时，该局公布在儿童性剥削与色情内容相关案件中逮捕了42名嫌疑人，并在行动中查扣多家公司手机设备，继续追查本地与境外线索。
警方在新闻发布会上概述了该机构近期打击网络犯罪的行动，包括网络剥削、虚假视频和被盗用的社交媒体账户。
国际执法情报锁定巴基斯坦IP，发现“嫌疑人”实为受害者 据The Current等报道，NCCIA是在收到国际执法情报通报后采取行动的。外方提供了与可疑在线活动相关的IP地址，涉及包括巴基斯坦在内的13个国家。NCCIA卡拉奇团队对其中巴基斯坦相关IP展开调查，起初意在锁定可疑活动背后的人员。
调查发现，与该地址关联的并非施害者，而是一名受害者——卡拉奇的这名13岁女孩。官员表示，正是国际情报通报帮助调查人员识别并及时介入，避免她按照指令伤害自己。
据官方消息，这名女孩使用了社交媒体平台和即时通讯应用。
女孩被指派的任务与家庭不知情 NCCIA官员称，该女孩卷入一个在线团体，团体为其布置危险任务。第一项据称是毒害一只猫，动物因此死亡；团体随后指示她严重伤害自己。调查人员在她执行第二项任务前找到了她。
女孩的父母此前对她参与该在线团体毫不知情，直到NCCIA调查人员与之联系。询问中，父母表示过去约六个月已注意到女儿行为有变化，但未将其与网上活动联系起来。机构向家属说明了她的在线互动及所面临的潜在风险。
调查人员正在追溯用于联系该女孩的账号，并试图识别疑似网络的运营者；同时核查巴基斯坦境内是否还有其他儿童遭受类似在线针对。NCCIA尚未公布疑似运营者的身份或所在地，也未就该条线索单独宣布逮捕，调查仍在进行。
该案例凸显了人们对儿童网络安全的担忧，以及当父母或监护人注意到孩子可能面临网络威胁的迹象时，及早干预的重要性。
更广泛调查：42名嫌疑人涉嫌动画色情内容制作 据Times of Karachi、Tribune等报道，NCCIA副局长Shahzad Akbar在新闻发布会上表示，在涉及涉嫌儿童性剥削与色情内容的案件中，已有42人被纳入调查或被抓，其中包括12名未成年人。机构正在调查一起单独的暗网相关案件，称有12名儿童成为目标。
调查人员称，有证据显示儿童被支付约100美元（约合6000卢比）用于制作色情动画内容。机构从Pixel Craft查扣19部手机（该公司据称运营约两年），从Art Office查扣5部，从Art Design查扣17部（该公司据称雇有17人）。调查还在梳理境外联系、本地中间人以及其他可能被针对的儿童。官员提到案件可能与德国、英国等地的个人存在关联。
Akbar还称，机构在一周内追回39个被黑账号，并封锁了70多个被描述为涉反国家活动的账号；另有一名名为Hamza的嫌疑人此前一天因涉嫌自2026年3月起传播相关内容而被捕。部分报道称，在古利斯坦-约哈尔（Gulistan-e-Jauhar）一带的行动中，42人被拘留，其中13人被正式逮捕并获法院羁押。
后续通报中，NCCIA称卡拉奇三家公司据称与同一人关联，通过分阶段方式运作：利用以女孩或年轻女性名义开设的社交媒体账号寻找美国、德国等地客户；制作涉及未成年人的动画色情内容，以及模仿真实人物的头像类材料；既出售已有素材库中的片段，也按客户要求定制内容；部分买家在获得材料后据称还遭勒索。上述均为机构陈述，嫌疑人尚未经审判定罪。
暗网与儿童在线安全 报道指出，暗网通常指常规搜索引擎（如谷歌、必应）不索引的互联网部分，用户多需借助专用软件访问，技术有助于隐藏身份与在线活动。暗网也有合法用途，例如私人通信与规避审查；当局同时将其与毒品交易、武器销售及网络犯罪等非法活动相联系。
NCCIA官员警告，在线剥削对儿童安全与隐私构成严重风险，人工智能等手段也被用于针对未成年人。相关案件仍在调查中，是否还有更多儿童受害、本地是否存在协助者，以及境外网络如何组织，尚待进一步查清。
2026年10月9日，Tor项目发布声明：在继续与瑞典VPN厂商Mullvad进行技术合作的同时，暂停联合品牌宣传，并调整官方渠道中对Mullvad Browser的表述，避免被理解为双方在价值观上全面一致。直接导火索，是Mullvad联合创始人兼共同所有人丹尼尔·伯恩特松（Daniel Berntsson）在2025年以个人名义向瑞典厄勒布鲁党（Örebropartiet）捐赠500万瑞典克朗。
Tor项目声明表示：
Mullvad公司一位联合创始人向其捐赠政治资金一事引发了人们对Tor项目与该公司资金关系的质疑。我们不会终止与Mullvad的合作关系，但会明确划定双方关系的界限。
与此同时，洋葱路由技术本身起源于美国海军研究实验室，Tor项目长期公开接受美国政府相关机构资助——这一对照，构成理解“代码开源、技术真实有效，但优先级、取舍与资金依赖仍是事实”的重要背景。
个人捐款的争议与Tor的回应 瑞典媒体Flamman在2026年6月报道：伯恩特松于2025年向厄勒布鲁党个人捐赠500万瑞典克朗（约合51万至52万美元），约占该党当年收入的72%。该党主张在极有限例外之外实行零庇护移民，并推动大规模“遣返”（remigration）等政策，在隐私与人权社群中引发争议。
Mullvad方面澄清：捐款为个人行为，公司及关联企业未参与；另一位联合创始人兼共同CEO弗雷德里克·斯特伦贝里（Fredrik Strömberg）公开表示不认同此次捐款，同时强调公司将继续捍卫普遍隐私权。公司称对捐款“既不纵容也不谴责”，并认为“很可能是个坏主意”。
Tor项目在10月9日的声明中表示：社区成员要求作出说明，也有人呼吁终止合作。经与社区、员工、董事会讨论，并完成员工调查与财务分析后，Tor决定：在双方范围有限的协议下继续技术协作；暂停主动联合品牌宣传；修订自身渠道中对Mullvad Browser的描述与推荐用语，避免暗示更广泛的价值观对齐。
Tor强调，与Mullvad的合作改善了Tor Browser代码库的结构、可维护性与可审计性，并通过Mullvad Browser获得不同用户反馈、测试未来可能纳入Tor Browser的功能。Mullvad Browser可理解为“不经过Tor网络的Tor Browser”，同样免费、开源。Tor还写到：“虽然Tor捍卫言论自由，但并非所有言论都同等符合我们的使命。我们坚决反对威胁其他人权与自由的表述。”
需要区分的是：捐款来自联合创始人个人，并非Mullvad公司出资；Tor暂停的是联合宣传与措辞层面的“价值对齐暗示”，而非切断浏览器开发协作。
洋葱路由的起源：美国海军实验室与情报通信保护 洋葱路由（onion routing）并非民间从零发明。1990年代中期，美国海军研究实验室（Naval Research Laboratory）的保罗·赛弗森（Paul Syverson）与同事迈克尔·里德（Michael G. Reed）、戴维·戈尔德施拉格（David Goldschlag）提出并原型化该技术。初始目标之一，是保护美国情报人员在线通信、使路由信息不暴露“谁在与谁通信”。后续发展得到国防高级研究计划局（DARPA）等支持；美国海军曾就洋葱路由申请专利。
2002年前后，罗杰·丁格莱因（Roger Dingledine）、尼克·马修森（Nick Mathewson）与赛弗森等人在此基础上推进第二代设计，Tor网络于2002年10月部署，代码以自由开源许可发布。2006年，The Tor Project, Inc. 作为美国501(c)(3)非营利组织成立，以维护与发展该技术。技术从军方实验室走向全球志愿者节点与公开代码，但“为谁设计、由谁资助”始终是可查的公开记录，而非阴谋论。
Tor项目资金结构：美国政府占比从高位回落，但仍是重要资金来源 Tor项目按财年（通常为7月1日至次年6月30日）公开Form 990与审计报表。“暗网下/AWX”去年曾报道，据Tor项目在其博客发布的2023–2024财年说明：
美国政府：约35.08%（约255.6万美元） 企业/组织：约21.59% 基金会：约18.67% 个人捐赠：约15.61% 非美国政府：约7.58% 其他：约1.47% Form 990口径总收入约728.8万美元。与2021–2022财年美国政府占比约53.5%相比，依赖度有所下降；组织称降低对美国政府单一来源的依赖是长期目标。
在美国政府资金中，美国国务院民主、人权与劳工局（Bureau of Democracy, Human Rights, and Labor）约占212万美元，用于反审查技术、某些特定地区的访问扩展、Android端基于Tor的VPN客户端、对抗恶意中继、以及向Rust实现（Arti）迁移等项目。开放技术基金（Open Technology Fund, OTF）等也有资助条目。
更早时期，广播理事会（Broadcasting Board of Governors，后演变为美国全球媒体署USAGM相关体系，管理美国之音、自由欧洲电台等）曾通过开放技术基金等渠道资助Tor。公开报道与研究常引用：2007至2015年间经OTF等向Tor注入约610万美元量级资金。OTF本身长期由美国国会拨款、经全球媒体署等渠道支持互联网自由与反审查工具（含Tor、Signal等）。
另有依据《信息自由法》（FOIA）获取的大量往来文件（媒体与研究者常提及约2500页量级），内容涉及在华盛顿政策关注的国家部署Tor、与情报与执法及国务院部门的会议与培训、向资助方提交的详细月度报告及带义务的合同条款等。这些材料被用来说明：资金并非“无条件赠款”，而与具体项目目标、汇报义务绑定。Tor方面则强调代码开源、可独立审计，且资助比例与用途已在财报中披露。
“双标”引发争论，“技术真实”与“资金事实”如何并存 一边是合作伙伴联合创始人向地方政党的一次大额个人捐款，触发意识形态距离、措辞澄清与联合宣传暂停；另一边是技术起源于美国海军实验室、数十年来持续接受美国国务院、OTF等机构的数百万美元资助，并有合同、会议与汇报记录——这一结构自项目早期即被接受，并在近年财报中仍占三分之一以上。
两者并不构成简单的“双标”口号，但确实提出同一类问题：当一个以人权、反监视、反审查为使命表述的项目，在资金与合作上依赖特定国家的外交与“互联网自由”预算时，它对“何种言论、何种合作伙伴政治立场与使命不兼容”的划界，必然进入公共讨论。代码开源提供了可验证的技术保护；资金来源、合同义务以及被判定为“与使命不相容”的表述，则构成数字主权讨论中不可省略的一层。
Tor与洋葱路由的设计目标是：在不可信网络上隐藏通信关系，使审查与流量分析更困难。开源代码、可审计实现、全球志愿者中继，是其技术可信度的基础。与此同时：
起源上，它首先服务于美国情报通信保护需求； 资金上，美国政府长期是最大或主要来源之一，尽管占比在下降； 合作上，与Mullvad的浏览器协作被保留为“窄范围技术合作”，但联合品牌与“共同价值观”表述被主动收缩。 “暗网下/AWX”认为，对使用者而言，这意味着：工具可以提供真实的技术层保护，但不应被简化为“完全独立于任何国家权力结构的中立基础设施”。了解资金来自何处、哪些政治表态被项目方视为与使命冲突，本身就是评估数字工具与数字主权时的一部分。
近日，瑞士的安全研究专家发布文章，披露了其本月初协助Tor团队移除了300多个受后门感染的Tor出口节点。“暗网下/AWX”在本文对该文章进行了翻译，并将技术细节进行讲解。
文章称，2026年10月2日上午约9时35分，333个已遭感染的Tor出口节点开始协同行动：拦截SSH连接，并尽可能收集未加密数据。Tor网络全网出口中继约3000个，这意味着攻击方一度控制了约十分之一的出口节点。攻击者早在8月份就获得了服务器的访问权限，并悄悄部署了Ebury 1.8.3有效载荷——这是一种用于Linux的OpenSSH后门与凭据窃取程序。
Tor出口节点是构成Tor回路的三跳中继中的最后一跳，负责把匿名网络内的流量接到开放互联网。目标站点若使用HTTPS，出口节点通常只能看到加密流量；若使用HTTP或其它明文协议，出口节点则可能看到甚至改写内容。本次事件中，攻击者正是利用对出口节点的控制，把特定协议（尤其是22端口的SSH）导向自有拦截基础设施。
攻击目的与攻击方法 此次协同攻击至少有两个主要目的：一是尽可能多地收集未加密的邮件流量；二是对SSH连接进行拦截实施中间人攻击（MITM）。
攻击方通过封锁部分端口，使得受控出口节点只能处理未加密的邮件流量。一位资深Tor运营者在tor-relays邮件列表中详细描述了相关现象。本文（来自KABA.CX）重点介绍了第二类行为：SSH中间人攻击。
若用户的Tor回路恰好经上述333个恶意出口之一离开网络，初期往往难以察觉：加密网页流量会照常转发；一旦尝试通过22端口建立SSH连接，请求会被重定向到12台SSH拦截服务器中的一台。用户端可能收到类似如下的主机密钥变更警告：
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY! Someone could be eavesdropping on you right now (man-in-the-middle attack)! It is also possible that a host key has just been changed. The fingerprint for the ED25519 key sent by the remote host is SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E. Please contact your system administrator. 若用户忽略警告并继续登录，攻击者会完成三件事：窃取密码；建立通向真实目标服务器的连接并监视用户输入的每一条命令（真正的中间人会话）；再开第二条连接，向目标服务器植入Ebury。
发现、报告与下线时间线 安全研究者（KABA.
GoBalance工具的漏洞因2026年10月知名暗网论坛Dread被劫持相关事件而格外引人关注，Dread论坛管理HugBunter曾表示有多个暗网市场的地址被接管（含部分已关闭站点），但未点出具体名称或给出数量。不过“暗网下/AWX”在Dread论坛中看到，暗网市场Omega已经确认受GoBalance漏洞影响，并更换了新的onion域名。
Omega Market是一个成立于2025年2月10日的暗网市场，也是目前暗网里仍在存活的较大暗网市场之一， 商家在此销售实物和数字产品及服务。该暗网平台设计简洁大方，大概率是Vibe Coding开发的网站，自称拥有：全球范围内的毒品和数字商品——内置赌场——内置论坛——减害措施（Harm Reduction）——支持PGP的双因素认证——反钓鱼系统——7×24小时客服支持——第三方托管及FE服务，宣称其团队重视用户反馈并定期更新平台。
“暗网下/AWX”看到，Omega Market除了支持暗网通用的门罗币（XMR），还支持比特币（BTC）与莱特币（LTC），并在其暗网网站提醒：
➙ 请直接从您自己的钱包中发送 BTC/LTC，切勿通过交易所或需要 KYC 认证的其他加密货币交易服务进行转账，且需一次性完成交易。
➙ 生成的 BTC 或 LTC 地址仅在 15 分钟内有效，且仅限使用一次。
➙ 交易所的提现存在延迟且采用批量处理，因此您可能会错过汇率窗口。
➙ 可选择提供退款地址，以便在存款延迟或过期时获得退款。但退款并非保证。
如此专业的暗网市场为了防范DDoS攻击也使用了GoBalance工具，于是也受到了GoBalance漏洞的影响，被攻击并跳转至攻击者的Conclave服务。
10月7日晚上19点07分， 有用户在Dread论坛发帖询问为什么Omega市场主链接会跳转到Conclave，称“当我点击子论坛面板中的市场链接时，它会跳转到Conclave。那个人是不是对Omega也做了和对Dread一样的事？其他市场是否也面临威胁？目前使用DNN是否存在风险？”
该帖子下有用户/u/Darkazon提醒称，所有暗网市场都需要更换其洋葱地址；如果它们仍在使用之前的地址，执法部门便能轻松实施中间人攻击，并表示，可以肯定地说中间人攻击100%可行。/u/shadowrealm称，Omega正在使用GoBalance。GoBalance存在一个漏洞，会危及任何使用该服务的网站的私钥安全。该链接很可能因此而遭到入侵。不过别担心，目前尚未有数据泄露的确认消息。
随后，Omega Market的管理员/u/quark于10月8日在Dread论坛发布公告：“OMEGA MARKET: WE’RE BACK, BABY, YA! NEW URL Marketplace Updates”，该公告解释称，因GoBalance缺陷导致的问题已将旧地址下线并迁至新地址。原文如下：
—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA256
OMEGA MARKET: WE’RE BACK, BABY, YA!
Our new URL is:
http://omegaartzedzoquzbsaf3wmza4fqeqx6msl4smeybd5suqpkb36norqd[.]onion
We’re sorry we had to take omega7eye…….onion offline due to an issue caused by the GoBalance bug.
上文“暗网下/AWX”详细讲解了暗网网站广泛使用的负载均衡工具GoBalance存在严重漏，任何人都可以从其公开数据中恢复洋葱域名的密钥，从而接管暗网网站。接下来本站（anwangxia.com）将用两个具体的案例介绍该漏洞的严重程度，本文首先讲解暗网最大的英文论坛Dread遭受GoBalance漏洞攻击的情形，该暗网论坛由化名为HugBunter和Paris的管理员运营。
在中国的国庆节期间（10月5日至10月7日），知名暗网论坛Dread的两个洋葱地址均被接管并重定向至竞争对手平台Conclave。Dread的运营者最初将此次事件归咎于密钥意外泄露，但后来才得知，GoBalance漏洞才是罪魁祸首。
Dread论坛已迁移至新地址，并通知用户更改密码。在10月7日发布的一份署名声明中，运营方表示，由于第三方软件漏洞导致洋葱私钥泄露，该论坛已“永久迁移”，并且“其他隐藏服务也可能受到影响”。他们声称Dread的服务器并未遭到入侵。
Dread的2个主洋葱地址相继被攻击的过程 10月5日大约5点31分，Dread的主洋葱地址（“dreadytofat”）上出现了一条名为“dread²”的通知，称该暗网网站已被黑客入侵。
10月5日6点02分，同一洋葱地址显示了来自Conclave管理员的消息，声称已控制Dread的洋葱密钥，攻击者还声称掌握敏感数据。
当天晚些时候，Dread的创始人HugBunter发布了一份透明度报告，将此次数据泄露归咎于联合管理员Paris，称包含私钥的软件存档被误上传。HugBunter表示，Dread的主洋葱域名dreadytofatroptsdj6io7l3xptbet6onoyno2yv7jicoxknyazubrad.onion已经退休，不再使用，同时他表示：没有服务器遭到入侵；没有用户数据被访问；服务器仍未暴露。
Paris随后发表声明，承认责任，并表示这是软件部署过程中用户操作失误造成的。
随后，在服务中断期间，10月6日，Dread管理员将用户引导至备用“VIP”镜像站点（“dreadlands”），该地址此前仅供高级会员使用，用于规避DDoS攻击。同时，HugBunter重申，此次重大安全漏洞是由于操作失误造成的，而不是Dread基础设施的缺陷。
然而，大约在10月7日凌晨2点29分，“dreadlands”域名上出现了一份声明，对管理员的账户提出质疑。这份声明用俄语写成，声称接管了第二个据称安全的域名，表明此次入侵并非意外上传。声明中还包含对管理员的隐晦威胁，要求道歉和赔偿，并链接到Conclave，同时承诺稍后公布入侵方法的细节。
第二个地址的泄露意义重大。一次意外上传不足以解释两个独立密钥的丢失。10月7日12点37分，Dread的管理员已经重新控制了VIP地址，并将其重定向回合法网站。
HugBunter随后承认，攻击者利用GoBalance的零日漏洞攻击了多个暗网服务。他表示“过去一小时里，我仔细检查了所有系统，可以肯定地告诉大家：我们的基础设施完好无损，也没有任何服务器遭到入侵。遗憾的是，看来是最近上传的GoBalance软件更新包出了问题——该包中包含了本应仅保存在本地环境的我们的洋葱私钥。”
随后，Dread团队开始通过其官方链接渠道推广一个新生成的洋葱地址（“dreadohbles”）。
HugBunter确认漏洞源自GoBalance，并表示Dread的服务器未遭到入侵 HugBunter解释说，尽管洋葱地址被劫持，但Dread的服务器并未遭到入侵，也没有证据表明其数据库被访问。然而，他警告说，不能完全排除中间人攻击的可能性，并建议用户出于谨慎起见，更改Dread和其他可能受影响的服务的密码。
据HugBunter称，该漏洞源自GoBalance，这是一款用于管理Tor洋葱服务的工具，该漏洞影响所有已发布的版本，攻击者无需访问服务器本身即可恢复冒充受影响洋葱地址所需的签名能力。他还声称，该漏洞的发现使用了人工智能技术，Dread的团队在调查过程中也使用了人工智能技术发现了同样的问题。
HugBunter还透露，攻击者声称拥有Dread的数据库并试图勒索他，但拒绝提供任何证据。这些反复发生的服务器接管事件最初让管理员们感到困惑，他们难以理解为何在没有任何服务器入侵迹象的情况下，其他地址也会被攻破。
HugBunter警告称，任何之前使用过GoBalance的服务都可能受到影响。Dread团队宣布计划发布修复版本，并协助受影响的服务恢复其地址或将用户重定向到合法的替代地址。
HugBunter还证实，Dread将进行全面的运营安全审查，并采取进一步措施防止再次发生被攻击事件。他承认这些事件损害了社区的信任，但坚称Dread将继续运营，不会受到攻击。
攻击者并不总是需要攻破网站的服务器，才能成功实现对目标网站的入侵。近期披露的GoBalance工具的零日漏洞，正说明了这一点。
GoBalance是一个配置暗网网站服务常用的工具，在DDoS攻击期间，很多暗网网站都用它来保持可访问性。然而，GoBalance工具近期爆出一个惊天漏洞，这个漏洞允许任何人仅使用公开信息就能算出暗网网站.onion地址的密钥，从而成功接管该.onion地址。
Searchlight Cyber于10月8日发布技术调查报告，指出用于在拒绝服务攻击期间维持可用性的负载均衡工具GoBalance，在加密签名实现上存在缺陷。攻击者仅凭公开可获取的信息，即可恢复受影响洋葱服务的签名密钥，进而接管其.onion地址。相关后果在暗网论坛Dread等服务的地址被重定向事件中已有体现。
需要强调的是：问题并非Ed25519算法本身被攻破，而是实现上的错误——在生成签名前丢弃了关键密钥材料。对受影响服务而言，本应用于建立信任的公开信息，反而可能泄露用于冒充该身份的必要秘密。
攻击者如果获取了密钥，就可以将暗网网站访问者重定向到他们控制的暗网网站副本。但即使控制了该地址，攻击者也无法访问暗网网站的服务器、数据库或存储的用户数据。
洋葱地址不同于普通域名，分析GoBalance工具的漏洞成因 理解该漏洞，需要理解Tor洋葱地址如何建立身份。
传统DNS名称通过注册商、注册局、权威DNS服务器与递归解析器等指向基础设施。v3洋葱地址则使用密码学身份：地址本身由服务的主Ed25519公钥派生，具有自认证性质——客户端无需依赖传统域名注册体系，即可验证与服务相关的密码学信息。
洋葱服务会向Tor网络发布已签名的描述符，供客户端定位并建立连接。描述符包含服务发现所需信息，且设计为可公开获取。在正确实现的签名体系中，发布有效数字签名并不会泄露用于生成签名的私钥。GoBalance工具的缺陷破坏了这一预期，原因在于签名密钥材料的处理方式出错。
GoBalance工具是用Go语言重写的OnionBalance类功能实现，用于将Tor洋葱服务流量分散到多个后端实例。它随EndGame工具包分发，被一些希望在DDoS拒绝服务攻击下保持在线的暗网网站服务采用。
依赖洋葱服务的暗网网站与传统网站有本质不同。传统网站依赖DNS体系中的域名；而暗网网站则使用Tor v3洋葱地址，由密码学公钥派生。根据Tor v3洋葱地址规范，.onion地址实际上是一个公钥，地址编码了Ed25519公钥以及校验和与版本信息。对应的私钥签名能力，因此持有匹配私钥的人可以控制该地址。
若攻击者获得生成有效身份相关签名所需的秘密，就可能通过Tor网络正常的服务发现流程冒充该服务。这正是GoBalance工具的漏洞引入的风险。
主要特征可概括如下：受影响软件为GoBalance（关联工具包EndGame）；漏洞类型为密码学密钥处理实现错误；底层算法为Ed25519；触发条件是使用Tor格式的扩展私钥进行签名；暴露的是主身份秘密标量；攻击者所需仅为公开可用的已签名描述符；潜在影响包括洋葱地址冒充与流量重定向。原版OnionBalance与Tor协议本身据Searchlight Cyber称不受影响；公开研究披露时间为2026年10月8日；截至相关报道时，美国国家漏洞库中尚无确认的CVE编号。
受影响范围窄于“所有安装GoBalance的暗网服务”。脆弱签名路径针对的是使用Tor格式扩展私钥的服务，而非GoBalance安装工具默认生成的基于种子的密钥格式。
GoBalance工具如何处理Ed25519密钥，该漏洞背后的密码学问题 Ed25519是基于椭圆曲线密码的数字签名方案。私钥实现可以有不同表示形式。常见形式从32字节种子出发，再派生签名所需信息。Tor则可存储包含64字节已派生材料的扩展私钥表示。
扩展表示包含两个重要部分：用于签名计算的秘密标量，以及用于派生每条消息随机数（nonce）的额外秘密材料。二者用途不同，但对签名过程都必不可少。
Searchlight Cyber发现，GoBalance在处理这些表示时存在关键错配。对于Tor格式的扩展私钥，私钥长度默认为64字节，GoBalance只把前32字节传给签名函数，后32字节被丢弃。原因是实现调用了旨在返回Ed25519私钥“种子部分”的方法。对普通基于种子的密钥，应用可以从种子重新生成所需的扩展组件；对已经扩展好的Tor格式密钥，把前半段当作完整签名材料处理，就等于丢掉了关键信息。这改变了经由该代码路径生成的每一条签名的安全性质。
Ed25519的安全性依赖于以不暴露私钥签名标量的方式生成签名。简化的签名关系可写成：
[ S = r + H(R \parallel A \parallel M)\cdot a \pmod L ] 其中 (a) 为秘密签名标量，(r) 为签名随机数，(M) 为被签名消息，(A) 为公钥，(R) 为由随机数派生的公开签名分量。在正确实现中，随机数用秘密材料派生；即使签名与消息公开，观察者也无法直接解出私钥标量。
GoBalance的实现错误改变了这一点。丢弃用于派生随机数的秘密材料后，脆弱签名代码会从固定的、可公开知晓的输入构造数值，本应秘密的每条消息随机数因此变得可预测。一旦随机数可从公开信息算出，签名关系就不再按预期保护标量。
Searchlight Cyber展示了如何利用公开签名信息恢复相关的盲化签名标量，再反推公开确定的盲化关系，得到主身份秘密标量。该标量即具备冒充受影响洋葱身份所需的签名能力。关键在于：攻击并不需要削弱Ed25519或求解困难的椭圆曲线问题，而是利用应用程序向本可正常工作的密码学实现错误地提供了密钥材料。
一份公开描述符就可能足够拿到密钥，如果已泄露，仅打补丁无法消除后果 数字签名通常假设：攻击者即使看到许多已签名消息，也学不到私钥。该假设建立在签名算法被正确实现之上。在脆弱的GoBalance路径中，用于保护随机数派生的秘密材料缺失，随机数可能从公开数据算出。已发布的描述符包含签名关系所需的签名与相关信息。Searchlight Cyber的分析认为，一份受影响的描述符即可提供足够信息，恢复服务的秘密签名能力。
因此该漏洞较为特殊：攻击者不必攻破Web应用、获取管理凭证，或接触运行洋葱服务的操作系统；公开分发的密码学材料本身成为暴露源。这也解释了为何在移除原有脆弱软件之后，问题仍可能持续——补丁前已发布的描述符无法从所有可能被观察或存档的地方撤回。
据Searchlight Cyber，脆弱行为与Tor格式扩展私钥路径相关。该格式含64字节已扩展签名材料；有问题的代码路径错误地丢弃了安全派生随机数所需的部分。标准基于种子的密钥路径没有同样缺陷，因为签名过程会从种子重新生成预期秘密材料。因此并非每一个GoBalance部署都会暴露其签名标量。
管理员也不应假定：改用其他签名格式就能自动恢复已经受损的洋葱身份。若受影响服务此前发布过泄露身份签名能力的描述符，仅更换软件或配置并不会使已暴露的秘密失效，服务必须建立新的密码学身份。
软件漏洞常被描述为“装更新即可修复”。密码学密钥暴露则多了一层要求：一旦描述符已发布，其中泄露的密钥无法收回。运行过脆弱版本的站点必须生成新的.onion地址并完成迁移——Dread与Omega即是如此。
截至目前，尚无官方修复：美国国家漏洞库中未见该缺陷的CVE编号，Tor项目或GoBalance维护方亦无公开公告。Dread表示计划发布修补版GoBalance并协助受影响站点迁移。一名独立研究者已发布补丁与可从单份公开描述符恢复主密钥的概念验证；研究者称演示仅使用为测试生成的密钥，未针对真实服务。
暗网网站运营者与用户应如何应对 “暗网下/AWX”认为，劫持洋葱地址并不一定等于服务器被黑。控制洋葱地址与控制暗网网站背后的服务器是不同的概念。能够发布针对某身份的有效描述符信息的攻击者，可能把客户端导向其控制的暗网网站，但这并不自动赋予对原服务数据库、文件或应用环境的访问权。
攻击者仍可造成严重危害：用户可能被定向到恶意的仿冒网站并输入密码等敏感信息；也可通过占用受损地址干扰可用性，使用户无法经原地址到达合法服务。当用户无法区分合法基础设施与密码学上有效的冒充时，洋葱身份通常所依赖的信任即失效。因此，没有后端服务器被入侵的证据，不能等同于用户未受影响——损害可能发生在身份与流量路由层，而非传统系统入侵。
对暗网网站运营者而言：安装修复补丁无法撤销已发生的暴露。曾发布过脆弱描述符的站点应创建新.onion地址并迁移；确认密钥格式，避免继续使用Tor格式扩展私钥的脆弱签名路径。
对可能访问过受影响暗网网站的用户：按Dread建议，修改本站及其他可能受影响站点的密码；将旧地址视为不可信；在信任任何新地址前，通过已签名的官方声明加以核实。
GoBalance漏洞的本质，是在Ed25519签名实现中错误处理Tor格式扩展私钥：只传入前32字节、丢弃用于随机数派生的后32字节，使每条消息的随机数可从公开信息计算，进而从单份公开描述符恢复主身份秘密标量。
根据“暗网下/AWX”对近期报道的综合分析：原版OnionBalance与Tor本身不受影响；风险主要落在使用脆弱路径、且密钥为Tor格式的服务上。劫持地址不等于拿下后端，但足以造成仿站、凭据收割与可用性破坏。对已暴露的身份，唯一可靠出路是换新洋葱地址并完成可信迁移。
暗网交易市场“帝国市场”（Empire Market）是一个允许用户匿名买卖非法商品和服务的暗网市场。本周，“帝国市场”的一名联合创始人因帮助他人贩卖毒品、黑客工具和被盗信息而被判处40年联邦监禁，被判刑男子名为拉海姆·汉密尔顿（Raheim Hamilton），今年30岁，是弗吉尼亚州本地人。
汉密尔顿在今年早些时候已承认毒品共谋罪名，并同意没收价值逾1亿美元的比特币以及弗吉尼亚州的多处房产。周一，美国伊利诺伊州北区联邦地区法院的地区法官史蒂文·西格（Steven C. Seeger）判处汉密尔顿40年联邦监禁，并处罚金500万美元。
该判决由伊利诺伊州北区联邦检察官安德鲁·S·布特罗斯、联邦调查局芝加哥分局负责人瑞安·惠伦、美国邮政监察局芝加哥分局负责人尼古拉斯·布恰雷利以及国土安全调查局纽约分局代理负责人皮特·吉扎斯共同宣布。政府方面由助理联邦检察官安·玛丽·E·乌尔西尼代表。
臭名昭著的“帝国市场”促成了超过400万笔交易 汉密尔顿现年30岁，来自弗吉尼亚州萨福克。2018年至2020年间，他与托马斯·佩维（Thomas Pavey）共同拥有并运营“帝国市场”。该暗网市场迅速在毒贩与网络犯罪分子中流行起来，用于销售毒品、被盗或泄露的账户凭证、被盗的个人身份信息、假币和计算机黑客工具等。
据检方消息，该暗网网站共完成超过400万笔交易，总成交额约4.3亿美元。其中绝大多数为毒品交易，金额约3.75亿美元。卖家出售的毒品包括芬太尼、可卡因、冰毒（甲基苯丙胺）与海洛因等。美国司法部的新闻稿给出的数量包括：至少13.3公斤芬太尼、447公斤可卡因、72公斤冰毒、103公斤海洛因。
该暗网市场按“欺诈”、“毒品与化学品”、“假冒物品”、“软件与恶意软件”等类别分类出售违法商品。起诉书称，至少有一次，“帝国市场”上的假美元现金直接卖给了当局执法人员。该平台之所以越来越受欢迎，是因为平台要求所有交易必须使用加密货币，并鼓励用户通过混币（mixer）等服务清洗销售所得；还允许买家对卖家如何隐藏邮寄毒品进行评分。加密通信与混币服务，是其吸引用户的重要因素。
帝国市场的结局并不是退出骗局 据起诉书，汉密尔顿与佩维最初曾合作在已关闭的暗网交易市场AlphaBay上合作出售假美元。AlphaBay于2017年被关停后，两人于2018年2月1日创建并开始运营“帝国市场”。区块链分析公司TRM Labs称，“帝国市场”在AlphaBay被摧毁后数月上线，很快成为西方暗网市场生态中的主要平台之一。
2020年夏天，“帝国市场”突然下线，无法访问。当时用户都认为该市场运营方实施了“退出骗局”（exit scam），卷走用户约3000万美元比特币。一直到4年后，美国当局突然指控两名男子经营暗网市场Empire Market，人们才意识到，“帝国市场”的倒闭是因为执法查封。
加密货币、汽车、房产、金条均被没收 汉密尔顿同意没收约1230枚比特币（BTC）以及约24.4枚以太坊（ETH），并交出弗吉尼亚州三处房产。按当时公开报道中的市价估算，仅比特币部分约合1亿美元左右。
同案被告佩维现年41岁，来自佛罗里达州奥蒙德比奇，去年已承认联邦毒品共谋罪名。他同意没收约1584枚比特币、两箱25盎司金条、三辆汽车以及佛罗里达州两处房产，定于本月晚些时候由同一法官量刑。两人合计同意没收的比特币约2814枚；按部分报道中约每枚8.3万美元的市价粗算，合计约2.34亿美元。
美国司法部此前表示，在针对该平台的调查过程中已查扣价值约7500万美元的加密货币，并取得现金与贵金属。
被没收的比特币可能进入美国“战略比特币储备” 部分报道关注被没收比特币的最终去向。2025年3月白宫行政令规定，在刑事或民事案件中最终没收的比特币可进入“战略比特币储备”（Strategic Bitcoin Reserve），原则上不得出售；但允许例外，例如向可识别的犯罪受害人返还资金。司法部相关通报未明确说明汉密尔顿被没收的比特币最终将如何处置。
美国国会亦在讨论类似安排。9月16日，众议院一委员会以28票对21票推进一项战略比特币储备法案，拟将被没收比特币至少持有20年。若相关没收最终生效且不适用例外，“帝国市场”相关比特币可能按行政令进入以持有而非出售为目的的储备。
美国正全力打击各种类型的暗网犯罪 美国司法部近年持续将暗网平台取缔列为重点，已针对BreachForums、BidenCash、Archetyp等暗网市场采取行动。
本周，美国司法部还宣布，一名42岁乌克兰—俄罗斯双重国籍男子承认运营“Your Mule Cashout”洗钱平台，该平台组织了约1.5万名“钱骡”（money mules）及相关网络基础设施组成的复杂网络，用于洗钱至少1000万美元，这些钱是黑客从750个银行账户中窃取的。 此人在格鲁吉亚共和国被捕后认罪，最高可能面临50年监禁。
“暗网下/AWX”年初曾报道，运营暗网毒品市场Incognito Market的台湾人Rui-Siang Lin因该市场处理逾1.05亿美元毒品交易而被判监禁30年。
汉密尔顿已获刑；佩维的量刑尚未作出。两人同意没收的资产与最终执行，仍以法院与主管机关后续程序为准。
美国联邦调查局（FBI）局长卡什·帕特尔（Kash Patel）于10月9日表示，FBI又逮捕了一名与网络犯罪团伙ShinyHunters有关的嫌疑人。帕特尔在社交媒体X上发文称，警方逮捕了“另一名涉嫌与ShinyHunters团伙同谋的人”，并指该团伙被认为对近期FBI求职网站（FBIjobs.gov）被入侵事件负责。
这个名为ShinyHunters的臭名昭著的暗网勒索软件团伙长期以来一直以世界各地的大型企业为攻击目标，专家认为该黑客团伙主要由年轻的、讲英语的黑客组成，他们专注于数据窃取和勒索。
路透社对ShinyHunters分享的部分从FBI求职网站窃取的数据进行分析后发现，这些数据包含大量FBI员工的个人身份信息、敏感的工作角色信息以及精神病和医疗信息。
🚨 Our agents in the field have arrested another suspected co-conspirator of the ShinyHunters group – the group believed to be responsible for the recent https://t.co/RG0D4I5KFS incident, which occurred on a platform managed by a third-party vendor.
This is the latest arrest…
— FBI Director Kash Patel (@FBIDirectorKash) October 9, 2026 联邦调查局局长的最新表态 帕特尔表示：“本周早些时候，我们的一线特工逮捕了另一名涉嫌与ShinyHunters团伙同谋的人——该团伙被认为对近期FBIjobs.gov事件负责，该事件发生在由第三方供应商管理的平台上。”
他补充说，这是FBI在数日内针对该犯罪团伙采取的最新一次逮捕，“我们正不眠不休地摧毁该团伙、追查新线索与证据，并迅速行动。”帕特尔还称，将继续与合作伙伴密切协作，“无论他们在何处活动，都要瓦解ShinyHunters团伙残余力量及其关联人员。”
帕特尔的声明未公布嫌疑人姓名、具体指控，也未说明其在入侵中的具体角色。FBI未立即回应媒体关于更多细节的问询。
媒体透露：加拿大籍嫌疑人在宾夕法尼亚州被捕 《纽约时报》率先报道此次逮捕，援引两名知情人士称，嫌疑人为一名加拿大籍男子，在宾夕法尼亚州被拘留。CBS新闻等亦援引未具名消息来源称，该人被认为直接参与了黑客行动。
另有CNN等报道称，与FBI入侵案有关的嫌疑人中，有人被指为Edward Dubrovsky：近日在费城一带被捕，周四在联邦法院出庭，由联邦公设辩护人代理；面临与勒索、威胁相关的指控，并已被移交得克萨斯州东区，等待羁押听证会。路透社后续报道亦将一名加拿大勒索软件谈判人Dubrovsky的逮捕与FBI对相关黑客团伙的清剿联系起来，并指出FBI在被问及时转而指向帕特尔关于逮捕“涉嫌ShinyHunters同谋”的声明。官方尚未在公开声明中点名确认上述身份。
此前分别在荷兰与约旦逮捕两人，其中一人涉嫌窃取FBI数据 自9月下旬FBI求职网站入侵消息曝光以来，这是第三起公开宣布的相关逮捕。
此前，“暗网下/AWX”曾报道，荷兰当局宣布逮捕一名男子，其身份为荷兰人佩皮恩·范德斯塔普（Pepijn van der Stap）。此人曾因数据窃取服刑，获释后一度以网络安全从业者身份示人，并被指与ShinyHunters调查有关。FBI网络事务助理局长Brett Leatherman曾称其为该团伙“涉嫌领导人之一”，并指该团伙及同谋自去年以来涉嫌入侵140多家机构、取得至少7000万美元勒索款项。
近期，暗网论坛上出现两篇广告帖子，声称掌握大量《我的世界》（Minecraft）玩家数据并对外出售。其中一则宣称有1800万条用户记录待售，另一则称约900万条。网络安全媒体Cybernews研究人员检查了攻击者提供的免费样本后发现，两份据称不同的数据集实际对应同一批约1000条记录，且更符合信息窃取木马（infostealer）汇总数据的特征，而非微软或Mojang核心基础设施遭直接入侵。
暗网论坛上宣称售卖《我的世界》玩家信息 两则售卖广告帖子均发布于暗网论坛PwnForums，威胁行为者“Feel”在一篇帖子中声称出售1800万条用户记录，而另一篇帖子给出较为克制的900万条数字。该黑客名为“Feel”，个人签名留下一个属于其个人的暗网网页：http://udodnxrzvmgv3ukdrwo7v6y25iulg7abamo7gkq4rgikuqan2hxapuyd[.]onion，称自己很疯狂，并留下一张图片URL（https://ibb.co/LzxcbNfm）：
Minecraft （《我的世界》）是一款很流行的游戏，由马库斯·”Notch”·佩尔松（Markus “Notch” Persson）创建，Mojang Studios开发，每月活跃玩家超过2.12亿。
Cybernews研究人员对两篇帖子附带的样本进行了比对，发现所谓不同数据集实为相同的约1000条记录。样本中包含用户名、电子邮箱，部分记录还带有密码哈希。记录似乎来自特定多人游戏服务器，仅样本中就出现了3个不同的服务器。
研究人员表示，仅凭样本无法判断数据集究竟有多旧，因为没有时间戳；也无法仅凭样本断定真实规模是否达到1800万或900万条。两份样本高度重叠，也使人怀疑卖家是否在兜售同一批数据。
数据来源可能与俄罗斯相关恶意软件有关 攻击者如何进入、如何将数据带出，目前仍不清楚。样本中除用户名与邮箱外，部分记录含密码哈希，且有些哈希在不同用户间重复出现。
Cybernews研究团队发现，样本中的邮箱出现在Have I Been Pwned等数据库中，并在多份信息窃取木马组合列表（combo lists）中被引用。这提示数据来源更可能是信息窃取类恶意软件，而非一次性从《我的世界》官方基础设施中批量导出。
Escudo Digital的报道也指出，分析人员认为信息至少来自三台具体的《我的世界》服务器，因此排除了对Mojang Studios或微软中央服务器的入侵。微软迄今未就此事发布官方声明，也未公开确认或否认相关事件。
2025年，Check Point Research曾发现约1500台设备感染疑似源自俄罗斯的恶意软件，专门针对《我的世界》玩家。该恶意软件通过恶意GitHub仓库传播，伪装成模组、外挂或社区常用自动化工具，会从浏览器中收割玩家凭证，以及加密货币钱包、Discord、Steam、Telegram等应用中的数据。
那一轮活动为当前的售卖提供了可能的背景，但并不能证明与本次售卖帖存在直接关联。
更可能是信息窃取木马，而不是从服务器窃取的数据库 《我的世界》拥有庞大的模组、插件与自定义服务器生态，既方便合法改造，也容易滋生恶意软件。Cybernews研究人员称：“我们现在分析的列表看起来完全来自多人服务器，因此可能存在服务器侧的恶意模组。”
他们同时指出，服务器侧通常能拿到的是用户名、IP地址、连接时间等；邮箱与密码更难用普通服务器遥测解释。“游戏社区里恶意模组并不少见，但我们无法在此指认任何具体模组。”
综合判断，新近挂售样本中的数据，更像是从信息窃取木马组合列表中拼装而来，而不是《我的世界》核心基础设施遭遇一次直截了当的大规模失窃。对玩家而言，更现实的风险仍是撞库与针对复用密码的社工；在官方尚未证实的情况下，不宜将事件直接等同于微软或Mojang主系统被攻破。
研究人员指出，若邮箱与用户在其他平台重复使用的密码配对，暴露数据可能被用于撞库（credential stuffing）与社工诈骗。犯罪分子会拿以往泄露中的用户名与密码组合，到其他服务上试登录，赌用户在多处复用同一套凭证。