上周，“暗网下/AWX”曾报道，暗网勒索软件团伙LockBit 5.0新的服务器IP地址和明网域名被泄露。同样的故事也在一个新的暗网市场Omertà Market上发生。暗网市场Omertà Market于2025年11月21日上线，其核心理念承诺“稳定重于炒作，安全胜于花哨”（stability over hype, security over flash）。大约两周后，安全研究员valor98公开曝光了该暗网市场的真实服务器IP地址，导致市场不得不关闭。这种运营信息泄露为执法部门提供了查封基础设施和逮捕运营者所需的一切信息。
Omertà Market的诞生 11月21日，管理员/u/OmertaMarket在暗网论坛Dread发布官方公告正式宣布推出Omertà Market，宣称历经数年静默开发、精雕细琢与安全测试，Omertà Market门户终于开启：http://omerta27hijua3utxjb5nvru3lo7qgrh7eym7n5hqmdqf7x3ywoedsid[.]onion
公告中表示，Omertà Market绝非是旧剧本的翻版，也不是换汤不换药的克隆，更非仓促填补空缺的尝试。Omertà自底层架构起便秉持一个核心目标：重新定义暗网市场的可能性。
公告宣称，近期既有暗网平台树立了高标准，也有暗网市场黯然退场。当多数暗网市场专注模仿的时候，Omertà在执着创新；当他人在偷工减料的时候，Omertà在筑起高墙。Omertà的每个组件都为用户提供速度、隐私与绝对掌控而生。Omertà市场的开发使命清晰：为这个已然失衡的领域重塑平衡、诚信与秩序。
公告继续声明了其豪情壮志：Omertà每项功能皆有其存在意义，每个系统都经过精密优化，每次交互都经过精细调整以保护用户的匿名性。其核心理念就是“稳定重于炒作，安全胜于花哨”。
公告描述了该暗网市场的诞生，Omertà团队耗费无数工时开发优化后端系统，对每层架构进行压力测试以确保长期韧性。该暗网市场不依赖预制代码库或外部依赖项，从基础设施到用户界面，驱动Omertà的每一部分都源自自主研发。由此打造的平台轻量、安全且可扩展，能随生态系统演进适应新挑战与用户需求。
公告继续吹嘘，Omertà市场不仅是交易平台，更是信任网络。无论是资深供应商、经验丰富的买家，还是初次探索未来的访客，Omertà都留有位置。Omertà珍视透明度、专业性与保密性——这些正是健康市场的基石。供应商与用户均可通过直接反馈渠道畅所欲言，确保Omertà与社区共同成长，而非脱节发展。
valor98的曝光与嘲讽 此次曝光源于/u/valor98发表在暗网论坛Dread上一篇题为“HOW NOT TO LAUNCH A MARKET 102”的帖子。valor98记录了三个暗网市场：Omertà Market、Orange Market 和Changa Store，它们都位于同一个ASN下，都是用 Laravel框架构建的：
Orange Market – 7x.xxx.xx7.1x Changa Store – 7x.2xx.xxx.x0 Omerta Market – xx.27.xx.xxx 这种聚集模式表明，这些业余暗网市场背后的管理员可能使用了类似的托管方案或共享基础设施。
valor98的评价简直像用大锤砸下来一样直白：“这是另一集，观看一个想当管理员的家伙笨手笨脚地装模作样，就像个住在奶奶地下室里的廉价技术小精灵。这傻子凭着自己臆想出来的‘风格’建了个网站，然后立马跑去问人工智能，‘嘿，呃，我建了个网站，怎么才能防黑客攻击？？’，然后把人工智能给出的所有东西都复制粘贴了一遍，好像他刚刚破解了宇宙的秘密一样。”
“直觉编码”一词描述了一种日益严重的现象：人们使用人工智能语言模型生成应用程序代码，却不了解底层架构或安全隐患。如果代码库是由ChatGPT的输出复制粘贴组成，而这些输出是由在网站搭建完成后才询问“如何才能做到防黑客攻击”的人拼凑而成，那么结果往往是灾难性的。Omertà的IP泄露事件正是运营者将安全视为事后考虑的后果，无论这种考虑是源于人工智能生成的建议还是单纯的无能。
Dread用户/u/Scarab在评论中提供了额外的技术分析，指出Orange Market（同一ASN下的另一个暴露网站）实际上使用的是Python的Flask或Django框架，使用Jinja2模板引擎和gunicorn服务器，而不是最初声称的Laravel。/static/目录结构和服务器签名证明了这一点。/u/Scarab还指控Omertà市场“从 /d/BlackOps、/d/PrimeMarket、/d/MarsMarket 和 /d/DarkMatterMarket 等市场窃取了大量功能。
事件的后续与Omertà的关闭 Omertà发布的吹嘘公告与其实际安全状况之间的反差简直令人瞠目结舌。Omertà之前称其代码历时两年开发，代码库完全由内部团队构建，不依赖预构建的代码库或外部依赖项，并承诺提供诸多功能，包括自定义提款阈值、批量订单管理、自动回复模板等等。他们强调Omertà的运营完全由自己完成，从基础设施到用户界面都是如此。然而，大约两周的运营就证明了并非如此。当执法部门或者任何试图查找的人能够找到物理服务器位置与IP地址时，那些看似强大的功能列表就毫无意义了。
valor98发布曝光文章后，Omertà市场通过其/u/OmertaPR账号联系了/u/valor98，希望解决这个问题，迁移服务器，并与/u/valor98付费合作进行全面测试，以避免此类事件再次发生。valor98向社区分享了这条消息，并补充道：“我有生意要做啦！！！”
然而，其他社区成员也指出了这项提议的荒谬之处。用户/u/Paracelcus回复道：“如果是警察查到你的IP地址，你打算怎么办？贿赂他们然后换个服务器继续玩吗？还是付费跟他们合作，保证以后不再发生这种事？”
这个问题直击问题的核心。在IP地址泄露后才花钱做渗透测试，就好比房子着火后才去买灭火器。安全漏洞的影响已经造成。任何有能力的执法部门、竞争对手或研究人员现在都掌握了识别托管服务提供商、追踪资金流向以及可能识别运营者所需的信息。迁移服务器并不能改变之前已经存在的风险。
Scarab给出了大家的共识：“你们的市场平台彻底完蛋了。最好还是把现有的市场平台重新包装一下，推出一个新的。反正你们也是新公司，不如换个名字再重新上线。”
“暗网下/AWX”认为，缺乏安全专业知识的人工智能辅助开发，其代码在实际测试中可能运行正常，但一旦有人在对抗性环境下进行渗透测试，可能极易被攻击。暗网市场吸引了一些运营者，他们只看到了潜在的利润，却不了解维持稳定运营所需的安全手段。Omertà在其IP泄露前运营了大约两周，这表明他们从未采取过适当的安全防护措施。
如今，“Omertà”在短短两周内就彻底毁掉了自己的信誉，目前只能选择永久关闭。
周二晚些时候，超过300个与已关闭的暗网市场“丝绸之路”（Silk Road）相关的休眠加密货币钱包在沉寂近五年后，首次活跃起来，向一个新的钱包地址发送了价值数百万美元的比特币，总计33.7个比特币（价值超过300万美元的BTC）被转移。
目前尚不清楚究竟是谁在幕后操纵这些转账，不过合并后的资金后来被发送到了Coinbase Prime的存款地址。
据区块链情报公司Arkham Intelligence称，这些钱包在2012年曾持有多达442,000个比特币。如今，它们只剩下大约416个比特币，根据今天的比特币价格计算，价值约3800万美元。
Coinbase总监兼链上分析师康纳·格罗根（Conor Grogan）此前曾发现一些钱包与“丝绸之路”创始人罗斯·乌布利希有关联，这些钱包中存有约430枚比特币，当时价值4700万美元。至少其中一个钱包似乎与周二的资金转移事件有关。
统计区块链浏览器Arkham上的一堆被标记为Silk Road的地址，总共176笔交易被标记，少量BTC从许多独立地址转移到一个单一的合并地址bc1qnysx9sr0s7uw39awr3hh099d5m0lvrnxz7ga54。
在“丝绸之路”关联地址最后一次转账后约24小时，33.7BTC被发送到一个中间地址，然后转移到一个名为“Coinbase Prime Deposit”的地址。在最近的活动之前，标记为Silk Road地址的最后一笔对外交易是在2021年2月2日发送的。
格罗根当时的评估重点关注了尾号为“WoPx1”的钱包地址，该钱包包含约90个比特币，价值近900万美元，并被Arkham归类为“丝绸之路”网络犯罪集团成员的钱包。该钱包至少14年没有进行过任何交易。
格罗根表示，除了“WoPx1”钱包之外，他还将大约430个比特币连接到与罗斯·乌布利希关联的数十个钱包中。他补充说，虽然这些比特币在14年前“可能只是尘埃”，但随着比特币价值的上涨，它们现在已经增长到相当可观的数额。
“我不会透露具体地址，但所有这些地址都是公开的（在审判文件中引用或直接相邻），并且已被多个来源追踪，”格罗根在一月份回复他的调查结果时写道。
I found ~430 BTC across dozens of wallets associated with Ross Ulbricht that were not confiscated by the USGovt and have been untouched for 13+ years
Back then these were probably dust wallets, now, collectively, they are worth about $47M. Welcome back Ross pic.twitter.com/KmCp4xcrI7
— Conor (@jconorgrogan) January 22, 2025 暗网市场“丝绸之路”的传奇故事 “丝绸之路“是最早的主要以毒品交易为主的暗网市场，从2011年至2013年之间运营，处理了超过150万笔比特币交易，价值2.13亿美元。“丝绸之路“也是最早以比特币结算进行交易的暗网市场，网站收取手续费。
暗网勒索软件团伙LockBit 5.0遭遇了严重的运营安全事故，安全研究员Rakesh Krishnan发现了其最新的基础设施，包括服务器、IP地址和明网域名均被泄露。
12月5日，Krishnan首次通过X（前身为Twitter）公布了调查结果，并指出该域名是最近注册的，与LockBit 5.0的活动有直接联系。他的发现显示IP地址205.185.116.233和明网域名karma0.xyz托管了该勒索软件团伙的最新暗网泄密网站。
🚨Exposing #LOCKBIT 5.0 Server: IP & DOMAIN
IP: 205.185.116.233 🇺🇸#AS53667
Domain: karma0[.]xyz
Reg: 2 November 2025
💡LockBit Group uses #Smokeloader in their attacks
MD5: e818a9afd55693d556a47002a7b7ef31#Lockbit5 #Ransomware #Security #Intelligence #OSINT #Databreach #TOR pic.twitter.com/U1AvMoCuck
— RAKESH KRISHNAN (@RakeshKrish12) December 6, 2025 Krishnan表示，暴露的服务器托管在AS53667（PONYNET）下，该网络由FranTech Solutions运营，该网络经常被滥用于非法活动而臭名昭著。
访问该IP，该服务器显示了一个DDoS防护页面，上面明确显示有“LOCKBITS.5.0”标识，这直接证明了它是该勒索软件团伙的基础设施。
此次重大泄露发生之际，LockBit团伙正凭借其增强的恶意软件攻击能力试图卷土重来。
域名注册信息及服务器暴露详情 WHOIS记录显示karma0.xyz域名于2025年4月12日在域名服务商Namecheap注册，有效期至2026年4月，使用了Namecheap的隐私保护服务，因此无法查看更多注册信息，但可以看到Namecheap隐私保护将冰岛雷克雅未克列为联系地点。
域名状态显示禁止客户端转移，这项防御措施是在基础设施被公开确认之后才采取的。这表明该团伙已采取措施锁定管理控制权，以应对信息泄露事件。
通过域名的解析记录可以看到，该域名采用Cloudflare的NS服务器（iris.ns.cloudflare.com和tom.ns.cloudflare.com）进行解析。
针对IP地址205.185.116.233进行网络扫描，发现该服务器开放了多个端口，包括易受攻击的远程访问端口，存在重大安全风险。
该服务器在端口21上提供FTP服务，在端口80和5000上提供HTTP服务，在端口3389上提供远程桌面协议 (RDP)，在端口5985上提供Windows远程管理（WinRM），在端口49666上提供文件共享服务。
端口协议组件服务21TCPFTP Server80TCPApache/2.4.58 (Win64) OpenSSL/3.1.3 PHP/8.0.30 G7gGBXkXcAAcgxa.jpg3389TCPRDP (WINDOWS-401V6QI)5000TCPHTTP5985TCPWinRM47001TCPHTTP49666TCPFile Server 运行在Windows系统上的Apache Web服务器（版本2.4.58，OpenSSL 3.1.3和PHP 8.0.30）展示了该团伙的基于Windows的基础架构。
LockBit 5.0变种为迄今为止最危险的勒索软件 “暗网下/AWX”前期报道，LockBit 5.
暗网中隐藏着的诈骗网站比较多，“暗网下/AWX”多年来持续曝光了许多，今天要曝光的诈骗网站是这么些年以来最没有技术含量的暗网网站，仅仅使用几个html页面来搭建，甚至有可能背后的诈骗分子不是英语母语。
暗网诈骗市场”CMarket”如何推广、存在时长、诈骗金额目前均尚不得而知，欢迎大家提供更多线索。某日，“暗网下/AWX”官方Telegram群组中某网友咨询该网站是否为诈骗网站，本站（anwangxia.com）根据该网友提供的暗网域名，尝试进行了访问探寻。
暗网诈骗市场”CMarket”的洋葱域名为：
http://cmarket2mkfnxbpjtd7moahl2vel3r7bbix2mibljappe4bmwzbejtad.onion
进入该诈骗网站，映入眼帘的是网站名称”CMarket”，由一张模糊的logo图片展示，下面一行小字写着全称“International Criminal Marketplace”。但是再下面的欢迎语是“Welcome to the information market !”，且网站title标签内的名称也是“Information Market”，让人有点懵，网站名称究竟是”CMarket”，还是“Information Market”，果然诈骗网站能够做到不拘一格取名称，鉴于其洋葱域名以cmarket打头，本站姑且称之为”CMarket”。
该诈骗网站首页的正文部门看起来是其销售的商品分类与介绍，但其实是诈骗网站的7个导航页面：
个人信息：出售个人信息。此类个人信息不仅包含个人数据，还涵盖其各类活动相关的信息。 与违法行为相关的个人信息：出售个人信息。此类个人信息不仅包含个人数据，还涵盖其各类活动相关的信息。 个人健康信息：完整的个人健康信息，包括临床信息、化验结果等。 政府文件：我们可提供政府文件副本及其他政府与非政府组织的文件副本 政府身份证件：我们出售各个国家/地区的身份证件副本，这些副本采用原件格式，并附有您的照片。 身份证件模板：我们出售各个国家/地区的空白身份证件模板。 信用卡信息 | 数据库：您可以使用这些信用卡在任何地方消费：实体店购物、网购及ATM机取款。 与“暗网下/AWX”多次曝光的最大中文暗网诈骗网站“联合中文担保交易集市”一样，这些分类一眼假，导航链接虽是php后缀，点开访问却是一个个的html页面，页面中写着商品介绍的话术，配上一个比特币地址。如出售个人信息页面的话术：个人的姓名、地址、电话号码、电子邮件地址、社交媒体账号；个人的家庭成员构成；个人的照片；个人的薪资、银行账户、财务详情；个人的财产信息；以该人名义注册的公司、基金会等信息；个人的教育或教育活动详情，例如所获学位或博士学位申请情况；个人是否为某个协会的成员或领导者，以及其出席会议的情况；个人是否为工会或专业机构的成员；个人在工作文件中出现的姓名。
经测试，对于每个访问者，要求转账的比特币地址均相同：3GN7dgj2eGNf2TcSftTFRTCZ9FTfUgk9Bx，经区块链上查询，该BTC地址仅有0.00006095 BTC的收入，诈骗成果似乎远远不及“联合中文担保交易集市”，不过也许可能之前更改过BTC地址。
该诈骗网站提示的购买步骤：“1. 将款项汇至以下比特币钱包地址（3GN7dgj2eGNf2TcSftTFRTCZ9FTfUgk9Bx）；2. 将付款信息（精确金额及交易ID）发送至邮箱：[email protected]；3. 付款后一小时内，我们将发送信息下载链接。若需补充信息，付款后48小时内您将收到该链接。”此购买步骤与“联合中文担保交易集市”相当雷同，消耗了暗网中根本不存在的交易信任。
网站的尾部又是一幅图，整体看来，该诈骗网站框架很简单，每个页面均是头尾各一幅图，分别是banner.png与desktop.png，中间内容是诈骗话术，由于没有动态内容，连最基本的用户交互都没有，所以此类网站一眼假，诈骗网站无疑。
“暗网下/AWX”再次提醒，没有一定的名声与信誉度，没有知名暗网网站（如Dread）做担保，直接要求转账比特币，此类网站均为诈骗网站。
更多暗网新闻动态，请关注“暗网下/AWX”。
Dread是全球最大的暗网论坛，于2018年2月上线，拥有成千上万名活跃用户。最近该暗网论坛遇到了两件糟心的事情，一是服务器故障导致论坛服务无法正常访问，二是其管理员在Reddit论坛发布一条带有PGP签名的宕机通知后，账号被Reddit封禁。
Dread论坛的管理员HugBunter在最大的明网论坛Reddit拥有一个账号hugbunt3r，用于发布Dread论坛相关通知事项，如离线、宕机、被DDoS攻击等状态。根据Sam Bent的报道，Reddit论坛近期封禁了HugBunter在Reddit的整个账号“hugbunt3r”，HugBunter将无法再在Reddit论坛发布有关Dread的任何信息。
[November 19th] Dread server outage
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 [November 19th, 2025] Hi! We have been down for many hours now, the servers are up and running, however I am experiencing an issue causing the main VM to crash. This means that, currently, the web server is not running and you won't be able to pass the captcha to access Dread. I am working on this issue and will be trying to avoid sleeping until it is back up and running.
“暗网下/AWX”曾经介绍，DarkForums是一个与BreachForums类似的暗网被盗数据交易论坛，在暗网与明网均可以访问，声称可以提供任何目标的多种类型数据。据观察，自从BreachForums销声匿迹后，DarkForums发展迅猛，已经拥有将近7.5万用户，逐渐取代BreachForums。
根据DarkForums对自己的宣传，其云端存储拥有来自欧洲、亚洲、非洲、美洲、澳大利亚等六大洲目标对象的各类数据，覆盖65+个国家，这些数据都是顶级品质，包括：
⭐️军事文件数据库 ⭐️企业完整数据库 ⭐️证件扫描件（身份证-驾照-护照） ⭐️消费者信息数据库 ⭐️电话号码数据库 ⭐️电子邮箱数据库 ⭐️外汇与加密货币数据库 ⭐️赌场及游戏数据库 ⭐️号码：密码 & 邮箱 & 用户名：密码 ⭐️公民身份号 & 社会安全号 & 税务号数据库 ⭐️大型网站数据库 ⭐️去哈希化数据及其他大型云端资源 DarkForums表示，其海量数据储备是未遭破坏的原始数据库，极度新鲜且私密，且支持用户自定义请求，有顶级品质保障。其全天候更新档案库，客服24/7全天候在线支持。
根据网站发布的套餐价格，1个月套餐售价200美元，3个月套餐售价为400美元，而终身套餐售价为1000美元，免费神级升级包含在3个月及终身套餐中。
DarkForums设置了三种类型的网站会员等级：VIP会员订阅价格为20欧元/999年，MVP会员订阅价格为40欧元/终身，GOD会员订阅价格为80欧元/终身。
根据公告，DarkForums提供的暗网V3域名为：http://qeei4m7a2tve6ityewnezvcnf647onsqbmdbmlcw4y5pr6uwwfwa35yd[.]onion
除了暗网地址外，该网站同步提供了几个明网镜像地址：
https://df[.]hn
https://df[.]kiwi
https://darkforums[.]st
此外，该网站还拥有域名https://darkforums[.]me，页面显示该域名的所有者为Knox，同时显示了DarkForums的暗网与明网域名，但未作跳转。
根据DarkForums的统计数据，该暗网数据泄露论坛已经拥有超过2.5万的主题帖，近25万的回复帖，近7.5万的注册用户，最多同时在线人数接近2万，可见其人气非常旺，但不知能够坚持几日。
DarkForums称其余自称新BreachForums的论坛都是虚假的 在FBI查封域名BreachForums.hn后，DarkForums发布警告称，虽然互联网上已出现多个冒牌或克隆网站，自称是“新BreachForums”，但它们与原版BreachForums团队毫无关联，都是为了欺骗、钓鱼或窃取用户数据。而DarkForums才是目前该领域唯一活跃且合法的主要社区。
对于本站（anwangxia.com）曾经报道的一个由BreachForums前管理员Koko创建的“新BreachForums”，DarkForums在Telegram频道表示，这个BreachForums克隆站也不是正规站点，Koko是个智障骗子，以过往成就为幌子行骗。他不仅诈骗了克隆论坛所有者SEPTEMBER，更在其自家论坛实施诈骗，如今更冒用SEPTEMBER等名义兜售论坛基础设施行骗。多名社区成员反映购买其论坛时遭遇欺诈，所以请务必警惕并远离这类无赖之徒。
某Telegram频道揭露的DarkForums管理员身份未得到权威证实 近期，有国内公众号号称某Telegram频道揭露了DarkForums管理员（Lucifer、Knox）的真实身份。根据号称”开盒“信息，此人为印度人，真实姓名为”Hritik Kumbhar“，来自印度奥里萨邦（Bhubaneswar, Odisha, India），系NIST大学计算机科学学士，现为初创公司InnovexPlus创始人，具备Linux、Python、网络安全等技术背景。
泄露内容极为详尽，包括”Hritik Kumbhar“的家庭住址（Bolangir, Odisha 767001）、手机号码（+916370174459）、常用设备（三星Z Fold6/7、尼康D7200相机）、学校（NIST University）、Linkedin个人页面（https://in.linkedin.com/in/hritik-kumbhar-980174354）、多个邮箱（如[email protected]、[email protected]）及移动网络IP地址（136.233.58.227）等。
据“暗网下/AWX”综合各个权威网络安全威胁情报分析专家对DarkForums的分析，尚未证实”Hritik Kumbhar“是DarkForums管理员Knox，有待进一步的消息。
DarkForums后续如何发展，FBI会不会对其采取执法行动，“暗网下/AWX”将持续关注。
上个月，“暗网下/AWX”报道最大的中文暗网诈骗网站不仅更换了洋葱域名且再次更名，并预测其将在“双十一”到来前使用新的话术。果然不出所料，本月初，该中文暗网最大的诈骗网站发布了新的“双十一”诈骗话术。
本站（anwangxia.com）已经数次曝光这个最大的中文暗网诈骗网站，该诈骗网站现名为“联合中文担保交易集市”。曾经广为人知的名称是“正版中文担保交易市场”，后经本站不懈努力曝光后，改名为“华人自己的暗网担保交易市场”，当本站又曝光多次后，终于再次改名为现名称。
该诈骗网站每年在一些中国人的传统节日，如元旦、春节、端午、中秋、国庆、双十一等等，会推出一些新的诈骗话术，美其名曰“大促”、“回馈活动”、“答谢礼”……为的都是进一步骗取暗网小白的信任，从而乖乖给其转比特币。
随着2025年“双十一”的到来，该诈骗网站按照惯例推出了今年的“双十一”诈骗话术——“2025年双十一活动公告”：
活动时间：2025年11月01日0点-11月30日24点（北京时间）
活动细则：
活动一：无论新老用户，活动期内在本平台交易满3次，金额最大一次在1000美元以上者；或活动期间内进行了不低于10次交易，累计金额不低于300美元。即可获得400美元购物券，在购买1000美元以上任意商品时均可使用。购物券永久有效。
活动二：活动期内，凡交易金额满3000美元者，即可获得以100美元价格购买全新Iphone17 Max Pro 1T的资格，两个月内有效。或返现400美元到用户的平台钱包，没有使用限制。金融类虚拟类商品只计算该期间内金额最大的一次交易，实物类商品可以累计活动内交易金额。
首页大转盘优惠券与上述活动优惠可叠加使用。
感谢七年多以来新老用户的支持，祝大家购物愉快！
根据“暗网下/AWX”对该诈骗网站的研究，该诈骗网站本着能骗一个是一个的原则，话术的唯一目的就是敦促傻子来转账，所谓的“消费”、“交易”、“购买”、“返现”都是要先使用比特币转账，而转账之后，就不会再有下文，继续等下一个入瓮的小白。经过这些话术的加持，守株待兔的成功几率暴增。
通过提交支付系统，“暗网下/AWX”发现，该诈骗网站目前使用两种方法收取比特币，一是直接输出地址供小白用户转账，二是使用nowpayments（nowpayments.io）的支付网关，而不再是前期使用的blockonomics（blockonomics.co）、coinbase（coinbase.com），是否因为被受害者举报而被这些平台取消服务，目前不得而知。希望被骗的受害者继续向nowpayments举报该诈骗网站的诈骗行为，从而也能取消服务。
随着本站的再次曝光，“联合中文担保交易集市”未来是否会继续更换域名或者名称，“暗网下/AWX”将继续跟进关注。
更多暗网新闻动态，请关注“暗网下/AWX”。
随着FBI的公告宣布查封BreachForums域名，“暗网下/AWX”报道称BreachForums时代已经终结，然而FBI又被打脸，臭名昭著的暗网数据泄露论坛BreachForums再次出现，与前几个版本类似，在明网与暗网均可访问，由老版本BreachForums论坛管理员“koko”启动，且冒天下之大不韪使用泰国、赞比亚等国家警方的邮箱发送欢迎邮件。
长期以来，BreachForums一直是数据泄露、黑客工具和非法交易的中心，在一系列国际联合执法部门的打击中，陆续由多个版本出现，被打击后又消亡，并在今年上半年彻底被摧毁。然而，仅仅几个月后，它又重新启动，既说明了此类论坛的受欢迎程度高，也表明了网络犯罪论坛的顽强生命力。
新版本BreachForums论坛是由老版本BreachForums论坛版主“koko”创建的，他在一篇置顶帖中声称，他在2023至2024年期间担任BreachForums版主，经过团队慎重商议，决定让BreachForums重启。目前核心功能已通过最近的备份完全恢复。用户可以再次浏览专门讨论被盗凭证、勒索软件讨论和零日漏洞的版块。“Koko”强调，新版本BreachForums论坛“比以往任何时候都更加强大”，并增强了匿名功能以逃避检测。
新版本BreachForums并没有直接延续旧的版本 “koko”称，对暗网社区而言，过去一年充满挑战，但他们已重整旗鼓，准备重建家园！然而，新版本BreachForums并非旧版本的延续，而又是全新的开始，但界面继承了老版本的界面，且“koko”表示核心功能已从备份中恢复，团队正在从头开始重建托管服务，以解决前期存在的网站漏洞。
“我们从错误中吸取了教训，”Koko写道，并承诺改进加密和多重签名钱包，以防止未来发生盗窃。
新版本BreachForums使用了新的暗网V3域名：
http://ujdswnhjybusy2i4vcsfpkezrtg27glkxu3t5b4ttszhxyqaz3gpkbyd[.]onion
除了可以通过暗网浏览，新版本BreachForums也支持在一个新的明网域名访问，这旨在吸引更广泛的受众，包括那些不太懂技术、不愿使用Tor网络的网络犯罪分子。
新版本BreachForums论坛提供了几项重要更新：
备份与功能：已完成所有核心功能的完整备份，确保系统运行顺畅无碍。未来用户将获得无缝体验。 托管系统：托管系统正在从零重建。旧系统曾多次遭各类机构入侵，且无人知晓有多少代理曾访问数据库。为保障安全可靠性，将采用全新更安全的系统。 用户名安全：强烈建议勿使用旧用户名。此举将危及您的操作安全。请创建全新身份以保障安全。 等级恢复：凡在BF历代版本（BFv1、BFv2、BFv3…）中拥有等级的用户，将予以恢复。请联系@koko提交恢复申请。 尽管“koko”持乐观态度，但他也表示，许多人目前仍对论坛部门运营人员表示怀疑。许多论坛老手怀疑新版本BreachForums可能是执法部门故意设置控的蜜罐。一位匿名发帖者评论道：“这太干净、太快了”，他担心美国联邦调查局或特勤局等机构可能会监视活动以建立案件。
网络安全专家敦促任何访问该网站的人都要谨慎。“ BreachForums一直是一把双刃剑，它既能为研究人员提供宝贵的情报，又能吸引真正的威胁。”一家领先安全公司的威胁分析师John Doe说道。
明网域名可能使用加密货币注册 新版本BreachForums的明网域名是breached[.]sh，.sh域名是圣赫勒拿岛（Saint Helena）、亚森欣和特里斯坦-达库尼亚群岛的的国家代码顶级域名（ccTLD），该域名注册商为“NICENIC INTERNATIONAL GROUP CO., LIMITED”。NiceNIC是一家总部位于香港的网络服务公司，以其品牌NiceNIC.NET运营，是ICANN认证的域名注册商。
根据whois信息，breached[.]sh域名注册于2025年10月15日，使用了ddos-guard.net的解析服务，应是为了保证网站的安全性。域名使用了whois保护，因此无法查询域名注册时填写的注册者与管理员信息。
虽然Recorded Future等网络安全公司已发出警告，指出当局更容易通过IP日志和托管服务提供商追踪明网域名。
不过由于NiceNIC是一家拥抱加密的公司，该服务商支持多种加密货币支付，包括比特币（Bitcoin）, 泰达币（Tether USDT）,以太坊（ETH）, 莱特币（LTC）,门罗币（XMR）。因此，新版本BreachForums明网域名breached[.]sh背后真实的注册者信息估计非常难以追踪。
新版本BreachForums论坛通过使用泰国、赞比亚等多国警方的被盗邮箱传播 据多家威胁情报机构表示，新版本论坛涉嫌滥用泰国警方官方邮箱域名（police.go.th）、赞比亚警察局官方邮箱域名（zambiapolice.org.zm）开展宣传推广活动。而发送邮件的警方邮箱大多都是在各种数据泄露事件中的泄露的。
新版本论坛的管理员似乎正利用被盗的执法机构邮箱账户，绕过垃圾邮件过滤器和安全检查，使宣传信息显得更具合法性，也体现其自身的权威性，从而增强目标推广对象的信任感，使新版本BreachForums论坛呈现真实可信的表象。
新版本BreachForums论坛已经在打包出售 新版本BreachForums论坛创始人“koko”发布置顶帖子公告，称其正在寻找新的所有者，出售新版本BreachForums论坛，他们将向其转让所有权，整体售价仅为5000美元。
购买成功的新所有者将获得：
基础设施的完整访问权限（6台服务器） 域名 CDN DDOS防护 代理服务器 被扣押的旧数据库（30万+用户） 托管交易数据库（含32,000余笔托管交易） “koko”在帖子中提供了用于交易谈判的加密即时聊天工具Session的联系码，并要求新所有者须具备管理该职位及全套基础设施的能力，且要延续BreachForums现有运营理念。
周末，Scattered LAPSUS$ Hunters团伙的暗网洋葱网站突然显示了被FBI查封的图片，图片与其明网网站Breachforums[.]hn本月上旬被FBI查封后展示的图片相同。如果属实，则证明该团伙的暗网基础设施也已经被FBI扣押，服务器与数据库以及文件均被执法机构掌握。但目前业界普遍认为这是Scattered LAPSUS$ Hunters团伙自导自演的恶作剧。
回顾FBI设置的Breachforums[.]hn被扣押页面源码（省略图片的data信息与javascript引用信息）：
<html> <head> <meta http-equiv="Content-Type" content="text/html; charset=windows-1252"> <title>This Domain Has Been Seized</title> </head> <body style="background-color: black;"> <p><img border="0" alt="This domain has been seized." src="data:image/png;base64,……"（省略data信息） width="auto" height="100%" style="display: block; object-fit: contain; margin-left: auto; margin-right: auto";/p> </body> </html> 目前洋葱域名展示的被扣押页面源码：
<html lang="en"><head> <meta charset="UTF-8"> <title>Seized</title> <style> html, body { margin: 0; padding: 0; height: 100%; background-color: black; } body { display: flex; justify-content: center; align-items: center; } img { max-width: 100%; max-height: 100%; object-fit: contain; } </style> </head> <body> <img src="
“正版中文担保交易市场”是最大的中文暗网诈骗网站，在本站曝光过9次后，这个诈骗网站依旧在运营。g每一次曝光后，该诈骗网站更换一次暗网洋葱域名，并在去年年初将网站名称更改为”华人自己的暗网担保交易市场“。近期有网友提醒，“暗网下/AWX”今年的曝光，促使这个诈骗网站再再次更改了网站名称与洋葱域名。
“正版中文担保交易市场”这个中文暗网圈最大的暗网诈骗网站最新的网站名称为“联合中文担保交易集市”，副标题是“一个小高端中文类淘宝安全买卖平台”。分析该诈骗网站的三个名称：“正版中文担保交易市场”、”华人自己的暗网担保交易市场“、“联合中文担保交易集市”，可见，只要在暗网里看到名称中含有“担保”的中文网站，无论叫什么名称，不管用什么洋葱域名，必定是诈骗网站无疑。
“暗网下/AWX”多次科普，在暗网中生成一个洋葱域名只需要1毫秒，且无任何成本，因此本站（anwnagxia.com）每次曝光后，该诈骗网站均会更换一个新的洋葱域名。诈骗网站“正版中文担保交易市场”最新更换的暗网V3域名为：
http://qlm6tc2bfkfjhdoacgew6qdrqolie6352n2xek6ey5voi3gyx5cbhdad.onion
此外还有一个暗网V3域名跳转至上述域名：
http://dlzxg7eygo5ld5vsmsjzdlnxwvqcy3acicftkyyca4pyx6t7wirpw4qd.onion
上次本站曝光的暗网V3域名已经不再使用，目前无法访问：
http://ttal23727crynfjdxjhdcrxbeu7m4iup545fmvhf4pzquxleuzqu5did.onion
该暗网诈骗网站就是一个用Wordpress搭建的微博客，网站打开出来的所有店铺：暗网网站搭建服务、盗刷Carding合作服务、支付宝安全转账、英国一手卡料出售CVV、华为系列产品专卖店、IPHONE手机低价批发店、超低价格卖BTC钱包等等都是一些假的发布页面，只要支付，比特币即被诈骗走，用户得不到任何响应，没有物品、没有服务，纯粹的诈骗。
目前网站的logo图片居然写着“胸怀爱国心”，是否意味着骗子有“国之大者”的爱国情怀，还是“中国人只骗中国人”的爱国情怀。
今年5月份，该诈骗网站发布了“七周年庆回馈活动”的诈骗话术：
又到了本站周年庆活动，老朋友们是不是很期待？七周年了，这七年来我们经历了很多，也认识了许多用户朋友，总之很感谢大家的一路跟随与支持。
老规矩，以下就是七周年庆典活动的方案，新老朋友按照自己的情况去狂欢吧！
1、 单笔交易达到2300美元（含）以上者，可返现交易金额的8%。符合条件者请在交易后48小时内发送交易的单号以及打币的TXID/Hash这两项内容到admincn的站内信，你可以用A账号购买用A账号发信，或者用B账号发信，甚至不注册账号完全匿名购买都可以，只要提供以上两项，核实后就会在48小时内充值入平台钱包。不注册就交易的如果要获得返现就注册一个账号来发信吧，返现只奖励到平台钱包内，没注册是没有平台钱包的。 提供TXID就能确认你是你。新老用户共享此条。
2、活动期间内累计交易10000美元（含）以上，返现累计总金额的6%。此奖励不与第1条重复奖励，如果领取过单次交易奖励的交易，将不能计算到累计交易金额之内。申请奖励方法与第1条相同，请最晚在活动期结束后48小时内发送申请信息给admincn。 新老用户共享此条。
3、本次活动作为七周年庆典回馈，将与幸运大转盘同时进行，折扣码、返现同时进行，可叠加使用。
4、凡是注册时间超过一年（北京时间2024年5月10日前注册）的用户，满足单笔最大交易达到$500以上且交易次数在三笔以上者，可来信联系admincn获得在本站苹果手机店铺只购买一台手机的权限。一般情况下该店手机是不零售的。
5、活动起始时间为本文字公告之日，结束时间为本文字不再置顶。
6、无论你是陪伴我们走过几年时间的老朋友，还是刚接触的新用户，我们都祝愿在往后的日子里你能越走越顺，心想事成。
马上双十一、双十二即将到来，预计该诈骗网站又将使用新的话术，一旦新的诈骗话术发布出来，“暗网下/AWX”将立即发文提醒。
经分析，该诈骗网站每个月都有数比诈骗收入进账，希望本站的预警能够挽救更多天真的小白。再次预警，希望诸位暗网达人谨记，暗网里没有能占的便宜，访问暗网的结局是人才两空：人被抓走，钱被骗走！
更多暗网新闻动态，请关注“暗网下/AWX”。