今天，臭名昭著的暗网数据泄露论坛DarkForums的管理员“knox”在该论坛发布公告，宣布进行了全平台更新，推出了全新的“Emerald Dark”主题、改进的导航功能、性能优化以及大量bug修复。此次更新还包含额外的安全增强措施，并提供了一份专门的更新日志，会员可通过该日志跟踪新功能、改进内容及已解决的问题。
更新内容的介绍 在公告中，“knox”说，我们很高兴向大家介绍DarkForums的最新更新，本次更新带来了焕然一新的视觉风格、改进的功能、增强的安全性以及大量bug修复。
“knox”表示，他们的目标是提供更简洁、更快速、更可靠的体验，同时继续为DarkForums社区优化平台。
“knox”在帖子中发布了此次更新新增的内容：
🎨 焕新主题 — 全新设计的“翡翠暗色”主题，导航更便捷、可读性更强，界面也更加精致。 ⚡ 平台增强 — 在功能、易用性和整体性能方面进行了多项改进。 🛠️ 错误修复与优化 — 解决了多个问题，以提高稳定性并确保更流畅的体验。 🔐 安全增强 — 增加了额外的安全措施，以加强平台保护和可靠性。 📋 全新更新日志系统 — 我们推出了专门的更新日志页面，会员可在此追踪更新内容、新功能、改进项及已解决的问题。 “knox”宣称以后其会员们可以随时掌握最新的更新动态，称未来所有平台变更和改进都将记录在他们的官方更新日志中，并提供了查看更新日志的页面：/changelog。
“knox”称本次更新标志着DarkForums持续发展历程中的又一重要里程碑。更多功能、改进和优化即将推出。
本站评论 DarkForums这几年发展迅猛，似乎已经完全取代了之前换了若干版本的暗网数据泄露论坛BreachForums。然而，在FBI的持续打击下，DarkForums的多个域名也曾经被封，正如“暗网下/AWX”前期介绍：该论坛长期在执法机构的查封压力下负重前行。
此前，DarkForums被曝出存在漏洞，新成立的暗网论坛PwnForums发布了该论坛的用户数据库，号称泄露了42.7万条记录，其中包括4.43万用户的IP地址。不知此次修复了的安全问题是否能够拯救该论坛？
“暗网下/AWX”认为，无论模板怎么变化，底层没有改变。DarkForums使用的还是开源BBS程序MyBB，还是基于PHP+Mysql，前期PHP修复两项严重的远程代码执行漏洞：CVE-2026-109618、CVE-2026-109619，AI近几年挖掘了很多漏洞，因此无法判断PHP是否还存在其他的漏洞。
此外，“暗网下/AWX”看到，DarkForums本次更新看起来是通过AI进行Vibe Coding完成的，在通过AI工具修改代码的过程中，个人信息是否通过AI服务送给了FBI，不得而知。
随着国际执法环境的日益严峻，违法犯罪，终究会有消亡的那么一天。
更新内容的原文 Hello DarkForums Community,
We’re pleased to introduce a new update to DarkForums, bringing a refreshed visual identity, improved functionality, security enhancements, and numerous bug fixes.
Our goal is to deliver a cleaner, faster, and more reliable experience while continuing to improve the platform for our community.
上文“暗网下/AWX”详细讲解了暗网网站广泛使用的负载均衡工具GoBalance存在严重漏，任何人都可以从其公开数据中恢复洋葱域名的密钥，从而接管暗网网站。接下来本站（anwangxia.com）将用两个具体的案例介绍该漏洞的严重程度，本文首先讲解暗网最大的英文论坛Dread遭受GoBalance漏洞攻击的情形，该暗网论坛由化名为HugBunter和Paris的管理员运营。
在中国的国庆节期间（10月5日至10月7日），知名暗网论坛Dread的两个洋葱地址均被接管并重定向至竞争对手平台Conclave。Dread的运营者最初将此次事件归咎于密钥意外泄露，但后来才得知，GoBalance漏洞才是罪魁祸首。
Dread论坛已迁移至新地址，并通知用户更改密码。在10月7日发布的一份署名声明中，运营方表示，由于第三方软件漏洞导致洋葱私钥泄露，该论坛已“永久迁移”，并且“其他隐藏服务也可能受到影响”。他们声称Dread的服务器并未遭到入侵。
Dread的2个主洋葱地址相继被攻击的过程 10月5日大约5点31分，Dread的主洋葱地址（“dreadytofat”）上出现了一条名为“dread²”的通知，称该暗网网站已被黑客入侵。
10月5日6点02分，同一洋葱地址显示了来自Conclave管理员的消息，声称已控制Dread的洋葱密钥，攻击者还声称掌握敏感数据。
当天晚些时候，Dread的创始人HugBunter发布了一份透明度报告，将此次数据泄露归咎于联合管理员Paris，称包含私钥的软件存档被误上传。HugBunter表示，Dread的主洋葱域名dreadytofatroptsdj6io7l3xptbet6onoyno2yv7jicoxknyazubrad.onion已经退休，不再使用，同时他表示：没有服务器遭到入侵；没有用户数据被访问；服务器仍未暴露。
Paris随后发表声明，承认责任，并表示这是软件部署过程中用户操作失误造成的。
随后，在服务中断期间，10月6日，Dread管理员将用户引导至备用“VIP”镜像站点（“dreadlands”），该地址此前仅供高级会员使用，用于规避DDoS攻击。同时，HugBunter重申，此次重大安全漏洞是由于操作失误造成的，而不是Dread基础设施的缺陷。
然而，大约在10月7日凌晨2点29分，“dreadlands”域名上出现了一份声明，对管理员的账户提出质疑。这份声明用俄语写成，声称接管了第二个据称安全的域名，表明此次入侵并非意外上传。声明中还包含对管理员的隐晦威胁，要求道歉和赔偿，并链接到Conclave，同时承诺稍后公布入侵方法的细节。
第二个地址的泄露意义重大。一次意外上传不足以解释两个独立密钥的丢失。10月7日12点37分，Dread的管理员已经重新控制了VIP地址，并将其重定向回合法网站。
HugBunter随后承认，攻击者利用GoBalance的零日漏洞攻击了多个暗网服务。他表示“过去一小时里，我仔细检查了所有系统，可以肯定地告诉大家：我们的基础设施完好无损，也没有任何服务器遭到入侵。遗憾的是，看来是最近上传的GoBalance软件更新包出了问题——该包中包含了本应仅保存在本地环境的我们的洋葱私钥。”
随后，Dread团队开始通过其官方链接渠道推广一个新生成的洋葱地址（“dreadohbles”）。
HugBunter确认漏洞源自GoBalance，并表示Dread的服务器未遭到入侵 HugBunter解释说，尽管洋葱地址被劫持，但Dread的服务器并未遭到入侵，也没有证据表明其数据库被访问。然而，他警告说，不能完全排除中间人攻击的可能性，并建议用户出于谨慎起见，更改Dread和其他可能受影响的服务的密码。
据HugBunter称，该漏洞源自GoBalance，这是一款用于管理Tor洋葱服务的工具，该漏洞影响所有已发布的版本，攻击者无需访问服务器本身即可恢复冒充受影响洋葱地址所需的签名能力。他还声称，该漏洞的发现使用了人工智能技术，Dread的团队在调查过程中也使用了人工智能技术发现了同样的问题。
HugBunter还透露，攻击者声称拥有Dread的数据库并试图勒索他，但拒绝提供任何证据。这些反复发生的服务器接管事件最初让管理员们感到困惑，他们难以理解为何在没有任何服务器入侵迹象的情况下，其他地址也会被攻破。
HugBunter警告称，任何之前使用过GoBalance的服务都可能受到影响。Dread团队宣布计划发布修复版本，并协助受影响的服务恢复其地址或将用户重定向到合法的替代地址。
HugBunter还证实，Dread将进行全面的运营安全审查，并采取进一步措施防止再次发生被攻击事件。他承认这些事件损害了社区的信任，但坚称Dread将继续运营，不会受到攻击。
近期，暗网论坛上出现两篇广告帖子，声称掌握大量《我的世界》（Minecraft）玩家数据并对外出售。其中一则宣称有1800万条用户记录待售，另一则称约900万条。网络安全媒体Cybernews研究人员检查了攻击者提供的免费样本后发现，两份据称不同的数据集实际对应同一批约1000条记录，且更符合信息窃取木马（infostealer）汇总数据的特征，而非微软或Mojang核心基础设施遭直接入侵。
暗网论坛上宣称售卖《我的世界》玩家信息 两则售卖广告帖子均发布于暗网论坛PwnForums，威胁行为者“Feel”在一篇帖子中声称出售1800万条用户记录，而另一篇帖子给出较为克制的900万条数字。该黑客名为“Feel”，个人签名留下一个属于其个人的暗网网页：http://udodnxrzvmgv3ukdrwo7v6y25iulg7abamo7gkq4rgikuqan2hxapuyd[.]onion，称自己很疯狂，并留下一张图片URL（https://ibb.co/LzxcbNfm）：
Minecraft （《我的世界》）是一款很流行的游戏，由马库斯·”Notch”·佩尔松（Markus “Notch” Persson）创建，Mojang Studios开发，每月活跃玩家超过2.12亿。
Cybernews研究人员对两篇帖子附带的样本进行了比对，发现所谓不同数据集实为相同的约1000条记录。样本中包含用户名、电子邮箱，部分记录还带有密码哈希。记录似乎来自特定多人游戏服务器，仅样本中就出现了3个不同的服务器。
研究人员表示，仅凭样本无法判断数据集究竟有多旧，因为没有时间戳；也无法仅凭样本断定真实规模是否达到1800万或900万条。两份样本高度重叠，也使人怀疑卖家是否在兜售同一批数据。
数据来源可能与俄罗斯相关恶意软件有关 攻击者如何进入、如何将数据带出，目前仍不清楚。样本中除用户名与邮箱外，部分记录含密码哈希，且有些哈希在不同用户间重复出现。
Cybernews研究团队发现，样本中的邮箱出现在Have I Been Pwned等数据库中，并在多份信息窃取木马组合列表（combo lists）中被引用。这提示数据来源更可能是信息窃取类恶意软件，而非一次性从《我的世界》官方基础设施中批量导出。
Escudo Digital的报道也指出，分析人员认为信息至少来自三台具体的《我的世界》服务器，因此排除了对Mojang Studios或微软中央服务器的入侵。微软迄今未就此事发布官方声明，也未公开确认或否认相关事件。
2025年，Check Point Research曾发现约1500台设备感染疑似源自俄罗斯的恶意软件，专门针对《我的世界》玩家。该恶意软件通过恶意GitHub仓库传播，伪装成模组、外挂或社区常用自动化工具，会从浏览器中收割玩家凭证，以及加密货币钱包、Discord、Steam、Telegram等应用中的数据。
那一轮活动为当前的售卖提供了可能的背景，但并不能证明与本次售卖帖存在直接关联。
更可能是信息窃取木马，而不是从服务器窃取的数据库 《我的世界》拥有庞大的模组、插件与自定义服务器生态，既方便合法改造，也容易滋生恶意软件。Cybernews研究人员称：“我们现在分析的列表看起来完全来自多人服务器，因此可能存在服务器侧的恶意模组。”
他们同时指出，服务器侧通常能拿到的是用户名、IP地址、连接时间等；邮箱与密码更难用普通服务器遥测解释。“游戏社区里恶意模组并不少见，但我们无法在此指认任何具体模组。”
综合判断，新近挂售样本中的数据，更像是从信息窃取木马组合列表中拼装而来，而不是《我的世界》核心基础设施遭遇一次直截了当的大规模失窃。对玩家而言，更现实的风险仍是撞库与针对复用密码的社工；在官方尚未证实的情况下，不宜将事件直接等同于微软或Mojang主系统被攻破。
研究人员指出，若邮箱与用户在其他平台重复使用的密码配对，暴露数据可能被用于撞库（credential stuffing）与社工诈骗。犯罪分子会拿以往泄露中的用户名与密码组合，到其他服务上试登录，赌用户在多处复用同一套凭证。
今年年初，本站（anwangxia.com）总结了2026年五大暗网论坛生态，大半年过去了，抛开生态不谈，实际上5大暗网论坛比较清晰，本文将一一细数。
首先“暗网下/AWX”重要提示：请大家不要访问暗网或任何相关犯罪论坛。此类行为在全球大多数司法管辖区都可能违反法律，涉及网络犯罪、毒品交易、欺诈、黑客活动等，存在严重法律风险，包括刑事指控、资产没收等。本文仅基于公开报道和学术/安全研究报告进行科普性介绍，旨在说明地下经济生态的碎片化特征及执法影响，不提供任何访问方式、技术细节或操作指导。
在暗网（以及部分与之关联的地下社区）中，没有任何单一暗网论坛能代表整个网络犯罪经济。技术专家、诈骗分子、数据泄露交易者、供应商、买家以及各种流离失所的群体，出于不同动机聚集在不同的暗网平台。这些场所更像“信誉社区”“沟通枢纽”或“信息中转站”，而非统一的集市。它们高度碎片化、易受执法打击、充满诈骗与内部不信任，且频繁迁移或更名，并拥有若干个镜像域名。以下基于2026年前后的公开报道（如印度媒体对NCB行动的报道、Ars Technica等对执法查封的报道、CloudSEK等威胁情报总结、学术论文等）梳理几个常被提及的例子，重点说明主要的暗网论坛的公开角色与执法关联，而非运营细节。
一、Dread论坛 Dread于2018年上线，运作模式更接近暗网交易的公共信誉社区，而非传统市场，也被誉为“暗网上最大的英文论坛”。卖家评价、诈骗投诉、纠纷、版主裁决以及市场相关讨论，都会影响匿名卖家如何积累或失去信誉。它常被用作市场新闻、骗局警报和声誉核查的中心。
据《印度快报》《印度时报》《The Hindu》等2026年3月报道，印度麻醉品管制局（NCB）调查将Dread与名为“Team Kalki”的卖家联系起来。该卖家在论坛上拥有四星评级。调查人员将约15个包裹与行动关联，查获2338张LSD吸墨纸、160粒MDMA药片、约3.6公斤液态MDMA以及其他相关毒品。调查初期就利用了Dread平台上的公开声誉信息。与单纯统计访问量不同，此次行动将论坛上积累的声誉与线下犯罪交易直接联系起来，也凸显了执法机构如何利用公开讨论线索推进案件。
印度官员们指出，暗网使得具备丰富技术专长的人员也能开展毒品贩运活动并独立运作毒品生意。
公开安全报告（如CloudSEK 2026年总结）也将Dread列为仍活跃的声誉讨论平台，但强调由于长期遭受DDoS攻击，其间歇性中断是常态，且仅阅读讨论在多数民主国家本身并不违法，而参与协调犯罪活动则可能成为犯罪证据。
二、DarkForums论坛 DarkForums于2022年以“DARK4RMY Forums”之名出现，后来发展成为一个与遭入侵数据库、窃取日志（stealer logs）、被攻破账户以及转发材料相关的平台。随着其他专注于信息泄露的论坛因运营中断或执法行动而不可用，该平台吸引了更多关注，并在2025年BreachForums相关动荡后出现显著活动增长，似已取代BreachForums。
2026年的一份公开快照显示，该论坛当时展示约29余万条帖子、将近3万个主题、8.6万名会员。这些数据直接来自平台自身显示，而非独立审计服务，反映的是当时公开计数，而非经过验证的活跃唯一用户总数。转发的存档与帖子数量同样重要：重复的数据集、熟悉的昵称以及被复制的主题，揭示了当另一个泄密网站失去基础设施后，被盗信息如何继续在地下传播。
威胁情报指出，此类平台常成为泄露数据的早期中转站，但同时也充满重复内容、诈骗与高风险环境。
三、XSS论坛 XSS自2013年起运营，因在俄语地下世界提供较高可信度的网络犯罪相关交易讨论、恶意软件服务、初始访问权限以及私下协调而闻名。中介历史记录和卖家声誉在这里至关重要，因为大额交易很大程度上依赖匿名各方之间的信任。
2026年1月的一次执法行动表明，XSS在该生态系统中仍作为沟通枢纽发挥作用。FBI查封RAMP（一个与勒索软件相关的平台）的明网和暗网域名后，《Ars Technica》等报道称，关于该平台关闭的消息随后在更名后的XSS论坛上发布。这一公告显示，在2026年那次重大执法打击期间，XSS仍处于俄语地下生态之中。
此前XSS管理员也曾在2025年7月面临执法行动，当时一名管理员在乌克兰被逮捕，XSS.is域名被查封。2026年4月，XSS论坛突然更换暗网域名与明网域名。
公开报告指出，俄语地下社区在重大查封后会出现信任崩塌、碎片化与迁移，而非简单消失。
四、Exploit.in论坛 Exploit.in是一个运营已久的俄语论坛，与技术性较强的网络犯罪活动相关。它以恶意软件开发、漏洞、利用程序、专业服务和高级工具讨论为特色，这使其有别于更广泛的诈骗或凭证共享论坛。
在这种环境中，技术公信力尤为重要。缺乏说服力的主张会受到熟悉漏洞利用、恶意软件功能和服务质量的成员的严格审查。
近期学术研究证实学术界对Exploit.in的关注持续存在，但现有公开数据集无法提供仅针对2026年的明确活动数据。一篇发表于2026年前后的学术论文分析了约100万条帖子，但其数据集截止于更早时期（如2025年8月）。若将该总数直接作为2026年统计，将导致测量时段表述不准确。威胁情报仍将其列为活跃的技术向论坛。
五、Altenen论坛 Altenen的起源可追溯至2000年代末期的阿拉伯语社区，随后扩展至英语讨论领域。信用卡盗刷、支付滥用、虚假身份、退款方法、社会工程学以及账户相关技术讨论，在很大程度上塑造了其发展历程。
其2026年前后的公开统计数据显示了一个庞大的档案库：约180万个帖子/主题、超过1300万条消息以及约160万名注册会员（具体数字随时间轻微波动，近期快照约1.8M线程、13.2M消息、1.65M会员）。这些数据由平台自身发布，应视为显示的总数，而非经过独立验证的活跃用户规模。注册会员并不意味着每个账户都保持活跃。
规模只是问题的一部分。针对某一零售商或支付处理商开发的欺诈手段，往往会蔓延至采用类似验证、退款或资金追回流程的其他品牌。公开威胁情报将其列为欺诈相关社区的代表。
关键总结与友情提醒 这些暗网论坛共同勾勒出暗网/地下犯罪经济的碎片化图景：没有中心枢纽，声誉、信任与信息流转高度依赖特定社区；国际联合执法行动会引发服务器与域名的迁移、信任危机与内容重复传播，但生态系统并未因此消失，而是变得更分散、更隐蔽、更高风险。学术与安全研究持续跟踪这些公开可见的讨论痕迹，正是为了理解犯罪经济的运作逻辑与防御需求。
对此，“暗网下/AWX”再次友情提醒：请大家不要访问任何可能涉及违法内容的暗网或地下论坛。 仅仅浏览在某些国家可能尚处灰色地带，但参与讨论、交易或协调任何犯罪活动都可能构成严重违法，面临刑事追责。暗网环境充满诈骗、执法监控、基础设施不稳定与身份暴露风险。合法了解网络安全与犯罪趋势，请通过正规新闻、学术论文、政府报告或安全公司公开情报进行。保护自身与社会，远离任何可能触犯法律的行为。
4月初，“暗网下/AWX”曾报道冒牌Shinyhunters推出了又一个山寨BreachForums，6月1日，该山寨BreachForums宣布与暗网勒索软件团伙ShadowByt3$达成合作关系，而ShadowByt3$也在其暗网泄密网站替这个山寨BreachForums进行推广宣传，然而，仅仅过了一天，这个版本BreachForums的2个明网域名都被查封。
本站（anwangxia.com）多次介绍，由于多个版本的BreachForums的源代码与数据库均已经泄露，也就意味着谁都可以搭建属于自己的BreachForums，从而导致了暗网里出现了多个版本的的山寨BreachForums。
ShadowByt3$是最新出现的一个比较活跃的勒索软件团伙，今年来已经发布了10个受害者，包括2月份的UMSA、5月份的Hotelogix、University Of Georgia、Amplify Technology、Stride Learning、PowerCampus、StarBucks Company（StarBucks.com）、Hotelogix Company（Hotelogix.com）以及六月份的Cropwise（Syngenta Group）、Lead Company（Leadership Boulevard）。
勒索软件团伙ShadowByt3$宣布“BreachForums回来了” 6月1日，勒索软件团伙ShadowByt3$在其暗网泄密网站发布公告称：BreachForums is Back (breachforu[.]ms)，公告中，该勒索软件团伙写道，这并非泄密，只是一个公告，该公告将持续展示，直到他们决定结束推广为止。
ShadowByt3$称，可能有人好奇为何会出现BreachForums的标志，之所以有标志，是因为该勒索软件团伙已与BreachForums达成了合作协议。ShadowByt3$形容这个BreachForums平台看起来很正规，勒索软件团伙DragonForce也曾为其做过推广。既然DragonForce推广过他们，因此他们也决定推广。
该勒索软件团伙表示，虽然目前存在许多山寨站点，但如果其他团队都在那里，那应该就是正规的。自BreachForums创立之初，该团伙就一直支持BreachForums，并愿意竭尽全力助其重振旗鼓。从今天起，该团伙将为这个BreachForums推广一个月，且将在他们的同意下延长推广期。并请大家去看看，注册账号，希望大家都加入。
ShadowByt3$称将与BreachForums共同承担风险，但就目前来看，该平台是合法的。至于BreachForums的克隆站点，那是一段漫长的故事，要解释清楚恐怕要花上很长时间。
BreachForums也发布公告称与ShadowByt3$达成合作关系 BreachForums在论坛发布公告：“ShadowByt3$ 2.0 X BreachForums X VULNS”，公告表示，很高兴宣布，已与一家新兴的“数据勒索即服务”（Data Extortion-as-a-Service）组织——ShadowByt3$ 2.0——达成另一项战略试用合作。
公告写道：“您是否掌握了企业数据，却苦于无法将其变现？让ShadowByt3$为您代劳勒索事宜！ShadowByt3$提供了一个平台，联盟成员可在该平台托管窃取的数据，而ShadowByt3$运营团队将负责与受害组织沟通并实施勒索行动。”
公告还称，联盟成员将获得专属控制面板以管理整个运营流程，收益分成比例起始为70%。若想成为联盟成员，需通过面试审核，并给出了一个暗网网址用于提供高质量的泄露数据。
BreachForums发布声明宣布明网域名已经被暂停访问 BreachForums称注意到其明网域名（breachforu[.]ms）已被暂停，最近几天，breachforums[.]rs和breachforu[.]ms都因竞争对手的攻击而被暂停。
声明称，前ShinyHunters成员Yukari每天坐在办公桌前，使用其入侵的警方邮箱不断发送请求，要求关闭BreachForums的明网域名。她一定是精神彻底崩溃了，因为BreachForums永远不会关闭，他们正在迁移到更优质的顶级域名（TLD）：breachforum[.]st将成为BreachForums的新主域名，将在24小时内上线并进行重大更新，并还将在不久后发布.su及其他防弹顶级域名的镜像站点。
声明同时表示，BreachForums正在采取一切必要措施，确保此类事件不再发生。尽管如此，他们还是对这些事件深表遗憾，并为给用户带来的不便致以诚挚歉意。BreachForums也在积极筹备ShinyHunters的明网付费或泄露网站，该网站将在今天或24至48小时内上线。
BreachForums称其与ShinyHunters的合作伙伴关系以及各项赞助将不受任何影响地继续进行，BreachForums将比以往任何时候都更加强大。没有什么能阻止BreachForums。感谢大家的耐心等待。
这个自称ShinyHunters冒牌者究竟是谁，期待警方的执法行动来解释，“暗网下/AWX”将持续关注。
更多暗网新闻动态，请关注“暗网下/AWX”。
近期，一个暂时活着的BreachForums突遇变故，其创始人HasanBroker遭受该论坛的其他管理员背刺。论坛的其他几位管理员抢走论坛的明网域名、论坛数据库与源代码并另立门户，虽然后来HasanBroker成功夺回明网域名，但已经改变不了其BreachForums论坛已经易主的事实。不过HasanBroker表示，他正在创建新的BreachForums论坛。
HasanBroker称BreachForums的其他几位工作人员背叛了他 5月20日，HasanBroker在其Telegram频道发布公告称，昨天在其外出途中，BreachForums论坛的管理员Diencracked、Resolute以及其他几位工作人员背叛了他，为了谋取私利和满足贪欲，他们把一切都毁了。
HasanBroker表示，可以想象，无论是从情感层面，还是从恢复论坛的角度来看，他都深受伤害。但他向大家保证，最多48小时到一周内，他就能恢复并解决所有问题。因为这种情况他以前也遇到过，也成功恢复了，这次一定同样能做到。
HasanBroker称，他提拔了Diencracked，Diencracked所拥有的一切都是因为他，而Diencracked的作用微乎其微。如果有论坛用户认为Diencracked是个能干的领导者，能为大家带来光明，那就错了，Diencracked却为了钱背叛了他和那些信任他的人，
HasanBroker还表示，他已成功恢复了所有数据，包括服务器和所有信息——但在重新评估所有选项并为平台建立更稳固的基础之前，他会暂时关闭论坛。
随后，HasanBroker称，他还成功恢复了BreachForums明网域名breached[.]st的控制权，其域名已经完成了KYC认证，而背叛者们现在无法掌控该域名。HasanBroker感谢大家在这段艰难时期陪伴左右，感谢了Spear、PwnForums以及所有支持他的人，还有其视若珍宝的忠实粉丝们。
Diencracked已经成为BreachForums新的创始人 在原先的BreachForums里，Hasan和Vect已被清除。Diencracked与LAPSUS$、TeampPCP、GhostSec、Resolute和Shinigami共同接管了论坛的领导权。
Diencracked发布公告称，HasanBroker已经结束，虽然原明网域名breached[.]st还能使用，但即将迁移至新的明网域名breached[.]su，希望大家更新书签。
HasanBroker控诉Diencracked，并表示新论坛正在开放 HasanBroker继续在其Telegram频道发布新的公告称，他在一年前这个时候创办了BreachForums，直到大约8个月后，Diencracked主动联系他加入，他才知道Diencracked的存在。
HasanBroker表示，希望Diencracked知道，他曾把Diencracked当作亲兄弟般爱护——任何和他共事过的人都能证明这一点。但是Diencracked背叛了他，背叛了论坛成员们，还背叛了整个论坛。
HasanBroker说：
这不是你第一次对我做出这种事了。我祝你生活顺利，但我绝不会坐视你像对我那样坑害其他人。
你知道自己是个毫无价值、毫无尊严的叛徒。当你绝望、自杀倾向、孤立无援地来找我时，我在你人生最低谷时陪伴着你。你为了一个我本打算送给你的论坛而失去了我，现在你一无所有了，因为你暴露了真面目。
HasanBroker称，无论白天多忙，都会回复每一位成员的私信，都尽可能满足每个人的请求，尽管自己也并非完美无缺——他深知人无完人，但他绝不会为了金钱或社区声望而背叛朋友，更何况这里的荣誉唯有清白才能赢得。
HasanBroker保证，在困难时期，领导者从未抛弃大家，他将会尽最大努力，战斗到底。
HasanBroker透露，他组建了一支由开发者和所有者组成的小队，正致力于BreachForums与DoxByte两个项目。其中BreachForums依旧使用XenForo平台，正在全面重建前端界面。因为他和新加入的开发团队对旧版前端界面的外观并不满意，而且他们认为之前的开发者过度依赖人工智能，导致界面设计得十分糟糕。
公告显示，新的BreachForums论坛已经做出设计调整，前端界面已经发布，让论坛看起来不像个2022年风格的论坛。HasanBroker保证新论坛将在三周内发布。
对此，“暗网下/AWX”认为，当前的暗网社区运营更像似联合国安理会对世界的治理，从以前的单一管理员运作走向了多元管理，而争议就在利益冲突中产生。HasanBroker新开发的BreachForums何时诞生，本站将持续关注。
更多暗网新闻动态，请关注“暗网下/AWX”。
2026年1月28日，美国FBI联合佛罗里达南区检察官办公室突袭并查封了俄罗斯暗网论坛RAMP（Russian Anonymous Marketplace，俄罗斯匿名市场）——这个从2021年底开始运营的俄语网络犯罪论坛。它提供Tor隐藏服务（rampjcdlqvgkoz5oywutpo6ggl7g6tvddysustfl6qzhr5osr24xxqqd[.]onion）和明网镜像（ramp4u[.]io），可以在暗网与明网同步访问，比很多竞争对手的论坛更容易访问，也因此聚集了全球各地的黑客——从西方的网络犯罪分子到东亚的威胁行为者。
RAMP基于商业论坛软件XenForo 2.2.5搭建，设有出售网络访问权限、恶意软件、勒索软件合作、被盗数据，以及招聘犯罪自由职业者的专门版块。主版块与子版块的版块名称包含俄语、英语、中文，帖子标题也混杂俄语、英语和中文，显示出它的国际化程度。
最近，该暗网论坛的一份完整MySQL数据库泄露给了安全研究人员，其中包含从2021年11月到2024年1月的用户记录、1732个论坛主题帖、7707名注册用户、340333条IP日志记录、1899个私人对话和3875条私信。这份数据像X光一样，照亮了勒索软件生态系统的供应链运作方式。
Comparitech发布的分析报告称：“Comparitech独家获得了RAMP泄露的数据库。完整的MySQL转储文件包含用户记录、论坛帖子、私人消息、IP日志以及管理员活动，时间跨度从2021年11月到2024年1月。”
主要发现如下：
论坛活跃度从2022年第四季度的67个帖子低点激增至2023年第四季度的300个帖子，增幅达348%，表明在执法部门的干扰之后，论坛出现了大幅复苏。 RAMP论坛促成了向包括国防承包商、能源公司、银行、医院和政府机构在内的20多个国家的组织出售企业网络访问权限。 美国是头号目标：在标明国家的列表中，美国出现的比例高达40%。 一位单一的准入经纪人发布了41个不同的主题帖，出售进入企业网络的入口，其中包括一家年收入12亿美元的美国公司以及在南美和乌克兰的政府网络。 14个勒索软件即服务（RaaS）项目积极招募联盟成员，提供高达90%的赎金分成。 政府机构是受影响最大的行业（21家），其次是金融/银行业和科技/电信业（各11家）。 Comparitech表示：“本分析基于 RAMP 论坛 XenForo 安装的 MySQL 数据库转储。我们解析了原始 SQL 语句，从 xf_user（7,707 条记录）、xf_thread（1,732 条记录）、xf_post、xf_ip（340,333 条记录）、xf_admin_log、xf_conversation_master（1,899 条记录）和 xf_conversation_message（3,875 条记录）表中提取了结构化数据。” 分析总结道。“IP 地址从二进制格式解码，并根据已知的 ISP 分配进行地理位置定位。所有结论均基于数据库转储中的数据，尚未通过与实际来源的独立验证。”
访问权限市场：勒索软件攻击的“开门钥匙” RAMP上规模最大的版块就是“访问权限市场”（Access(SSH/RDP/VNC/Shell)），共有333个主题在出售被入侵企业网络的入口权限。这正是勒索软件攻击链的第一环——没有初始访问，就谈不上后续部署恶意软件。
最常见的访问类型是RDP（远程桌面协议），占59个主题帖，其次是VPN访问（22个）和SSH/Webshell（22个）。域管理员（Domain Admin）权限只有12个，但价格最高，因为它能直接控制整个网络。
访问类型分布（部分数据）：
RDP：59个（43%），风险等级：致命 VPN（企业网关）：22个（16%），致命 SSH/Webshell：22个（16%），高危 域管理员：12个（9%），致命 卖家最爱美国目标，占已明确国家列表的40%。其他热门国家包括欧盟各国、加拿大、巴西、印度、中国等。被针对的行业中，政府机构（含大使馆、军队）最多（21个），其次是金融/银行和技术/电信（各11个）。
真实案例里，一个卖家“inthematrix”一个人发了41个主题帖，其中包括一家年收入12亿美元的美国公司、南美和乌克兰的政府网络。还有韩国一家年收入160亿美元的大型企业、阿联酋电信（13亿美元）、丰田巴西工厂等高价值目标。
2022年初，市场以RDP为主；到2023年底，VPN访问大幅增加。这和2023年爆发的Cisco、Fortinet、Citrix等VPN产品严重漏洞密切相关。卖家“blackod”曾在2023年11月连续发布5个Cisco VPN访问的主题帖，覆盖美、澳、加、英，显示出自动化扫描和批量利用的痕迹。另一个帖子直接提到Pulse Secure的CVE-2019-11510漏洞，说明已知但未及时打补丁的漏洞仍是主要入口。
勒索软件即服务（RaaS）：分成最高可达90% RAMP有专门的RaaS版块，60个主题用于招募“affiliate”（附属攻击者）。趋势很明显：早期分成是80/20（附属/运营商），到2023年中已变成90/10——附属攻击者能拿走100万美元赎金中的90万。这种高分成反映了市场对熟练攻击手的激烈争夺。
论坛上共出现14个RaaS项目，包括AvosLocker、Conti、Luna（Rust语言）、Knight 3.0、NoEscape、Bl00dy、KUIPER等。最令人担忧的是破解版构建工具和源代码泄露：LockBit 3.0 Builder、PHOBOS、Zeppelin2等。一旦工具泄露，任何中等水平黑客都能独立发动攻击，不需要加入任何RaaS联盟，也不用分成。
此外，论坛还出售破解版商业渗透测试工具：Cobalt Strike 4.8（合法年费5900美元）、Core Impact 21.3（年费2万美元以上）。这些专业级工具被零成本提供给犯罪分子，进一步降低了入门门槛。
恶意软件超市与犯罪人才市场 恶意软件版块有121个主题帖，涵盖：
漏洞与0-day：22个（SonicWall VPN RCE、Office 0-day、WinRAR RCE等） 加密器/FUD工具：17个 勒索软件：12个 RAT与后门：11个 信息窃取器：10个（LummaC2、Mars Stealer等） 僵尸网络：7个（一个声称能绕过主流加密货币交易所2FA的僵尸网络，售价2.
“暗网下/AWX”曾报道，在今年一月底FBI摧毁臭名昭著的RAMP论坛之后，一个允许交流勒索软件的新暗网论坛T1erOne悄然诞生，并宣称自己是RAMP论坛的替代品，为从事交易被盗数据、协调勒索软件攻击以及分发恶意软件的网络犯罪分子提供交流平台。只不过发展几个月后，该论坛人气依旧不愠不火。
为了吸引更多人访问，暗网论坛T1erOne诚邀对访问T1erOne感兴趣的研究人员加入。现在研究人员可以直接在该论坛上（tier1[.]life/register）注册为研究人员，研究人员账户享有特殊的有限访问权限。
除此之外，近日，该论坛还宣布了一场黑客征文大赛，旨在吸引全球顶尖的黑客和安全研究员分享他们的“实战干货”。该活动由1万美元（约合 7 万人民币）奖金支持，作为总奖金池，让人得以一窥这些暗网空间中知识共享和奖励的方式。
然而，这次竞赛引入了一种不同的动态，它类似于合法的网络安全生态系统，在那里研究人员记录发现并分享漏洞利用技术。根据论坛管理员发布的官方公告，帖子内容为：“大家好！我们很高兴宣布 T1erone [ARTICLE CONTEST #1 – 2026]。竞赛获胜者将获得奖金：第一名 – 5000美元，第二名 – 3000美元，第三名 – 2000美元，[总奖金池 10000美元]。文章提交从2026年4月13日开始，到2026年5月14日结束。”
该公告显示，这场暗网文章竞赛将于2026年4月13日至2026年5月14日举行，奖金金额奖金设置非常诱人：第一名5000美元、第二名3000美元、第三名2000美元，总奖金池为1万美元，据称由cry0勒索软件赞助。
黑客征文大赛征集高质量的黑客攻击技术文章、新型漏洞利用（Exploits）以及网络渗透技巧，邀请网友提交涵盖广泛高级主题的文章，这些主题包括：
通过React和Node.js中反配置缺陷实现的远程代码执行（RCE）。 对API和后端系统的命令注入攻击。 SaaS平台中的不安全直接对象引用（IDOR）漏洞。 现代模板引擎中的服务器端模板导入（SSTI）。 PHP和Java中的不安全反编译利用。 通过Markdown或Office文件渲染实现的客户端代码执行。 针对路由器和摄像头的固件攻击。 RouterOS及类似系统中的权限提升技术。 来自Cisco、MikroTik、Oracle和Ubiquiti产品的利用方法。 浏览器组件（如WebGPU和Blink）中的零日发现。 AI辅助的漏洞发现和逆向工程。 绕过AV和EDR安全系统的技术。 远程过程调用（RPC）机制的利用。 就背景而言，诸如RCE、IDOR和SSTI等漏洞允许攻击者执行任意代码或访问受限数据，而固件攻击则允许对硬件设备进行持久控制。同样，AV/EDR绕过技术旨在规避现代安全解决方案的检测。
T1erOne论坛为参与者制定了严格的指导方针。文章必须发布在指定的论坛板块，并包含特定前缀才能符合资格：提交必须发布在Articles板块，并带前缀“[Contest]”。文章链接必须在竞赛线程中分享，并附上参赛说明。
所有用户均有资格参与，无论注册日期或活跃度如何。严格禁止使用多个账号。此外，竞赛执行内容质量标准：文章必须原创，并基于作者的个人经验。提交内容必须全面涵盖所选主题，包括工具、技术和方法论，包含演示视频可能会提高获胜机会。最低长度要求至少为一页A4纸。不允许复制或转载材料，不鼓励过度使用填充内容。
尽管此类比赛在暗网论坛（如XSS, Exploit.in）其实有着广泛传统，2023年XSS论坛曾宣布举办[XSSware]软件项目竞赛，奖金2万美元。但T1erOne此次明确要求“编写 Exploit”作为核心评估标准，这意味着他们不仅是在收集知识，更是在筛选具有实战杀伤力的工具。对于安全工程师来说，这通常预示着在接下来的几个月里，可能会有新型的攻击手段或未公开的0-day漏洞利用方式从该论坛流向交易市场。
此类竞赛的存在可能令人惊讶，但它标志着暗网论坛内的一个更大趋势。除了非法市场和数据交易之外，这些平台还充当技术交流中心，会员们在这里记录和完善漏洞利用技术，关键区别在于知识应用的意图和背景。
本文只是揭示这些暗网生态系统的运作方式，“暗网下/AWX”不提倡参与此类活动，遵守法律是基本行为准则。
更多暗网新闻动态，请关注“暗网下/AWX”。
根据PwnForums论坛发布的耻辱墙公告以及X账号@IntCyberDigest的爆料，社交媒体和黑客社区的不同消息来源将保加利亚网络安全专家Angel Tsvetkov与BreachForums的管理员联系起来。BreachForums是买卖被盗数据的主要平台之一，当前主要有三个版本的BreachForums在运营，这里所指的BreachForums是Indra版本的BreachForums。
2026年3月15日，Indra的BreachForums暗网论坛突然无法访问，身份不明的管理员选择关闭了该网站，后来证实这是一起退出骗局。不过，当时网络反情报威胁调查联盟（CCITIC）声称对此事负责。
在Indra的BreachForums论坛关闭了十天后，论坛管理员之一“N/A”使用今年2月份的备份，通过新的域名BreachForums[.]sb重新启动该论坛，这次使用的管理员新化名是“Caine”。两天后，其他工作人员确认Caine就是之前卷款跑路的那个人，之后整个管理团队选择集体辞职。由于没有版主，“N/A”再次尝试出售该论坛的基础设施，此后大概是被DarkForums的Knox买走。
PwnForums称，这并非“N/A”首次犯案，在他担任管理员期间，“N/A”一直通过二级账户进行托管诈骗，兜售他并不拥有的数据库，收取款项却不交付任何产品。他还拖欠与他达成协议但从未履行义务的各方款项。
事件发展的时间线 2026年3月15日：BreachForums论坛无法访问，后经内部讨论，被描述为管理员主导的破坏活动。 2026年3月25日：据报道，BreachForums以“Caine”的化名重新启动，据称使用了之前的备份。 2026年3月27日：管理团队声称“Caine”和“N/A”是同一个人，整个管理团队集体辞职。 3月27日之后：据称管理员试图转移或出售论坛控制权。 被暗网论坛PwnForums钉上耻辱墙上的N/A究竟是谁 PwnForums已确认N/A为安吉尔·茨韦特科夫 (Angel Tsvetkov)，他是一名保加利亚网络安全专家、渗透测试员和漏洞赏金研究员，拥有渗透测试和漏洞研究背景。他以其在识别和负责任地披露全球主要平台漏洞方面的工作而闻名。他在HackerOne和Intigriti等平台上享有盛誉，曾报告过影响大型企业的漏洞。他的工作主要集中在Web应用程序安全、漏洞发现和对抗性测试方面。
PwnForums称，Angel Tsvetkov是一位认证的道德黑客，HackerOne会员，曾因负责任的信息披露而获得哈佛大学、福特汽车公司、博世、BBC和OLX等多家企业机构的致谢，并曾荣获新闻媒体BBC和安全公司ESET的多项嘉奖。
然而，他表面上是一名白帽黑客，实际上却运营着最大的数据交易论坛，他同时是暗网论坛BreachForums的管理者，对论坛用户进行托管诈骗，两次卷款潜逃，并试图出售一个并非属于他的论坛。事实证明，道德黑客“负责任的信息披露”是有选择性的。
真实身份是如何关联出 PwnForums称，该归因得到了许多技术证据的支持，例如个人帐户和非法活动之间重复使用IP地址和登录密码，并得到@IntCyberDigest等X用户的认可。
从邮箱进行关联，Angel Tsvetkov一个常用的匿名邮箱为[email protected]，常使用用户名SecPentester1337与secpente123，在RaidForums、Cracked.to、Dedicatet.com和Altenen等多个网络犯罪论坛注册了账号，填写的出生日期为1993年1月28日，另外在RaidForums论坛上还有一个用户名Vojilion9292与同一邮箱关联。
此外，[email protected]邮箱还关联了一个Twitter账号，注册于2018年9月29日，账号名为“Peter”，用户名为@Peter00111Peter，所在地为保加利亚，个人简介为：“渗透测试/漏洞猎手/道德黑客”。此人在多个正常论坛上使用多个名字，所有名字都与同一个电子邮件地址关联，所有地址都指向保加利亚普罗夫迪夫。
从密码进行关联，N/A的论坛账户密码被破解出来是“Awdawd123!”，然而有趣的是，Angel Tsvetkov个人网络安全咨询公司的官方商务邮箱[email protected]也反复使用同一个密码。
PwnForums感叹，这位获得认证的道德黑客、HackerOne会员、曾为多家机构提供密码安全咨询的人士，竟然在犯罪论坛账号和自己的商务邮箱中重复使用同一个密码。
从IP进行关联，N/A曾使用过的IP地址中有一个是78.130.187.42，该IP地址曾用于登录RaidForums和Cracked等论坛，该IP地址的地理位置位于保加利亚普罗夫迪夫。
无语的是，N/A曾联系PwnForums吹嘘其在该论坛植入后门并上传了一个名称为nike-sh.txt的文件，后该论坛管理员查看nike-sh.txt的访问日志，有且仅有一个IP：78.130.187.42，PwnForums认为Angel Tsvetkov通过自己的家庭IP地址访问了这个文件。
道德黑客Angel Tsvetkov驳斥了这些指控，称其“不实” 然而，保加利亚网络安全专家安吉尔·茨韦特科夫（Angel Tsvetkov）在接受采访时，断然否认了有关他是知名网络犯罪论坛BreachForums管理员的指控。茨韦特科夫称，散布的数据“是虚假的，而且极具破坏性”，并声称这些数据是基于“来自与网络犯罪相关的来源的未经证实的说法”。
当被直接问及他与该平台的所谓关联时，这位道德黑客坚称他没有参与BreachForums论坛的管理或运营，并否认拥有与网络犯罪活动相关的账户或化名。他表示：“我与相关人员没有任何关系，也从未在这些论坛担任过管理员或任何类似职务。”
关于他的身份与网络安全社区内这些活动之间的关联，这位专家指出，他并不清楚第三方是如何在未经授权的情况下使用他的数据的，并澄清说他目前正在分析情况。“我不知道第三方是如何在未经我授权的情况下在这个论坛上使用我的身份和数据的，”他表示。
这位专家在最初的沟通中坚称，已发布的信息“并不反映现实”，并警告说，信息的传播可能会产生影响。
“由于这篇文章的发表，有关我的虚假信息正在传播，执法部门和其他第三方也能看到这些信息，”他指出。
BreachForums论坛是一个为黑客及网络犯罪分子提供买卖被入侵数据库、黑客工具以及分享网络犯罪知识的暗网平台。与BreachForums论坛相关的各种戏剧性事件层出不穷，而且愈演愈烈。尽管屡遭执法部门的打击，偶尔还会发生内部冲突，但专注于买卖数据泄露的论坛仍然不断涌现。
“暗网下/AWX”梳理了近期Indra的BreachForums的变迁，在其关闭BreachForums之后，BreachForums[.]sb经过了几轮变化，先是被@Caine持有并继续运营，之后该论坛的管理团队集体退出。后明网域名BreachForums[.]as与BreachForums[.]sb被DarkForums的Knox买走，而据称是冒牌的Shinyhunters又开设了一个新明网域名BreachForums[.]ai来运营新版本的BreachForums。
Indra的BreachForums的工作人员集体辞职 @paw（@pine）在BreachForums[.]sb发布公开声明表示，BreachForums[.]sb的6名工作人员（@pine、@Loki、@888、@Tanaka、@paw、@Addka72424）已辞职，并声明：“请勿信任任何新出现的或现有的克隆站点，BreachForums这个名字已经不复存在，且永远不会回归。”
对此，在Telegram上假冒Shinyhunters的管理员@Caine声称，旧论坛的工作人员退出，是因为“勒索”。这些版主要求以1000美元的门罗币作为报酬，以补偿他们所做的一切工作。在被他拒绝后，他们选择了离开。而论坛将会组建新的工作人员团队。
BreachForums[.]as与BreachForums[.]sb显示了新的提示信息 “暗网下/AWX”尝试访问BreachForums[.]as与BreachForums[.]sb这两个明网域名，两个网站均显示相同的界面UI风格，一眼可以看出显然属于同一个所有者。
BreachForums[.]as网站展示了BreachForums[.]sb的明网域名与暗网域名：
BreachForums[.]sb则称，BreachForums现已完全由Knox（knox.hn）掌控。所有数据（包括最新的数据库和源代码）均已得到妥善保管。不再有混乱和诈骗，不再有不确定性——一切现已实现集中管理。请勿信任任何克隆站点。并提供了Telegram联系方式。
上周重启的一个新BreachForums论坛 周一，一名自称是勒索组织ShinyHunters成员的人宣布重启运营一个新的的BreachForums论坛（BreachForums[.]ai）。但一位与ShinyHunters官方频道有关联的人士表示，该组织与BreachForums的任何重启都毫无关系。他们表示：“我们与那个论坛没有任何关系。自从2025年10月10日被FBI查封后，我们就再也没有重启过它。”
本周重启的BreachForums论坛是“暗网下/AWX”前期介绍的Indra的BreachForums论坛的延续，上个月，Indra的BreachForums论坛的“基础设施，包括完整的数据库和源代码”，被“直接从其托管服务器”黑客入侵，并以1万美元的价格出售。新BreachForums论坛管理员（化名“x”）表示，前任管理员“N/A”得知此事后“惊慌失措，带走了能带走的东西，然后立即离开，没有通知社区”，之后“数据库就落入了不明人士手中”。
这一惊慌失措的说法似乎指的是3月16日发布在论坛旧版本上的一条公告，该公告宣布“BreachForums已死”，并正在寻找新的管理团队。公告表示：“我们现在正在寻找一位负责任的个人或团体，愿意接管论坛的领导权并继续提供支持。”
除了ShinyHunters的官方否认之外，安全研究人员还详细列举了“x”的说法中的矛盾之处，暗示其内容不实，并表示一些合法的BreachForums前运营者似乎正在注册多个BreachForums域名，以阻止类似的重启声明出现。
ShinyHunters表示，此次重启是利用先前泄露的数据发起的一系列BreachForum虚假论坛中的最新一起。该组织的一名成员说道：“其他威胁行为者能够恢复一个外观相似的合法论坛，包括重新导入旧用户数据，其中也包括我自己的ShinyHunters账户。”
IntelOpsV3称冒牌SH推出的BreachForums论坛又是一个冒牌货 暗网情报研究者@IntelOpsV3称，在Indra关闭其BreachForums并实施“卷款跑路”的时候，一个冒牌的SH（Shinyhunters）带着另一个冒牌的BreachForums（BreachForums[.]ai）出现了。于是，几乎在同一时间，至少有3个一模一样的网站，都声称自己是真正的BF。但不知道这些所谓BreachForums能运营多久。
新BreachForums论坛使用了暗网域名：http://c66go4clkqodr7tdjfu76jztjs7w7d3fajdeypxn73v4ju3dt7g5yyyd[.]onion
@IntelOpsV3提醒，其正在密切关注所有新的BF克隆站点，请谨慎对待所有这些新克隆站点。因为原BreachForums的PGP密钥、网站代码和数据库都已泄露，是时候让Breachforums这个名字长眠了。
@IntelOpsV3称，这是新的BF团队，可以看到他们在TG上假扮成“Shinyhunters”，他们声称自己是唯一的正宗BF，他们还发布了一则警告，称其他克隆站点均为假冒。这个新冒出的BreachForums克隆站点由doxeur、kiroshell和breach3d所有。breach3d就是那个发布假Dell数据库的冒牌Shinyhunters。
但可惜的是，SLSH已经发布了BFv5数据库，并指认他们是冒牌货。真正的SLSH称：“目前所有的论坛都是假的 [ .sb .ac .fi .bf .us 等]，如果它们继续存在，我们将泄露所有BF的备份。因为我们掌握了所有MyBB 1.8版本的漏洞利用代码。”
@IntelOpsV3称，这个论坛是假的。这个论坛的ShinyHunters是个冒牌货。他们冒充IntelOps、Pine、Loki等组织，正如你们从我们的推特帖子中看到的，这个论坛里充斥着各种角色扮演。
BreachForums[.]ai的管理员“x”发布公告驳斥@IntelOpsV3 BreachForums[.]ai的管理员“x”于4月2日发布公告进行回应，并澄清该论坛的现状。“x”表示，他们没有导入旧BreachForums的SQL数据库，并不意味着他们是蜜罐（honeypot）或退出骗局（exit scam）。他自称这是一个全新的开始，这是BreachForums的官方延续。并请大家在做出假设前，先进行适当的研究，不要基于不完整的信息下结论。
公告表示，他们理解大家的怀疑，但事实不会改变。一旦论坛完全开发并稳定下来，他们将对克隆站点采取行动。“x”称，一些来源（如 Twitter 上的 IntelOps (@intelopsv3)）散布了虚假信息，声称其是退出骗局。这些说法是错误的。IntelOps有历史性地不经查证就发布信息，并经常误报或歪曲细节。
“x”称，他们鼓励大家保持信息灵通、核查事实，并避免匆忙下结论。他们不是蜜罐/退出骗局。
公告表示，如果是蜜罐，他们会尝试修改MyBB源代码来尽可能记录用户的信息。相反，他们移除了IP记录，并用自定义构建的垃圾邮件预防系统取而代之。即使FBI或任何执法机构查封后端服务器也找不到任何有用的东西。
“x”宣称自己的VPS是完全加密的，用户的隐私是优先事项。
SLSH冒牌者究竟是谁 独立安全研究人员Ryan Moran（@rmoskovy）表示，在对这位自称“ShinyHunters”冒牌者进行分析时，我使用一个假账号通过Telegram向其发送消息，声称需要向“Rey”（一名与SH/SLSH有关联的威胁行为者）偿还一大笔钱，并要求对方提供“Rey”的联系方式。
然而，对方非但没有提供“Rey”的联系方式，反而要求@rmoskovy直接向其汇款。当进一步追问时，对方发来了一个拼写错误的账号，该账号是“Rey”真实用户名的拼写变体：
2026-02-26 -> Qilin 2026-02-26 -> Rey 2026-02-20 -> Qiliin 2026-01-24 -> XiaoBtc ( MBTC ) 2025-12-24 -> MBTC 2025-12-24 -> Crimesite 2025-11-08 -> Bjorka 2025-11-04 -> NinjaBoi6890 2025-10-31 -> SkyHunters 2025-10-25 -> Asley 2025-09-10 -> Kimbo 2025-06-09 -> Bebale Office 2025-05-15 -> Lesley