美国联邦调查局（FBI）长期以来以渗透犯罪团伙、将其彻底摧毁而闻名。然而，随着犯罪手段的日新月异以及匿名方法的越来越难以被攻克，FBI现在寻求渗透到网络犯罪的黑暗世界，将其特工全面嵌入数字犯罪组织，甚至全身心投入来运作这些组织，作为其蜜罐来运营。
虽然之前包括“暗网下/AWX”在内的许多媒体认为暗网论坛Breachforums可能是FBI的蜜罐，但是没有证据。这次从另外一个案件中印证了FBI设置蜜罐的常规执法操作。
本站（anwangxia.com）获悉，网络安全媒体404 Media对FBI针对“ElonmuskWHM”洗钱案的执法工作进行了调查，并揭露了FBI的蜜罐手段。
通过运营蜜罐，联邦调查局得以在“ElonmuskWHM”洗钱案中逮捕了更多的毒贩、加密货币黑客等犯罪分子。然而，运营蜜罐的手段也招来了人们对政府越权的批评。
“ElonmuskWHM”是通过暗网宣传并运营的一个加密货币洗钱业务 名为“ElonmuskWHM”的暗网洗钱业务经常在已经关闭的暗网论坛“白宫市场”（White House Market，简称 WHM）上宣传，允许网络犯罪分子将通过犯罪手段获取的加密货币“套现”。“ElonmuskWHM”的客户通常是毒贩和黑客，他们会将加密货币发送给该机构，然后该机构会通过邮件将现金寄给他们。“ElonmuskWHM”会从其服务中收取20%的费用。404 Media的记者约瑟夫·考克斯（Joseph Cox）写道：
查阅了数百页法庭文件、ElonmuskWHM的在线帖子以及其他研究资料，首次揭示了FBI此次行动的轮廓。这进一步证实了这样一种观点：如果能为犯罪分子提供调查途径，FBI愿意为其提供实施犯罪计划所需的基础设施，有时甚至会持续很长时间。
通过仔细阅读这些法庭文件，考克斯了解到该业务为地下暗网的网络犯罪分子提供了不可或缺的服务。他解释道：
这项洗钱服务在犯罪圈中的实用性不容小觑。在美国，允许加密货币与法定货币交易的公司必须向政府注册成为货币转账公司。反过来，这些公司也需要依法收集用户的身份信息，就像普通银行一样。这对犯罪分子来说是一个问题，因为如果他们注册币安（Binance）或Coinbase等更合法的交易所，就需要提供身份证明（KYC）。如果收到法院命令，这些交易所会将这些信息交给当局。ElonmuskWHM提供了一种匿名替代方案，无需身份证明。
FBI通过长期调查抓获“ElonmuskWHM”背后的罪犯 FBI于2021年开始调查该服务，并聘请邮政局协助调查网络犯罪分子与运营商之间的现金交易。调查显示，“价值近9000万美元的加密货币”通过ElonmuskWHM的网络进行交易，该运营商一度吹嘘其业务收入高达3000万美元。
考克斯补充道，联邦调查局还“采取了极端且可能违宪的措施，以揭露‘ElonmuskWHM’的运营者，包括要求谷歌交出八天内观看过某个YouTube视频的所有人的身份信息”。具体而言，FBI探员通过Telegram向“ElonMuskWHM”背后的犯罪分子发送了一些观看次数较少的YouTube视频，然后要求谷歌提供观看这些视频的所有人的数据，从而锁定“ElonmuskWHM”背后的罪犯。
最终，警方找到并逮捕了这名罪犯，他是一名30岁的印度公民，名叫阿努拉格·普拉莫德·穆拉卡（Anurag Pramod Murarka）。据联邦调查局估计，穆拉卡在不到两年的时间里通过暗网洗钱总额超过2400万美元。美国司法部的一份新闻稿称，穆拉卡于今年1月被判处121个月监禁。
参与此案的美国检察官卡尔顿·S·希尔四世（Carlton S. Shier, IV）表示：“被告利用互联网为无数其他犯罪分子提供协助，帮助他们隐瞒赃款和非法毒品所得。此案凸显了网络犯罪的全球性，以及打击洗钱活动对勤勉和合作的必要性。”
FBI接管并继续运营“ElonmuskWHM”以识别更多网络犯罪分子 逮捕穆拉卡后，FBI接管了该服务并花了近一年时间秘密运营暗网洗钱业务“ElonmuskWHM”。
据肯塔基州东区联邦检察官办公室公共事务专家加布里埃尔·杜吉恩（Gabrielle Dudgeon）透露，联邦调查局运营了“ElonmuskWHM”洗钱业务不到一年（约11个月），她曾与考克斯谈论过此事。考克斯查阅的法庭文件显示，该蜜罐行动显然让联邦政府得以了解其与“贩毒案件（包括佛罗里达州迈阿密的一起）、加利福尼亚州旧金山的持刀抢劫案调查以及多起计算机黑客调查（其中一些调查涉及数百万美元的犯罪收益）”之间的联系。
尽管联邦调查局成功逮捕了通过“ElonmuskWHM”进行洗钱的更多地下客户，但其手段也招致了批评，称FBI的卧底策略并不十分巧妙，而且可能不符合宪法。
美国司法部已经停止针对加密货币犯罪的积极调查 这只是政府秘密渗透网络犯罪活动以了解其结构并调查其客户的最新例证。考克斯此前曾撰写过一本关于联邦调查局（FBI）古怪的“特洛伊盾牌”行动的书，该行动中，FBI收编并运营了一家名为“ANOM”的加密电话公司，据说该公司专门向职业罪犯出售设备。ANOM使FBI能够监控90个国家/地区的约11,800台设备，为了解多达300个跨国犯罪组织的高层犯罪活动提供了窗口。
美国联邦调查局此前还入侵并渗透了一个名为“Hive”的勒索软件团伙，该团伙参与了多起破坏性的恶意软件攻击。这项行动于2023年1月宣布，使该机构能够监控该团伙的活动，收集有关其商业模式的信息，并最终识别其受害者。
但是，运营蜜罐的手段也招来了人们对政府越权的批评。“暗网下/AWX”看到，美国司法部已经宣布，计划停止针对加密货币交易所、钱包和加密货币混合器的执法行动和积极调查。尽管美国司法部声称仍将追捕犯罪分子，但这将阻止像追踪“ElonMuskWHM”这样的长期诱捕行动。
2月21日，45岁的卡什·帕特尔（Kash Patel）宣誓就任令人垂涎的局长职位，目前他是FBI约38,000名员工的负责人，其中包括10,000多名特工和遍布全球的60多个办事处和分支机构。
几天后，俄罗斯背景的暗网勒索软件团伙LockBit向新任FBI局长帕特尔留言称提供所谓的“机密信息”，并声称这些信息一旦公开，可能会“摧毁”该机构。
这个公开的博文是在2月25日通过LockBit的暗网博客（暗网泄密网站）发布的，伪装成一封贺信，然后试图让新任FBI局长帕特尔与FBI的员工对立起来。网络安全研究媒体vx-underground在X上报道了LockBit发布的博文。
Today Lockbit ransomware group issued a message to Kash Patel, the new Director of the United States Federal Bureau of Investigation. He requested Kash Patel contact him via Tox and offered him a file titled "personal_gift_for_new_director_FBI_Kash_Patel.7z".
The file is…
— vx-underground (@vxunderground) February 26, 2025 “亲爱的卡什·帕特尔！祝你生日快乐！我也祝贺你担任联邦调查局的第九任局长，并祝你事业成功，因为这对你来说并不容易，”博文开头写道。“你周围都是骗子、职业操纵者，尊敬的卡什·帕特尔。你手下的所谓“特工”都是狡猾的操纵者，他们操纵你的目的就是让你无所作为，但你必须有所作为，卡什·帕特尔先生。”
该博文进一步解释，虽然LockBit经常被称为“敲诈者”和“勒索者”，但自己其实是“美国祖国的杰出儿子”，并声称LockBit的勒索软件行动实际上是为了加强美国国家安全而建立的，而国际执法部门却将其描述为“世界上最具危害性的网络犯罪集团”。
”我的生意，我已经缴纳了很多税，我创建的目的只是为了让我们所有人，在我们的美利坚合众国，成为一个更安全的居住地。“
”我是一个诚实的商人，向美国财政部缴纳了那么多的税款，却从未退过税，而是让黑人帮我退税。“
在将自己描述为“诚实的商人”之后，作者继续指责联邦调查局是“真正的威胁”。
博文继续写道：“这些真正的敲诈者、骗子、勒索者、操纵者，也就是你们所熟知的下属——联邦调查局特工，他们用假货充斥着我们的国家，并宣称我是一个威胁。“
最值得注意的是，该博文最后试图引诱帕特尔直接联系LockBit，并承诺向他提供一份为他个人准备的“机密信息档案”，据称该档案将揭露联邦调查局内部的腐败行为。
“我决定给你最好的礼物——一份机密信息档案，供你个人使用，卡什·帕特尔先生，”博文写道。“一份指南、一份路线图和一些友好的建议。只有您才能访问，密码是有限的。这些信息是为了美国国家安全，为您提供如何找到真相的信息，我们的兄弟美国总统唐纳德·特朗普也想找到真相。”
作者将所谓的机密数据描述为“对抗谎言的关键，对抗虚假的良药”，然后要求帕特尔与其取得联系。
“请亲自联系我，我非常不愿意公布这些信息，因为这不仅会对FBI的声誉产生负面影响，还会破坏其结构，”作者补充道。“因为我真的希望您，尊敬的卡什·帕特尔，不仅是FBI的局长，而且也是FBI历史博物馆的馆长。让您讲述我们的故事——我们如何打败虚伪和腐败的FBI特工。”
这番言论似乎针对的是帕特尔去年的言论，当时他表示，他将“在第一天”关闭联邦调查局总部，并将其变成“深层政府博物馆”。
在博文最后，LockBit提供了联系方式——一串Tox的ID：3085B89A0C515D2FB124D645906F5D3DA5CB97CEBEA975959AE4F95302A04E1D14E41080A105，以便帕特尔与其联系。
LockBit称：“请亲自联系我，我非常不愿意发布这些信息，因为这不仅会对FBI的声誉产生负面影响，还会破坏它的结构。”
在该博文下面，LockBit勒索软件团伙已公开提供下载名为“personal_gift_for_new_director_FBI_Kash_Patel.7z”的文件，大小约2.06MB。由于该文件收到受密码保护，”暗网下/AWX“暂时看到其内容。
网络安全分析师Dominic Alvieri一直在追踪LockBit等勒索软件团伙，他表示，该团伙在美国和英国等国机构的国际联合执法行动后于2024年2月被瓦解，现在该团伙只不过是想引起关注，然后重建。
Alvieri表示：“目前LockBit提供的任何信息要么是公开数据，要么就是彻头彻尾的虚假声明。”目前还不清楚LockbBit拥有哪些机密数据，而帕特尔作为FBI局长似乎也无法访问这些数据。
LockBit长期以来一直是网络犯罪领域的主要参与者，采用勒索软件即服务 (RaaS) 模式运营，其中附属机构（通常是独立黑客）部署恶意软件以换取部分赎金。
近期，本站（anwangxia.com）获悉，中国台湾男子林逸松等三名电脑专家因涉嫌在暗网市场Genesis Market网站上非法贩卖台湾公民个人信息而被起诉。
台北地方法院审理后，于11月底进行了宣判，依违反个人资料保护法判处林逸松有期徒刑6个月，并处罚金8万元新台币。林逸松表示，他已向法院提出上诉。
此外，法官黄文昭依违反个人资料法，判处同案被告陈伟志有期徒刑5个月并处罚金5万元新台币，并判处虞修志有期徒刑6个月及有期徒刑3个月，6个月部分并处罚金5万元新台币，合并执行有期徒刑8个月，并处罚金5万元新台币。二者均可上诉。
去年6月份，台湾警方调查部分接到美国联邦调查局（FBI）情报，暗网网站“创世纪市场”（Genesis Market）上有人非法出售台湾公民个人信息，调查局的资安工作站接到线索后，深入追查发现，该暗网市场的注册用户除通过网络溯源防护技术隐藏真实身份外，还利用虚拟货币追踪防御技术制造资金流断点。
臭名昭著的暗网市场“创世纪市场”（Genesis Market）是专门贩售网站帐号权限的非法交易市场，提供注册用户以虚拟货币购买遭黑客窃取的登录凭证，包含密码、网络指纹（浏览器历史纪录、cookie、自动填充表数据、 IP位置等信息）；若购买“权限搜集资料库机器人”，搭配特定网络浏览器，即可使用外泄数据，模仿受害者的电脑，冒充合法用户，登录受害者的网上银行、电子邮件、购物平台、社群媒体，甚至可更改密码。
“暗网下/AWX”去年曾报道，2023年4月份，大型暗网市场Genesis Market被美国联邦调查局领导的国际执法机构查封，据此推断，FBI通报给台湾的情报应系查封网站后获得并分析暗网网站的后台得出。
台湾检调接获美方FBI通报的信息后，调查发现，“权限搜集资料库机器人”除了储存社群平台或商用平台（如Amazon、Microsoft、Facebook、Netflix、Paypal）等合法用户相关登录凭证外，也包含台湾公民的身份证编号、手机、各大网站登入帐号密码等个人资料信息，甚至包含台湾“政府机关”的存取权限，比如“科技部”、“劳动部劳发署”、“卫福部”、“疾管署”、“中央健保署”、“电子发票整合平台”等各政府网站，或591租赁、虾皮等各大购物网站的后台管理员帐号及密码。
经过取证和交叉比对，发现台湾的三名电脑专家林逸松、陈伟志、虞修志在暗网市场Genesis Market购买了一批台湾公民使用的社交平台或虾皮、露天等商业平台的账号密码、手机号码、身份证统一编码等数据资料，遂向台北地检署报案，检肃黑金专组检察官指挥侦办。
经调查发现，自2020年至2022年期间，林逸松在Genesis Market购买了11个“权限搜集资料库机器人”，陈伟志购买了18个，于秀芝购买了29个，三人利用购买的凭证登录相应网站浏览信息，造成对被入侵的政府机关、学校、购物平台用户的损害。
今年4月18日和7月2日，检察官指挥新北市调查处、台北市调查处和花莲县调查站分两波展开搜查，查获涉案人员相关主机和电磁记录等证物，同时约谈了林逸松、陈伟志、虞修志等3人到案。
台北地检署侦查后认为，三人涉及《个人资料保护法》及《刑法》规定的妨害计算机使用罪，依法提起公诉。
此外，林逸松的辩护律师杜佳燕，涉嫌利用陪同侦查之机，向同案犯泄漏侦查内容，而林逸松还涉及其他违反《个人资料法》的案件，检方正另案签发侦办。
美国联邦调查局周一宣布，经过国际联合执法调查，FBI已查封了名为Radar（又名Dispossessor）勒索软件团伙的服务器和网站。
此次联合行动由英国国家打击犯罪局、班贝格检察官办公室和巴伐利亚州刑事警察局（BLKA）合作开展。这对美国联邦调查局来说是一次罕见的胜利，它正在与全球执法机构一起努力遏制勒索软件日益严重的威胁。
美国联邦调查局俄亥俄州克利夫兰办事处发表声明称，执法部门查获了3台美国服务器、3台英国服务器、18台德国服务器、8个美国域名和1个德国域名，其中包括radar[.]tld、dispossessor[.]com、cybernewsint[.]com（虚假新闻网站）、cybertube[.]video（虚假视频网站）和dispossessor-cloud[.]com。目前访问这些网站，会显示一条来自执法部门的消息，内容为：“该网站已被查封。”
该勒索软件团伙的暗网泄密网站地址为：http://e27z5kd2rjsern2gpgukhcioysqlfquxgf7rxpvcwepxl4lfc736piyd.onion，经“暗网下/AWX”测试，目前也已无法访问。
自2023年8月成立以来，Radar/Dispossessor勒索软件团伙由名为“Brain”的头目领导，将目标锁定在世界各地各个行业的中小型企业，他们会利用受害公司系统的安全漏洞，窃取大量数据，并用加密技术扰乱公司数据。该团伙声称对美国、阿根廷、澳大利亚、比利时、巴西、洪都拉斯、印度、加拿大、克罗地亚、秘鲁、波兰、英国、阿拉伯联合酋长国和德国的数十家公司发动了攻击，其中FBI确定了至少43名受害者。
美国联邦调查局称，勒索软件团伙利用漏洞、弱密码以及账户缺乏多因素身份验证等手段入侵网络。在获得受害企业网络访问权限后，他们会窃取数据并部署勒索软件来加密公司的设备。
联邦调查局表示：“一旦犯罪分子获得系统访问权限，他们就会获得管理员权限并轻松访问文件。然后实际的勒索软件被用于加密。结果，这些公司无法再访问自己的数据，一旦公司受到攻击，如果他们没有联系犯罪分子，该团伙就会通过电子邮件或电话主动联系受害公司的其他人。这些电子邮件还包含之前被盗文件播放的视频平台链接。”这是敲诈勒索团伙常用的手段，被称为“双重敲诈”。
该网络犯罪团伙成立之初，以勒索软件团伙的身份进行活动，转载在LockBit勒索软件攻击期间窃取的旧数据，并声称自己是LockBit勒索软件团伙的附属机构。Radar/Dispossessor还转载了其他勒索软件行动的泄密信息，并试图在各种数据交易市场和黑客论坛（如BreachForums和XSS）上出售这些信息。
“Dispossessor最初宣布重新提供大约330名LockBit受害者的数据。据称这是以前可用的LockBit受害者的重新发布数据，现在托管在Dispossessor的网络上，因此不受LockBit可用性限制，”SentinelOne在4月份的一份报告中表示。
“Dispossessor似乎正在重新发布之前与其他勒索软件团伙相关的数据，例如Cl0p、Hunters International和8base。我们知道Dispossessor上列出的受害者至少有十几个之前也被其他团伙列出过。”
从2024年6月开始，威胁行为者开始利用泄露的LockBit 3.0加密器[VirusTotal]用于他们自己的加密攻击，大大扩大了他们的攻击范围。
“暗网下/AWX”看到，在过去的一年里，美国及其盟友的执法部门渗透、破坏和打击了ALPHV/Blackcat勒索软件团伙（一个部署LockerGoga、MegaCortex、HIVE和Dharma的勒索软件团伙）、Ragnar Locker勒索软件团伙、Hive勒索软件团伙以及LockBit勒索软件团伙，取得了多次重大胜利。然而，勒索软件攻击如同雨后春笋，在某些国家的庇护下，总是能够春风吹又生。
FBI称已经获取了LockBit的7000个解密密钥 这一消息对那些数据被加密无法访问的人来说可能是个好消息。
美国联邦调查局（FBI）在找到数千个解密密钥后，敦促最猖獗的勒索软件团伙之一LockBit的受害者挺身而出，这些密钥可能有助于恢复数月或数年来无法访问的数据。
上周三，一名FBI高级官员披露了这一消息。三个月前，国际执法机构查封了暗网勒索软件团伙LockBit使用的服务器和其他基础设施。当局称，该团伙已从全球7000名受害者那里勒索了超过10亿美元。当局当时表示，他们控制了1000个解密密钥、4000个账户和34台服务器，并冻结了与此次行动相关的200个加密货币账户。
联邦调查局网络助理局长布莱恩·沃恩德兰（Bryan Vorndran）上周三在波士顿举行的一次网络安全会议上发表讲话时说，特工们还追回了一项对数千名LockBit受害者来说非常有意义的资产——解密密钥，这些密钥可以让他们解锁被LockBit团伙勒索的数据。
“此外，通过对LockBit的持续破坏，我们现在拥有超过7000个解密密钥，可以帮助受害者恢复他们的数据并重新上网，”沃恩德兰在指出此次扣押行动带来的其他成就后说道。“我们正在联系已知的LockBit受害者，并鼓励任何怀疑自己是受害者的人访问我们的互联网犯罪投诉中心ic3.gov。”
执法部门目前掌握的解密密钥数量大大高于当局在宣布取缔行动当天所称的1000个密钥。
这位助理局长警告说，通过从勒索软件运营商那里购买解密密钥，只能解决受害者的两个问题之一。与大多数勒索软件团伙一样，LockBit遵循双重勒索模式，不仅要求支付解密密钥的赏金，还要求承诺不向第三方出售机密数据或将其发布在互联网上。虽然归还密钥可能让受害者恢复他们的数据，但这并不能阻止LockBit出售或传播数据。
“当公司被勒索并选择付费以防止数据泄露时，你付钱是为了防止数据现在泄露，而不是将来泄露，”沃恩德兰说。“即使你从犯罪分子手中拿回了数据，你也应该假设它有一天可能会被泄露，或者有一天你可能会再次因同样的数据被勒索。”
理所当然的是，获得执法部门收回的7000个密钥之一的受害者面临着同样的威胁，即他们的数据有可能遭到泄露，除非他们付钱。
打击勒索软件的斗争同样取得了有限的胜利，遏制LockBit活动的努力也不例外。2022年，当局逮捕了一名名为米哈伊尔·瓦西里耶夫（Mikhail Vasiliev）的LockBit相关人员，并于3月判处他四年监禁。上个月，当局将LockBit的幕后黑手列为31岁的俄罗斯国民尤里耶维奇·霍罗舍夫（Yuryevich Khoroshev）。
尽管采取了这些行动，并在2月份查封了关键的LockBit基础设施，但基于LockBit的恶意软件仍在继续传播。研究人员还观察到该组织发起了新的LockBit攻击并发布了新的加密程序。自执法行动以来，LockBit同伙还发布了之前和之后从受害者那里窃取的大量数据。
美国国务院悬赏1千万美元征集能够逮捕或定罪LockBit领导人的信息，并悬赏500万美元征集该团伙的附属人员。
LockBit在Telegram建立了两个VIP频道 6月12日，LockBit在其公开频道里宣布了两个VIP频道：“数据库VIP频道”（VIP CHANNEL DATABASE）、“LOCKBIT VIP频道”（LOCKBIT VIP CHANNELS）。
其中，“数据库VIP频道”用于分享数据库，加入的价格从250美元/3个月至500美元终身不等；而“LOCKBIT VIP频道”是私人专属频道，除了分享数据库外，还更新所有黑客信息以及2024年不支付赎金的各个公司的信息，加入的价格从350美元/3个月至1000美元终身不等。
并且其称，VIP频道分享的所有的数据都是私人的，从未公开过的。
不明人员正通过Tox对LockBit发动添加好友DDoS攻击 威胁情报团队vxunderground在X上表示，Lockbit 勒索软件组织今天发布消息称，有人正在通过Tox上的好友请求进行拒绝服务攻击。
据称他们已经收到了20万次添加好友请求。
“暗网下/AWX”曾介绍，Tox是一个免费的点对点即时消息传递和视频电话网络协议，基于Tox协议的客户端软件有许多，详情请参考本站（anwangxia.com）之前的文章。去年5月份，爆出基于Tox协议的聊天软件qTox存在远程代码执行漏洞。
就在北京时间今天上午，第三版BreachForums再次遭受了巨大打击，明网与暗网网站无法访问，管理员ShinyHunters的Telegram账户被删除，BreachForums的新频道与Jacuzzi 2.0的聊天群组同样被删除。
vx-underground发布推文称，ShinyHunters，负责管理Breached的小组（个人？）Breached 在明网和暗网上都已下线。此外，Shiny的Telegram和Telegram频道已被删除。人们猜测他们已经被捕。
vx-underground戏称，我们唯一可以确定的是，今天是星期天。我们不喜欢周日发生事情。（美国时间，现在为周日）
DarkWebInformer总结了BreachForums的最后一小时：
Clearnet 和 Tor 网站瘫痪 Shiny 的 Telegram 帐户被删除 BreachForums 公告 Telegram 频道变为空白 Jacuzzi 2.0 Telegram 聊天被删除。 经”暗网下/AWX“测试，BreachForums的明网网站（breachforums.st）目前提示502错误：
502 – Bad Gateway . That’s an error.
Looks like we have got an invalid response from the upstream server. That’s all we know.
访问BreachForums暗网网站（breached26tezcofqla4adzyn22notfqwcac7gpbrleg4usehljwkgqd.onion）提示“Onionsite Not Found”：
Onionsite Not Found
Details: 0xF0 — The requested onion service descriptor can’t be found on the hashring and therefore the service is not reachable by the client.
“道高一尺魔高一丈”，这是一个令网络犯罪群体振奋的故事，也是让世界最顶级执法机构尴尬的故事。
正如“暗网下/AWX”前期报道的，网络犯罪分子正计划全面恢复BreachForums网站。在美国联邦调查局（FBI）查封BreachForums基础设施并逮捕两名管理员仅两周后，暗网上最大的数据泄露论坛BreachForums再次重返明网和暗网。尽管FBI做出了十足的努力，但第二版BreachForums管理员之一ShinyHunters还是重新获得了明网域名，并开启了新的暗网域名。
针对BreachForums的执法行动于2024年5月15日开始，本站（anwangxia.com）做了及时详尽的报道，当时FBI在国际执法协调努力下查封了属于BreachForums网站的基础设施，包括所有域名。同时据称，FBI在此执法过程中逮捕了两名管理员。然而没过几天，BreachForums的主要管理员ShinyHunters（同时也是黑客）通过联系位于中国香港的域名注册商NiceNIC，在FBI眼皮底下成功夺回被扣押的明网域名“breachforums.st”，.st为圣多美和普林西比国家及地区顶级域（ccTLD）的域名。
ShinyHunters如何夺回明网域名 由于FBI已经掌握BreachForums的暗网域名私钥，之前的暗网域名处于与FBI的争夺战中，已经无法正常使用。因此该论坛已经为暗网采用了一个新域名（breached26tezcofqla4adzyn22notfqwcac7gpbrleg4usehljwkgqd.onion），同时也已使用原始明网域名（breachforums.st）重新上线。其他BreachForums相关的明网域名，包括escrow.breachforums.st、breached.in和另外两个停放域名，也已从FBI的扣押中收回。
ShinyHunters分享了一封电子邮件，声称这是联邦调查局网络部门的一名计算机科学家与域名注册商NiceNIC之间的正式对话。这封电子邮件提供了有关明网域名争夺事件的深入背景，并解释了ShinyHunters如何重新获得对被扣押域名的访问权限。
根据这封电子邮件，FBI的网络部门于2024年5月15日对BreachForums进行了一次行动，扣押了多个域名，包括在NiceNIC注册的域名breachforums.st。这些域名是通过法院下达的搜查令合法扣押的。
然而，在扣押几个小时后，breachforums.st域名被归还给原所有者ShinyHunters，而FBI的NiceNIC账户（注册为“bf_fbi”）被暂停。
随后，FBI要求NiceNIC重新激活其账户并归还被扣押的域名，理由是NiceNIC的服务条款禁止宣传网络犯罪。FBI敦促，如果无法归还域名，则应该将该域名解析的服务器更改为FBI拥有的服务器，或者应该暂停解析这些域名以防止进一步的伤害。
目前无法得知NiceNIC对FBI的回应。然而，该域名以原始形式归还给ShinyHunters的事实表明该公司没有遵循FBI的要求。
ShinyHunters在TG频道宣布了新的消息 5月28日，ShinyHunters先是在其Telegram频道发布了breachforums.st域名，Telegram的预览已经显示了该网站的介绍，证明该明网域名已经可以访问了，该域名赢得了很多红心点赞。
接着，15个小时后，ShinyHunters又发布新的公告“Registrations now open”，至此BreachForums完全恢复了被FBI查封前的状态，也恢复了往日的繁华。
电子邮件对话 FBI发给域名注册商NiceNIC的邮件：
我是联邦调查局网络部的计算机科学家，也是联邦调查局域名业务的主要联系人之一。本周早些时候，即2024年5月15日，联邦调查局针对非法论坛和市场“BreachForums”采取了行动。
一些公共网络安全机构注意到了这些行动，并发布了关于域名查封和随后的扣押页面的文章。在行动当天早上，FBI查封了与BreachForums相关的几个域名，包括由NiceNic托管的breachforums.st和其他域名。我们通过向位于美国的账户所有者送达法院命令的扣押令，合法地扣押了这些域名。
我们从该账户中查封的所有网站都用于窃取、出售和共享从世界各地受害者那里窃取的数据。最终，我们努力关闭BreachForums是为了防止该网站对全球无数受害者造成进一步的伤害。
然而，在域名被扣押几小时后，大约在太平洋标准时间5月15日晚上9点，我们注意到，breachforums.st域名已从我们的监管中释放出来，并归还给最初的威胁行为者。我们还注意到，我们无法登录FBI在NiceNic的官方账户，该账户使用电子邮件[email protected]（用户名：bf_fbi）注册，这让我们相信该账户已被暂停。
因此，除了将合法查获的域名归还给FBI的NiceNic账户之外，我还想提供一些有关情况的补充信息，希望能推翻账户被暂停的决定。
此外，在您的域名注册服务条款中，您提到所提供的服务不会用于“促进黑客攻击、破解或其他网络犯罪或活动”，但这些都是BreachForums中常见的活动。
如果无法将域名归还给FBI，我们将根据您的服务条款请求将域名解析的服务器更改为FBI拥有的域名服务器，或通过客户保留（clientHold）以防止其造成进一步损害。目前持有这些域名的NiceNic帐户“vincenzotroia”无视并违反了贵公司的服务协议，继续托管这些域名。
我期待着您的回复–如果您能就这一情况提供任何帮助或指导，我们将不胜感激。
敬上，
S***
FBI的尴尬局面 至此，“暗网下/AWX”认为，联邦调查局的局面略显尴尬。尽管他们努力查封了BreachForums的域名并摧毁其基础设施，但该论坛能够迅速恢复其原始的明网域名。这一事实凸显了几个问题，包括国际执法、运营困难、跨国基础设施、安全漏洞、公众看法以及法律和程序问题。
这也解释了为什么尽管事情已经过去了两周，以至于网站已经恢复，联邦调查局或司法部仍未发布详细扣押情况说明的新闻稿。尽管如此，目前而言，这种情况对网络犯罪分子来说是双赢的，既没有损失，也赚足了眼球。不过联邦调查局和其他参与该行动的执法机构下一步将如何采取行动，也将至关重要。
不过，这也间接证明了新的BreachForums并非FBI的蜜罐，而SecretForums大概就是哗众取宠地蹭热度罢了。
更多暗网新闻动态，请关注“暗网下/AWX”。
最近，BreachForums的竞争对手、另一个数据泄露论坛SecretForums的管理员Astounding在其Telegram连续发布多个公告，质疑第三版BreachForums是否是FBI的蜜罐。
名不见经传的SecretForums是个什么网站 SecretForums也是一个数据泄露论坛，在暗网与明网均可以访问，与BreachForums系列不同的是，SecretForums使用开源CMS程序XenForo搭建，而BreachForums系列一直使用的是开源CMS程序PHPBB。
根据SecretForums网站上的数据统计，该论坛拥有4000多用户，1000多主题帖，因此该网站具备一定的用户底数与访问量。在第二版BreachForums被FBI摧毁后，SecretForums宣布将给予前BreachForums会员与他们在网站上类似的排名。
SecretForums的明网域名是：
https://secretforums.net
SecretForums的暗网域名是：
http://secretsmt222qvdg6rcmgvx4dqqc2673yzyxjrrnabwklnn6qddyv5ad.onion
Astounding是Secretforums的管理员和Blackforums前所有者。本站（anwangxia.com）发现，Astounding连续三次在SecretForums的Telegram频道发布声明，质疑Baphomet以及新成立的BreachForums。当然，由于是竞争关系，也许是趁机打压BreachForums。但是在暗网下，一切皆有可能。
Astounding首次质疑被捕的BreachForums管理员Baphomet 5月17日，SecretForums在其Telegram频道发布公告”关于 Baphomet 和 BreachForums 的官方声明“，质疑Baphomet是FBI的线人，称Baphomet之前表达了协助管理Blackforums基础设施的强烈兴趣，还表示BreachForums存在安全问题。具体声明如下：
为什么我相信Baphomet是线人
大约五个月前，Baphomet 表达了协助管理 Blackforums 基础设施的强烈兴趣。 他多次请求建立堡垒服务器来帮助解析日志并解决安全问题。 但是，我从未授予任何人访问权限，也没有创建堡垒服务器。 我坚信我应该是唯一有权访问基础设施的人。 这项政策全年有效，我管理该网站一个月了。
需要澄清的是，其他管理员（包括 Lemonade、Eom 和 Lucy）都不拥有对Blackforums基础设施的完全访问权限。 我是负责其管理和安全的唯一个人。
当我在 Jacuzzi 2.0 中表达这一立场时，我收到了前论坛运营者ShinyHunters 的禁令。 这种反应增强了我对我的陈述的真实性的信心。
Breachforum 的安全问题
新的 Breachforum 存在切实的安全问题，该论坛将由 ShinyHunters 拥有，并根据旧备份构建。 Baphomet 作为该网站的开发者，对旧备份的使用提出了进一步的担忧。
如前所述，Baphomet 请求访问解析日志。 然而，值得注意的是，我们在任何情况下都不会保存我们网站的日志。 我们仅记录网站功能所需的关键信息，例如电子邮件地址、用户名和密码哈希值。 IP 仅从我们的反向代理记录，因为我们没有启用 X-Forwarded-For。
确保安全并记住保持您的运营安全达到标准以避免法律纠纷。
~Secretforums 管理员和 Blackforums 前所有者
Astounding在Telegram发布怀疑Baphomet的证据截图 5月23日，Astounding在Telegram频道发布了一些证明baphomet想要帮助维护服务器的聊天截图。
截图看出，2023年12月29日，Astounding说baphomet帮他修改了nginx配置，但并没有更改；2024年1月14日，baphomet要求Astounding创建一个堡垒服务器。
Astounding第三次发布与BreachForums相关声明 5月25日，Astounding在Telegram频道第三次发布了与BreachForums相关声明。称这是其第三次更新BreachForums声明，因为Aegis（”暗网下/AWX“注：BreachForums的另一位管理员）说其已经绝望了。
Astounding在声明中表示，管理员“ShinyHunters”从2024年5月8日的备份中发布了BreachForums的新版本。管理员不仅使用了旧的备份，还禁用了注册。如果大家回顾一下历史，2022年RaidForums还在的时候，FBI也做了同样的事情。他们禁用了注册功能，将网站变成了一个蜜罐。
目前尚未证实BreachForums是一个蜜罐，但Astounding称，必须让大家知道要格外小心，尤其是现在。他给BreachForums管理员“ShinyHunters”发了信息，但“ShinyHunters”不想对此发表评论。而另一位管理员“Aegis”则声称他绝望了。
Astounding还称，第三版BreachForums的暗网网站似乎非常死气沉沉，在过去60分钟内只有50位用户活跃。
第三版Breachforums的故事、SecretForums的故事、FBI蜜罐的故事，“暗网下/AWX”将长期保持高度关注。
更多暗网新闻动态，请关注“暗网下/AWX”。
臭名昭著的网络犯罪中心BreachForums在被联邦调查局查封后，可能会以相同的域名重新上线。黑客声称已经重新获得了明网域名的访问权，而暗网版本仍处于拉锯战中。
“暗网下/AWX”昨天根据媒体报道，第二版BreachForums的两名管理员Shinyhunter和Baphomet已经被FBI逮捕。但是经过多个消息源确认，Baphomet是第一版BreachForums的管理员，也是第二版BreachForums的创建者，确已被FBI逮捕，但是Shinyhunter是个黑客团伙，应还逍遥法外。
黑客组织ShinyHunters——BreachForums的主要管理员表示，他们已经于2024年5月16日重新获得了对BreachForums论坛明网域名BreachForums.st和暗网域名的访问权限。这还包括托管域名和一个停放域名 Breached.in。
BreachForums管理员ShinyHunters声称已从FBI手中收回域名 ShinyHunters透露，BreachForums管理员Baphomet已被执法部门逮捕。 因此，当局获得了BreachForums整个基础设施（包括后台）的登录凭据的访问权限。
然而，上周五，ShinyHunters联系了BreachForums的域名注册商并成功重新获得了访问权限。 因此，目前BreachForums明网域名的查封通知已被删除，并替换为“网站暂时不可用”消息，并且提供了其新创建的Telegram群组的链接。
BreachForums是一个因网络犯罪、黑客攻击、数据泄露和泄密而臭名昭著的平台，就在前一天，BreachForums被联邦调查局扣押，基础设施被摧毁。2024年5月15日，所有与新版BreachForums相关的域名均显示了FBI的扣押通知。
这些网站上的通知显示，联邦调查局（FBI）、司法部（DoJ）以及来自新西兰、澳大利亚、英国、瑞士、乌克兰和冰岛的国际合作伙伴参与了此次行动。虽然这一行动被广泛流传，但各国执法机构尚未正式证实这一行动（暂未发布官方公告）。
此外，ShinyHunters声称自己与当局均拥有暗网域名的私钥，双方都可以通过该私钥创建暗网网站，因此本站（anwangxia.com）认为，预计双方之间会发生拉锯战，除非某一方彻底放弃使用。
BreachForums已经关闭，新论坛即将上线 网络犯罪的循环往复有增无减。 当局捣毁了一个论坛，但几天之内又出现了另一个论坛。 这种趋势在BreachForums的案例中表现得很明显。 BreachForums的一名成员和臭名昭著的威胁行为者USDoD已宣布计划以相同的主题和形式复活该论坛，但使用不同的名称。
USDoD称，新论坛将被称为BreachNation，而不是BreachForums。 这反映了RaidForums的倒闭和BreachForums随后出现的模式。 然而值得注意的是，前BreachForums管理员Pompompurin沿着这一模式并没有好下场，他在纽约被捕并被判处20年监管释放。
总部位于纽约的自动化 SaaS 安全服务提供商 DoControl 的联合创始人兼首席风险官 Omri Weinberg 对此评论道：“尽管FBI成功查封了BreachForums，但它的迅速重新出现并不令人意外，因为它以前就曾重现过，这反映了执法部门在数字时代面临的持续挑战。“
Omri警告说：“虽然执法部门可以暂时瓦解这些非法活动，但网络犯罪分子针对基础设施和经济利益的动机依然强劲，而BreachForums的重新出现意味着之前被泄露的数据可能再次面临暴露的风险。”
他还建议，“组织必须积极主动地监控和保护其数字资产，确保他们有适当的流程来评估暴露数据的重要性并做出适当的反应。”
BreachForums管理员Baphomet被逮捕的思考 “暗网下/AWX”分析，BreachForums的访问可以通过明网域名（BreachForums.st）以及暗网域名（breachedu76kdyavc6szj6ppbplfqoz3pgrk3zw57my4vybgblpfeayd.onion），然后在后端有一台服务器（或云服务器，或虚拟专用服务器），暗网域名无法追踪，FBI显然是通过明网域名或者后端服务器开展追踪。
针对明网域名，FBI可以向域名注册商调取域名注册信息。域名注册商可以提供域名注册者的邮箱、登录访问使用的IP地址以及支付方式。
BreachForums使用了Cloudflare的CDN服务（应是免费套餐），因此FBI可以通过Cloudflare调取注册邮箱、登录使用的IP地址以及后端的服务器真实IP。
针对服务器，FBI在通过Cloudflare调取真实IP后，可以通过司法合作向IP所在国家的服务器注册商调取购买或租赁信息，也可以获取使用者的邮箱、登录访问使用的IP地址以及支付方式。
邮箱与IP地址均可以隐藏，但不一定能做到有效隐藏，而且FBI也有追踪的方法与渠道。支付方式可以锁定到个人，哪怕是加密货币支付，通过链上追踪加密货币的来源，也可以对使用者进行锁定，除非是门罗币。
因此，逮捕Pompompurin、Baphomet之类的管理员只是迟早的事情，除非ShinyHunters成员位于俄罗斯、伊朗、朝鲜、古巴等美国无法管辖的地域，否则也将会被抓获。
“暗网下/AWX”认为，这还是应了中国那句古话：莫伸手，伸手必被捉。
BreachForums竞争者HydraForums曾经曝光了Baphomet的信息 ; BreachForums Administrators ;
`————————————————————————————————————————————‘
; ShinyHunters: ;
; RANK – Administrator ;
; EMAIL – [email protected] ;
; HASH – $argon2i$v=19$m=65536,t=4,p=1$VEUxbDEvMFVvRUJZQ25YQQ$ioLGikaXMY2NE6eykJyCWBFBQ2pR/2HxK+Ff1jbsJ40 ;
; IP – 192.42.116.196 (tor exit node) ;
“暗网下/AWX”快讯，就在今天凌晨，美国联邦调查局（FBI）查封了臭名昭著的暗网数据泄露论坛BreachForums，该黑客论坛长期以来一直向其他网络犯罪分子泄露和出售被盗企业数据。
本站前期报道，就在出事前几天，BreachForums论坛上还发布了出售被窃取的4900万戴尔客户数据以及GPS跟踪解决方案提供商Frotcom的内部敏感数据的广告帖子。
昨天晚上，经本站（anwangxia.com）测试，BreachForums可以正常访问，今早“暗网下”再次访问BreachForums，已经提示被FBI等国际执法机构查封的扣押信息。
根据该网站现在显示的扣押消息，联邦调查局已控制该网站和后端数据，并正在审查（review）其后端数据，同时，访问BreachForums的暗网域名，显示同样的扣押信息，这表明执法部门已经完全控制了该网站的服务器和域名。
扣押信息中写道：“在国际合作伙伴的协助下，联邦调查局和司法部已关闭该网站。”
扣押横幅的图片上继续写道：“我们正在审查该网站的后端数据。如果您有关于BreachForums上的网络犯罪活动的信息，请与我们联系。”
扣押信息还显示了该网站管理员Baphomet和ShinyHunters的两张论坛个人头像图片，头像上面覆盖着监狱栏杆。“暗网下/AWX”认为，这可能表明这两位管理员大概率已经被执法部门抓获。
如果执法部门如他们所说的那样获得了黑客论坛的后台数据，那么他们就会拥有电子邮件地址、IP地址和论坛私信，这些信息可能会暴露论坛成员的真实身份，并被用于执法调查。
FBI还查封了该网站的Telegram频道和Baphomet拥有的其他频道和群组，执法部门在Telegram群组与频道中发送消息称群组与频道均已在他们的控制之下。
并且，执法部门在查封的Telegram频道上发布的一些公告消息直接来自Baphomet个人的Telegram帐户，这更加证明了Baphomet已经被捕，他的电脑及手机等设备现已掌握在执法部门手中。
This Telegram chat is under the control of the FBI. The BreachForums website has been taken down by the FBI and DOJ with assistance from international partners. We are reviewing the site’s backend data. If you have information to report about cyber criminal activity on BreachForums, please contact us: t.me/fbi_breachforums [email protected]
HydraForums鄙视BreachForums，称自己能确保用户的安全 “暗网下/AWX”一直在关注另一个数据泄露论坛HydraForums。
HydraForums将自己形容为“Hydra Market”，但不是被德国警方跟FBI查封的那个俄罗斯暗网市场，而是一个泄露与交易被盗数据的论坛，一直视BreachForums为竞争对手，但HydraForums始终名不见经传。
遇到BreachForums被查封的好消息，HydraForums说怀疑这个弱智论坛成员的智商，他们要么是孩子，要么都是弱智。
HydraForums发布致BreachedForums会员的通知称，FBI目前正在检查您的IP地址信息、密码、电子邮件地址、Telegram地址。在他们的“Hydra Market”，则会始终确保用户的安全，并将继续这样做！