网络犯罪分子正将高价大型语言模型（LLM）的访问权与算力本身变成可交易的地下商品，试图利用昂贵的大型语言模型进行敲诈勒索、战争和间谍活动。谷歌威胁情报小组（Google Threat Intelligence Group，GTIG）首席分析师约翰·赫尔奎斯特（John Hultquist）在接受《金融时报》采访时表示，网络安全部门在2026年观察到的“LLM劫持”（LLM-jacking）已出现显著增长，既包括倒卖公共人工智能（AI）服务的被盗登录凭证，也包括窃取企业云算力或者在他人基础设施上免费运行自有模型。
谷歌威胁情报小组同时观察到，具有前瞻性的攻击者正从基本的提示式攻击过渡到智能体AI工作流程和 AI 赋能的自动化攻击。GTIG观察到，出于各种动机的攻击者会攻击专有人工智能模型和源代码，窃取应用程序编程接口 (API) 凭证，并劫持受害者的云环境以支持未经授权的人工智能工作负载。GTIG称，2026年第二季度主要趋势包括： 软件供应链风险不断扩大：人工智能辅助编码工具和开源软件的集成加快了软件开发周期，但也增加了运营风险，威胁行为者积极以开发人员、人工智能编码助手和LLM安全扫描工具为目标。 针对专有AI IP：GTIG观察到，针对医疗保健、政府和媒体等各行业的专有 AI 模型、代码、提示和研究的攻击者越来越多。 向智能体人工智能和自动化转变：对手正在部署多智能体框架，这些框架能够自主管理扫描管道、解决操作错误并大规模执行凭证收集。 多阶段生命周期增强：国家支持的犯罪集团和网络犯罪组织持续利用人工智能技术作为攻击生命周期各阶段的增幅器，从目标侦察和社会工程诱饵的创建，到定制恶意软件混淆和后渗透故障排除。他们还在尝试扩大信息战（IO）活动的规模。 非法账户获取和 LLM 劫持：为了规避访问成本，攻击者窃取开发者凭证，购买被入侵的 AI 平台账户，并劫持企业云基础设施来运行未经授权的高性能计算工作负载。 什么是LLM劫持 LLM劫持可理解为针对大语言模型资源的新型滥用：攻击者通过窃取账号、API密钥或入侵企业云服务器，获得本应由付费用户或企业承担成本的先进AI能力。其逻辑与早年的“加密劫持”（cryptojacking）类似——后者是盗用他人机器挖矿，前者则是盗用他人账户与算力来跑AI推理或训练。
Hultquist拥有约20年网络安全经验，他对《金融时报》表示：“我们在地下世界看到的是，围绕AI访问权正在形成一种不断扩张的经济。”他警告，廉价获得昂贵AI资源，会给攻击者相对防御方的经济与效率优势：“归根结底，所有这些行为让他们相对我们拥有某种经济或效率上的优势，因为他们能以低得多的价格拿到这些token。”
暗网以最高约97%折扣出售AI访问权 谷歌威胁情报中心的研究人员发现，暗网上的交易平台正在出售Anthropic、OpenAI、谷歌等公司模型的访问权限，折扣最高可达约97%。ChatGPT与Claude等最高级版本的AI订阅费用单用户每月费用可高达约200美元，被盗凭证因此成为对从事网络犯罪的买家有吸引力的商品。
由于这些大型AI实验室会监控滥用并封禁异常账户，部分卖家已推出类似“售后保障”的机制：若初始账号被封，承诺免费提供新的凭证，以维持所谓“有保障的访问”。这一安排使地下供应链更具韧性，也令单纯的封号措施更难从根本上切断供给。
Hultquist指出，攻击者针对AI账户与计算资源的行动今年明显增多。随着更多企业自建或部署AI系统，此类犯罪的门槛进一步降低，并可能被用于网络犯罪、间谍活动及其他恶意用途。
从倒卖账号到直接盗用企业算力 除了转售被盗账号，另一类手法更为直接：犯罪团伙以及部分有国家背景的黑客组织入侵企业托管在云上的服务器，在目标系统上直接部署自有AI模型。算力费用由受害企业承担，资源却完全服务于攻击方。这种方式与早些年威胁行为者试图入侵第三方机器挖掘加密货币的方式如出一辙。
Hultquist强调，这种模式的危险不仅在技术层面，也在成本结构的不对称：攻击方能以远低于正常市场价的成本获得算力，防御方却须按全价建设防护体系。
Hultquist追踪国家支持的黑客组织已有二十年之久。2014年，他曝光了一名活跃的俄罗斯黑客组织“沙虫”（Sandworm ）的活动，并在两年后将其与乌克兰电网遭受的史无前例的攻击联系起来。
Anthropic最新季度AI滥用报告与上述趋势相互印证。报告显示，威胁行为者曾试图在包括美国、英国、也门等二十多个国家利用其Claude工具从事恶意活动。Hultquist的判断很直接：“每一个威胁行为者都在使用AI。”他补充说，因此人工智能工具必须成为网络安全未来不可或缺的一部分。
“任何认为人工智能只是一时的潮流，并想让它对自身造成影响的人，总有一天会发现自己被淹没在水里，”他说。“他们会面临比以往任何时候都多的事故、警报和攻击。我们现在必须整顿好自己。”
企业自建AI基础设施成为新目标 越来越多大型企业选择自建服务器部署定制AI模型，而不是单纯向云厂商租用算力。Hultquist警告，任何为算力付费的企业——尤其是算力支出较高的企业——在威胁行为者眼中都是“重要的潜在资源”。
他特别指出，企业刚完成AI基础设施部署后的一段时间，往往是攻击者最容易“混进去”的窗口期：新系统本身会推高算力使用，安全团队容易把异常流量误判为正常业务增长。这种“噪声”为攻击者提供了掩护，使其活动淹没在算力消耗上升之中而不易触发警报。
过去，算力突然飙升常被视为加密货币挖矿劫持的典型信号；如今企业主动引入AI，意味着算力消耗本身就会结构性增长，要区分合法使用与恶意占用变得更加困难。
网络犯罪威胁行为者凸显开源供应链风险日益增长 由以经济利益为目的的威胁组织 UNC6780（TeamPCP）发起的攻击行动凸显了威胁组织利用人工智能和开源供应链的日益猖獗。自2026年3月以来，UNC6780已针对包括PyPI、npm和Docker Hub在内的多个开源软件生态系统，实施了一系列大规模的开源软件供应链入侵。在首次入侵后，UNC6780通常会部署凭证窃取程序来获取专有数据和凭证，然后通过直接出售被盗数据或与勒索软件和数据窃取团伙合作来牟利。UNC6780恶意软件的曝光、明显的成功以及开源发布，很可能会促使其他攻击者效仿这些策略。 除了将人工智能环境和软件依赖项作为初始访问途径外，UNC6780还会收集人工智能工具的凭证以及其他凭证，并攻击特定的人工智能资产。在一次案例中，Mandiant公司遭遇了网络入侵，UNC6780先建立了初始访问权限，然后将访问权限移交给另一名攻击者，后者随后使用LAPSUS品牌发出勒索要求。证据表明，UNC6780为该公司专有的人工智能代码库创建了一个恶意GitHub Actions工作流，并且勒索者窃取了该人工智能代码库的副本。 除了上述已展示的策略外，UNC6780还实施了六种以上的不同方法来攻击或利用人工智能工具和开源软件开发实践。其中一些功能被嵌入到其DUSTMAKER凭证窃取恶意软件中。
地下市场的组织化与专业分工 从暗网活跃程度看，AI资源已不只是黑客手中的“工具”，而在演变为可交易、可囤积、可转售的“资产”。卖家提供的“有保障访问”本质上是一种商业化的风险对冲，说明这条供应链已具备相当程度的组织化与专业化。
“暗网下/AWX”认为，对AI公司与云服务提供商而言，这意味着安全投入需从“监控滥用”进一步上升到“对抗有组织的资源盗窃”。对企业用户而言，部署AI基础设施必须与算力异常检测能力同步建设，以免在数字化转型过程中为网络攻击者打开方便之门。
Hultquist还表示，AI工具必将成为未来网络安全的组成部分。在攻击方已普遍使用AI的背景下，防御方若不能以同等或更高效率运用这些能力，将在速度与成本上持续处于被动。
今年年初，本站（anwangxia.com）总结了2026年五大暗网论坛生态，大半年过去了，抛开生态不谈，实际上5大暗网论坛比较清晰，本文将一一细数。
首先“暗网下/AWX”重要提示：请大家不要访问暗网或任何相关犯罪论坛。此类行为在全球大多数司法管辖区都可能违反法律，涉及网络犯罪、毒品交易、欺诈、黑客活动等，存在严重法律风险，包括刑事指控、资产没收等。本文仅基于公开报道和学术/安全研究报告进行科普性介绍，旨在说明地下经济生态的碎片化特征及执法影响，不提供任何访问方式、技术细节或操作指导。
在暗网（以及部分与之关联的地下社区）中，没有任何单一暗网论坛能代表整个网络犯罪经济。技术专家、诈骗分子、数据泄露交易者、供应商、买家以及各种流离失所的群体，出于不同动机聚集在不同的暗网平台。这些场所更像“信誉社区”“沟通枢纽”或“信息中转站”，而非统一的集市。它们高度碎片化、易受执法打击、充满诈骗与内部不信任，且频繁迁移或更名，并拥有若干个镜像域名。以下基于2026年前后的公开报道（如印度媒体对NCB行动的报道、Ars Technica等对执法查封的报道、CloudSEK等威胁情报总结、学术论文等）梳理几个常被提及的例子，重点说明主要的暗网论坛的公开角色与执法关联，而非运营细节。
一、Dread论坛 Dread于2018年上线，运作模式更接近暗网交易的公共信誉社区，而非传统市场，也被誉为“暗网上最大的英文论坛”。卖家评价、诈骗投诉、纠纷、版主裁决以及市场相关讨论，都会影响匿名卖家如何积累或失去信誉。它常被用作市场新闻、骗局警报和声誉核查的中心。
据《印度快报》《印度时报》《The Hindu》等2026年3月报道，印度麻醉品管制局（NCB）调查将Dread与名为“Team Kalki”的卖家联系起来。该卖家在论坛上拥有四星评级。调查人员将约15个包裹与行动关联，查获2338张LSD吸墨纸、160粒MDMA药片、约3.6公斤液态MDMA以及其他相关毒品。调查初期就利用了Dread平台上的公开声誉信息。与单纯统计访问量不同，此次行动将论坛上积累的声誉与线下犯罪交易直接联系起来，也凸显了执法机构如何利用公开讨论线索推进案件。
印度官员们指出，暗网使得具备丰富技术专长的人员也能开展毒品贩运活动并独立运作毒品生意。
公开安全报告（如CloudSEK 2026年总结）也将Dread列为仍活跃的声誉讨论平台，但强调由于长期遭受DDoS攻击，其间歇性中断是常态，且仅阅读讨论在多数民主国家本身并不违法，而参与协调犯罪活动则可能成为犯罪证据。
二、DarkForums论坛 DarkForums于2022年以“DARK4RMY Forums”之名出现，后来发展成为一个与遭入侵数据库、窃取日志（stealer logs）、被攻破账户以及转发材料相关的平台。随着其他专注于信息泄露的论坛因运营中断或执法行动而不可用，该平台吸引了更多关注，并在2025年BreachForums相关动荡后出现显著活动增长，似已取代BreachForums。
2026年的一份公开快照显示，该论坛当时展示约29余万条帖子、将近3万个主题、8.6万名会员。这些数据直接来自平台自身显示，而非独立审计服务，反映的是当时公开计数，而非经过验证的活跃唯一用户总数。转发的存档与帖子数量同样重要：重复的数据集、熟悉的昵称以及被复制的主题，揭示了当另一个泄密网站失去基础设施后，被盗信息如何继续在地下传播。
威胁情报指出，此类平台常成为泄露数据的早期中转站，但同时也充满重复内容、诈骗与高风险环境。
三、XSS论坛 XSS自2013年起运营，因在俄语地下世界提供较高可信度的网络犯罪相关交易讨论、恶意软件服务、初始访问权限以及私下协调而闻名。中介历史记录和卖家声誉在这里至关重要，因为大额交易很大程度上依赖匿名各方之间的信任。
2026年1月的一次执法行动表明，XSS在该生态系统中仍作为沟通枢纽发挥作用。FBI查封RAMP（一个与勒索软件相关的平台）的明网和暗网域名后，《Ars Technica》等报道称，关于该平台关闭的消息随后在更名后的XSS论坛上发布。这一公告显示，在2026年那次重大执法打击期间，XSS仍处于俄语地下生态之中。
此前XSS管理员也曾在2025年7月面临执法行动，当时一名管理员在乌克兰被逮捕，XSS.is域名被查封。2026年4月，XSS论坛突然更换暗网域名与明网域名。
公开报告指出，俄语地下社区在重大查封后会出现信任崩塌、碎片化与迁移，而非简单消失。
四、Exploit.in论坛 Exploit.in是一个运营已久的俄语论坛，与技术性较强的网络犯罪活动相关。它以恶意软件开发、漏洞、利用程序、专业服务和高级工具讨论为特色，这使其有别于更广泛的诈骗或凭证共享论坛。
在这种环境中，技术公信力尤为重要。缺乏说服力的主张会受到熟悉漏洞利用、恶意软件功能和服务质量的成员的严格审查。
近期学术研究证实学术界对Exploit.in的关注持续存在，但现有公开数据集无法提供仅针对2026年的明确活动数据。一篇发表于2026年前后的学术论文分析了约100万条帖子，但其数据集截止于更早时期（如2025年8月）。若将该总数直接作为2026年统计，将导致测量时段表述不准确。威胁情报仍将其列为活跃的技术向论坛。
五、Altenen论坛 Altenen的起源可追溯至2000年代末期的阿拉伯语社区，随后扩展至英语讨论领域。信用卡盗刷、支付滥用、虚假身份、退款方法、社会工程学以及账户相关技术讨论，在很大程度上塑造了其发展历程。
其2026年前后的公开统计数据显示了一个庞大的档案库：约180万个帖子/主题、超过1300万条消息以及约160万名注册会员（具体数字随时间轻微波动，近期快照约1.8M线程、13.2M消息、1.65M会员）。这些数据由平台自身发布，应视为显示的总数，而非经过独立验证的活跃用户规模。注册会员并不意味着每个账户都保持活跃。
规模只是问题的一部分。针对某一零售商或支付处理商开发的欺诈手段，往往会蔓延至采用类似验证、退款或资金追回流程的其他品牌。公开威胁情报将其列为欺诈相关社区的代表。
关键总结与友情提醒 这些暗网论坛共同勾勒出暗网/地下犯罪经济的碎片化图景：没有中心枢纽，声誉、信任与信息流转高度依赖特定社区；国际联合执法行动会引发服务器与域名的迁移、信任危机与内容重复传播，但生态系统并未因此消失，而是变得更分散、更隐蔽、更高风险。学术与安全研究持续跟踪这些公开可见的讨论痕迹，正是为了理解犯罪经济的运作逻辑与防御需求。
对此，“暗网下/AWX”再次友情提醒：请大家不要访问任何可能涉及违法内容的暗网或地下论坛。 仅仅浏览在某些国家可能尚处灰色地带，但参与讨论、交易或协调任何犯罪活动都可能构成严重违法，面临刑事追责。暗网环境充满诈骗、执法监控、基础设施不稳定与身份暴露风险。合法了解网络安全与犯罪趋势，请通过正规新闻、学术论文、政府报告或安全公司公开情报进行。保护自身与社会，远离任何可能触犯法律的行为。
随着网络犯罪在暗网上日趋复杂，企业对监控隐蔽网络空间、降低网络威胁的需求持续上升，暗网情报行业正获得越来越多关注。市场研究报告与企业合作动态显示，这一领域不仅规模快速扩大，技术与服务形态也在向更整合、更可操作的方向演进。
暗网情报市场规模与增长前景 根据The Business Research Company发布的分析，暗网情报市场近年来扩张迅速。市场规模预计将从2025年的7.6亿美元增至2026年的9.2亿美元，复合年增长率（CAGR）约为21.2%。推动这一增长的因素包括：暗网上网络犯罪活动增加、黑客广泛利用暗网进行数据交换、威胁情报平台采用率上升、企业对网络风险意识增强，以及对实时暗网监控能力的需求提高。
展望未来，该市场预计到2030年将达到约19.9亿美元，复合年增长率约21.3%。支撑未来增长的因素包括：人工智能（AI）与机器学习（ML）在预测性威胁检测中的融合、暗网情报托管服务范围扩大、基于云的监控方案更广泛采用、监管合规要求上升，以及可视化与报告技术的进步。预计将影响市场的关键趋势包括：持续暗网监控、复杂威胁模式分析、主动风险缓解策略、自动化事件响应与报告，以及网络犯罪趋势预测。
暗网情报领域的主要企业与行业动态 暗网情报领域的重要参与者包括：Carbon Black Inc.、Darktrace PLC、Recorded Future Inc.、Anomali Inc.、ZeroFox Holdings Inc.、ThreatConnect、LookingGlass Cyber Solutions Inc.、IntSights Cyber Intelligence Ltd.、EclecticIQ B.V.、CipherTrace Inc.、Blueliv、Digital Shadows Ltd.、BlackBag Technologies Inc.、KELA Group、PhishLabs Inc.、Terbium Labs Inc.、Cybersixgill、Group-IB、QOMPLX Inc.、SenseCy、RiskIQ、SurfWatch Labs、DarkOwl LLC以及Flashpoint等。
行业内一次值得关注的动作发生在2023年4月：美国网络安全公司ZeroFox收购了LookingGlass Cyber Solutions，交易金额未披露。此举旨在通过增强其外部网络安全平台的全面威胁情报能力，扩大ZeroFox在网络安全领域的布局。LookingGlass专注于提供暗网情报及其他威胁情报服务，帮助组织降低网络风险。
新兴趋势：更安全的暗网调查环境 市场领先企业越来越注重部署复杂且智能化的解决方案，以强化竞争地位。其中一类创新是虚拟机技术：它模拟物理计算机环境，使网络安全专业人员能够在不暴露自身或所属组织的前提下，安全地开展暗网相关分析。
例如，2023年4月，英国暗网情报提供商Searchlight Cyber推出了Stealth Browser——一种可直接通过互联网浏览器访问、无需安装软件的安全虚拟机。该工具增强了Searchlight的Cerberus调查平台，该平台被执法部门、企业及托管安全服务提供商（MSSP）广泛用于发现暗网上的非法活动。Stealth Browser为探索暗网空间提供了受保护的途径，同时维护使用者安全。本月，日本Macnica公司推出暗网调查服务ANTERAS DarkWeb，以帮助企业应对勒索软件攻击。
暗网情报市场的细分结构 暗网情报市场可按多个维度划分：
按组件类型：解决方案与服务。 按部署模式：本地部署与云部署。 按企业规模：大型企业与中小企业（SME）。 按应用领域：银行、金融服务与保险（BFSI）、教育、政府、医疗、交通、制造业及其他行业。 更细的子类别包括：
解决方案方面有暗网监控工具、威胁情报平台、数据分析软件，以及报告与可视化工具； 服务方面则涵盖咨询服务、事件响应服务、托管服务，以及培训与意识提升项目。 这一细分框架有助于理解不同参与者和产品如何嵌入更广泛的暗网情报市场，并体现其应用场景与交付方式的多样性。
DarkOwl与Aftra达成战略合作 与市场整体扩张并行，企业层面也出现了将暗网情报与攻击面管理深度整合的动向。暗网情报领域的领先提供商DarkOwl，与攻击面管理解决方案提供商Aftra宣布达成战略合作。双方将把DarkOwl的DARKINT暗网情报数据集直接集成到Aftra解决方案中，使Aftra客户在查看外部攻击面与员工暴露情况的同时，持续获得暗网暴露相关可见性。
Aftra帮助组织以攻击者视角审视自身：持续发现暴露资产、影子IT以及互联网上的员工风险，并将发现转化为安全、IT与管理层可优先处理的行动。
集成DarkOwl的DARKINT数据集后，客户可以看到自身暴露是否已延伸到暗网市场、犯罪论坛，以及Telegram等与暗网相邻的渠道。
Aftra首席技术官Sindri Guðmundsson表示：“将DarkOwl直接集成到Aftra中，把客户的可见范围扩展到了传统防御的边界之外。把暗网情报与我们的攻击面管理和员工暴露能力结合，能让组织获得对其整体风险状况的单一、可操作视图。”
DarkOwl联合创始人兼首席执行官Mark Turnage则表示：“攻击面管理告诉组织外围暴露了什么。暗网情报告诉他们外围之外哪些东西已经失陷。通过把DarkOwl的数据直接集成到Aftra中，我们在填补这一缺口——让安全团队在一个地方同时看到自己哪里脆弱、哪里已经暴露。”
这一合作反映了安全团队工作方式的更广泛转变：组织越来越需要的不是从彼此割裂的工具中逐条处理告警，而是能够把“暴露了什么”与“已经失陷了什么”连接起来的整合视图。
DarkOwl与Aftra的公司背景 DarkOwl是暗网数据领域的主要提供商之一，提供据称是全球最大的商业可用暗网信息数据库。公司结合机器学习、人工智能与人工分析，自动、持续且匿名地采集并索引暗网、深网及高风险表层网络数据。其平台近乎实时地采集和存储数据，使位置与可用性频繁变化的暗网站点也能在安全环境下被检索和监控，而无需使用者直接访问暗网。客户可将这些数据转化为识别组织风险以及犯罪与敌对行为的工具。
Aftra则定位为连接高管战略与技术执行的网络安全方案：一方面为高层提供高层级可见性与可决策洞察，另一方面为IT与安全团队提供稳健的自动化平台，用于管理日常工作流并实时处置风险。公司致力于将复杂的网络数据转化为战略资产，使整个组织保持安全、合规并彼此对齐。
近年来，加密货币因其匿名性和跨境便利性，逐渐被用于各类非法资金流动，“暗网下/AWX”前不久曾介绍了印度禁毒斗争面临的新难题与新挑战主要是暗网与加密货币。印度古吉拉特邦警方破获的一起案件，再次清晰展示了加密货币如何与暗网毒品交易、身份盗用以及国际制裁实体产生关联。这一案例为理解现代金融犯罪的技术路径提供了具体参考。
案件概览：三次执法行动与12人被捕 2026年5月至6月，印度古吉拉特邦警方网络卓越中心（Cyber Centre of Excellence，简称CCoE）逐步破获一起涉及暗网毒品贩运、加密货币洗钱和国际恐怖融资的大型案件。截至6月6日，共逮捕12人。涉案加密资产交易额超过2270万美元（约合226.54亿卢比），是印度迄今规模较大的与加密货币相关的针对恐怖融资的执法行动之一。
第一波逮捕发生在2026年5月。CCoE在艾哈迈达巴德、孟买和哈里亚纳邦同时行动，逮捕9名核心嫌疑人。调查起点是艾哈迈达巴德居民Mohsin Sadiq Molani的加密货币钱包被发现与暗网毒品交易平台ARTEMISLAB.CC存在直接区块链关联。
第二波逮捕发生在2026年5月24日。调查人员逮捕了来自艾哈迈达巴德米尔扎普尔的25岁Ghulamali Qureshi。此人曾在迪拜学习USDT交易技术，通过以其父亲名义注册的币安（Binance）钱包处理了约100至150亿卢比的交易，并在拉贾斯坦邦藏匿近两年。
第三波逮捕发生在2026年6月6日。最新被捕的两人是来自巴夫纳加尔的23岁Hadiraja Sarani和36岁Mohmand Zamin Abbasali Jigar。他们使用Hadiraja父亲Sabbir Ali Sarani的KYC凭证，在币安（Binance）上创建未授权钱包，并通过分层交易接收了5000 USDT。调查人员将这笔资金定性为“脏加密货币”，其来源与受制裁实体相关的钱包有关。此前“暗网下/AWX”对该案件进行了报道。
通过区块链分析，CCoE追踪到网络中超过2270万美元的加密交易。其中30%至40%被认定为与恐怖融资、网络欺诈和有组织犯罪直接相关的“脏加密资产”。其余涉及常规交易、哈瓦拉（Hawala）汇款、黄金交易和期货活动。调查人员还查获两个门罗币（Monero）钱包，内含约200万卢比的隐私加密货币资产。与嫌疑人相关的银行账户则关联到印度全国935起网络犯罪投诉。
当下洗钱手法的三层结构 该案件揭示的洗钱路径呈现清晰的三层结构：
第一层是身份盗用与KYC绕过。核心手法是使用第三方真实KYC信息在币安（Binance）等加密货币平台创建钱包，从而绕过交易所的身份验证机制。Hadiraja Sarani使用父亲的身份凭证开户，Ghulamali Qureshi同样以父亲名义注册币安钱包进行大额交易。这种“真实身份+非本人操作”的模式，暴露了当前中心化交易所身份验证流程中的盲点——静态KYC文件验证难以有效识别“身份出借或冒用”场景，需要结合活体检测、设备指纹和行为分析等动态验证手段。
第二层是隐私币转向与分层交易。资金进入主流交易所钱包后，犯罪网络使用多层钱包分层，将USDT等稳定币拆分并混入高流量非托管钱包，然后迅速转换为门罗币（Monero）。Monero的环签名和隐身地址在技术层面完全切断了链上审计轨迹。调查人员指出，通过隐私导向账本转移稳定币，能有效切断透明审计路径。这一过程的技术复杂性远超普通混币操作，利用的是协议层面的原生隐私功能。
第三层是受制裁平台与哈瓦拉结算。经Monero匿名化后的资产最终流向被美国财政部海外资产控制办公室（OFAC）制裁的俄罗斯加密货币交易所Garantex，在那里兑换成法币。现金再通过哈瓦拉（Hawala）和安加迪亚（Angadia）等南亚广泛存在的非正式跨境汇款系统进行物理分发，不留下电子记录。哈瓦拉系统的核心特征是“账本对冲”：在A国交付现金，在B国提取等额款项，没有跨境资金流动痕迹。这一路径实现了数字与物理世界的双重匿名闭环。
法律框架与国际制裁实体关联 目前案件指控主要集中在刑事共谋和网络犯罪，援引的条款包括《2023年印度刑法典》（Bharatiya Nyaya Sanhita）第111(2)(B)条（刑事共谋）、第153条（有组织犯罪）、第61条（协助非法金融渠道），以及《2000年信息技术法》第66C条（身份相关网络犯罪/身份盗窃）、第66D条（利用计算机资源冒充进行欺骗）。
值得注意的是，尽管案件明确涉及恐怖融资指控，截至报道时尚未援引《非法活动预防法》（UAPA）和《防止洗钱法》（PMLA）这两部印度反恐和反洗钱核心法律。这可能反映案件目前仍由印度邦级警方调查，尚未移交印度国家调查机构，后续法律适用可能随调查进展而升级。
区块链溯源取证揭示了该网络与多个受国际制裁的恐怖组织和实体之间的直接资金联系：哈马斯通过迪拜某汇兑公司前台连接资金；也门胡塞叛军（Ansar Allah）关联钱包向网络核心账户注入大额资金；伊朗伊斯兰革命卫队圣城旅（IRGC-QF）关联钱包提供资金注入；俄罗斯加密货币交易所Garantex作为加密资产兑换法币的通道；Ilan Shor网络关联钱包存在交易往来。
以色列国家反恐融资局（NBCTF）曾在2025年冻结过嫌疑人Mohammad Zubair Mohammad Hussain Popatia的一个钱包，该钱包与据称与哈马斯有关的迪拜实体存在交易。这意味着案件中的部分线索更早前已在国际反恐融资体系中被察觉。
对虚拟资产服务提供商的合规启示以及对各国政府的监管启示 基于本案调查，可以归纳出五类可疑交易指标，供虚拟资产服务提供商（VASP）合规人员参考：
一是系统性隐私币转向。大额稳定币在高流量非托管钱包中瞬间兑换为Monero、Zcash等隐私币，缺乏合理经济理由。 二是受制裁平台互动。账户与OFAC、联合国或欧盟黑名单交易所或高风险结算集群存在频繁直接互动。 三是替代汇款系统同步。企业账户大额现金存取与虚拟资产国际变现时间精确吻合，提示可能涉及哈瓦拉网络。 四是多源分层模式。数千个无关点对点地址的小额资金汇总到单一企业交易所账户，缺乏商业上合理的解释，属于典型“蚂蚁搬家”手法。 五是暗网电商结算。商业物流钱包与已知非法去中心化市场存在直接区块链连接。 印度政府2026年2月发布的PRAHAAR反恐战略已明确警告犯罪和恐怖网络日益利用加密钱包的趋势，本案为该战略提供了现实例证。目前，印度金融情报单位要求所有在印度运营的VASP注册并履行《防止洗钱法》下的报告义务。本案中KYC信息被滥用创建钱包的情况，将对离岸交易所在印度市场的持续客户尽职调查和强化尽职调查提出更严格要求。
古吉拉特警方破获的这起案件，完整呈现了从暗网毒品交易到加密货币洗钱、再到恐怖融资的资金链条。身份盗用绕过KYC、隐私币切断审计轨迹、受制裁平台与地下汇款完成结算，构成了当前加密货币相关金融犯罪的典型路径。对监管机构和合规从业者而言，这一案例提醒人们：静态身份验证已不足以应对身份出借和冒用，隐私币监测与制裁筛选需要更深入的技术手段，而跨境非正式汇款系统的存在则要求数字与物理世界的监管协同。
暗网监控通过在攻击发生前检测泄露的凭证、泄露的数据以及威胁行为者活动，帮助识别潜在网络威胁。早期发现这些风险，使安全团队能够调查漏洞并降低被入侵的可能性。
被盗信息经常出现在地下论坛、暗网市场和暗网泄密站点上，网络犯罪分子在那里交换数据并讨论潜在目标。通过暗网持续监控这些环境，并辅助人工智能技术，可以提早揭示传统安全措施难以察觉的预警信号。
早期威胁识别能够降低小规模数据泄露演变成重大安全事件的几率。暗网情报可以提供有价值的威胁情报预警，帮助企业优先处理风险并加强网络安全防御。
暗网监控如何揭示安全风险与攻击指标 暗网监控能够发现攻击指标、泄露资产以及可能预示潜在网络威胁的可疑活动，从而在其升级为安全事件之前加以应对。
1. 泄露的凭证
被盗的用户名和密码在钓鱼攻击、恶意软件感染和数据泄露后经常被交易。发现这些凭证有助于突出账户接管风险，使安全团队能够在恶意访问发生前保护受影响账户。
2. 敏感数据泄露
机密记录、财务信息和内部文件经常出现在地下泄露平台上。对泄露数据的预见性有助于评估泄露严重程度，并识别与未经授权披露相关的安全风险。
3. 威胁行为者讨论
威胁行为者经常在私人论坛中交换有关漏洞、攻击技术和潜在目标的信息。从这些对话中收集的情报可以揭示正在形成的网络威胁和新兴攻击活动。
4. 勒索软件指标
勒索软件团伙运营的泄露门户通常包含有关被入侵网络和被盗数据的信息。跟踪这些来源可以提供与敲诈相关的威胁情报，这些威胁可能影响企业和关键资产。
5. 钓鱼基础设施
欺诈域名、钓鱼工具包和仿冒模板通常通过地下市场分发。监控这些资产有助于发现针对员工、客户和商业伙伴的钓鱼威胁。
6. 第三方泄露
影响供应商和服务提供商的泄露可能在相互关联的业务环境中引入风险。对被入侵供应商数据的提及可能表明能够影响多个企业的供应链威胁。
7. 品牌冒用
公司名称、高管身份和数字资产经常被滥用以支持诈骗和欺骗性活动。检测非法品牌使用有助于降低欺诈风险并保护利益相关者信任。
8. 攻击规划信号
涉及被盗访问权限、漏洞可用性或针对特定目标侦察的讨论，往往指向恶意意图。识别这些信号可提供有价值的威胁情报，指导防御行动和风险缓解努力。
可以检测到哪些网络威胁 地下社区中流传的信息往往揭示可能影响企业、员工、客户和数字资产的攻击模式。
1. 账户接管
被盗凭证仍然是未经授权账户访问的最常见原因之一。从暗网来源收集的情报可以在恶意行为者尝试使用前揭示泄露的账户。
2. 数据泄露
包含客户信息、员工记录和业务文件的大型数据集在未经授权披露后经常出现。对被泄露信息的提及可能揭示尚未公开确认的事件。
3. 勒索软件攻击
勒索软件团伙通常会通过暗网泄密网站、受害者发布披露和地下论坛讨论留下痕迹。对这些活动的及时预见性可以提供针对特定行业和企业的威胁预警。
4. 商业电子邮件入侵
电子邮件冒用活动依赖被盗凭证和被入侵邮箱来欺骗员工或商业伙伴。暗网情报可以揭示与这些计划相关的指标，从而在造成重大财务损失前加以应对。
5. 内部威胁
机密信息可能被员工、承包商或拥有公司系统合法访问权限的个人泄露。泄露的文件、内部通信和共享凭证可能预示潜在的内部相关风险。
6. 品牌滥用
公司名称、商标、域名和高管身份有时被滥用于创建可信的仿冒网站或欺骗性通信。识别这些活动有助于保护客户并维护品牌信誉。
威胁预警为何至关重要 随着攻击者获得更多时间在系统中横向移动、访问敏感信息或扩大影响范围，安全事件会变得更难控制。因此，及时的威胁可见性至关重要。
1. 更快响应
威胁情报使安全团队能够在可疑活动发展成更大事件前进行调查。更快的行动可以减少驻留时间，并限制进一步入侵的机会。
2. 降低影响
可疑访问、数据泄露和服务中断在长时间未被注意时往往造成更大损害。对潜在风险的可见性使纠正措施能够更早实施。
3. 财务保护
恢复费用、监管处罚、法律成本和业务中断可能造成重大财务压力。在事件升级前识别预警信号有助于将这些潜在损失降至最低。
4. 声誉管理
当敏感信息已经泄露或广泛公开时，客户信心可能下降。对正在形成风险的了解使企业能够在其影响公众认知前解决问题。
5. 安全韧性
对外部风险的持续可见性增强了企业预测、防御和从恶意活动中恢复的能力。主动方法提高了对不断演变的攻击技术的长期准备。
暗网监控应多久进行一次 简短的回答是：暗网监控应持续进行，而非周期性进行。
地下论坛上的威胁活动不遵循工作时间或报告周期。数据泄露和凭证倾倒可能随时出现。一次性扫描或每月审查可能检测到旧的泄露，却错过已被利用的活跃威胁。持续监控使企业能够在数小时或数天内而非数周内发现数据泄露。安全团队随后可以重置密码、撤销访问权限、调查被入侵账户，并降低进一步攻击的可能性。
暗网对大多数普通互联网用户来说仍然是一个相对陌生的领域。它建立在加密通信和匿名路由技术之上，这些技术能够让用户的活动几乎无法被追踪。正因为如此，暗网常常成为非法活动的温床，包括各类违法交易以及数据贩卖等行为。近年来，无论是中国还是国外的研究人员，都在分析暗网内容方面取得了一定进展。不过，这些研究大多集中在英文材料上，针对暗网里中文内容的公开研究成果相对较少。
今年5月，中国刑事警察学院的一个研究团队在《中国计算机系统学报》期刊上发表了一篇论文。论文介绍了一种专门训练用于翻译和评估中文暗网内容的模型。这是与执法相关的研究人员公开分享他们如何借助人工智能工具处理暗网信息的一次较为罕见的披露。研究团队的目标是收集相关数据，并开发出能够帮助分类敏感和非法材料的工具。
通过定制化系统解决数据收集中的主要困难 研究过程中，第一个需要解决的挑战就是如何进入暗网站点并收集数据。研究人员发现，不同暗网平台的登录要求存在很大差异。传统的网络爬虫在面对验证码验证时往往力不从心，同时这些站点还会不断调整反爬虫策略，进一步增加了数据获取的难度。
为了克服上述困难，研究团队专门设计了一套系统。这套系统能够分别处理多种不同任务，例如完成登录操作、生成内容列表，以及下载图片等，该系统还控制了访问频率，以规避检测机制。通过这种方式，研究人员得以更有效地从暗网站点获取所需信息，为后续的人工智能分析和分类工作打下基础。
该报告称，最终，它从8个暗网中文交易网站和论坛收集了超过10000条原始数据。
通过AI模型进对暗网内容进行打标分类 研究团队将文本和图像输入到另一个AI模型中，该模型将所有图像（例如银行卡详细信息）转换为统一的文本描述。接下来，该团队手动将1800个样本标记为“种子”数据，用于训练初始分类模型。然后，该模型采用主动学习来标记剩余的数据，之后再将其交给人工审核员进行验证。
经过六轮迭代，该模型已将12467个样本归类为8类，包括金融凭证交易、贩运身份数据、提供非法服务、色情材料和极端或暴力内容。除了这些类别标签之外，每条可疑内容还会根据其是“轻微违规”还是“严重犯罪”来进行进一步分类。
鉴于大多数暗网样本都属于高风险内容，该团队设计了一种评分机制，其中不包含敏感或非法内容的材料评分为0-0.2分。可能存在风险的内容（包含敏感短语但不包含任何非法内容）评分为0.2到0.4分，而非法内容的评分为0.4到1分。非法内容的具体评分取决于其性质，涉及身份盗窃或提供非法服务的，每项加0.05分；涉及未成年人或提供犯罪技术或工具的，每项加0.1分。
敏感词汇列表最初是根据与暗网非法活动相关的词语和短语手动编制的。之后，该词汇表根据模型的预测结果进行了更新，但论文并未详细说明更新过程。最终模型通过包含200个样本的独立测试集进行了验证，结果表明AI工具能够可靠地对暗网上的内容进行分类。
研究意义 尽管该论文没有提及执法机构是否会使用该模型来监控中国暗网上的帖子，但该团队在论文中写道：“该方法能够以有限的人力成本稳定地执行风险标注任务，为中国暗网风险分析提供可重用的数据和方法论支持。未来的工作将扩大数据规模，并探索更多针对中国暗网环境的下游分析任务。”
“暗网下/AWX”认为，这项工作为中国执法部门在暗网监控领域提供了技术参考。通过结合人工智能模型与定制化的数据收集系统，研究人员试图在高度匿名的环境中识别和评估敏感内容。相关论文的发表，也让外界得以窥见中国警方在这一技术领域的探索方向。
网络犯罪分子正利用2026年FIFA世界杯直播收视的高需求，在暗网市场上大量抛售被盗的流媒体账户凭证。随着赛事吸引全球大量观众并进入尾声，网络犯罪分子正在提高价格，并随着球迷们对比赛的期待日益高涨而增加账户供应。
HUMAN Security旗下Satori威胁情报团队的最新研究发现，超过1200万个被盗用户账户与10家播放世界杯比赛的流媒体服务相关。据统计，网络犯罪分子通过暗网出售这些被盗账户的访问权限，向买家收取了近2.2亿美元。而这仅仅是比赛开始前的数据。
6月27日，也就是小组赛最后一天，威胁行为者单日释放了创纪录的80.2万个被盗账户。这一波抛售在暗网黑市上产生了约1480万美元的潜在单日收入。
HUMAN Security威胁情报副总裁Lindsay Kaye解释说，这些被盗账户价格的上涨，表明越来越多的球迷希望以更低成本观看转播。
她说：“如果有人不想支付30美元、40美元或50美元，他们可以只花5美元就获得流媒体服务的访问权限，从而观看世界杯。”
一些卖家甚至还提供绑定支付卡、优质订阅服务、积分奖励以及账号丢失后的更换保修服务。
网络犯罪分子通常通过暗网上已泄露的用户名和密码进行撞库攻击，或使用恶意软件从受害者设备中提取保存的数据来获取这些凭证。暗网卖家还常宣传额外福利，包括关联的支付卡、积分和高级订阅。
Satori关于暗网价格和供应的其他一些观察：
威胁行为者会动态调整账号价格，在举办高规格比赛的日子里，价格可能会上涨高达25% 。 由于威胁行为者能够不断地将新一批账户投放到市场中，因此有大量账户处于储备状态。 对于世界杯等重大赛事，流媒体平台必须提前几周做好应对身份验证高峰的准备。 凭证盗窃仍然是最大的来源 “暗网下/AWX”看到，暗网出售的流媒体账户大多数可能是以下两种攻击之一获取的：撞库攻击（凭证填充攻击），即从一个网站获取的用户名和密码在另一个网站上使用；或者信息窃取恶意软件，即从受感染的计算机中收集保存的登录信息。
这份报告是在今年早些时候多项调查发出警告之后发布的，这些调查指出，在世界杯开赛前，有数千个虚假足球网站和应用程序充斥着恶意内容。包括Fubo在内的流媒体服务提供商积极主动地检测可疑登录行为，例如短时间内从远方访问账户。
与此同时，执法部门也采取了措施，意大利警方最近关闭了一个使用被盗账户的世界杯流媒体服务，这暴露了世界杯之外基于凭证的盗版问题日益严重。
行业应对与平台防护 被盗凭证的泛滥给广播公司和流媒体平台带来了巨大压力，他们必须保护客户数据，并迅速禁用未经授权的直播流。
Greenberg Traurig律师事务所全球知识产权与技术实践联合主席Ian Ballon表示：“像世界杯这样的赛事，版权所有者提前就知道比赛时间，可以在比赛期间格外警惕，监控侵权行为并迅速采取行动。”
他指出，对于现场体育赛事而言，提前准备至关重要，因为侵权行为一旦发生，反应时间非常有限。版权所有者必须提前规划，一旦发现侵权，就知道该做什么，并迅速禁用未经授权的流媒体。
流媒体平台Fubo在声明中说：“公司系统化地调查可疑账户活动报告，并在发现异常行为时加强安全措施。我们提前几个月为高关注度赛事做准备。在高流量时段，团队会比平时更密切地监控平台各层活动。”
该公司还追踪异常地理位置模式，例如同一账户在短时间内出现在两个相距很远的地点，这可能表明账户共享或被盗。
Kaye表示，企业可以通过实施双因素认证和机器人防护工具来降低这些风险。这些措施会让威胁行为者攻击账户的成本更高、难度更大、耗时更长。HUMAN Security正在积极监控地下交易平台上这些流媒体平台的账户，贯穿整个赛事阶段。
随着印度加大禁毒行动力度，执法机构正面临一项迅速演变的新威胁——利用暗网和加密货币运作的贩毒网络。官员们表示，毒品走私正从传统的陆路、海路和空运路线转向数字空间，这让调查工作变得更加棘手，也让追踪资金流向变得异常困难。
印度情报局的一名官员直言，现在真正麻烦的不再是那些老一套的走私路线。毒品交易已大规模转移至暗网，这构成了重大挑战，而加密货币进一步帮助走私者把贩毒网络藏在数字钱包背后。
他说，在毒品走私案中，追踪资金流向至关重要。传统的陆路、空路和海路运输已经不是主要难题，因为这些是毒贩多年来惯用的传统手段。现在最难对付的是毒枭们用加密货币进行的交易。执法机构发现，极难追踪毒枭进行的加密货币交易。
另一名官员补充道，走私者还拉拢了各种暗网犯罪团伙帮忙，协助其业务拓展。这些犯罪团伙通过加密浏览器和专用系统运作，要追踪这样的行动非常费力，未来这将成为印度执法机构面临的一大挑战。
印度最高禁毒机构——麻醉品控制局（NCB）的数据显示，从2020年到2024年间，该局共立案92起涉及暗网和加密货币的案件。一位官员表示，NCB发现毒品交易正越来越多地转向这种模式，促使该局不得不加强技术手段和网络监控力度。
今年早些时候，印度麻醉品管制局就端掉了一个利用暗网运作、覆盖全印度的毒品分销网络。这个叫“Team Kalki”的贩毒团伙从波兰、德国和荷兰采购高纯度的LSD（麦角酸二乙酰胺）和MDMA（摇头丸），然后采用了一种“投放式”交易手法，即将毒品放置在预先选定的隐蔽地点，供其信任的客户自主取货。他们利用特快专递和各类快递（courier）服务，在印度全国范围内处理了超过1000个订单。为了掩盖资金流向，他们通过充当中转站的“钱骡”钱包账户（intermediary mule wallets）来转账。去年底，印度缉毒局曾捣毁暗网毒品供应商“Ketamelon”。
官员们指出，虽然暗网仍是最大难题，但一种新趋势正在显现：一些小型贩毒团伙开始在没有大型团伙支持的情况下独立运作。暗网使得具备丰富技术专长的人员也能开展毒品贩运活动并独立运作毒品生意。
一名官员解释说，这些小型且鲜为人知的团伙的出现，使得禁毒斗争变得更加艰难。印度的毒品市场主要由“达伍德·易卜拉欣集团”（Dawood Ibrahim Syndicate，简称D-Syndicate）或活跃于“金三角”地区的毒枭所控制。达伍德集团主要活跃在马哈拉施特拉邦、古吉拉特邦和北方地区，在泰米尔纳德邦也有南方业务，其贩运的毒品主要供应印度南部各邦及斯里兰卡。“金三角”地区的贩毒团伙则侧重于印度东北部市场，同时也经由南部各邦向斯里兰卡渗透。运抵斯里兰卡的毒品部分用于当地市场，其余则被走私至泰国。
对付这些大团伙相对容易一些，因为他们常用传统方法，通过陆路、海路或空路走私毒品。但真正构成挑战的是那些由仅一两人组成的、不为人知的小型团伙，他们没有案底，基本处于隐身状态。两三个精通暗网技术的人员聚在一起，便可组建一个贩毒团伙。该官员指出，由于他们不隶属于任何大型犯罪集团，追踪其行踪变得更加困难。
官员最后说，新技术确实带来了挑战，小型未知贩毒团伙不断涌现。但这并不意味着大贩毒集团会完全摒弃传统方式。他们会想尽办法扩大生意，所以各种手段都会用上。
“暗网下/AWX”认为，印度禁毒部门正面临一场升级版的较量——一边是越来越狡猾的数字毒网，一边是需要不断跟进的技术和情报能力。未来的禁毒道路，还得依赖更聪明的打法。
印度致力于通过情报共享、引渡毒枭以及协调打击毒品恐怖主义和贩毒集团等方式加强国际合作，以确保对全球毒品贩运和滥用问题做出集体应对。在总理纳伦德拉·莫迪先生的领导和内政部长阿米特·沙阿先生的指导下，印度国家缉毒局（NCB）重申其对毒品滥用零容忍政策的坚定承诺，并继续与国内外机构密切合作，打击跨境贩毒集团。
NCB在今年5月份开展“愤怒药丸行动”成功捣毁一个国际贩毒集团 5月中旬，在打击跨国合成毒品贩运网络的一项重大突破中，印度麻醉品管制局（NCB）宣布在“愤怒药丸行动”（Operation RAGEPILL）中成功捣毁了一个参与贩运卡普顿（Captagon）的国际贩毒集团，缴获约227.7公斤卡普顿片剂/粉末，并逮捕了一名逾期居留的叙利亚籍成员，该成员系该集团成员。卡普顿（Captagon）主要成分为芬太尼和安非他明，根据《麻醉药品和精神药物法》（NDPS Act），这两种物质均属于精神药物。
根据国外缉毒执法机构提供的情报，印度正被用作贩运卡普顿（Captagon）的过境地。2026年5月11日，警方在新德里内布萨莱（Neb Sarai）锁定一处房屋并进行搜查，查获约31.5公斤卡普顿药片，这些药片被精心藏匿于一台商用印度薄饼切割机中。初步调查显示，这些药片原本计划出口至沙特阿拉伯吉达。初步调查还发现，这名叙利亚籍男子于2024年11月15日持旅游签证入境印度，但其签证已于2025年1月12日过期，他非法滞留印度，并租下了内布萨莱的这处房屋。
对被告的进一步讯问导致警方于2026年5月14日在古吉拉特邦蒙德拉的集装箱货运站（CFS）的一个集装箱内查获约196.2公斤卡普顿粉末。该集装箱从叙利亚进口，申报货物为羊毛。对集装箱进行彻底搜查后，警方查获了3袋共计196.2公斤的卡普顿粉末。初步调查显示，这批查获的货物原本计划转运至海湾地区，特别是沙特阿拉伯及其周边中东国家。在这些地区，滥用卡普顿已成为严重的执法和公共卫生问题。
此次行动是印度首次在国内查获卡普顿毒品，揭露了国际贩毒集团企图将印度作为中转站的行径。它也充分展现了国际情报共享和执法合作在识别、拦截和瓦解跨司法管辖区的跨国毒品贩运网络方面发挥的关键作用，以及世界各国缉毒机构如何携手合作，共同打击跨国贩毒集团。鉴于印度缉毒局此前在孟买查获的另一起重大案件，即在一个来自厄瓜多尔的集装箱中查获 349 公斤可卡因，此次查获案也显得意义重大。这表明，跨国贩毒集团滥用商业货物和集装箱贸易路线跨区域贩运毒品的趋势日益明显。
印度国家缉毒局（NCB）已启动全面调查，以查明毒品采购来源、资金和地下钱庄联系、物流协助者、国际收货人以及与该犯罪集团相关的更广泛的跨国网络。
在印度等器官移植需求巨大的国家，等待一个匹配器官有时需要数月甚至更长时间。然而，在暗网上，却有卖家像销售普通商品一样公开“出售”人体肾脏、心脏、肝脏和肺脏，并要求用比特币预付定金。这究竟是真实的器官贩卖网络，还是针对绝望患者的诈骗陷阱？
印度《今日印度》（India Today）通过开源情报（OSINT）调查，深入暗网洋葱站点（.onion网站），揭示了这一现象的真相。“暗网下/AWX”根据其调查，结合对暗网的探访以及科学、法律和网络安全知识，为大家全面科普暗网器官交易的现状。
暗网上的“器官超市” 调查发现，至少有三个暗网网站公开列出人体器官销售信息，并引导用户通过Telegram进行进一步洽谈。这些暗网网站列出了肾脏、心脏、肺和肝脏等器官，价格标签与在线购物平台如出一辙，产品描述、促销标签和购物车选项一应俱全。这些平台声称提供“价格低廉且合法”的器官，并辩称器官移植等待名单过长和器官短缺使得此类交易合理化。售价如下：
肾脏：约8.5万美元 心脏：约6.9万美元 肝脏：约3.5万美元 这些暗网网站模仿主流电商平台，配有产品描述、促销标签和购物车功能。卖家声称提供“便宜且合法”的器官，覆盖欧洲、印度等多个国家，并承诺“两天内送达印度”、“几分钟内匹配德里供体”等。
众所周知，暗网需要通过Tor浏览器等特殊工具访问，无法用普通浏览器打开。这些暗网网站隐藏了运营者和用户的真实身份和位置，常被用于违法犯罪或高风险活动。
印度调查人员尝试购买 开源情报团队联系了其中一位卖家，该卖家将该业务描述为“暗网市场，出售各种真实可靠的商品”。
调查人员假扮成一位在印度寻找肾源的潜在买家，对方告知肾脏将在两天内送达，并且只接受比特币支付。随着对话的深入，卖家声称在24小时内可以交付一个“新鲜”的肾脏，之后又提供了一位据称在德里的“活体匹配捐赠者”，据称是一位24岁的健康男性，血型为O型阴性。
该账户报出5万美元的套餐价格，声称包含捐赠者补偿、手术、住院和机场接送。为了预留捐赠者，卖家要求支付2000美元的比特币定金，并声称剩余款项可在移植手术后支付。但卖家拒绝提供进一步验证信息与任何其他细节，包括医院名称、直接联系方式或任何独立核实信息，并继续坚持要求预付款，其强调由于“担心警方监视”。
在与卖家继续交谈的过程中，暗网卖家试图通过提供一位孟买泌尿科医生的姓名来增强可信度。经独立调查发现，该姓名与一位在孟买知名私立医院工作的著名泌尿科医生相符。未经核实就使用知名医生的姓名，会进一步引发人们对手术真实性的质疑。专家表示，诈骗团伙通常会利用知名医院和医疗专业人士的名义，博取急需治疗的绝望患者的信任。
为什么这极可能是诈骗 卖家的一些说法与印度的器官移植法律和既定的医疗程序相悖。在印度，器官移植受《人体器官移植法》（Transplantation of Human Organs Act）严格监管，主要特点包括：
90-95%的移植来自活体亲属捐赠； 尸体器官通过国家器官和组织移植组织（NOTTO）及各邦机构统一分配； 捐赠者和接受者通常需为近亲属，需经过严格医学检查、授权委员会审核，有时还包括DNA鉴定； 整个流程至少需要数小时至数天的医学和法律程序，不可能“24小时内完成”。 印度器官移植协会副主席Vikas Jain医生明确表示：“政府法律非常严格，几分钟内匹配供体或两天内完成移植在现实中不可能发生。光是完成必要的检查就需要六到八个小时。根本不可能在24小时内安排好肾脏并完成所有手续。此外，捐赠者和接受者通常需要是近亲，而审批委员会通常会通过文件、家谱，在某些情况下还会进行DNA检测来审查家庭关系，然后再批准移植手术”卖家提供的“快速服务”明显违反医疗和法律常识。
此外，诈骗分子常借用知名医生或医院的名义建立信任，但调查中无法独立验证相关信息。专家指出，这种“预付定金+比特币支付”的模式是典型的网络诈骗手法，专门针对急需器官的绝望患者。
根据世界卫生组织（WHO）和各国报告，全球器官短缺问题严重，黑市器官贩卖确实存在，但主要通过地下网络而非公开暗网“电商”。多数公开的暗网“器官销售帖”被证实为诈骗，用于骗取加密货币支付的预付款。
为什么选择Telegram继续谈判 调查显示，初始接触在暗网站点进行，后续谈判迅速转移到Telegram。这款即时通讯App因端到端加密和匿名性，常被用于各种黑灰产或违法犯罪活动。虽然Telegram本身并非犯罪平台，但其匿名特性为可疑交易提供了隐蔽渠道。
此前，Telegram在印度曾因涉嫌考试泄题、儿童虐待材料传播和金融诈骗等一系列等案件而受到审查。调查NEET考试泄题事件的当局称，该平台被用于传播泄露的考题。最近，印度内政部下属的印度网络犯罪协调中心的一份报告发现，Telegram群组被用于分享儿童性虐待材料和进行金融诈骗。
虽然没有证据表明Telegram平台本身与所谓的器官交易有关，但本次调查中的对话表明，匿名消息服务可以提供一个私人渠道，让涉嫌的卖家继续谈判，同时保护他们的身份不被公众看到。
暗网器官交易的全球背景 暗网是互联网的“隐藏部分”，仅占整个网络的极小比例（约0.005%-1%）。它常与非法活动关联，但也用于隐私保护和信息自由。根据Chainalysis和各国执法报告：
器官贩卖黑市真实存在，主要涉及贫困人群被胁迫捐赠； 但更多在线“器官销售”属于预付款诈骗（advance-fee scam），全球每年因此损失数亿美元； 比特币等加密货币因匿名性，成为诈骗犯偏好的支付方式。 这些卖家究竟代表的是有组织的器官贩卖网络、针对弱势患者的精心策划的预付款诈骗，还是两者兼而有之，目前尚不清楚。然而，显而易见的是，卖家做出的许多承诺都与印度的器官移植法律、医疗规范和器官分配制度直接相悖。
该新闻媒体称表示，印度器官移植需求巨大，但合法渠道等待时间长，导致部分患者容易上当。印度政府和医疗机构持续打击非法器官交易，同时提醒公众通过正规渠道求医。
暗网上的器官销售列表大多是精心设计的骗局，利用患者求生欲望实施诈骗。虽然真实器官黑市在全球范围内存在，但公开的“电商式”销售几乎不可能合法运作。面对器官短缺，我们更应推动合法捐赠体系建设，而不是寄希望于地下交易。
Tor（The Onion Router，洋葱路由）是一种免费的开源隐私工具，由Tor Project开发。它通过将用户的互联网流量经过全球多个中继服务器层层加密转发，有效隐藏用户的真实IP地址和在线活动轨迹，让追踪变得极其困难。许多记者、研究者、活动人士以及普通用户都依靠Tor来保护个人隐私、安全浏览网页，并在网络审查严格的地区获取信息。
Tor不仅仅是“暗网入口”，它更是维护互联网开放、隐私与安全的重要基础设施之一，在维护互联网的私密性、安全性和开放性方面发挥着重要作用。当然，任何工具都应合法、负责任地使用。下面让我们通过2026年的最新统计数据，全面了解Tor网络的规模、使用趋势和技术现状。
Tor核心概览（2026年最新数据） 每日平均用户规模：2026年，全球约有300万人每天使用Tor网络。 峰值预测：Tor流量预计在2026年9月达到约2000万用户峰值。 暗网流量占比：仅有1.5%的Tor流量用于访问暗网（.onion站点），超过98%的流量用于普通互联网的隐私保护浏览。 移动端贡献：移动用户约占每日Tor流量的40%。 美国领先：美国是Tor用户最多的国家，约有678,887名用户，占全球比例16.48%。 其他主要用户国家（每日平均用户数及占比）：
德国：327,937人（7.96%） 巴西：186,284人（4.52%） 印度：169,847人（4.12%） 印度尼西亚：140,240人（3.40%） 法国：126,000人（3.06%） 荷兰、西班牙、芬兰、英国等也位居前列。 来源补充：根据Tor Project官方Metrics数据（torproject.org），这些用户统计主要来自中继节点报告的共识数据，具有较高的可靠性。
Tor与暗网的使用数据 Tor网络的使用率似乎很高，每天有超过200万人访问它，这表明它的作用不仅仅是规避法律。 只有1.5%的Tor流量会进入暗网，这意味着这些人中的大多数都参与了合法的网络活动。 与大多数人的假设相反，只有45%的暗网网站是为了非法目的而存在的，而另外55%的网站则专注于隐私和免受窥探。 暗网用户中约有26%来自印度，其次是俄罗斯（22%）和巴西（21%）。值得注意的是，俄罗斯的Tor网络日均活跃用户数量最高，这表明Tor网络在全球范围内被用于匿名访问和规避信息流动管制。 由此可以推断，BitTorrent占Tor流量的很大一部分（超过40%），这表明它对全球点对点文件共享做出了贡献，也表明使用这种互联网通信方式的人面临着挑战。 Tor是在美国政府的支持下开发和资助的，目的是保障特工和线人之间的通信安全。 由于担心美国国家安全局的监视，加密货币市场供应商数量一度达到4万家，这表明它对在线影子经济至关重要。 Tor上的.onion URL总数超过65,000个；最近的一项研究表明，其中10%执行正常的互联网活动，从而揭示了该网络的双重功能，即允许合法和非法企业在线交易。 基于Tor的暗网市场概述 暗网黑市在2025年的销售额估计达到26亿美元，并在2026年继续增长。 2025年记录在案的平台犯罪中，近60%涉及在可通过Tor访问的暗网论坛上出售帖子。 基于订阅的Tor市场以每月约15美元的价格提供9300万条数据日志和6700万条Google日志。 常见价格包括：被盗的美国社会安全号码（1-6美元）、完整的身份套餐（20-100美元以上）以及经过验证的加密货币交易所账户（120-1170美元）。 热门的Tor市场包括Brian’s Club、Russian Market、STYX Market、WeTheNorth、Torzon Market 和 Exodus Marketplace。 Tor软件技术参数 属性详情名称Tor开发者The Tor Project首次发布2002年9月20日最新稳定版0.4.9.11（2026年6月25日安全更新）编程语言核心以C语言为主，辅以Python和Rust支持平台Windows、macOS、Linux、Android、iOS（通过Tor Browser）软件大小Tor Browser捆绑包约150-231 MB许可证BSD 3-Clause开源许可官网torproject.org Tor通过入口节点（Guard）、中间中继节点和出口节点三层结构工作，每一层只知道前后一跳，无法掌握完整路径，这就是著名的“洋葱路由”原理。
暗网与Tor的关系：冰山一角 尽管Tor常与暗网（Dark Web）联系在一起，但实际情况远非如此：
只有约1.5%-6.7%的Tor流量进入.onion站点。 暗网仅占整个互联网的极小部分（约0.005%-1%），而深网（Deep Web，如需登录的数据库）占80%-90%，明网（Surface Web）仅占5%-10%。 约45%-57%的暗网站点与非法活动相关，其余主要用于隐私保护和信息自由。 2025年，暗网市场销售额估计达26亿美元，并在2026年持续增长。近60%的平台犯罪记录涉及Tor暗网论坛的销售帖。订阅制Tor黑市每月约15美元即可提供9300万条数据日志和6700万条Google日志。
科普补充：根据Panda Security和Chainalysis等机构的报告，暗网的主要用途包括合法的 whistleblowing（吹哨）、新闻报道，以及非法交易。Tor本身不等于犯罪工具，正如汽车不等于犯罪工具一样。
Tor洋葱服务（.onion站点）统计 Tor Metrics持续监控唯一版本3（v3）.onion地址：
约54,602个.onion地址，其中38%仅出现一次。 约800,000个活跃v3洋葱服务每天在线。 HTTP协议占99.