上文“暗网下/AWX”详细讲解了暗网网站广泛使用的负载均衡工具GoBalance存在严重漏，任何人都可以从其公开数据中恢复洋葱域名的密钥，从而接管暗网网站。接下来本站（anwangxia.com）将用两个具体的案例介绍该漏洞的严重程度，本文首先讲解暗网最大的英文论坛Dread遭受GoBalance漏洞攻击的情形，该暗网论坛由化名为HugBunter和Paris的管理员运营。
在中国的国庆节期间（10月5日至10月7日），知名暗网论坛Dread的两个洋葱地址均被接管并重定向至竞争对手平台Conclave。Dread的运营者最初将此次事件归咎于密钥意外泄露，但后来才得知，GoBalance漏洞才是罪魁祸首。
Dread论坛已迁移至新地址，并通知用户更改密码。在10月7日发布的一份署名声明中，运营方表示，由于第三方软件漏洞导致洋葱私钥泄露，该论坛已“永久迁移”，并且“其他隐藏服务也可能受到影响”。他们声称Dread的服务器并未遭到入侵。
Dread的2个主洋葱地址相继被攻击的过程 10月5日大约5点31分，Dread的主洋葱地址（“dreadytofat”）上出现了一条名为“dread²”的通知，称该暗网网站已被黑客入侵。
10月5日6点02分，同一洋葱地址显示了来自Conclave管理员的消息，声称已控制Dread的洋葱密钥，攻击者还声称掌握敏感数据。
当天晚些时候，Dread的创始人HugBunter发布了一份透明度报告，将此次数据泄露归咎于联合管理员Paris，称包含私钥的软件存档被误上传。HugBunter表示，Dread的主洋葱域名dreadytofatroptsdj6io7l3xptbet6onoyno2yv7jicoxknyazubrad.onion已经退休，不再使用，同时他表示：没有服务器遭到入侵；没有用户数据被访问；服务器仍未暴露。
Paris随后发表声明，承认责任，并表示这是软件部署过程中用户操作失误造成的。
随后，在服务中断期间，10月6日，Dread管理员将用户引导至备用“VIP”镜像站点（“dreadlands”），该地址此前仅供高级会员使用，用于规避DDoS攻击。同时，HugBunter重申，此次重大安全漏洞是由于操作失误造成的，而不是Dread基础设施的缺陷。
然而，大约在10月7日凌晨2点29分，“dreadlands”域名上出现了一份声明，对管理员的账户提出质疑。这份声明用俄语写成，声称接管了第二个据称安全的域名，表明此次入侵并非意外上传。声明中还包含对管理员的隐晦威胁，要求道歉和赔偿，并链接到Conclave，同时承诺稍后公布入侵方法的细节。
第二个地址的泄露意义重大。一次意外上传不足以解释两个独立密钥的丢失。10月7日12点37分，Dread的管理员已经重新控制了VIP地址，并将其重定向回合法网站。
HugBunter随后承认，攻击者利用GoBalance的零日漏洞攻击了多个暗网服务。他表示“过去一小时里，我仔细检查了所有系统，可以肯定地告诉大家：我们的基础设施完好无损，也没有任何服务器遭到入侵。遗憾的是，看来是最近上传的GoBalance软件更新包出了问题——该包中包含了本应仅保存在本地环境的我们的洋葱私钥。”
随后，Dread团队开始通过其官方链接渠道推广一个新生成的洋葱地址（“dreadohbles”）。
HugBunter确认漏洞源自GoBalance，并表示Dread的服务器未遭到入侵 HugBunter解释说，尽管洋葱地址被劫持，但Dread的服务器并未遭到入侵，也没有证据表明其数据库被访问。然而，他警告说，不能完全排除中间人攻击的可能性，并建议用户出于谨慎起见，更改Dread和其他可能受影响的服务的密码。
据HugBunter称，该漏洞源自GoBalance，这是一款用于管理Tor洋葱服务的工具，该漏洞影响所有已发布的版本，攻击者无需访问服务器本身即可恢复冒充受影响洋葱地址所需的签名能力。他还声称，该漏洞的发现使用了人工智能技术，Dread的团队在调查过程中也使用了人工智能技术发现了同样的问题。
HugBunter还透露，攻击者声称拥有Dread的数据库并试图勒索他，但拒绝提供任何证据。这些反复发生的服务器接管事件最初让管理员们感到困惑，他们难以理解为何在没有任何服务器入侵迹象的情况下，其他地址也会被攻破。
HugBunter警告称，任何之前使用过GoBalance的服务都可能受到影响。Dread团队宣布计划发布修复版本，并协助受影响的服务恢复其地址或将用户重定向到合法的替代地址。
HugBunter还证实，Dread将进行全面的运营安全审查，并采取进一步措施防止再次发生被攻击事件。他承认这些事件损害了社区的信任，但坚称Dread将继续运营，不会受到攻击。
攻击者并不总是需要攻破网站的服务器，才能成功实现对目标网站的入侵。近期披露的GoBalance工具的零日漏洞，正说明了这一点。
GoBalance是一个配置暗网网站服务常用的工具，在DDoS攻击期间，很多暗网网站都用它来保持可访问性。然而，GoBalance工具近期爆出一个惊天漏洞，这个漏洞允许任何人仅使用公开信息就能算出暗网网站.onion地址的密钥，从而成功接管该.onion地址。
Searchlight Cyber于10月8日发布技术调查报告，指出用于在拒绝服务攻击期间维持可用性的负载均衡工具GoBalance，在加密签名实现上存在缺陷。攻击者仅凭公开可获取的信息，即可恢复受影响洋葱服务的签名密钥，进而接管其.onion地址。相关后果在暗网论坛Dread等服务的地址被重定向事件中已有体现。
需要强调的是：问题并非Ed25519算法本身被攻破，而是实现上的错误——在生成签名前丢弃了关键密钥材料。对受影响服务而言，本应用于建立信任的公开信息，反而可能泄露用于冒充该身份的必要秘密。
攻击者如果获取了密钥，就可以将暗网网站访问者重定向到他们控制的暗网网站副本。但即使控制了该地址，攻击者也无法访问暗网网站的服务器、数据库或存储的用户数据。
洋葱地址不同于普通域名，分析GoBalance工具的漏洞成因 理解该漏洞，需要理解Tor洋葱地址如何建立身份。
传统DNS名称通过注册商、注册局、权威DNS服务器与递归解析器等指向基础设施。v3洋葱地址则使用密码学身份：地址本身由服务的主Ed25519公钥派生，具有自认证性质——客户端无需依赖传统域名注册体系，即可验证与服务相关的密码学信息。
洋葱服务会向Tor网络发布已签名的描述符，供客户端定位并建立连接。描述符包含服务发现所需信息，且设计为可公开获取。在正确实现的签名体系中，发布有效数字签名并不会泄露用于生成签名的私钥。GoBalance工具的缺陷破坏了这一预期，原因在于签名密钥材料的处理方式出错。
GoBalance工具是用Go语言重写的OnionBalance类功能实现，用于将Tor洋葱服务流量分散到多个后端实例。它随EndGame工具包分发，被一些希望在DDoS拒绝服务攻击下保持在线的暗网网站服务采用。
依赖洋葱服务的暗网网站与传统网站有本质不同。传统网站依赖DNS体系中的域名；而暗网网站则使用Tor v3洋葱地址，由密码学公钥派生。根据Tor v3洋葱地址规范，.onion地址实际上是一个公钥，地址编码了Ed25519公钥以及校验和与版本信息。对应的私钥签名能力，因此持有匹配私钥的人可以控制该地址。
若攻击者获得生成有效身份相关签名所需的秘密，就可能通过Tor网络正常的服务发现流程冒充该服务。这正是GoBalance工具的漏洞引入的风险。
主要特征可概括如下：受影响软件为GoBalance（关联工具包EndGame）；漏洞类型为密码学密钥处理实现错误；底层算法为Ed25519；触发条件是使用Tor格式的扩展私钥进行签名；暴露的是主身份秘密标量；攻击者所需仅为公开可用的已签名描述符；潜在影响包括洋葱地址冒充与流量重定向。原版OnionBalance与Tor协议本身据Searchlight Cyber称不受影响；公开研究披露时间为2026年10月8日；截至相关报道时，美国国家漏洞库中尚无确认的CVE编号。
受影响范围窄于“所有安装GoBalance的暗网服务”。脆弱签名路径针对的是使用Tor格式扩展私钥的服务，而非GoBalance安装工具默认生成的基于种子的密钥格式。
GoBalance工具如何处理Ed25519密钥，该漏洞背后的密码学问题 Ed25519是基于椭圆曲线密码的数字签名方案。私钥实现可以有不同表示形式。常见形式从32字节种子出发，再派生签名所需信息。Tor则可存储包含64字节已派生材料的扩展私钥表示。
扩展表示包含两个重要部分：用于签名计算的秘密标量，以及用于派生每条消息随机数（nonce）的额外秘密材料。二者用途不同，但对签名过程都必不可少。
Searchlight Cyber发现，GoBalance在处理这些表示时存在关键错配。对于Tor格式的扩展私钥，私钥长度默认为64字节，GoBalance只把前32字节传给签名函数，后32字节被丢弃。原因是实现调用了旨在返回Ed25519私钥“种子部分”的方法。对普通基于种子的密钥，应用可以从种子重新生成所需的扩展组件；对已经扩展好的Tor格式密钥，把前半段当作完整签名材料处理，就等于丢掉了关键信息。这改变了经由该代码路径生成的每一条签名的安全性质。
Ed25519的安全性依赖于以不暴露私钥签名标量的方式生成签名。简化的签名关系可写成：
[ S = r + H(R \parallel A \parallel M)\cdot a \pmod L ] 其中 (a) 为秘密签名标量，(r) 为签名随机数，(M) 为被签名消息，(A) 为公钥，(R) 为由随机数派生的公开签名分量。在正确实现中，随机数用秘密材料派生；即使签名与消息公开，观察者也无法直接解出私钥标量。
GoBalance的实现错误改变了这一点。丢弃用于派生随机数的秘密材料后，脆弱签名代码会从固定的、可公开知晓的输入构造数值，本应秘密的每条消息随机数因此变得可预测。一旦随机数可从公开信息算出，签名关系就不再按预期保护标量。
Searchlight Cyber展示了如何利用公开签名信息恢复相关的盲化签名标量，再反推公开确定的盲化关系，得到主身份秘密标量。该标量即具备冒充受影响洋葱身份所需的签名能力。关键在于：攻击并不需要削弱Ed25519或求解困难的椭圆曲线问题，而是利用应用程序向本可正常工作的密码学实现错误地提供了密钥材料。
一份公开描述符就可能足够拿到密钥，如果已泄露，仅打补丁无法消除后果 数字签名通常假设：攻击者即使看到许多已签名消息，也学不到私钥。该假设建立在签名算法被正确实现之上。在脆弱的GoBalance路径中，用于保护随机数派生的秘密材料缺失，随机数可能从公开数据算出。已发布的描述符包含签名关系所需的签名与相关信息。Searchlight Cyber的分析认为，一份受影响的描述符即可提供足够信息，恢复服务的秘密签名能力。
因此该漏洞较为特殊：攻击者不必攻破Web应用、获取管理凭证，或接触运行洋葱服务的操作系统；公开分发的密码学材料本身成为暴露源。这也解释了为何在移除原有脆弱软件之后，问题仍可能持续——补丁前已发布的描述符无法从所有可能被观察或存档的地方撤回。
据Searchlight Cyber，脆弱行为与Tor格式扩展私钥路径相关。该格式含64字节已扩展签名材料；有问题的代码路径错误地丢弃了安全派生随机数所需的部分。标准基于种子的密钥路径没有同样缺陷，因为签名过程会从种子重新生成预期秘密材料。因此并非每一个GoBalance部署都会暴露其签名标量。
管理员也不应假定：改用其他签名格式就能自动恢复已经受损的洋葱身份。若受影响服务此前发布过泄露身份签名能力的描述符，仅更换软件或配置并不会使已暴露的秘密失效，服务必须建立新的密码学身份。
软件漏洞常被描述为“装更新即可修复”。密码学密钥暴露则多了一层要求：一旦描述符已发布，其中泄露的密钥无法收回。运行过脆弱版本的站点必须生成新的.onion地址并完成迁移——Dread与Omega即是如此。
截至目前，尚无官方修复：美国国家漏洞库中未见该缺陷的CVE编号，Tor项目或GoBalance维护方亦无公开公告。Dread表示计划发布修补版GoBalance并协助受影响站点迁移。一名独立研究者已发布补丁与可从单份公开描述符恢复主密钥的概念验证；研究者称演示仅使用为测试生成的密钥，未针对真实服务。
暗网网站运营者与用户应如何应对 “暗网下/AWX”认为，劫持洋葱地址并不一定等于服务器被黑。控制洋葱地址与控制暗网网站背后的服务器是不同的概念。能够发布针对某身份的有效描述符信息的攻击者，可能把客户端导向其控制的暗网网站，但这并不自动赋予对原服务数据库、文件或应用环境的访问权。
攻击者仍可造成严重危害：用户可能被定向到恶意的仿冒网站并输入密码等敏感信息；也可通过占用受损地址干扰可用性，使用户无法经原地址到达合法服务。当用户无法区分合法基础设施与密码学上有效的冒充时，洋葱身份通常所依赖的信任即失效。因此，没有后端服务器被入侵的证据，不能等同于用户未受影响——损害可能发生在身份与流量路由层，而非传统系统入侵。
对暗网网站运营者而言：安装修复补丁无法撤销已发生的暴露。曾发布过脆弱描述符的站点应创建新.onion地址并迁移；确认密钥格式，避免继续使用Tor格式扩展私钥的脆弱签名路径。
对可能访问过受影响暗网网站的用户：按Dread建议，修改本站及其他可能受影响站点的密码；将旧地址视为不可信；在信任任何新地址前，通过已签名的官方声明加以核实。
GoBalance漏洞的本质，是在Ed25519签名实现中错误处理Tor格式扩展私钥：只传入前32字节、丢弃用于随机数派生的后32字节，使每条消息的随机数可从公开信息计算，进而从单份公开描述符恢复主身份秘密标量。
根据“暗网下/AWX”对近期报道的综合分析：原版OnionBalance与Tor本身不受影响；风险主要落在使用脆弱路径、且密钥为Tor格式的服务上。劫持地址不等于拿下后端，但足以造成仿站、凭据收割与可用性破坏。对已暴露的身份，唯一可靠出路是换新洋葱地址并完成可信迁移。
暗网交易市场“帝国市场”（Empire Market）是一个允许用户匿名买卖非法商品和服务的暗网市场。本周，“帝国市场”的一名联合创始人因帮助他人贩卖毒品、黑客工具和被盗信息而被判处40年联邦监禁，被判刑男子名为拉海姆·汉密尔顿（Raheim Hamilton），今年30岁，是弗吉尼亚州本地人。
汉密尔顿在今年早些时候已承认毒品共谋罪名，并同意没收价值逾1亿美元的比特币以及弗吉尼亚州的多处房产。周一，美国伊利诺伊州北区联邦地区法院的地区法官史蒂文·西格（Steven C. Seeger）判处汉密尔顿40年联邦监禁，并处罚金500万美元。
该判决由伊利诺伊州北区联邦检察官安德鲁·S·布特罗斯、联邦调查局芝加哥分局负责人瑞安·惠伦、美国邮政监察局芝加哥分局负责人尼古拉斯·布恰雷利以及国土安全调查局纽约分局代理负责人皮特·吉扎斯共同宣布。政府方面由助理联邦检察官安·玛丽·E·乌尔西尼代表。
臭名昭著的“帝国市场”促成了超过400万笔交易 汉密尔顿现年30岁，来自弗吉尼亚州萨福克。2018年至2020年间，他与托马斯·佩维（Thomas Pavey）共同拥有并运营“帝国市场”。该暗网市场迅速在毒贩与网络犯罪分子中流行起来，用于销售毒品、被盗或泄露的账户凭证、被盗的个人身份信息、假币和计算机黑客工具等。
据检方消息，该暗网网站共完成超过400万笔交易，总成交额约4.3亿美元。其中绝大多数为毒品交易，金额约3.75亿美元。卖家出售的毒品包括芬太尼、可卡因、冰毒（甲基苯丙胺）与海洛因等。美国司法部的新闻稿给出的数量包括：至少13.3公斤芬太尼、447公斤可卡因、72公斤冰毒、103公斤海洛因。
该暗网市场按“欺诈”、“毒品与化学品”、“假冒物品”、“软件与恶意软件”等类别分类出售违法商品。起诉书称，至少有一次，“帝国市场”上的假美元现金直接卖给了当局执法人员。该平台之所以越来越受欢迎，是因为平台要求所有交易必须使用加密货币，并鼓励用户通过混币（mixer）等服务清洗销售所得；还允许买家对卖家如何隐藏邮寄毒品进行评分。加密通信与混币服务，是其吸引用户的重要因素。
帝国市场的结局并不是退出骗局 据起诉书，汉密尔顿与佩维最初曾合作在已关闭的暗网交易市场AlphaBay上合作出售假美元。AlphaBay于2017年被关停后，两人于2018年2月1日创建并开始运营“帝国市场”。区块链分析公司TRM Labs称，“帝国市场”在AlphaBay被摧毁后数月上线，很快成为西方暗网市场生态中的主要平台之一。
2020年夏天，“帝国市场”突然下线，无法访问。当时用户都认为该市场运营方实施了“退出骗局”（exit scam），卷走用户约3000万美元比特币。一直到4年后，美国当局突然指控两名男子经营暗网市场Empire Market，人们才意识到，“帝国市场”的倒闭是因为执法查封。
加密货币、汽车、房产、金条均被没收 汉密尔顿同意没收约1230枚比特币（BTC）以及约24.4枚以太坊（ETH），并交出弗吉尼亚州三处房产。按当时公开报道中的市价估算，仅比特币部分约合1亿美元左右。
同案被告佩维现年41岁，来自佛罗里达州奥蒙德比奇，去年已承认联邦毒品共谋罪名。他同意没收约1584枚比特币、两箱25盎司金条、三辆汽车以及佛罗里达州两处房产，定于本月晚些时候由同一法官量刑。两人合计同意没收的比特币约2814枚；按部分报道中约每枚8.3万美元的市价粗算，合计约2.34亿美元。
美国司法部此前表示，在针对该平台的调查过程中已查扣价值约7500万美元的加密货币，并取得现金与贵金属。
被没收的比特币可能进入美国“战略比特币储备” 部分报道关注被没收比特币的最终去向。2025年3月白宫行政令规定，在刑事或民事案件中最终没收的比特币可进入“战略比特币储备”（Strategic Bitcoin Reserve），原则上不得出售；但允许例外，例如向可识别的犯罪受害人返还资金。司法部相关通报未明确说明汉密尔顿被没收的比特币最终将如何处置。
美国国会亦在讨论类似安排。9月16日，众议院一委员会以28票对21票推进一项战略比特币储备法案，拟将被没收比特币至少持有20年。若相关没收最终生效且不适用例外，“帝国市场”相关比特币可能按行政令进入以持有而非出售为目的的储备。
美国正全力打击各种类型的暗网犯罪 美国司法部近年持续将暗网平台取缔列为重点，已针对BreachForums、BidenCash、Archetyp等暗网市场采取行动。
本周，美国司法部还宣布，一名42岁乌克兰—俄罗斯双重国籍男子承认运营“Your Mule Cashout”洗钱平台，该平台组织了约1.5万名“钱骡”（money mules）及相关网络基础设施组成的复杂网络，用于洗钱至少1000万美元，这些钱是黑客从750个银行账户中窃取的。 此人在格鲁吉亚共和国被捕后认罪，最高可能面临50年监禁。
“暗网下/AWX”年初曾报道，运营暗网毒品市场Incognito Market的台湾人Rui-Siang Lin因该市场处理逾1.05亿美元毒品交易而被判监禁30年。
汉密尔顿已获刑；佩维的量刑尚未作出。两人同意没收的资产与最终执行，仍以法院与主管机关后续程序为准。
美国联邦调查局（FBI）局长卡什·帕特尔（Kash Patel）于10月9日表示，FBI又逮捕了一名与网络犯罪团伙ShinyHunters有关的嫌疑人。帕特尔在社交媒体X上发文称，警方逮捕了“另一名涉嫌与ShinyHunters团伙同谋的人”，并指该团伙被认为对近期FBI求职网站（FBIjobs.gov）被入侵事件负责。
这个名为ShinyHunters的臭名昭著的暗网勒索软件团伙长期以来一直以世界各地的大型企业为攻击目标，专家认为该黑客团伙主要由年轻的、讲英语的黑客组成，他们专注于数据窃取和勒索。
路透社对ShinyHunters分享的部分从FBI求职网站窃取的数据进行分析后发现，这些数据包含大量FBI员工的个人身份信息、敏感的工作角色信息以及精神病和医疗信息。
🚨 Our agents in the field have arrested another suspected co-conspirator of the ShinyHunters group – the group believed to be responsible for the recent https://t.co/RG0D4I5KFS incident, which occurred on a platform managed by a third-party vendor.
This is the latest arrest…
— FBI Director Kash Patel (@FBIDirectorKash) October 9, 2026 联邦调查局局长的最新表态 帕特尔表示：“本周早些时候，我们的一线特工逮捕了另一名涉嫌与ShinyHunters团伙同谋的人——该团伙被认为对近期FBIjobs.gov事件负责，该事件发生在由第三方供应商管理的平台上。”
他补充说，这是FBI在数日内针对该犯罪团伙采取的最新一次逮捕，“我们正不眠不休地摧毁该团伙、追查新线索与证据，并迅速行动。”帕特尔还称，将继续与合作伙伴密切协作，“无论他们在何处活动，都要瓦解ShinyHunters团伙残余力量及其关联人员。”
帕特尔的声明未公布嫌疑人姓名、具体指控，也未说明其在入侵中的具体角色。FBI未立即回应媒体关于更多细节的问询。
媒体透露：加拿大籍嫌疑人在宾夕法尼亚州被捕 《纽约时报》率先报道此次逮捕，援引两名知情人士称，嫌疑人为一名加拿大籍男子，在宾夕法尼亚州被拘留。CBS新闻等亦援引未具名消息来源称，该人被认为直接参与了黑客行动。
另有CNN等报道称，与FBI入侵案有关的嫌疑人中，有人被指为Edward Dubrovsky：近日在费城一带被捕，周四在联邦法院出庭，由联邦公设辩护人代理；面临与勒索、威胁相关的指控，并已被移交得克萨斯州东区，等待羁押听证会。路透社后续报道亦将一名加拿大勒索软件谈判人Dubrovsky的逮捕与FBI对相关黑客团伙的清剿联系起来，并指出FBI在被问及时转而指向帕特尔关于逮捕“涉嫌ShinyHunters同谋”的声明。官方尚未在公开声明中点名确认上述身份。
此前分别在荷兰与约旦逮捕两人，其中一人涉嫌窃取FBI数据 自9月下旬FBI求职网站入侵消息曝光以来，这是第三起公开宣布的相关逮捕。
此前，“暗网下/AWX”曾报道，荷兰当局宣布逮捕一名男子，其身份为荷兰人佩皮恩·范德斯塔普（Pepijn van der Stap）。此人曾因数据窃取服刑，获释后一度以网络安全从业者身份示人，并被指与ShinyHunters调查有关。FBI网络事务助理局长Brett Leatherman曾称其为该团伙“涉嫌领导人之一”，并指该团伙及同谋自去年以来涉嫌入侵140多家机构、取得至少7000万美元勒索款项。
近期，暗网论坛上出现两篇广告帖子，声称掌握大量《我的世界》（Minecraft）玩家数据并对外出售。其中一则宣称有1800万条用户记录待售，另一则称约900万条。网络安全媒体Cybernews研究人员检查了攻击者提供的免费样本后发现，两份据称不同的数据集实际对应同一批约1000条记录，且更符合信息窃取木马（infostealer）汇总数据的特征，而非微软或Mojang核心基础设施遭直接入侵。
暗网论坛上宣称售卖《我的世界》玩家信息 两则售卖广告帖子均发布于暗网论坛PwnForums，威胁行为者“Feel”在一篇帖子中声称出售1800万条用户记录，而另一篇帖子给出较为克制的900万条数字。该黑客名为“Feel”，个人签名留下一个属于其个人的暗网网页：http://udodnxrzvmgv3ukdrwo7v6y25iulg7abamo7gkq4rgikuqan2hxapuyd[.]onion，称自己很疯狂，并留下一张图片URL（https://ibb.co/LzxcbNfm）：
Minecraft （《我的世界》）是一款很流行的游戏，由马库斯·”Notch”·佩尔松（Markus “Notch” Persson）创建，Mojang Studios开发，每月活跃玩家超过2.12亿。
Cybernews研究人员对两篇帖子附带的样本进行了比对，发现所谓不同数据集实为相同的约1000条记录。样本中包含用户名、电子邮箱，部分记录还带有密码哈希。记录似乎来自特定多人游戏服务器，仅样本中就出现了3个不同的服务器。
研究人员表示，仅凭样本无法判断数据集究竟有多旧，因为没有时间戳；也无法仅凭样本断定真实规模是否达到1800万或900万条。两份样本高度重叠，也使人怀疑卖家是否在兜售同一批数据。
数据来源可能与俄罗斯相关恶意软件有关 攻击者如何进入、如何将数据带出，目前仍不清楚。样本中除用户名与邮箱外，部分记录含密码哈希，且有些哈希在不同用户间重复出现。
Cybernews研究团队发现，样本中的邮箱出现在Have I Been Pwned等数据库中，并在多份信息窃取木马组合列表（combo lists）中被引用。这提示数据来源更可能是信息窃取类恶意软件，而非一次性从《我的世界》官方基础设施中批量导出。
Escudo Digital的报道也指出，分析人员认为信息至少来自三台具体的《我的世界》服务器，因此排除了对Mojang Studios或微软中央服务器的入侵。微软迄今未就此事发布官方声明，也未公开确认或否认相关事件。
2025年，Check Point Research曾发现约1500台设备感染疑似源自俄罗斯的恶意软件，专门针对《我的世界》玩家。该恶意软件通过恶意GitHub仓库传播，伪装成模组、外挂或社区常用自动化工具，会从浏览器中收割玩家凭证，以及加密货币钱包、Discord、Steam、Telegram等应用中的数据。
那一轮活动为当前的售卖提供了可能的背景，但并不能证明与本次售卖帖存在直接关联。
更可能是信息窃取木马，而不是从服务器窃取的数据库 《我的世界》拥有庞大的模组、插件与自定义服务器生态，既方便合法改造，也容易滋生恶意软件。Cybernews研究人员称：“我们现在分析的列表看起来完全来自多人服务器，因此可能存在服务器侧的恶意模组。”
他们同时指出，服务器侧通常能拿到的是用户名、IP地址、连接时间等；邮箱与密码更难用普通服务器遥测解释。“游戏社区里恶意模组并不少见，但我们无法在此指认任何具体模组。”
综合判断，新近挂售样本中的数据，更像是从信息窃取木马组合列表中拼装而来，而不是《我的世界》核心基础设施遭遇一次直截了当的大规模失窃。对玩家而言，更现实的风险仍是撞库与针对复用密码的社工；在官方尚未证实的情况下，不宜将事件直接等同于微软或Mojang主系统被攻破。
研究人员指出，若邮箱与用户在其他平台重复使用的密码配对，暴露数据可能被用于撞库（credential stuffing）与社工诈骗。犯罪分子会拿以往泄露中的用户名与密码组合，到其他服务上试登录，赌用户在多处复用同一套凭证。
10月1日晚间，孟加拉国内政部长萨拉赫丁·艾哈迈德（Salahuddin Ahmed）表示，孟加拉国正在组建一支拥有4592名人员和专家的专门网络警察部队，其任务是打击网络犯罪、加强数字安全和提升技术型调查能力，其中包括加密货币、恶意软件和暗网分析师的职位。
10月1日下午，萨拉赫丁部长在首都警察总部的廉政大厅为该部门揭幕，在就职典礼后的新闻发布会上，部长表示，该部门的成立是为将警察队伍转型为一支依靠技术和知识来应对不断变化的犯罪模式和人工智能日益增长的应用而做出的努力的一部分。
部长说：“新成立的部门将由一名新的警务总监领导，副总警监伊克巴尔·侯赛因已被任命负责新成立的部门。数名副警务总监和高级副警务总监将在分局和总部任职。警衔为警司的警官将被部署到区级警务部门。”
他还补充说，还将在警察局增派副督察、助理副督察和警员，在主管警官的领导下提供网络安全相关服务和开展调查。
萨拉赫丁表示：“根据已批准的组织结构图，该单位的总人数目前已确定为4592人。初期将从现有警队中挑选经验丰富、训练有素的成员调派至该单位，其余人员将通过新招募的方式补充到位。”
内政部长表示，新成立的部门将配备现代化的网络相关工具，并发展成为一个以技术和人才为驱动的组织。
该部门还将以外包或合同方式招募高技能专家，以确保在传统警察结构之外获得国际标准的专业技术。在新闻发布会上，萨拉赫丁部长表示，将招聘专家担任专业职位，包括系统分析师、金融数据分析师、网络安全专家、应急响应顾问、网络管理员、灾难恢复专家、内容开发人员、加密分析师、恶意软件分析师、暗网分析师、通信专家和社交媒体分析师。
萨拉赫丁表示，专家可以按合同聘用，其薪资和福利结构将与普通警务人员不同。他们将获得单独的、有吸引力的薪酬结构，并补充说，具备相关技能或有兴趣接受相关培训的警员也将加入该部门，合适的警员还将在国内外接受高级培训。
萨拉赫丁表示：“已为负责监督和管理该部门的高级官员安排了国内外的高级专业培训。”并补充说，还将根据官员和专家的工作和贡献，向他们提供特别奖励。
萨拉赫丁在谈到该部门的实验室和基础设施时表示：“近年来，人工智能和网络相关活动有所增加。除了传统方法外，现在还需要更多地利用取证和数字技术来打击犯罪。”
部长强调，在处理洗钱、社会保障问题、基于社交媒体的犯罪、谣言、金融犯罪、赌博、毒品和恐怖主义等问题时，数字实验室和取证实验室以及化学实验室的需求变得越来越重要。他补充说，考虑到这一现实，网络警察部门正在建立一个配备先进技术和网络设备的数字取证实验室。
部长表示，以前，打击网络犯罪的方式很零散，导致缺乏协调。新成立的部门将把这些活动纳入一个有组织的框架下，消除协调不畅的问题。他表示希望，成立这个专门机构能够帮助成功打击和预防孟加拉国滥用网络空间和各种形式的网络犯罪。
内政部长还表示，网络安全法现代化改革工作正在进行中。他指出，已就该法修订事宜多次与记者、编辑和相关专家进行磋商，并将继续征求他们的意见。
萨拉赫丁说：“新法律正在起草中，旨在更具体地界定网络犯罪。同时，维护宗教和社会和谐也是需要考虑的因素。”他还补充说，修正程序也在考虑采取保障措施，以确保无辜者或与案件无关的人不会因滥用法律而受到骚扰。萨拉赫丁表示：“这是一项非常敏感的法律，所以我们需要时间。在与各方讨论之后，我们会提交这项法案。”
孟加拉国警方已经做好打击网络犯罪的准备 网络犯罪不再局限于电脑屏幕，它已成为公共安全、金融安全和国家主权面临的核心挑战。随着孟加拉国深入迈入数字时代，该国警方必须学会应对那些可能永远不会出现在犯罪现场、不留任何指纹且远在千里之外活动的犯罪分子。
提升警务人员打击网络犯罪的技能和能力是不可或缺的。人工智能、深度伪造技术、加密通信系统和云计算为社会开辟了前所未有的新机遇。但与此同时，这些技术也为犯罪分子提供了更强大的工具，让他们能够进行欺骗、盗窃、勒索和操纵。
网络诈骗、网络金融犯罪、数据盗窃、黑客攻击、数字勒索和网络骚扰早已是现代犯罪的常见特征。深度伪造技术又增添了一个新的令人不安的维度，它允许使用伪造的音频、视频和图像来损害声誉、散布虚假信息或实施诈骗。犯罪分子在技术上变得越来越灵活。问题在于，负责打击犯罪的机构是否跟上了时代的步伐。
对孟加拉国而言，答案并非仅仅在于招募更多警力或购置更先进的设备。该国需要从根本上转变对网络犯罪的理解、调查和起诉方式。
这一转变对孟加拉国警察而言意义非凡。在前威权政权垮台后，该机构正处于重建的关键阶段。多年来，警察队伍的政治化以及其被用于与专业执法相去甚远的目的，严重损害了公众对警队的信任。如今的挑战不仅在于恢复其机构能力，更在于将其重建为一支专业、负责、以人为本的队伍。
网络犯罪防范应该是重建过程中不可或缺的一部分。
随着犯罪活动日益向数字领域转移，现代警力不能再主要依赖传统的侦查手段。网络调查员需要掌握截然不同的技能。理解数字证据、追踪在线交易、分析电子设备、识别恶意软件、处理加密通信以及为法庭诉讼保存证据，这些都是专业性很强的学科。
因此，训练不应被视为偶尔的演习或仪式性的活动，而应成为警务人员专业发展中持续性的组成部分。
这一点的重要性怎么强调都不为过。对于孟加拉国这样幅员辽阔的国家来说，仅仅依靠少数训练有素的网络调查员是远远不够的。通过专业培训获得的知识必须在整个警队体系内推广。接受过高级培训的警官应该成为培训员，从而产生倍增效应，大幅扩大能够处理网络犯罪案件的调查人员队伍。
这一点在达卡以外的地区尤为重要。网络犯罪不分地域。偏远地区的受害者可能因身处国外的诈骗分子而蒙受损失。当地企业可能成为勒索软件的攻击目标。年轻人可能成为网络骚扰或敲诈勒索的受害者。然而，调查专业知识和技术资源仍然不成比例地集中在主要城市中心。
因此，真正现代化的网络警务战略必须分散专业知识。区级警务单位需要获得训练有素的人员、法证设施和适当的技术资源。应建立清晰的机制，用于移交数字证据、寻求专家协助以及协调跨辖区调查。网络犯罪部门不应在警务体系中孤立运作。
“暗网下/AWX”认为，孟加拉国还需要加强警方、金融机构、电信运营商、科技公司和其他相关机构之间的合作。许多网络犯罪都涉及数字支付系统、移动金融服务、社交媒体平台、云基础设施或电信网络。任何单一机构都无法有效应对此类犯罪。
此外，“暗网下/AWX”觉得，国际合作同样至关重要。网络犯罪分子经常利用警方无法逾越的国界。诈骗分子可能身处一国，利用另一国的基础设施，并以第三国的受害者为目标。证据可能存储在地球另一端的服务器上。因此，有效的调查需要建立跨境信息共享机制、司法互助机制以及与国际执法机构的合作机制。
但单靠技术无法解决这个问题。
孟加拉国警察的重建也必须解决信任问题。如果缺乏充分的法律保障、问责机制和对基本权利的尊重，强大的网络警务机构可能会变得危险。打击网络犯罪绝不能成为不必要的监视、任意获取私人通信或压制合法言论的借口。
对于一个刚刚走出执法机构因政治滥用而饱受诟病的时期的国家而言，这一点尤为重要。新的警队必须证明，技术力量的运用将依法进行，而非受政治指令的驱使。
数字证据也给司法系统带来了挑战。调查人员可能会收集到海量的电子信息，但检察官和法院必须具备理解和评估这些信息的能力。数字证据的保管链必须得到妥善维护。调查人员不仅需要知道如何获取证据，还需要知道如何维护证据的完整性，使其能够经受住司法审查。
因此，政府应考虑制定一项全面的国家网络警务战略，将警察培训、数字取证、起诉、司法能力、国际合作和公众意识结合起来。
人员招聘是另一个值得关注的领域。警方应该能够吸引具备计算机科学、网络安全、数据分析和数字取证等专业技能的年轻人才。传统警务和技术专长不应泾渭分明，而应融合在一起。
人工智能本身可能成为这一变革的重要组成部分。人工智能可以协助调查人员分析大型数据集、检测模式、识别可疑交易并处理数字证据。但警务人员也必须了解人工智能的局限性。深度伪造技术和人工智能生成的证据使得核实比以往任何时候都更加重要。照片、录音或视频不能仅仅因为看起来真实就自动被视为证据。
因此，未来的警察必须既具备技术能力，又具备健全的智力。
提高公众意识应成为该战略的另一支柱。许多网络犯罪之所以得逞，是因为受害者缺乏基本的网络安全知识。警方可以在教育公民防范网络钓鱼、金融诈骗、身份盗窃、恶意链接和网络勒索方面发挥更大作用。预防永远比犯罪发生后的调查更为重要。
因此，摆在孟加拉国警方面前的机遇远不止于组建网络犯罪部门，更是一次重新定义现代警务意义的契机。
当前制度重建进程中涌现出的力量不应以数字化的形式重蹈覆辙，重蹈覆辙。它应当专业化而非政治化，技能娴熟而非被动应对，负责任而非随意行事，并且拥有先进的技术能力，同时又不牺牲公民的权利。
网络犯罪将不断演变。犯罪分子会学习新技术，利用新平台，并发明新的欺骗手段。如今行之有效的警务培训，明天可能就过时了。
解决之道并非在犯罪分子已经掌握新技术之后才去追逐它，而是要建立一个能够持续学习的机构。
这应该是孟加拉国警察重建的一个决定性目标：建立一支不仅能够维护现实世界街道秩序，还能在日益复杂的数字世界中保护公民的队伍。
中国向孟加拉国提供支持以协助打击网络犯罪 10月6日，孟加拉国警察总监穆罕默德·阿里·侯赛因·法基尔在首都警察总部会见了由中国驻孟加拉国大使馆临时代办兼副馆长刘玉印率领的中国大使馆代表团。会晤期间，中国代表团表示愿意协助孟加拉国警方打击网络犯罪，特别是通过专门培训、技术支持、后勤援助以及专业知识和经验交流等方式。
双方还讨论了加强孟加拉国和中国执法机构之间的合作，尤其强调信息共享和共同努力打击技术驱动型犯罪。此外，电信诈骗和其他形式的网络犯罪也是讨论的重点。
双方都强调了交流信息和行动经验的重要性，并在必要时开展合作，以打击此类犯罪。预计中方提出的援助将侧重于提高孟加拉国警方应对日益复杂的网络威胁的技能和技术能力。
会议还强调了两国有兴趣通过能力建设、培训和技术合作，在网络犯罪预防领域发展长期合作。孟加拉国警方高级官员出席了会议。
欧盟与孟加拉国警方讨论技术援助、网络犯罪和能力建设等议题 9月29日，欧盟驻孟加拉国大使迈克尔·米勒在孟加拉国达卡警察总部会见孟加拉国警察总监穆罕默德·阿里·侯赛因·法基尔，首要议题是：“加强技术援助和专业知识共享”，以提高孟加拉国警察的能力。
双方讨论了扩大在机构能力建设、现代化和技术驱动型警务、侦查和取证能力、网络犯罪预防、信息共享和法律合作等方面的合作。他们还强调了在打击恐怖主义和人口贩运、保护受害者以及确保性别敏感警务方面的合作。
会议重点关注欧盟通过专家交流、培训、技术转让和机构咨询援助等方式，为加强孟加拉国警察队伍建设，使其成为一个现代化、专业化、技术导向且以公民为中心的执法机构提供支持。
双方均对进一步扩大孟加拉国警察与欧盟之间的合作表示乐观，重点是可持续的能力建设。
率领三名欧盟成员的米勒还赞扬了孟加拉国警察在8月5日之后维护该国法律和秩序的专业精神和奉献精神。孟加拉国高级警官出席了会议。
英国国家犯罪调查局（NCA）前官员保罗·乔尔斯（Paul Chowles）因在暗网相关案件中盗取已查扣的比特币，被利物浦刑事法院判处五年半监禁，并被英国皇家检察署（CPS）依据《2002年犯罪收益法》取得没收令，须归还逾180万英镑。案件涉及他在参与暗网非法交易调查时，将涉案加密货币转入个人控制，后因链上追踪被揭发；而比特币价格大幅上涨，使追缴金额远高于作案时比特币的价值，从而引发了广泛关注。
利用职务便利盗取涉案比特币的案件背景 乔尔斯来自布里斯托尔，案发时在英国国家犯罪调查局（NCA）任职。据BBC报道，2013年他参与针对在暗网网站“丝绸之路1号”（Silk Road 1）上销售非法商品的有组织犯罪网络的调查。该行动导致托马斯·怀特（Thomas White）被捕，怀特在美国联邦调查局关闭“丝绸之路”原站后不到一个月内上线备用网站，怀特于2019年4月被判监禁64个月。
英国皇家检察署的通报则将该案与暗网市场“丝绸之路2.0”（Silk Road 2.0）调查相联系。无论具体平台表述如何，乔尔斯均作为办案团队成员，参与从扣押数字设备中分析、提取加密货币等工作，熟悉涉案资产处置流程，并实际接触被查扣的加密货币钱包。
调查中，执法部门从怀特处依法查扣了97枚比特币。这些加密货币属于明确的涉案资产，本应依规封存与处置。随后发现，其中50枚比特币已从数字钱包中被转出。NCA最初一度怀疑是怀特自己在羁押期间以某种方式动用了加密货币钱包，但怀特予以否认。默西赛德郡警方随后对失窃的比特币展开调查。
盗取与转移涉案比特币后被捕的过程 调查发现，乔尔斯利用职务之便，将50枚比特币从已没收钱包中转出，并拆成较小数额、通过多笔加密货币交易转入不同账户，试图掩盖资金轨迹。警方在其办公场所发现多本笔记本，内有与怀特加密货币账户相关的用户名、密码及对账单等记录。
按作案时的市场价格，这50枚比特币约值6万英镑（约合8万美元）。乔尔斯还变卖部分比特币，将所得用于个人消费。2022年5月，乔尔斯被逮捕。执法部门最终追回其中30枚比特币，另有20枚已被变卖，无法原币追回。
默西赛德郡警方部队情报处侦缉总督察约翰·布莱克（John Black）表示，此案以最鲜明的方式说明“没有人可以凌驾于法律之上”。“一名本应调查并阻止犯罪的执法人员，自己卷入同类犯罪，会令所有人极度失望。他利用在调查中的职位中饱私囊，并设计自认为能掩盖痕迹的计划，但他错了。”
按当前价格追缴逾180万英镑 乔尔斯承认盗窃、转移犯罪财产及隐匿犯罪财产等罪名。2025年7月，利物浦刑事法院对其判处五年六个月监禁。法庭指出，其身为专职执法人员，却利用公职侵占已查扣的涉案资产，并通过转移、隐匿等行为构成洗钱相关犯罪，严重损害司法公正与公职人员公信力。
英国国家犯罪调查局（NCA）已于2025年7月11日将其正式除名，撤销其公职身份。
监禁判决之后，追缴程序继续推进。2026年9月30日，英国皇家检察署犯罪收益司宣布，已成功取得针对乔尔斯的没收令，金额为1,810,678.93英镑。该金额包含已追回的30枚比特币按当前市场价格计算的价值。
皇家检察署强调，盗窃发生时50枚比特币约值6万英镑；由于比特币价格大幅上涨，没收令按追缴时的价值核算，以确保犯罪所得无法继续为犯罪人带来利益。金融调查人员追踪了其犯罪收益，并配合没收程序，防止其继续从犯罪中获利。
皇家检察署犯罪收益司专案检察官卢克·克莱门茨（Luke Clements）表示：“保罗·乔尔斯利用受信任的职位谋取私利，盗取了执法行动已收缴的资产。没收令是确保‘犯罪无利可图’的有力工具。今天的命令发出明确信号：我们将持续追讨犯罪人的资产，并尽力追回无论藏在何处的犯罪收益。犯罪收益司将继续与执法伙伴紧密合作，查明犯罪收益并采取有力措施剥夺犯罪利润。”
通报还指出，已就本案受害人作出赔偿令，相关款项将用于支付其未了结的没收令。过去五年，皇家检察署犯罪收益司通过没收令追回逾5.3亿英镑，其中逾1.02亿英镑以赔偿形式返还犯罪受害人。
该案件具有重要意义 从作案时价值约6万英镑，到没收令超过180万英镑，金额差距反映了加密货币价格波动对追缴结果的影响。“暗网下/AWX”看到，英国司法机构在本案中适用了《2002年犯罪收益法》，以追缴时的市场价值核定非法所得，避免“按作案时低价赔付”造成的实质获利空间。
该案件同时暴露了早期查扣加密资产在保管、权限与内部监督上的风险：去中心化、可链上转移的特性，一旦内部人员滥用职务，即可能造成资产流失。另一方面，链上追踪与犯罪收益没收机制的结合，提高了此类职务犯罪的违法成本。
乔尔斯案也成为英国公职人员涉加密资产犯罪的重要判例，对执法机关内部加密资产管理与外部追缴实践均具有重要的警示作用。
Tor项目已发布Tor浏览器15.0.24，可从Tor浏览器下载页及官方分发目录获取。该版本包含针对Firefox的重要安全更新。与此同时，Windows用户在全新安装时可能遇到安装包签名警告。Tor项目在X上发布公告进行说明，这是由于用于签署Windows安装包的证书过期，并已采取临时措施，避免用户被过期证书提示困扰。
Noticed a warning when installing Tor Browser for Windows? ⚠️ Our installer’s signing certificate expired. While we renew it, our website will serve version
15.0.20 for Windows users. After installation and on first run, the browser will download the latest version and install it…
— The Tor Project (@torproject) September 29, 2026 Tor浏览器的Windows安装包遇到签名问题 Tor项目用于签署Windows安装包的DigiCert EV代码签名证书自9月1日起过期，目前正在办理续期，但流程尚未完成。受此影响，从头开始安装Tor浏览器15.0.21与15.0.22的Windows用户会收到“签名无效”或类似警告。
作为临时解决方案，Tor项目在官网下载页面针对Windows用户暂时继续提供已正确签名的最新版本15.0.20。用户安装并首次运行后，浏览器会通过自动更新机制下载最新版本，并在下次启动时完成安装。自动更新使用的是另一套密钥，不依赖这枚已过期的证书，因此可避开过期证书警告。
若用户希望直接下载最新版、并自行判断是否忽略证书过期提示，可从官方分发目录获取15.0.24：
https://dist.torproject.org/torbrowser/15.0.24/
15.0.24版本最新更新的内容 相对15.0.23，15.0.24的主要变更包括：
全平台方面，NoScript更新至13.6.35.1984，Tor更新至0.4.9.13；将Tor浏览器稳定版变基到Firefox 140.17.0esr；回传Firefox 157的安全修复；处理NoScript站点解析中的onion别名问题；以及为内容补丁传播挂钩CharacterData/Range插入相关接口。
Windows、macOS与Linux桌面版将Firefox更新至140.17.0esr，并实现2026年年终筹款（YEC）相关桌面稳定版展示。Linux方面还调整了32位版本在15.0最终版上的过期提示文案。Android版将GeckoView更新至140.17.0esr，并实现对应的年终筹款展示。
构建系统方面，所有平台的发布均改用新gpg子密钥签名；macOS构建中修复了hfsplus-tools项目配置里的sha256sum定义问题。
本次发布使用了新的PGP子密钥进行签名。若用户以往用gpg校验Tor浏览器下载包，可能需要在本地密钥环中刷新Tor浏览器签名密钥（0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290）。具体步骤可参考Tor项目关于签名验证的说明页面中“刷新PGP密钥”一节。
用户发现新版本Tor浏览器的问题可随时反馈 若发现缺陷，或对如何改进本版本有建议，可通过Tor项目支持渠道提交反馈。完整变更日志可在Tor项目GitLab上的ChangeLog文件中查阅。
荷兰警方与美国联邦调查局（FBI）合作，逮捕一名24岁的网络罪犯，他涉嫌协助臭名昭著的黑客组织ShinyHunters进行数据窃取和勒索。多方消息指认其为荷兰人佩皮恩·范德斯塔普（Pepijn van der Stap）。逮捕发生在约9月15日至16日，时间早于ShinyHunters公开宣称入侵FBI求职网站并窃取人员数据。FBI网络事务助理局长布雷特·莱瑟曼（Brett Leatherman）随后发布一段关于ShinyHunters调查的简短视频声明，将嫌疑人描述为该组织“涉嫌领导人之一”，并警告仍在逃的其余ShinyHunters成员尽早投案。
Today, our partners at the Dutch National Police announced the arrest of one of the alleged leaders of ShinyHunters, a group linked to cyberattacks in the United States, the Netherlands, and around the world.
The Dutch High-Tech Crime Unit arrested the suspect under Dutch law.… pic.twitter.com/EdfWJpVx2n
— FBI Cyber Division (@FBICyberDiv) September 29, 2026 ShinyHunters是一个活跃的网络勒索组织，成员遍布全球。他们经常入侵公司系统窃取敏感数据，然后威胁称，除非支付赎金，否则就会将这些数据泄露到暗网上。上周，ShinyHunters在其网站上宣布，他们入侵了FBI的招聘门户网站，并窃取了大量特工的个人信息。该组织要求FBI撤回5月份发布的关于他们的公共服务公告，并设定了9月29日的最后期限。不过，“暗网下/AWX”看到，ShinyHunters已经明确表示不会公布窃取的FBI数据。
荷兰警方的逮捕行动与官方表态 荷兰国家警察高科技犯罪调查部门根据荷兰法律执行逮捕，荷兰警方在Twitter/X上发表的声明中证实，一名来自阿姆斯特丹的24岁男子因与ShinyHunters调查有关而被捕，并将于9月29日星期二在鹿特丹地方法院出庭。法院已裁定至少羁押90天。警方表示，在其笔记本电脑上发现大量信息，其中包括关于境外两起谋杀的相关内容，并指有迹象显示嫌疑人曾下达相关指令；该部分与ShinyHunters案件分开处理。
FBI网络事务助理局长布雷特·莱瑟曼在官方视频中说，荷兰高科技犯罪调查部门在FBI全力支持下迅速行动，以保护受害者并保全关键证据。他表示，自去年以来，该网络犯罪分子及其同谋涉嫌入侵140多家机构，并取得至少7000万美元勒索款项收益。他们常以云平台第三方供应商为目标，窃取敏感数据并以公开相要挟。
莱瑟曼同时向仍在逃的ShinyHunters成员喊话：“你们已经知道同事被捕。我们相信你们看到或听到了公众尚未知晓的情况。其他团伙曾以为匿名或朋友能保护他们，结果错了。逮捕行动会改变谁愿意开口，查获的基础设施也会让我们看清还剩下哪些人。你们待在这里的时间越长，我们对你的了解就越多。你们知道如何找到我们，我们也知道怎么找到你们。我建议你们先联系我们，趁选择权还在自己手里。”
荷兰警方未公开点名。KrebsonSecurity援引三名知情人士指认嫌疑人为范德斯塔普；路透社亦援引其所在公司Neo Security负责人Benjamin Korper的说法，确认被带走的是该公司进攻性安全负责人范德斯塔普。
据两名知情人士透露，范德斯塔普于9月16日左右被荷兰当局逮捕，并一直被拘留接受讯问。其中一位消息人士称，他们的同事亲眼目睹荷兰当局从范德斯塔普的住所搬走物品。还有报道透露，9月15日晚荷兰警方调查人员曾到该公司办公室，逮捕行动中使用了闪光震撼弹。
周二，在鹿特丹举行的听证会上，尽管有报道称一名男子是涉嫌黑客，但荷兰警方仍未公布其姓名。警方也否认了逮捕的嫌疑人与荷兰电信公司Odido遭黑客攻击有关的说法。当天，法院下令将嫌疑人继续拘留 90 天。
网络犯罪分子正将高价大型语言模型（LLM）的访问权与算力本身变成可交易的地下商品，试图利用昂贵的大型语言模型进行敲诈勒索、战争和间谍活动。谷歌威胁情报小组（Google Threat Intelligence Group，GTIG）首席分析师约翰·赫尔奎斯特（John Hultquist）在接受《金融时报》采访时表示，网络安全部门在2026年观察到的“LLM劫持”（LLM-jacking）已出现显著增长，既包括倒卖公共人工智能（AI）服务的被盗登录凭证，也包括窃取企业云算力或者在他人基础设施上免费运行自有模型。
谷歌威胁情报小组同时观察到，具有前瞻性的攻击者正从基本的提示式攻击过渡到智能体AI工作流程和 AI 赋能的自动化攻击。GTIG观察到，出于各种动机的攻击者会攻击专有人工智能模型和源代码，窃取应用程序编程接口 (API) 凭证，并劫持受害者的云环境以支持未经授权的人工智能工作负载。GTIG称，2026年第二季度主要趋势包括： 软件供应链风险不断扩大：人工智能辅助编码工具和开源软件的集成加快了软件开发周期，但也增加了运营风险，威胁行为者积极以开发人员、人工智能编码助手和LLM安全扫描工具为目标。 针对专有AI IP：GTIG观察到，针对医疗保健、政府和媒体等各行业的专有 AI 模型、代码、提示和研究的攻击者越来越多。 向智能体人工智能和自动化转变：对手正在部署多智能体框架，这些框架能够自主管理扫描管道、解决操作错误并大规模执行凭证收集。 多阶段生命周期增强：国家支持的犯罪集团和网络犯罪组织持续利用人工智能技术作为攻击生命周期各阶段的增幅器，从目标侦察和社会工程诱饵的创建，到定制恶意软件混淆和后渗透故障排除。他们还在尝试扩大信息战（IO）活动的规模。 非法账户获取和 LLM 劫持：为了规避访问成本，攻击者窃取开发者凭证，购买被入侵的 AI 平台账户，并劫持企业云基础设施来运行未经授权的高性能计算工作负载。 什么是LLM劫持 LLM劫持可理解为针对大语言模型资源的新型滥用：攻击者通过窃取账号、API密钥或入侵企业云服务器，获得本应由付费用户或企业承担成本的先进AI能力。其逻辑与早年的“加密劫持”（cryptojacking）类似——后者是盗用他人机器挖矿，前者则是盗用他人账户与算力来跑AI推理或训练。
Hultquist拥有约20年网络安全经验，他对《金融时报》表示：“我们在地下世界看到的是，围绕AI访问权正在形成一种不断扩张的经济。”他警告，廉价获得昂贵AI资源，会给攻击者相对防御方的经济与效率优势：“归根结底，所有这些行为让他们相对我们拥有某种经济或效率上的优势，因为他们能以低得多的价格拿到这些token。”
暗网以最高约97%折扣出售AI访问权 谷歌威胁情报中心的研究人员发现，暗网上的交易平台正在出售Anthropic、OpenAI、谷歌等公司模型的访问权限，折扣最高可达约97%。ChatGPT与Claude等最高级版本的AI订阅费用单用户每月费用可高达约200美元，被盗凭证因此成为对从事网络犯罪的买家有吸引力的商品。
由于这些大型AI实验室会监控滥用并封禁异常账户，部分卖家已推出类似“售后保障”的机制：若初始账号被封，承诺免费提供新的凭证，以维持所谓“有保障的访问”。这一安排使地下供应链更具韧性，也令单纯的封号措施更难从根本上切断供给。
Hultquist指出，攻击者针对AI账户与计算资源的行动今年明显增多。随着更多企业自建或部署AI系统，此类犯罪的门槛进一步降低，并可能被用于网络犯罪、间谍活动及其他恶意用途。
从倒卖账号到直接盗用企业算力 除了转售被盗账号，另一类手法更为直接：犯罪团伙以及部分有国家背景的黑客组织入侵企业托管在云上的服务器，在目标系统上直接部署自有AI模型。算力费用由受害企业承担，资源却完全服务于攻击方。这种方式与早些年威胁行为者试图入侵第三方机器挖掘加密货币的方式如出一辙。
Hultquist强调，这种模式的危险不仅在技术层面，也在成本结构的不对称：攻击方能以远低于正常市场价的成本获得算力，防御方却须按全价建设防护体系。
Hultquist追踪国家支持的黑客组织已有二十年之久。2014年，他曝光了一名活跃的俄罗斯黑客组织“沙虫”（Sandworm ）的活动，并在两年后将其与乌克兰电网遭受的史无前例的攻击联系起来。
Anthropic最新季度AI滥用报告与上述趋势相互印证。报告显示，威胁行为者曾试图在包括美国、英国、也门等二十多个国家利用其Claude工具从事恶意活动。Hultquist的判断很直接：“每一个威胁行为者都在使用AI。”他补充说，因此人工智能工具必须成为网络安全未来不可或缺的一部分。
“任何认为人工智能只是一时的潮流，并想让它对自身造成影响的人，总有一天会发现自己被淹没在水里，”他说。“他们会面临比以往任何时候都多的事故、警报和攻击。我们现在必须整顿好自己。”
企业自建AI基础设施成为新目标 越来越多大型企业选择自建服务器部署定制AI模型，而不是单纯向云厂商租用算力。Hultquist警告，任何为算力付费的企业——尤其是算力支出较高的企业——在威胁行为者眼中都是“重要的潜在资源”。
他特别指出，企业刚完成AI基础设施部署后的一段时间，往往是攻击者最容易“混进去”的窗口期：新系统本身会推高算力使用，安全团队容易把异常流量误判为正常业务增长。这种“噪声”为攻击者提供了掩护，使其活动淹没在算力消耗上升之中而不易触发警报。
过去，算力突然飙升常被视为加密货币挖矿劫持的典型信号；如今企业主动引入AI，意味着算力消耗本身就会结构性增长，要区分合法使用与恶意占用变得更加困难。
网络犯罪威胁行为者凸显开源供应链风险日益增长 由以经济利益为目的的威胁组织 UNC6780（TeamPCP）发起的攻击行动凸显了威胁组织利用人工智能和开源供应链的日益猖獗。自2026年3月以来，UNC6780已针对包括PyPI、npm和Docker Hub在内的多个开源软件生态系统，实施了一系列大规模的开源软件供应链入侵。在首次入侵后，UNC6780通常会部署凭证窃取程序来获取专有数据和凭证，然后通过直接出售被盗数据或与勒索软件和数据窃取团伙合作来牟利。UNC6780恶意软件的曝光、明显的成功以及开源发布，很可能会促使其他攻击者效仿这些策略。 除了将人工智能环境和软件依赖项作为初始访问途径外，UNC6780还会收集人工智能工具的凭证以及其他凭证，并攻击特定的人工智能资产。在一次案例中，Mandiant公司遭遇了网络入侵，UNC6780先建立了初始访问权限，然后将访问权限移交给另一名攻击者，后者随后使用LAPSUS品牌发出勒索要求。证据表明，UNC6780为该公司专有的人工智能代码库创建了一个恶意GitHub Actions工作流，并且勒索者窃取了该人工智能代码库的副本。 除了上述已展示的策略外，UNC6780还实施了六种以上的不同方法来攻击或利用人工智能工具和开源软件开发实践。其中一些功能被嵌入到其DUSTMAKER凭证窃取恶意软件中。
地下市场的组织化与专业分工 从暗网活跃程度看，AI资源已不只是黑客手中的“工具”，而在演变为可交易、可囤积、可转售的“资产”。卖家提供的“有保障访问”本质上是一种商业化的风险对冲，说明这条供应链已具备相当程度的组织化与专业化。
“暗网下/AWX”认为，对AI公司与云服务提供商而言，这意味着安全投入需从“监控滥用”进一步上升到“对抗有组织的资源盗窃”。对企业用户而言，部署AI基础设施必须与算力异常检测能力同步建设，以免在数字化转型过程中为网络攻击者打开方便之门。
Hultquist还表示，AI工具必将成为未来网络安全的组成部分。在攻击方已普遍使用AI的背景下，防御方若不能以同等或更高效率运用这些能力，将在速度与成本上持续处于被动。