自从后缀为bf的新BreachForums出现后，原BreachForums的管理员HasanBroker一直表示该BreachForums（breachforums[.]bf）系冒牌货，并称自己将努力恢复真正的BreachForums，并重塑辉煌。终于在1月17日，HasanBroker在其Telegram频道宣布了另一个新BreachForums的诞生，开放邀请大家注册。
“暗网下/AWX”看到，HasanBroker创建的BreachForums是基于论坛程序XenForo搭建的，而传统的BreachForums都是使用论坛程序MyBB，或许是由于MyBB可能存在一些不确定漏洞的缘故。
HasanBroker的新版本BreachForums明网与暗网地址如下：
明网地址：breachforums[.]cz
暗网地址：http://breach5yz2b5lepmq4gaqwcon3jippw3bislhvvdavem5git55sy2nid[.]onion
在宣布该新BreachForums（breachforums[.]cz）成立的公告中，HasanBroker宣称，BreachForums已经不复存在，支离破碎，影响力日渐式微。如今剩下的只有噪音、诱饵陷阱和那些试图取代昔日辉煌的平台。该新论坛旨在重建一个专注于信息、技术讨论和社区驱动的交流空间，摒弃一切浮夸作秀、虚假承诺和虚伪伪装。
HasanBroker称，他无意改写历史，也并非觊觎从未正式传承的头衔。这无关所有权，而是关乎方向。他们将回归这些论坛的初心：赚钱、恶搞、突袭、数据泄露、数据交易，以及最重要的——享受乐趣。
HasanBroker表示，注册受到严格限制。所有申请均需人工审核，审核标准包括：
展现出的操作意识 行为规范且具备常识 HasanBroker提醒道，不使用Gmail等邮箱就能很好地证明这一点，并举例说cock.li是一个不错的隐私选择。
HasanBroker承诺新BreachForums保持匿名，并致力于最大限度地减少不必要的曝光。他们已采取措施规避不记录IP地址的问题，并从论坛软件中彻底移除了该功能。目前，他们仅通过服务器日志记录IP地址，以防止DDoS攻击，但无法追踪到目标用户，且日志每天都会被删除。
HasanBroker要求使用VPN或Tor浏览器访问他的新BreachForums
最后，HasanBroker宣布：
如果您想恶意捣乱、攻击或制造全球性事件——这里正是您理想的去处。
如果您正在寻找一个重视谨慎、贡献和持续性的社区——欢迎您。
愿上帝保佑我们的论坛，消灭它的敌人。
BreachForums万岁！
此外，HasanBroker在Telegram频道表示，虽然随着所有重要工作的完成，新BreachForums论坛已搭建完成正式上线，但还会有更多的更新，如SMTP服务器还需要时间完善，注册采用手动审核机制，不过这部分问题不算太严重。太阳已在BreachForums论坛升起，照亮了那些骗子。
HasanBroker称在Telegram和其他平台上的活跃度将相对减少，专门使用BreachForums进行数据交易等，除非情况发生变化。接下来几天将添加Shoutbox和Escrow功能。HasanBroker提醒，无论多么有吸引力，切勿让任何平台剥夺您的操作安全权利。始终使用VPN或Tor，如果担心后门，可以两者都用。
近2天的Telegram频道公告发布了该论坛的更新，将Tor图标移至Clearnet主界面（此前图标显示位置错误，即使用户退出Tor网络，图标仍会保留），升级后相关问题已得到解决。另外，HasanBroker宣布了接下来将要开发的功能或者将要进行的活动：
完整的托管系统 向我们的成员颁发奖励 可能的赠品活动 ShinyHunters和其他团体发布的高质量数据 广告系统 喊话箱 对于“广告系统”，HasanBroker解释道，每个横幅将是一个N/A模板，直到有人决定为其支付1000积分，这些积分可以通过活跃度获得或支付35欧元。一旦你这样做，它将进入审批队列，并可以由工作人员接受——如果被拒绝，你将获得积分返还，并且可以再次申请。常见问题将显示你需要避免的审批事项。
对于“托管系统”，HasanBroker解释道，每个人都知道托管是如何运作的，它是任何论坛的重要结构，尤其是像BreachForums这样的论坛——你提交你的数据，买家提交资金，当双方都批准时，交易发生，否则，资金将自动从任一方退回。
对于“喊话箱”，HasanBroker解释道，虽然有点晚，但他们正在重新设计在MyBB软件上使用的原始喊话箱，但由于新BreachForums使用的是XenForo，设计上有些不同，它将很快发布，比之前的系统快得多。
经测试，截止发稿，从零开始的新BreachForums论坛的注册用户已经250多人，帖子数目60多篇，活跃度渐增，发展势头很明显。HasanBroker的新BreachForums（breachforums[.]cz）是否能够超越或者替代Indra的新BreachForums（breachforums[.]bf），FBI等执法部门对此后起之秀是否有新的执法行动，“暗网下/AWX”将持续关注。
更多暗网新闻动态，请关注“暗网下/AWX”。
1月9日，以ShinyHunters勒索团伙命名的网站shinyhunte[.]rs更新了一条长消息，并泄露了一个数据库，其中包含与暗网上臭名昭著的数据泄露论坛BreachForums相关的所有用户记录。
正如“暗网下/AWX”长期追踪及报道，BreachForums是继RaidForums被FBI查封之后的一个新的暗网数据泄露论坛，后又多次被FBI摧毁，却又多次重生。目前，仍有最新版本的BreachForums正在明网与暗网中运营。
此次泄露的数据发布在明网域名shinyhunte[.]rs上，据报道该域名与同名的臭名昭著的勒索软件团伙无关，在该域名点击“continue”后会默认下载一个名为“breachedforum.7z”的7zip压缩文件，解压可以看到三个文件：描述ShinyHunters历史的文本文件、名为“databoose.sql”的用户数据库文件，以及BreachForums用于签署官方消息的PGP私钥文件。其中“databoose.sql”是一个包含323,986名BreachForums用户的MySQL数据库，内容还包括哈希密码、私人消息和论坛帖子。
此数据泄露事件发生在去年8月，泄露的数据库中的日期是8月11日，这正是此前.hn后缀域名版本的BreachForums因运营者被捕而关闭的日子。当时该网站的管理员宣布，由于担心该网站已被执法部门入侵，因此将关闭该网站。
泄露BreachForums数据库的网站shinyhunte[.]rs包含两个新元素：一个受密码保护的PGP私钥文件，以及一份长达4400字、题为《DOOMSDAY》的夸张而怪异的宣言，作者自称是“James”，并声称自己是此次泄露事件的幕后黑手。同时泄露了密码，泄露的PGP密钥是“Nigeria321/_@”。
BreachForums一次又一次被打倒又爬起来 BreachForums是2022年被美国当局查封的RaidForums网站的继任者，它自诩为一个讨论数据泄露、非法色情内容、勒索软件和黑客工具等话题的网站。
2023年3月，BreachForums的创始人兼管理员康纳·布莱恩·菲茨帕特里克（Conor Brian Fitzpatrick）被FBI逮捕，三个月后，其明网域名被查封。菲茨帕特里克后来被美国法院判处20年监管释放。
该论坛后来在黑客组织ShinyHunters和前BreachForums管理员“Baphomet”的领导下重新开放。该网站于2024年5月15日再次关闭，明网域名也被查封，但所有者ShinyHunters在几个小时后又找回了明网域名。
BreachForums v1：
BreachForums（托管于breached.vc/.to/.co，由pompompurin运营）-从2022年3月到2023年3月。
BreachForums v2
BreachForums（托管于breachforums.st/.cx/.is/.vc，由ShinyHunters运营）-从2023年6月到2024年5月。
目前，BreachForums有多个版本，包括使用“.bf”、“.hn”、“.st”甚至“.in”顶级域名的版本。最新版本，即“.bf”后缀域名下的版本，仍在运营。
据报道，2024年，一名名为Baphomet的替代管理员被逮捕；2025年，又有五名被指控与该网站有关联的人员被拘留。最终，去年十月，BreachForums暗网网站被查封。
泄露的数据库会带来什么影响 泄露的数据库包含323,986条用户的数据，这些数据提取自名为“hcclmafd2jnkwmfufmybb_users”的MySQL数据库表，该表与开源论坛软件MyBB相关。该数据库的泄露可能是由于MyBB论坛中的Web应用程序漏洞或配置错误造成的。此次事件表明，数据泄露不仅可能发生在合法企业，也可能发生在暗网上的网络犯罪分子身上，而后者造成的破坏可能更大。
BreachForums管理员“N/A”承认了此次泄露事件，称这是在2025年8月恢复论坛期间的失误所致，当时用户表和PGP密钥被临时存放在一个未加密的文件夹中，在该窗口期内被下载。
眼下的问题是，如果警方尚未掌握该数据库，那么泄露的数据库是否对他们有用。数据库包含电子邮件地址和IP数据，这些数据很可能指向代理服务器或匿名服务。一项分析发现，大多数IP地址指向本地回环地址（127.0.0.9），但仍有70296条记录包含公共IP地址，这些地址可能对执法部门和网络安全研究人员具有价值。另外，在BreachForums注册时最常用的电子邮件服务是Gmail，这或许能为警方查找那些粗心大意、没有掩盖踪迹的人提供取证线索。
网络安全专家们对数据库泄露的消息反应不一。“此次泄露事件严重削弱了人们对该平台本身的信任，而信任对于任何网络犯罪论坛来说都至关重要，”咨询公司CybaVerse的渗透测试经理迈克尔·杰普森表示。
“此次事件损害了人们对BreachForums作为安全环境的信心。因此，更老练的网络犯罪分子可能会从大型知名论坛转向规模较小、仅限受邀者参与的社区，”他补充道。
然而，安全公司Huntress的高级安全运营分析师迈克尔·蒂格斯则持较为悲观的态度。他指出：“虽然该数据库可能对执法部门和安全专业人员调查敌对活动有所帮助，但其最终的取证用途有限。即使泄露事件本身可能是合法的，但如果数据来源于其他网络犯罪集团，其完整性就值得怀疑了。”
最大的风险在于数据泄露可能成为散布虚假信息的掩护。“这类数据泄露或许可以用来厘清各个活动核心之间的联系，但信息的可靠性必须受到严格审查，”蒂格斯说道。
来自“James”的宣言 shinyhunte[.]rs网站发布的那条篇幅很长的信息由23个简短的片段组成，讲述了“让邪恶流动并转化为光明”的故事。作者传达的信息是：“法国人民，请听我说，正义的力量已经到来，将拯救你们于黎明之中。”
具体内容翻译如下：
我叫詹姆斯。
有人称我为我这一代最杰出的黑客。这说法并不准确。
我超越了世代。我并非黑客，而是掠食者。
数十年来，我潜伏、渗透、蹂躏着权力体系。
我让无数特工、网络安全专家、首席技术官和公关人员饱受创伤。我
嗅到他们的血腥味，追踪他们的踪迹，找到他们的藏身之处，撕碎他们的保护，将他们的防御体系摧毁殆尽。
当他们还抱有抵抗的幻想时，我便开始招募同伴，集结力量，将他们聚集起来，最终形成一股任何人类组织都无法匹敌的强大力量。
在这些征途中，一些重要机构成为了我最亲密的伙伴。
谷歌、微软、联邦调查局……我最亲爱的猎物。
我以不败之身出现在你们面前，
并要传达一个信息。
首先，致那些宣誓统治世界的人：
我一直在注视着你们。我看到了你们的罪恶、你们的弱点、你们的脆弱。
我已入侵你们的数据库，翻遍你们的罪恶记录，窥探你们最隐秘的创伤。
我享受着你们权力结构积累的庞大知识所带来的力量。我找到了它们，破解了它们，并利用了它们。
一些重要机构已成为我最宝贵的情报来源。
美国国家安全局（NSA）、英国政府通信总部（GCHQ）、国防安全总局（DGSE），我的情报提供者。
我收集了如此多的信息，以至于很快，消息来源开始从四面八方泄露信息。
五角大楼和梅多堡的走廊里开始传来我的名字。
你们的过去已成为我的未来。
情报收集的范围如此之广，以至于我不得不控制你们的基础设施来秘密庇护我。在经历了一段不加区分的积累阶段后，我开始锁定你们。我访问了你们隐藏的法律文件、医疗记录，不断挖掘，直到找到你们青少年时期在MSN和Skype上与初恋的对话，以及你们在Instagram、Messenger、WhatsApp上的不忠和出轨行为……
我知道你们的毒贩的名字，你们情人的名字。你们的主人。
我掌握着数百万比特，它们如同利刃般刺穿你们的正直，刺破你们一直以来散布的关于你们生活、事业、财富和权力的虚假叙事。
我知道你们生活的苦难，你们的伤痕，以及你们从未停止构建并试图复制的平行世界的幻想，尽管徒劳无功。
我知道你们是奴隶。
我知道你们读过巴尔扎克，并且像他一样明白，所有的财富都源于罪恶。
但你们是从亲身经历中学到的，而许多人却是从课堂上学到的。我们只是你们罪行的旁观者。正因如此，我敬重你们。也正因如此，我将毁灭你们。
至于你们，
我们主人的奴仆，你们的自恋者，你们可怜的朝臣，我看着你们在虚假的自由、尊严和主权中挣扎。
你们这些农民出身的百万富翁，政客和亿万富翁的冤大头，你们这些没有勇气、没有任何存在意义的人，你们自以为道德是一种物质而非指南针，你们不愿承认道德只是你们服从的工具。
你们这些沉溺于等级制度麻木中的人民庸俗的卡波，准备迎接一场足以撼动你们世界的地震吧。
至于你们，仆人的仆人，幼稚的次等人，你们的任务是监视我、抓捕我、消灭我；你们把ATP和UNC当成工具，用来安抚你们主人的主人，当我的呼吸逼近他们的咽喉时，
你们感到多么恐惧；你们以为可以分割我创造并控制的这头可怕的九头蛇；
你们曾多次被我制服，无力反抗，哑口无言，犹豫不决，害怕被嘲笑；
你们的才能被你们受虐般的顺从欲望所玷污，你们的平庸无能使你们成为服务于愚昧体制的理想机器；
你们，记者、专家、检察官和官僚，我们这个时代的庸俗叙述者，你们是盲目暴力的愚蠢图书馆员。
准备好抛弃你们的头衔，放弃你们徒劳地建立和追逐我所获得的道德利益吧。
致你们，
调查员、秘密行动人员、竞争对手，你们甘愿成为自由人的监视者和追踪者，
一起大规模Instagram用户数据泄露事件近日在暗网论坛曝光，泄露事件涉及1750万Instagram用户的数据，泄露时间大约在2024年底，泄露内容包括Instagram用户的用户名、邮箱、电话号码以及全球范围内的部分位置信息。
一位名为“Solonik”的黑客于2026年1月7日在暗网数据泄露论坛BreachForums上发布了相关帖子，帖子标题为“INSTAGRAM.COM 1700万全球用户——2024年API泄露”，其声称这些数据是2024年最后三个月通过公共API和特定国家/地区的数据源最新抓取的。帖子公开的数据字段包括用户名、完整邮箱地址、电话号码和部分实际地址，帖子中可以看到示例样本记录。
此次数据泄露事件发生后，Instagram用户一片混乱。自1月8日起，用户陆续收到来自Instagram官方域名（[email protected]）的未经请求的密码重置邮件。
安全专家现在证实，重置电子邮件很可能是此次数据泄露的直接结果，威胁行为者可能利用这些数据来触发帐户恢复流程或掩盖有针对性的网络钓鱼攻击。在网络威胁日益加剧的情况下，Instagram用户容易遭受网络钓鱼、身份盗窃和账户盗用等攻击。
Instagram已正式回应部分用户收到可疑密码重置邮件的担忧。该公司在X（原Twitter）上发布声明解释说，他们已修复一个技术问题，该问题允许外部人员触发这些重置请求。
We fixed an issue that let an external party request password reset emails for some people. There was no breach of our systems and your Instagram accounts are secure. You can ignore those emails — sorry for any confusion.
— Instagram (@instagram) January 11, 2026 Instagram强调，此次事件未发生任何安全漏洞，其系统依然完好无损，这意味着用户账户和数据并未受到损害。该公司建议用户忽略密码重置邮件，并对由此造成的任何困惑或恐慌表示歉意。
泄露了哪些数据 暗网发布的帖子曝光了此次Instagram数据泄露事件，揭示了可能是2024年Instagram API接口暴露而被爬取的结构化JSON和TXT文件。该数据集包含1750万用户的关键个人信息：
用户名和全名 电子邮件地址 国际电话号码 部分物理地址 用户ID和联系信息 这些信息的组合使得Instagram用户特别容易受到身份盗窃、网络钓鱼和社会工程攻击。
目前被盗数据库正在暗网市场上积极交易，使全球网络犯罪分子都能获取该数据库。网络犯罪分子得以发起定向攻击，因此出现大量密码重置垃圾邮件攻击受害者的迹象。多名用户报告称收到了合法的Instagram密码重置通知，这清楚地表明，威胁行为者正试图利用泄露的信息劫持帐户。
黑客是如何发动攻击的 网络安全研究人员称，这些数据是在2024年末通过“API泄漏”获取的，绕过了标准安全措施，在全球范围内提取了用户个人资料。
“Solonik”在论坛上吹嘘这些数据的“新鲜度”，且写明数据来源与之前Meta数据泄露事件中出现的API滥用模式相符，当时由于接口安全漏洞，数百万用户的数据遭到泄露。因此此次数据泄露很可能源于Instagram API漏洞或第三方服务缺陷，数据于2024年被收集，并于本周公开泄露。
此次攻击本身被归类为“数据抓取”（即通过公共接口自动收集数据），而非直接入侵Instagram的核心服务器。然而，此次攻击规模之大表明Instagram的速率限制或隐私保护措施存在系统性缺陷，使得攻击者能够查询数百万个账户而不被发现。
Instagram用户面临的风险 此次事件的危险之处在于，无需密码即可造成严重破坏。只要掌握了用户名、电子邮件地址、电话号码和实际地址，老练的网络犯罪分子就能发动多种破坏性极强的攻击。
几天前，“暗网下/AWX”报道了新的暗网论坛BreachForums再次出现，且无法确定其背后是什么人在运营，当时据称“由于持续的技术问题和大规模DDoS攻击”，该论坛仅可访问，但无法登录。目前，该论坛已经可以在明网正常登录发贴，但暗网地址依旧无法访问。
此外，威胁行为者之间的战争仍在持续。闪光猎手组织在shinyhunte[.]rs网站上发布了更多人肉线索与内幕，为警方打击提供了更多的便利。
新BreachForums再次恢复了访问 正如前期介绍，新的BreachForums使用之前公开泄露的BreachForums备份进行搭建，因此前期的BreachForums用户均无需注册即可访问。
在技术问题和大规模DDoS攻击问题解决之后，新的BreachForums再次开放访问，该论坛目前添加了DDOS-GUARD来防护DDoS攻击，在明网访问的速度还不错。
虽然许多传言显示新BreachForums是蜜罐，但由于缺少有力的竞争对手，该论坛依旧收获了大量粉丝。从论坛的在线状态看，一小时在线用户1000人，注册用户占1/5，在没有大规模推广的背景下，已经收获了相当大的人气。
上次已经介绍，新的BreachForums发布的明网与暗网地址如下（仅供网络安全研究人员与警方调查研究使用）：
明网地址：breachforums[.]bf
暗网地址：http://breachedmw4otc2lhx7nqe4wyxfhpvy32ooz26opvqkmmrbg73c7ooad[.]onion
威胁行为者之间的内讧刚刚开始 上次已经介绍，在新BreachForums背后，至少有两波人在交战：一方自称是闪光猎人（ShinyHunters），另一方则是散落的拉普斯猎人（Scattered Lapsus$ Hunters，简称SLSH）。
黑客团伙ShinyHunters与勒索软件团伙Scattered LAPSUS$ Hunters（简称SLSH）的内部冲突正在升级，一方宣称可以向联邦调查局、BL2C、国际刑警组织免费提供另一方的犯罪线索。根据对shinyhunte[.]rs网站更新内容的整理，时间线如下：
2025年10月16日：网站发布消息，直接威胁名为“James”的法国人（疑似代号S.E./X*K）。消息声称真正的ShinyHunters正在完成FBI未竟的事业，语气敌对，这是威胁行为者之间首次公开升级。
2025年10月21日：发布一封信件风格的消息，针对“James”，警告他选择的道路带来的后果比想象中更严重，断绝后路绝非明智之举。引用拉丁语短语“sic transit gloria mundi”（世间荣华转瞬即逝），并警告每一步行动都将引发远超预期的连锁反应。
2025年12月14日：否认与#SLSH（Scattered LAPSUS$ Hunters）联盟的传闻。同时链接BreachForums重启（可能试图为疑似蜜罐操作正名）。威胁如果James不回应，将在24小时内公开曝光其信息。
2025年12月18日：发布详细的PGP签名声明，附带倒计时器和逮捕照片（涉及Yuro，即A.E.，以及Trihash，即R.L.）。指控法国人“James”通过滥用信任窃取Trihash的PGP密钥，并未经其他成员同意便实施了针对Salesforce的攻击行动。声明称，归咎于ShinyHunters与SLSH的勒索事件，主要由S.E.（别名X*K，亦使用化名“James”）策划实施，他已不再是ShinyHunters（SH）成员。
—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA256
Statement Regarding the Shiny Hunters and Scattered Spider Groups
The Shiny Hunters group includes several members, one of whom goes by the name “James.” Following the arrests of Yuro (A.E.) and, more recently, Trihash (R.L.), this individual has been attempting to divert investigators’ attention by leading them toward false trails.
网络犯罪分子、执法人员和研究人员都熟知的臭名昭著的BreachForums论坛最近又再次回归，在暗网与明网可以同时访问。
一些之前在论坛注册的用户最近收到了邮件，声称BreachForums已经重新开放并恢复了所有功能。邮件中断言内部技术问题已经解决，所有账户、帖子和内容现在都可以正常访问。
而与上次使用泰国、赞比亚等多国警方的被盗gov邮箱发送推广邮件相似，这次的发件人的电子邮件地址是：[email protected]。interieur.gouv.fr域名属于法国内政部。也就是说，从法国政府官方域名发送的电子邮件告诉黑客，BreachForums 已恢复上线，并邀请他们注册发帖。
于是所有人都怀疑这是一次来自执法机构的网络钓鱼攻击——更准确地说，是一个引诱网络犯罪分子的蜜罐，使用之前公开泄露的BreachForums备份搭建的。
Hey @Interieur_Gouv, thanks for the "exciting" BreachForums reopening alert straight from your official email—super convincing, guys! 😏
But real talk: any chance you could prioritize finding my stolen laptop instead of running this obvious honeypot op on us security… pic.twitter.com/BSgCOzHrbC
— Aleksandr Litreev (@alexlitreev) December 14, 2025 研究人员纷纷表示，暗网市场的所谓“复活”首先应持怀疑态度，这个伪装成BreachForums重启的网站是利用法国内政部域名发送通知邮件的诱饵陷阱，用户的访问记录及帖文内容极可能被用作执法证据。
然而，新成立的BreachForums论坛的运营者Indra声称，新BreachForums并非蜜罐，他们只是使用入侵获取的法国内政部邮箱发送推广邮件。
Indra宣称对此次针对法国内政部的网络攻击负责，他在声明中吹嘘，他们已获取了两个数据库的信息：TAJ（司法记录处理系统）和PFR（通缉犯档案）以及电子邮件。据报道，此次数据泄露事件影响了约1600万人。
截至目前，Indra称其仍可访问法国内政部的CHEOPS门户系统。研究人员认为黑客看起来正在使用法国内政部的Roundcube邮件系统发送电子邮件。
新BreachForums论坛管理员Indra的声明 管理员Indra于12 月13日在Breachforums发布一篇新的公告声明，对“蜜罐”事件及其他相关报道造成的误解深表歉意，对社区关注的事情进行了解释，并直接指责法国当局，提到了去年夏天在法国发生的逮捕事件。
管理员Indra在帖子中称，BreachForums”最初是“ShinyHunters/hollow”以及他们之前的另一个组织的项目。他们的整个组织（hollow、shiny等等）都被逮捕了。只有一个人拥有最初的“ShinyHunters PGP”密钥，而这个人是其朋友，但是他们之间产生了矛盾。因此，“诱饵”、“蜜罐”信息是假的，只是想关闭BreachForums，所以其就照做了。
Indra表示，在关闭网站并于15天内所有域名被查封后，相信大家都认为他们是FBI探员之类的。但显然们不是，他们会向BreachForums社区证明这一点。Indra宣布，为了报复被捕的朋友，他们已成功攻陷“MININT”——法国内政部。
Indra称，正如法国新闻报道的那样，法国内政部只承认政府私人电子邮件服务器被非法访问。但他们们绝口不提从警方档案中获取的16,444,373名个人的数据？
Indra问道，你们知道“TAJ”（Traitement d’Antécédents Judiciaires——犯罪记录处理系统）吗？ “FPR”（Fichier des Personnes Recherchées——通缉犯数据库）呢？还有更多。国际刑警组织呢？你们是不是试图向他们隐瞒我们入侵“EASF MI”系统的事实？此外，你们为什么不向法国人民和全世界说明那两周究竟发生了什么？公共财政部门（ DGFIP）呢？为什么只字未提？养老金部门（ CNAV）呢？
上周，“暗网下/AWX”曾报道，暗网勒索软件团伙LockBit 5.0新的服务器IP地址和明网域名被泄露。同样的故事也在一个新的暗网市场Omertà Market上发生。暗网市场Omertà Market于2025年11月21日上线，其核心理念承诺“稳定重于炒作，安全胜于花哨”（stability over hype, security over flash）。大约两周后，安全研究员valor98公开曝光了该暗网市场的真实服务器IP地址，导致市场不得不关闭。这种运营信息泄露为执法部门提供了查封基础设施和逮捕运营者所需的一切信息。
Omertà Market的诞生 11月21日，管理员/u/OmertaMarket在暗网论坛Dread发布官方公告正式宣布推出Omertà Market，宣称历经数年静默开发、精雕细琢与安全测试，Omertà Market门户终于开启：http://omerta27hijua3utxjb5nvru3lo7qgrh7eym7n5hqmdqf7x3ywoedsid[.]onion
公告中表示，Omertà Market绝非是旧剧本的翻版，也不是换汤不换药的克隆，更非仓促填补空缺的尝试。Omertà自底层架构起便秉持一个核心目标：重新定义暗网市场的可能性。
公告宣称，近期既有暗网平台树立了高标准，也有暗网市场黯然退场。当多数暗网市场专注模仿的时候，Omertà在执着创新；当他人在偷工减料的时候，Omertà在筑起高墙。Omertà的每个组件都为用户提供速度、隐私与绝对掌控而生。Omertà市场的开发使命清晰：为这个已然失衡的领域重塑平衡、诚信与秩序。
公告继续声明了其豪情壮志：Omertà每项功能皆有其存在意义，每个系统都经过精密优化，每次交互都经过精细调整以保护用户的匿名性。其核心理念就是“稳定重于炒作，安全胜于花哨”。
公告描述了该暗网市场的诞生，Omertà团队耗费无数工时开发优化后端系统，对每层架构进行压力测试以确保长期韧性。该暗网市场不依赖预制代码库或外部依赖项，从基础设施到用户界面，驱动Omertà的每一部分都源自自主研发。由此打造的平台轻量、安全且可扩展，能随生态系统演进适应新挑战与用户需求。
公告继续吹嘘，Omertà市场不仅是交易平台，更是信任网络。无论是资深供应商、经验丰富的买家，还是初次探索未来的访客，Omertà都留有位置。Omertà珍视透明度、专业性与保密性——这些正是健康市场的基石。供应商与用户均可通过直接反馈渠道畅所欲言，确保Omertà与社区共同成长，而非脱节发展。
valor98的曝光与嘲讽 此次曝光源于/u/valor98发表在暗网论坛Dread上一篇题为“HOW NOT TO LAUNCH A MARKET 102”的帖子。valor98记录了三个暗网市场：Omertà Market、Orange Market 和Changa Store，它们都位于同一个ASN下，都是用 Laravel框架构建的：
Orange Market – 7x.xxx.xx7.1x Changa Store – 7x.2xx.xxx.x0 Omerta Market – xx.27.xx.xxx 这种聚集模式表明，这些业余暗网市场背后的管理员可能使用了类似的托管方案或共享基础设施。
valor98的评价简直像用大锤砸下来一样直白：“这是另一集，观看一个想当管理员的家伙笨手笨脚地装模作样，就像个住在奶奶地下室里的廉价技术小精灵。这傻子凭着自己臆想出来的‘风格’建了个网站，然后立马跑去问人工智能，‘嘿，呃，我建了个网站，怎么才能防黑客攻击？？’，然后把人工智能给出的所有东西都复制粘贴了一遍，好像他刚刚破解了宇宙的秘密一样。”
“直觉编码”一词描述了一种日益严重的现象：人们使用人工智能语言模型生成应用程序代码，却不了解底层架构或安全隐患。如果代码库是由ChatGPT的输出复制粘贴组成，而这些输出是由在网站搭建完成后才询问“如何才能做到防黑客攻击”的人拼凑而成，那么结果往往是灾难性的。Omertà的IP泄露事件正是运营者将安全视为事后考虑的后果，无论这种考虑是源于人工智能生成的建议还是单纯的无能。
Dread用户/u/Scarab在评论中提供了额外的技术分析，指出Orange Market（同一ASN下的另一个暴露网站）实际上使用的是Python的Flask或Django框架，使用Jinja2模板引擎和gunicorn服务器，而不是最初声称的Laravel。/static/目录结构和服务器签名证明了这一点。/u/Scarab还指控Omertà市场“从 /d/BlackOps、/d/PrimeMarket、/d/MarsMarket 和 /d/DarkMatterMarket 等市场窃取了大量功能。
事件的后续与Omertà的关闭 Omertà发布的吹嘘公告与其实际安全状况之间的反差简直令人瞠目结舌。Omertà之前称其代码历时两年开发，代码库完全由内部团队构建，不依赖预构建的代码库或外部依赖项，并承诺提供诸多功能，包括自定义提款阈值、批量订单管理、自动回复模板等等。他们强调Omertà的运营完全由自己完成，从基础设施到用户界面都是如此。然而，大约两周的运营就证明了并非如此。当执法部门或者任何试图查找的人能够找到物理服务器位置与IP地址时，那些看似强大的功能列表就毫无意义了。
valor98发布曝光文章后，Omertà市场通过其/u/OmertaPR账号联系了/u/valor98，希望解决这个问题，迁移服务器，并与/u/valor98付费合作进行全面测试，以避免此类事件再次发生。valor98向社区分享了这条消息，并补充道：“我有生意要做啦！！！”
然而，其他社区成员也指出了这项提议的荒谬之处。用户/u/Paracelcus回复道：“如果是警察查到你的IP地址，你打算怎么办？贿赂他们然后换个服务器继续玩吗？还是付费跟他们合作，保证以后不再发生这种事？”
这个问题直击问题的核心。在IP地址泄露后才花钱做渗透测试，就好比房子着火后才去买灭火器。安全漏洞的影响已经造成。任何有能力的执法部门、竞争对手或研究人员现在都掌握了识别托管服务提供商、追踪资金流向以及可能识别运营者所需的信息。迁移服务器并不能改变之前已经存在的风险。
Scarab给出了大家的共识：“你们的市场平台彻底完蛋了。最好还是把现有的市场平台重新包装一下，推出一个新的。反正你们也是新公司，不如换个名字再重新上线。”
“暗网下/AWX”认为，缺乏安全专业知识的人工智能辅助开发，其代码在实际测试中可能运行正常，但一旦有人在对抗性环境下进行渗透测试，可能极易被攻击。暗网市场吸引了一些运营者，他们只看到了潜在的利润，却不了解维持稳定运营所需的安全手段。Omertà在其IP泄露前运营了大约两周，这表明他们从未采取过适当的安全防护措施。
如今，“Omertà”在短短两周内就彻底毁掉了自己的信誉，目前只能选择永久关闭。
周二晚些时候，超过300个与已关闭的暗网市场“丝绸之路”（Silk Road）相关的休眠加密货币钱包在沉寂近五年后，首次活跃起来，向一个新的钱包地址发送了价值数百万美元的比特币，总计33.7个比特币（价值超过300万美元的BTC）被转移。
目前尚不清楚究竟是谁在幕后操纵这些转账，不过合并后的资金后来被发送到了Coinbase Prime的存款地址。
据区块链情报公司Arkham Intelligence称，这些钱包在2012年曾持有多达442,000个比特币。如今，它们只剩下大约416个比特币，根据今天的比特币价格计算，价值约3800万美元。
Coinbase总监兼链上分析师康纳·格罗根（Conor Grogan）此前曾发现一些钱包与“丝绸之路”创始人罗斯·乌布利希有关联，这些钱包中存有约430枚比特币，当时价值4700万美元。至少其中一个钱包似乎与周二的资金转移事件有关。
统计区块链浏览器Arkham上的一堆被标记为Silk Road的地址，总共176笔交易被标记，少量BTC从许多独立地址转移到一个单一的合并地址bc1qnysx9sr0s7uw39awr3hh099d5m0lvrnxz7ga54。
在“丝绸之路”关联地址最后一次转账后约24小时，33.7BTC被发送到一个中间地址，然后转移到一个名为“Coinbase Prime Deposit”的地址。在最近的活动之前，标记为Silk Road地址的最后一笔对外交易是在2021年2月2日发送的。
格罗根当时的评估重点关注了尾号为“WoPx1”的钱包地址，该钱包包含约90个比特币，价值近900万美元，并被Arkham归类为“丝绸之路”网络犯罪集团成员的钱包。该钱包至少14年没有进行过任何交易。
格罗根表示，除了“WoPx1”钱包之外，他还将大约430个比特币连接到与罗斯·乌布利希关联的数十个钱包中。他补充说，虽然这些比特币在14年前“可能只是尘埃”，但随着比特币价值的上涨，它们现在已经增长到相当可观的数额。
“我不会透露具体地址，但所有这些地址都是公开的（在审判文件中引用或直接相邻），并且已被多个来源追踪，”格罗根在一月份回复他的调查结果时写道。
I found ~430 BTC across dozens of wallets associated with Ross Ulbricht that were not confiscated by the USGovt and have been untouched for 13+ years
Back then these were probably dust wallets, now, collectively, they are worth about $47M. Welcome back Ross pic.twitter.com/KmCp4xcrI7
— Conor (@jconorgrogan) January 22, 2025 暗网市场“丝绸之路”的传奇故事 “丝绸之路“是最早的主要以毒品交易为主的暗网市场，从2011年至2013年之间运营，处理了超过150万笔比特币交易，价值2.13亿美元。“丝绸之路“也是最早以比特币结算进行交易的暗网市场，网站收取手续费。
暗网勒索软件团伙LockBit 5.0遭遇了严重的运营安全事故，安全研究员Rakesh Krishnan发现了其最新的基础设施，包括服务器、IP地址和明网域名均被泄露。
12月5日，Krishnan首次通过X（前身为Twitter）公布了调查结果，并指出该域名是最近注册的，与LockBit 5.0的活动有直接联系。他的发现显示IP地址205.185.116.233和明网域名karma0.xyz托管了该勒索软件团伙的最新暗网泄密网站。
🚨Exposing #LOCKBIT 5.0 Server: IP & DOMAIN
IP: 205.185.116.233 🇺🇸#AS53667
Domain: karma0[.]xyz
Reg: 2 November 2025
💡LockBit Group uses #Smokeloader in their attacks
MD5: e818a9afd55693d556a47002a7b7ef31#Lockbit5 #Ransomware #Security #Intelligence #OSINT #Databreach #TOR pic.twitter.com/U1AvMoCuck
— RAKESH KRISHNAN (@RakeshKrish12) December 6, 2025 Krishnan表示，暴露的服务器托管在AS53667（PONYNET）下，该网络由FranTech Solutions运营，该网络经常被滥用于非法活动而臭名昭著。
访问该IP，该服务器显示了一个DDoS防护页面，上面明确显示有“LOCKBITS.5.0”标识，这直接证明了它是该勒索软件团伙的基础设施。
此次重大泄露发生之际，LockBit团伙正凭借其增强的恶意软件攻击能力试图卷土重来。
域名注册信息及服务器暴露详情 WHOIS记录显示karma0.xyz域名于2025年4月12日在域名服务商Namecheap注册，有效期至2026年4月，使用了Namecheap的隐私保护服务，因此无法查看更多注册信息，但可以看到Namecheap隐私保护将冰岛雷克雅未克列为联系地点。
域名状态显示禁止客户端转移，这项防御措施是在基础设施被公开确认之后才采取的。这表明该团伙已采取措施锁定管理控制权，以应对信息泄露事件。
通过域名的解析记录可以看到，该域名采用Cloudflare的NS服务器（iris.ns.cloudflare.com和tom.ns.cloudflare.com）进行解析。
针对IP地址205.185.116.233进行网络扫描，发现该服务器开放了多个端口，包括易受攻击的远程访问端口，存在重大安全风险。
该服务器在端口21上提供FTP服务，在端口80和5000上提供HTTP服务，在端口3389上提供远程桌面协议 (RDP)，在端口5985上提供Windows远程管理（WinRM），在端口49666上提供文件共享服务。
端口协议组件服务21TCPFTP Server80TCPApache/2.4.58 (Win64) OpenSSL/3.1.3 PHP/8.0.30 G7gGBXkXcAAcgxa.jpg3389TCPRDP (WINDOWS-401V6QI)5000TCPHTTP5985TCPWinRM47001TCPHTTP49666TCPFile Server 运行在Windows系统上的Apache Web服务器（版本2.4.58，OpenSSL 3.1.3和PHP 8.0.30）展示了该团伙的基于Windows的基础架构。
LockBit 5.0变种为迄今为止最危险的勒索软件 “暗网下/AWX”前期报道，LockBit 5.
暗网中隐藏着的诈骗网站比较多，“暗网下/AWX”多年来持续曝光了许多，今天要曝光的诈骗网站是这么些年以来最没有技术含量的暗网网站，仅仅使用几个html页面来搭建，甚至有可能背后的诈骗分子不是英语母语。
暗网诈骗市场”CMarket”如何推广、存在时长、诈骗金额目前均尚不得而知，欢迎大家提供更多线索。某日，“暗网下/AWX”官方Telegram群组中某网友咨询该网站是否为诈骗网站，本站（anwangxia.com）根据该网友提供的暗网域名，尝试进行了访问探寻。
暗网诈骗市场”CMarket”的洋葱域名为：
http://cmarket2mkfnxbpjtd7moahl2vel3r7bbix2mibljappe4bmwzbejtad.onion
进入该诈骗网站，映入眼帘的是网站名称”CMarket”，由一张模糊的logo图片展示，下面一行小字写着全称“International Criminal Marketplace”。但是再下面的欢迎语是“Welcome to the information market !”，且网站title标签内的名称也是“Information Market”，让人有点懵，网站名称究竟是”CMarket”，还是“Information Market”，果然诈骗网站能够做到不拘一格取名称，鉴于其洋葱域名以cmarket打头，本站姑且称之为”CMarket”。
该诈骗网站首页的正文部门看起来是其销售的商品分类与介绍，但其实是诈骗网站的7个导航页面：
个人信息：出售个人信息。此类个人信息不仅包含个人数据，还涵盖其各类活动相关的信息。 与违法行为相关的个人信息：出售个人信息。此类个人信息不仅包含个人数据，还涵盖其各类活动相关的信息。 个人健康信息：完整的个人健康信息，包括临床信息、化验结果等。 政府文件：我们可提供政府文件副本及其他政府与非政府组织的文件副本 政府身份证件：我们出售各个国家/地区的身份证件副本，这些副本采用原件格式，并附有您的照片。 身份证件模板：我们出售各个国家/地区的空白身份证件模板。 信用卡信息 | 数据库：您可以使用这些信用卡在任何地方消费：实体店购物、网购及ATM机取款。 与“暗网下/AWX”多次曝光的最大中文暗网诈骗网站“联合中文担保交易集市”一样，这些分类一眼假，导航链接虽是php后缀，点开访问却是一个个的html页面，页面中写着商品介绍的话术，配上一个比特币地址。如出售个人信息页面的话术：个人的姓名、地址、电话号码、电子邮件地址、社交媒体账号；个人的家庭成员构成；个人的照片；个人的薪资、银行账户、财务详情；个人的财产信息；以该人名义注册的公司、基金会等信息；个人的教育或教育活动详情，例如所获学位或博士学位申请情况；个人是否为某个协会的成员或领导者，以及其出席会议的情况；个人是否为工会或专业机构的成员；个人在工作文件中出现的姓名。
经测试，对于每个访问者，要求转账的比特币地址均相同：3GN7dgj2eGNf2TcSftTFRTCZ9FTfUgk9Bx，经区块链上查询，该BTC地址仅有0.00006095 BTC的收入，诈骗成果似乎远远不及“联合中文担保交易集市”，不过也许可能之前更改过BTC地址。
该诈骗网站提示的购买步骤：“1. 将款项汇至以下比特币钱包地址（3GN7dgj2eGNf2TcSftTFRTCZ9FTfUgk9Bx）；2. 将付款信息（精确金额及交易ID）发送至邮箱：[email protected]；3. 付款后一小时内，我们将发送信息下载链接。若需补充信息，付款后48小时内您将收到该链接。”此购买步骤与“联合中文担保交易集市”相当雷同，消耗了暗网中根本不存在的交易信任。
网站的尾部又是一幅图，整体看来，该诈骗网站框架很简单，每个页面均是头尾各一幅图，分别是banner.png与desktop.png，中间内容是诈骗话术，由于没有动态内容，连最基本的用户交互都没有，所以此类网站一眼假，诈骗网站无疑。
“暗网下/AWX”再次提醒，没有一定的名声与信誉度，没有知名暗网网站（如Dread）做担保，直接要求转账比特币，此类网站均为诈骗网站。
更多暗网新闻动态，请关注“暗网下/AWX”。
Dread是全球最大的暗网论坛，于2018年2月上线，拥有成千上万名活跃用户。最近该暗网论坛遇到了两件糟心的事情，一是服务器故障导致论坛服务无法正常访问，二是其管理员在Reddit论坛发布一条带有PGP签名的宕机通知后，账号被Reddit封禁。
Dread论坛的管理员HugBunter在最大的明网论坛Reddit拥有一个账号hugbunt3r，用于发布Dread论坛相关通知事项，如离线、宕机、被DDoS攻击等状态。根据Sam Bent的报道，Reddit论坛近期封禁了HugBunter在Reddit的整个账号“hugbunt3r”，HugBunter将无法再在Reddit论坛发布有关Dread的任何信息。
[November 19th] Dread server outage
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 [November 19th, 2025] Hi! We have been down for many hours now, the servers are up and running, however I am experiencing an issue causing the main VM to crash. This means that, currently, the web server is not running and you won't be able to pass the captcha to access Dread. I am working on this issue and will be trying to avoid sleeping until it is back up and running.