1月9日，以ShinyHunters勒索团伙命名的网站shinyhunte[.]rs更新了一条长消息，并泄露了一个数据库，其中包含与暗网上臭名昭著的数据泄露论坛BreachForums相关的所有用户记录。
正如“暗网下/AWX”长期追踪及报道，BreachForums是继RaidForums被FBI查封之后的一个新的暗网数据泄露论坛，后又多次被FBI摧毁，却又多次重生。目前，仍有最新版本的BreachForums正在明网与暗网中运营。
此次泄露的数据发布在明网域名shinyhunte[.]rs上，据报道该域名与同名的臭名昭著的勒索软件团伙无关，在该域名点击“continue”后会默认下载一个名为“breachedforum.7z”的7zip压缩文件，解压可以看到三个文件：描述ShinyHunters历史的文本文件、名为“databoose.sql”的用户数据库文件，以及BreachForums用于签署官方消息的PGP私钥文件。其中“databoose.sql”是一个包含323,986名BreachForums用户的MySQL数据库，内容还包括哈希密码、私人消息和论坛帖子。
此数据泄露事件发生在去年8月，泄露的数据库中的日期是8月11日，这正是此前.hn后缀域名版本的BreachForums因运营者被捕而关闭的日子。当时该网站的管理员宣布，由于担心该网站已被执法部门入侵，因此将关闭该网站。
泄露BreachForums数据库的网站shinyhunte[.]rs包含两个新元素：一个受密码保护的PGP私钥文件，以及一份长达4400字、题为《DOOMSDAY》的夸张而怪异的宣言，作者自称是“James”，并声称自己是此次泄露事件的幕后黑手。同时泄露了密码，泄露的PGP密钥是“Nigeria321/_@”。
BreachForums一次又一次被打倒又爬起来 BreachForums是2022年被美国当局查封的RaidForums网站的继任者，它自诩为一个讨论数据泄露、非法色情内容、勒索软件和黑客工具等话题的网站。
2023年3月，BreachForums的创始人兼管理员康纳·布莱恩·菲茨帕特里克（Conor Brian Fitzpatrick）被FBI逮捕，三个月后，其明网域名被查封。菲茨帕特里克后来被美国法院判处20年监管释放。
该论坛后来在黑客组织ShinyHunters和前BreachForums管理员“Baphomet”的领导下重新开放。该网站于2024年5月15日再次关闭，明网域名也被查封，但所有者ShinyHunters在几个小时后又找回了明网域名。
BreachForums v1：
BreachForums（托管于breached.vc/.to/.co，由pompompurin运营）-从2022年3月到2023年3月。
BreachForums v2
BreachForums（托管于breachforums.st/.cx/.is/.vc，由ShinyHunters运营）-从2023年6月到2024年5月。
目前，BreachForums有多个版本，包括使用“.bf”、“.hn”、“.st”甚至“.in”顶级域名的版本。最新版本，即“.bf”后缀域名下的版本，仍在运营。
据报道，2024年，一名名为Baphomet的替代管理员被逮捕；2025年，又有五名被指控与该网站有关联的人员被拘留。最终，去年十月，BreachForums暗网网站被查封。
泄露的数据库会带来什么影响 泄露的数据库包含323,986条用户的数据，这些数据提取自名为“hcclmafd2jnkwmfufmybb_users”的MySQL数据库表，该表与开源论坛软件MyBB相关。该数据库的泄露可能是由于MyBB论坛中的Web应用程序漏洞或配置错误造成的。此次事件表明，数据泄露不仅可能发生在合法企业，也可能发生在暗网上的网络犯罪分子身上，而后者造成的破坏可能更大。
BreachForums管理员“N/A”承认了此次泄露事件，称这是在2025年8月恢复论坛期间的失误所致，当时用户表和PGP密钥被临时存放在一个未加密的文件夹中，在该窗口期内被下载。
眼下的问题是，如果警方尚未掌握该数据库，那么泄露的数据库是否对他们有用。数据库包含电子邮件地址和IP数据，这些数据很可能指向代理服务器或匿名服务。一项分析发现，大多数IP地址指向本地回环地址（127.0.0.9），但仍有70296条记录包含公共IP地址，这些地址可能对执法部门和网络安全研究人员具有价值。另外，在BreachForums注册时最常用的电子邮件服务是Gmail，这或许能为警方查找那些粗心大意、没有掩盖踪迹的人提供取证线索。
网络安全专家们对数据库泄露的消息反应不一。“此次泄露事件严重削弱了人们对该平台本身的信任，而信任对于任何网络犯罪论坛来说都至关重要，”咨询公司CybaVerse的渗透测试经理迈克尔·杰普森表示。
“此次事件损害了人们对BreachForums作为安全环境的信心。因此，更老练的网络犯罪分子可能会从大型知名论坛转向规模较小、仅限受邀者参与的社区，”他补充道。
然而，安全公司Huntress的高级安全运营分析师迈克尔·蒂格斯则持较为悲观的态度。他指出：“虽然该数据库可能对执法部门和安全专业人员调查敌对活动有所帮助，但其最终的取证用途有限。即使泄露事件本身可能是合法的，但如果数据来源于其他网络犯罪集团，其完整性就值得怀疑了。”
最大的风险在于数据泄露可能成为散布虚假信息的掩护。“这类数据泄露或许可以用来厘清各个活动核心之间的联系，但信息的可靠性必须受到严格审查，”蒂格斯说道。
来自“James”的宣言 shinyhunte[.]rs网站发布的那条篇幅很长的信息由23个简短的片段组成，讲述了“让邪恶流动并转化为光明”的故事。作者传达的信息是：“法国人民，请听我说，正义的力量已经到来，将拯救你们于黎明之中。”
具体内容翻译如下：
我叫詹姆斯。
有人称我为我这一代最杰出的黑客。这说法并不准确。
我超越了世代。我并非黑客，而是掠食者。
数十年来，我潜伏、渗透、蹂躏着权力体系。
我让无数特工、网络安全专家、首席技术官和公关人员饱受创伤。我
嗅到他们的血腥味，追踪他们的踪迹，找到他们的藏身之处，撕碎他们的保护，将他们的防御体系摧毁殆尽。
当他们还抱有抵抗的幻想时，我便开始招募同伴，集结力量，将他们聚集起来，最终形成一股任何人类组织都无法匹敌的强大力量。
在这些征途中，一些重要机构成为了我最亲密的伙伴。
谷歌、微软、联邦调查局……我最亲爱的猎物。
我以不败之身出现在你们面前，
并要传达一个信息。
首先，致那些宣誓统治世界的人：
我一直在注视着你们。我看到了你们的罪恶、你们的弱点、你们的脆弱。
我已入侵你们的数据库，翻遍你们的罪恶记录，窥探你们最隐秘的创伤。
我享受着你们权力结构积累的庞大知识所带来的力量。我找到了它们，破解了它们，并利用了它们。
一些重要机构已成为我最宝贵的情报来源。
美国国家安全局（NSA）、英国政府通信总部（GCHQ）、国防安全总局（DGSE），我的情报提供者。
我收集了如此多的信息，以至于很快，消息来源开始从四面八方泄露信息。
五角大楼和梅多堡的走廊里开始传来我的名字。
你们的过去已成为我的未来。
情报收集的范围如此之广，以至于我不得不控制你们的基础设施来秘密庇护我。在经历了一段不加区分的积累阶段后，我开始锁定你们。我访问了你们隐藏的法律文件、医疗记录，不断挖掘，直到找到你们青少年时期在MSN和Skype上与初恋的对话，以及你们在Instagram、Messenger、WhatsApp上的不忠和出轨行为……
我知道你们的毒贩的名字，你们情人的名字。你们的主人。
我掌握着数百万比特，它们如同利刃般刺穿你们的正直，刺破你们一直以来散布的关于你们生活、事业、财富和权力的虚假叙事。
我知道你们生活的苦难，你们的伤痕，以及你们从未停止构建并试图复制的平行世界的幻想，尽管徒劳无功。
我知道你们是奴隶。
我知道你们读过巴尔扎克，并且像他一样明白，所有的财富都源于罪恶。
但你们是从亲身经历中学到的，而许多人却是从课堂上学到的。我们只是你们罪行的旁观者。正因如此，我敬重你们。也正因如此，我将毁灭你们。
至于你们，
我们主人的奴仆，你们的自恋者，你们可怜的朝臣，我看着你们在虚假的自由、尊严和主权中挣扎。
你们这些农民出身的百万富翁，政客和亿万富翁的冤大头，你们这些没有勇气、没有任何存在意义的人，你们自以为道德是一种物质而非指南针，你们不愿承认道德只是你们服从的工具。
你们这些沉溺于等级制度麻木中的人民庸俗的卡波，准备迎接一场足以撼动你们世界的地震吧。
至于你们，仆人的仆人，幼稚的次等人，你们的任务是监视我、抓捕我、消灭我；你们把ATP和UNC当成工具，用来安抚你们主人的主人，当我的呼吸逼近他们的咽喉时，
你们感到多么恐惧；你们以为可以分割我创造并控制的这头可怕的九头蛇；
你们曾多次被我制服，无力反抗，哑口无言，犹豫不决，害怕被嘲笑；
你们的才能被你们受虐般的顺从欲望所玷污，你们的平庸无能使你们成为服务于愚昧体制的理想机器；
你们，记者、专家、检察官和官僚，我们这个时代的庸俗叙述者，你们是盲目暴力的愚蠢图书馆员。
准备好抛弃你们的头衔，放弃你们徒劳地建立和追逐我所获得的道德利益吧。
致你们，
调查员、秘密行动人员、竞争对手，你们甘愿成为自由人的监视者和追踪者，
几天前，“暗网下/AWX”报道了新的暗网论坛BreachForums再次出现，且无法确定其背后是什么人在运营，当时据称“由于持续的技术问题和大规模DDoS攻击”，该论坛仅可访问，但无法登录。目前，该论坛已经可以在明网正常登录发贴，但暗网地址依旧无法访问。
此外，威胁行为者之间的战争仍在持续。闪光猎手组织在shinyhunte[.]rs网站上发布了更多人肉线索与内幕，为警方打击提供了更多的便利。
新BreachForums再次恢复了访问 正如前期介绍，新的BreachForums使用之前公开泄露的BreachForums备份进行搭建，因此前期的BreachForums用户均无需注册即可访问。
在技术问题和大规模DDoS攻击问题解决之后，新的BreachForums再次开放访问，该论坛目前添加了DDOS-GUARD来防护DDoS攻击，在明网访问的速度还不错。
虽然许多传言显示新BreachForums是蜜罐，但由于缺少有力的竞争对手，该论坛依旧收获了大量粉丝。从论坛的在线状态看，一小时在线用户1000人，注册用户占1/5，在没有大规模推广的背景下，已经收获了相当大的人气。
上次已经介绍，新的BreachForums发布的明网与暗网地址如下（仅供网络安全研究人员与警方调查研究使用）：
明网地址：breachforums[.]bf
暗网地址：http://breachedmw4otc2lhx7nqe4wyxfhpvy32ooz26opvqkmmrbg73c7ooad[.]onion
威胁行为者之间的内讧刚刚开始 上次已经介绍，在新BreachForums背后，至少有两波人在交战：一方自称是闪光猎人（ShinyHunters），另一方则是散落的拉普斯猎人（Scattered Lapsus$ Hunters，简称SLSH）。
黑客团伙ShinyHunters与勒索软件团伙Scattered LAPSUS$ Hunters（简称SLSH）的内部冲突正在升级，一方宣称可以向联邦调查局、BL2C、国际刑警组织免费提供另一方的犯罪线索。根据对shinyhunte[.]rs网站更新内容的整理，时间线如下：
2025年10月16日：网站发布消息，直接威胁名为“James”的法国人（疑似代号S.E./X*K）。消息声称真正的ShinyHunters正在完成FBI未竟的事业，语气敌对，这是威胁行为者之间首次公开升级。
2025年10月21日：发布一封信件风格的消息，针对“James”，警告他选择的道路带来的后果比想象中更严重，断绝后路绝非明智之举。引用拉丁语短语“sic transit gloria mundi”（世间荣华转瞬即逝），并警告每一步行动都将引发远超预期的连锁反应。
2025年12月14日：否认与#SLSH（Scattered LAPSUS$ Hunters）联盟的传闻。同时链接BreachForums重启（可能试图为疑似蜜罐操作正名）。威胁如果James不回应，将在24小时内公开曝光其信息。
2025年12月18日：发布详细的PGP签名声明，附带倒计时器和逮捕照片（涉及Yuro，即A.E.，以及Trihash，即R.L.）。指控法国人“James”通过滥用信任窃取Trihash的PGP密钥，并未经其他成员同意便实施了针对Salesforce的攻击行动。声明称，归咎于ShinyHunters与SLSH的勒索事件，主要由S.E.（别名X*K，亦使用化名“James”）策划实施，他已不再是ShinyHunters（SH）成员。
—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA256
Statement Regarding the Shiny Hunters and Scattered Spider Groups
The Shiny Hunters group includes several members, one of whom goes by the name “James.” Following the arrests of Yuro (A.E.) and, more recently, Trihash (R.L.), this individual has been attempting to divert investigators’ attention by leading them toward false trails.
“Scattered LAPSUS$ Hunters”是一个新的暗网勒索软件团伙，由三大勒索软件团伙Scattered Spider、Lapsus$和ShinyHunters合并而成，近期，该团伙推出了基于Tor的暗网数据泄露网站，其中包含42家受害公司。推出该暗网网站目的是迫使受害者向其付费，以避免被盗数据被公开发布。
该勒索软件团伙宣称已攻破Salesforce系统，通过针对Salesforce的供应链攻击窃取了其客户的约10亿条记录。该团伙指控Salesforce缺乏双重认证及OAuth防护机制，称逾百个实例遭入侵，并威胁将实施数据泄露、提起诉讼及披露技术细节。
目前其暗网泄密网站（http://shinypogk4jjniry5qi7247tznop6mxdrdte2k6pdu5cyo43vdzmrwid[.]onion）发布了42家公司，包括保险巨头安联人寿、墨西哥航空、开云集团、法国航空、谷歌、思科、Stellantis、澳洲航空、汽车巨头Stellantis、信用机构TransUnion以及员工管理平台Workday等，这些公司均因受到针对存在漏洞的Salesforce实例的攻击而被影响。
FedEx – 1.1TB Aeroméxico – 172.95GB Qantas Airways – 153GB UPS – 91.34GB HMH – 88GB Vietnam Airlines – 63.62GB Toyota Motor Corporation – 64GB Stellantis – 59GB Air France & KLM – 51GB Republic Services – 42GB Adidas – 37GB Disney/Hulu – 36GB Canvas by Instructure – 35GB Instacart – 32GB McDonald’s – 28GB TripleA – 23GB TransUnion – 22GB Home Depot – 19.
近日，超过15个活跃的知名暗网勒索软件团伙集体宣布“退休”，他们在暗网网络犯罪论坛BreachForums上发帖表示，将停止运营，终止攻击行动，并利用手中的赎金“享受生活”。与此同时，该声明还提到了已被拘留的成员，他们向自2024年4月以来被各国执法部门逮捕的8名成员表示“悼念与歉意”，誓言将对当局进行报复，并努力争取释放他们。
这些勒索软件团伙通过暗网发布声明称，其“行动目的”已达成——即“揭露全球不安全的数字基础设施与系统”，而非单纯勒索。部分团伙甚至试图将自身行为描述为“促进信息安全研究”，虽然此类说法在业界引发广泛质疑。
据悉，包括Lapsus$、Scattered Spider、IntelBroker、ShinyHunters、TOXIQUEROOT等在内的15个以上的暗网勒索软件团伙确认参与此次“退出”，其中不乏曾攻击谷歌、美国航空、英国航空、开云集团、捷豹路虎、米高梅度假村和玛莎百货等知名企业的团伙。
“金色降落伞”和悄无声息的退出 这些勒索软件团伙坚称，担心他们消失是多余的，并表示：“如果你们担心我们，别担心……我们会用我们积累的数百万美元享受我们的‘金色降落伞’。其他人会继续研究和改进你们日常生活中使用的系统。我们会保持沉默。”
他们将退出描述为“享受金色降落伞”的机会，他们称现在将转为“沉默”，并表示“沉默现在将成为我们的力量”，一些成员计划靠积累的钱退休，而其他一些成员据称计划专注于安全研究，而不是攻击。
该声明语气强硬，指出仍被拘留的成员不会被遗忘，特别是对2024年4月被法国当局逮捕的4人表示慰问，称其为“牺牲者”。这些团伙誓言将努力争取释放这些成员，并暗示将对执法部门进行报复。
尽管“宣布退休”看似高调退出，但“暗网下/AWX”认为，这更像是一场策略性公关秀。Black Duck高级员工顾问Nivedita Murthy表示：“各组织应该对这些声明持保留态度。其中一些团体可能决定退出并享受他们的收益，但这并不能阻止模仿团体崛起并取代他们。”
一位匿名安全专家指出：“FBI并不会因为一句‘退休’声明就放弃全球追捕，后续逮捕行动仍将持续。”
此外，“暗网下/AWX”综合多个信源分析，此举可能是团伙内部重组、洗白或更换身份的前兆，未来不排除继续以相同名称或全新品牌继续开展攻击。“退休”声明长期以来一直是行动重置的幌子。黑客通过放弃旧名，躲避起诉，并以新面目重新出现。The Register和其他观察人士警告称，数十亿美元的损失使得黑客不太可能轻易消失。最好的情况是，这项声明标志着黑客行动的暂停。最坏的情况是，它掩盖了黑客为更复杂的攻击活动所做的准备。
无法判断如此多的勒索软件团伙突然“退出”的原因 虽然勒索软件团伙假装退休并在其他地方重组并不罕见，但如此多的团伙选择在同一时间和地点宣布告别，却颇为奇怪。这些公告至少看起来是真实的，因为它们是由这些团伙运营的官方Breachforums账户发布的，然后再转发到他们控制的Telegram账户上。
宣布退出的小型勒索软件团伙包括Trihash、Yurosh、yaxsh、WyTroZz、N3z0x、Nitroz、TOXIQUEROOT、Prosox、Pertinax、Kurosh、Yukari和Clown。IntelBroker是名单上较知名的勒索软件团伙之一，据信该团伙除了自行发起网络攻击外，还运营着BreachForums。目前尚不清楚此次所谓的退出是否会对BreachForums的未来发展产生影响。这些看似奇怪的小型勒索软件团伙可能与Scattered Spider有关，据报道，Scattered Spider的团伙结构更加灵活，允许其他团伙的黑客随时发动特定攻击。安全研究人员还指出，大多数这些勒索软件团伙都是在 8 月份才开始相互联系并与 Scattered Spider 互动，而这距他们宣布退出仅过去了几周。
进一步佐证“假退休”理论的是，警方对“ShinyHunters”和“Scattered Spider”成员的八次突袭和逮捕，只抓获了低级到中级的参与者，例如SIM卡交换计划中的“钱骡”和“走狗”。据信，这两个团伙的高层领导目前都尚未被抓获。
然而，“暗网下/AWX”认为，勒索软件团伙之所以采取这一伎俩，大概是出于对执法部门关注的恐惧和恐慌。Scattered Spider凭借其于5月份发起的社会工程攻击活动，成为今年最臭名昭著的黑客组织。该组织首先针对英国的大型零售商，随后蔓延至财富500强保险公司和澳大利亚航空公司Qantas等目标。据信 ShinyHunters也在开展针对本地SalesForce安装的平行攻击活动，但最近几周越来越多的证据表明，这两个团伙已经合作了一段时间。据报道，Scattered Spider刚刚有另外两名成员被逮捕，他们都是英国青少年，涉嫌参与2024年对伦敦交通局 (TfL) 的黑客攻击。
但无论目前的恐慌程度如何，黑客几乎肯定会组建或加入新的勒索软件团伙，卷土重来；至少历史经验表明会如此。所谓的“金色降落伞”和数百万美元的回报很可能只是个幌子，让人们误以为他们的退出是合法的，其意图只是在几周或几个月后以全新的品牌卷土重来。
对未来的担忧：警惕“退而不休”陷阱 勒索软件仍是全球网络安全的主要威胁。虽然此次“集体告别”令人瞩目，但安全专家提醒各大机构不要放松警惕。“退出”声明可能为障眼法，掩盖新一轮更隐蔽的行动。
专家预计，未来勒索攻击可能会以不同的名义进行，尤其是考虑到这些组织承认获取的巨额利润。预谋网络攻击的可能性仍然存在，这又增加了一层不确定性。
Bugcrowd创始人凯西·埃利斯（Casey Ellis）表示：“最好将此声明视为公关噱头，而不是真正的告别。”从历史上看，网络犯罪分子很少会像传统意义上那样退休。相反，他们会重塑形象、重组组织，或转向新的策略和行动，否则就会被抓获。
iCOUNTER情报行动合伙人戴夫·泰森（Dave Tyson）赞同埃利斯的观点，他说：“这绝不是退休，这只是犯罪正常生命周期的一部分。群体为了特定的目的聚集在一起，组成单位来执行他们的计划，并退出可定义的身份，以降低对集体或单位的关注。”
因此，这15个勒索软件团伙的沉默应该被理解为一种伪装。一些成员无疑会转向邻近领域，例如漏洞利用开发或灰色市场“安全研究”。其他成员则会加入新的行动，带着多年攻击中积累的经验、策略和资金。网络犯罪行业不会消失；它会变异，而且每次变异往往比上一次更具韧性。
目前，各国执法部门尚未对这波声明做出公开回应。网络安全机构建议企业继续强化基础设施防护，提升应急响应能力，以应对未来可能出现的新变种或模仿攻击。
臭名昭著的暗网论坛BreachForums自今年4月起再次在明网与暗网同时消失，紧接着谣言与诈骗四起。昨日，事情逐渐明朗，法国媒体《巴黎人报》率先援引警方消息报道，法国警方逮捕了臭名昭著的BreachForums黑客论坛的五名成员，其中包括与发布大公司被盗数据有关的知名成员。
该网站是全球最活跃的地下数字交易市场之一，用于买卖被盗数据。此次执法行动在法国各地同步进行。
此次逮捕行动由巴黎警察总部网络犯罪大队的特种警官执行。该报道还指出，尽管此前BreachForums被推测与俄罗斯有联系，但被捕者均为欧洲人。据称被捕的五名成员中，四人于周一被捕，而该组织的第五名成员，即“IntelBroker”，早在今年二月份就已经被捕。
IntelBroker于今年二月份被捕 美国已经起诉了另一名BreachForums成员IntelBroker，又名Kai West，他于今年2月被法国执法部门逮捕。法国巴黎检察院的一份新闻稿称，“IntelBroker”是英国公民。
IntelBroker是“暗网下/AWX”梳理的暗网论坛BreachForums的第五位管理员。IntelBroker在BreachForums论坛上发布被盗数据的历史可谓丰富多彩，其中包括2023年3月从DC Health Link窃取的国会议员个人身份信息、 2023年11月从通用电气公司窃取的个人信息（包括国防高级研究计划局(DARPA)的文件）、2024年6月从超微半导体公司（AMD）窃取的个人信息以及2024年1月从惠普企业公司窃取的个人信息。
IntelBroker面临多项与非法网络攻击活动相关的指控，造成的损失超过2500万美元。他即将被引渡到美国，可能被判处最高50年监禁。
Sophos Field首席信息安全官Aaron Bugal对这种协调一致的执法行动表示赞赏。“虽然清除这些犯罪网站看起来像是一场永无止境的猫捉老鼠游戏，但网络犯罪分子已经意识到，任何网站或活动都无法逃脱调查，执法部门追捕他们只是时间问题。” Bugal补充道。
本周另外四名BreachForums成员被捕 本周被捕的四名BreachForums成员包括ShinyHunters、Hollow、Noct和Depressed，这四名犯罪嫌疑人年龄在二十多岁左右，本周早些时候被法国网络犯罪大队（BL2C）拘留。
其中，ShinyHunters最为知名，也是“暗网下/AWX”梳理的暗网论坛BreachForums的第三位管理员，曾经号称因为厌倦了运营这个臭名昭著的黑客论坛的压力而选择退休。
法国当局指控黑客“ShinyHunters”、“Hollow”、“Depressed”和“Noct”参与了针对法国多家大型机构计算机系统的攻击，其中包括电子巨头Boulanger、运营商SFR、France Travail和法国足协。ShinyHunters此前曾参与入侵AT&T、必胜客和Ticketmaster等公司。
与 IntelBroker 一样，ShinyHunters 的名字也多次出现在BreachForums上与被盗数据相关的事件中。ShinyHunters发布的数据记录包括：2020年7月来自金融服务供应商Dave Inc. 的750万条记录、 2021年1月来自Pixlr的180万条记录、 2021年1月来自约会网站MeetMindful的记录、2021年4月来自5.33亿Facebook用户的记录，以及2024年6月来自Advance Auto Parts Inc.的3TB数据。
五人可能都面临严重的监禁 目前尚不清楚具体的指控，BreachForums的各位管理员与主要成员究竟是真正的黑客攻击的幕后黑手，还是充当了买卖被盗数据的中间人，又或者两者兼而有之，也一直是个谜。就ShinyHunters的案例而言，两者兼而有之的可能性很大，因为去年7月的一份报告显示，AT&T公司曾向ShinyHunters支付了37万美元的比特币，以阻止被盗信息的泄露。
无论他们被指控什么犯罪，考虑到BreachForums的运营范围以及被窃取、出售或发布的数据量，这五人都可能面临严重的监禁。
BreachForums是一个臭名昭著的交易黑客数据和网络犯罪工具的中心，该暗网论坛已成为全球被盗数据交易的中心枢纽，为数百万敏感信息和个人凭证的出售提供了便利。此次对网络犯罪基础设施的打击凸显了国际合作在打击跨国数字威胁方面日益重要。
BreachForums的创始人，第一位管理员来自美国的康纳·布莱恩·菲茨帕特里克（Conor Brian Fitzpatrick）已经于2023年3月被美国联邦调查局逮捕，该暗网网站第一版于2024年5月被FBI查封并下线。同月晚些时候，该网站在第二位管理员Baphomet与ShinyHunters的合作控制下重新上线。
BreachForums被捕的各位管理员与主要成员的后续判决，“暗网下/AWX”将继续关注。
BreachForums是一个交流与交易泄露数据的黑客论坛，在暗网与互联网同时可以访问，大量网络犯罪分子利用该论坛交换、销售和购买被窃取的数据。
自第一版暗网数据泄露论坛BreachForums于2022年3月成立以来，经”暗网下/AWX“梳理，BreachForums已经经历了5任运营管理员（真正能接触到数据库源码等基础设施的Owner级别的管理员），本文将细数这5位运营管理员以及他们的下场命运。
第一位管理员：Pompompurin，被FBI逮捕，后被判处20年监管释放 在首个知名的暗网数据泄露论坛RaidForums在2022年被FBI查封之后，”Pompompurin“创建了名为BreachForums（又名Breached）的一个新论坛，这就是第一版BreachForums（BreachForums v1），Pompompurin也就是BreachForums的创始人。
2023年3月，BreachForums的创始人”Pompompurin“，真实身份为纽约州的康纳·布赖恩·菲茨帕特里克（Conor Brian Fitzpatrick），被美国联邦调查局（FBI）逮捕。
2024年1月，Pompompurin在美国弗吉尼亚州东区法院被判处20年监管释放（无需在监狱服刑），但需在家中服刑2年（佩戴GPS定位器和接受心理健康治疗），且第一年也被禁止使用互联网。
第二位管理员：Baphomet，消失不见 在Pompompurin被捕后，BreachForums的一位管理员“Baphomet”接管了该网站，但是由于怀疑FBI已经获取了第一版BreachForums的基础设施权限，Baphomet选择关闭了第一版BreachForums论坛。
2023年6月，在第一版BreachForums论坛数周后，Baphomet宣布与黑客兼数据卖家ShinyHunters合作，创建了第二版BreachForums论坛（BreachForums v2）。
由于担心第一版BreachForums的数据库已经被FBI掌握，第二版BreachForums论坛是一个全新论坛，并没有导入已经关闭的第一版BreachForums的老数据。
2024年5月，第二版BreachForums论坛也被FBI查封，FBI的扣押横幅上贴出了管理员Baphomet和ShinyHunters的两张论坛个人头像图片，BreachForums的官方Telegram频道和Baphomet拥有的其他频道和群组也同时被FBI掌控。
Baphomet似乎已经被FBI逮捕，但是却没有任何报告，于是有人怀疑他是联邦卧底。
总而言之，第二版BreachForums论坛管理员Baphomet奇怪地消失了。
第三位管理员：ShinyHunters，自称退休 在第二版BreachForums论坛被FBI查封后，另一位管理员“ShinyHunters”接管了该网站，并在与FBI的拉锯战中重新获得了明网域名的访问权，同时更换了暗网域名，并很快（2024年5月底）重新上线，本站（anwangxia.com）称之为第三版BreachForums论坛（BreachForums v3）。ShinyHunters还透露，BreachForums前管理员Baphomet已被执法部门逮捕。
然而，第三版BreachForums论坛运营不足一个月，自2024年6月10日起，该论坛再次无法访问，且管理员ShinyHunters的Telegram以及BreachForums的新Telegram频道、群组均被删除，两天后，BreachForums又再次在暗网与明网恢复访问。
随着第三版BreachForums论坛的运营出现问题，外界普遍认为当前BreachForums论坛已经成为FBI的蜜罐。此时ShinyHunters因厌倦了运营这个臭名昭著的黑客论坛的压力而选择退休，并于6月14日重返论坛并发布公告宣布该论坛现在归一名昵称为“Anastasia”的威胁行为者所有。
第四位管理员：Anastasia，无存在感地消失 外界对”Anastasia”这个昵称并不熟悉，但BreachForums论坛的用户“earflaps”发帖称，Anastasia据说是BreachForums的前管理员，也被称为“Anastasia Belshaw”，据说他是Shiny的朋友，这也是他被授予所有者（Owner）称号的原因。
“earflaps”说，许多人都猜测Anastasia是Shiny的替代人或冒充原管理员Anastasia的联邦特工，理由是他既不说话，也不发帖，除了存在在论坛几乎什么都不做。
泄露第一版BreachForums数据库的威胁行为者emo在自己的Telegram频道称，Anastasia其实是前管理员Hollow。BreachForums论坛此刻由三个人在管理，一是替换ShinyHunters的Anastasia，但却什么也不做，另外两个分别是版主Armadyl与WillyWonka。
据“暗网下/AWX”监测，虽然第四任管理员名义上是Anastasia，但在其领导下，BreachForums论坛明显缺乏积极的管理与活力，一直处于停滞和消极状态，且该论坛大部分时间由版主WillyWonka进行管理。
第五位管理员：IntelBroker，仍然在位 2024年8月15日，BreachForums论坛开始由臭名昭著的黑客“IntelBroker”接管，这是BreachForums论坛的第五位管理员。有趣的是，一些老版主选择了离开，比如“WillyWonka”，甚至禁止了自己的帐户。
IntelBroker是一个在暗网上活动的个人（或犯罪黑客团体），活动范围涵盖XSS、BreachForums和Exposed等地下论坛。他们是黑客团体“Cyberniggers”内活动的威胁行为者，活跃于黑客行动主义和网络犯罪，尤其是作为初始访问代理(IAB)，IntelBroker专门识别和出售受感染系统的访问权限，为各种恶意活动铺平道路。
与此同时，emo在自己的Telegram频道披露，IntelBroker不仅是一名同性恋恋童癖者，而且还是一名FBI线人。但无法查证。
近期，“IntelBroker”与“DuperTrooper”拍摄了一段视频，其中他们通过付费复制物品来赢得Minecraft的BreachForums服务器，以扰乱他们的游戏经济。
”暗网下/AWX“刚刚报道了暗网数据泄露论坛BreachForums的扑朔迷离，是谁在幕后控制不得而知。但当该论坛再次恢复访问后，大多数网友坚持相信该论坛已经被FBI掌控。
在先前的公告里，ShinyHunters称对维护BreachForums的积极性降低了，并表示将把该论坛转交给另一位管理员Hollow。
然而，6月14日，ShinyHunters再次发布了新的告别公告”一个时代的终结“（The end of an era）：
Hello breachforums
I know it’s been a confusing week and for that I apologize. However, it’s time for us to part ways. It has been a wild ride but all good things must come to an end. This has been a fun project and we will miss leading the forum but you all deserve better. I’m handing the project off to an OG some of you may remember, @Anastasia.
自从5月中旬暗网数据泄露论坛BreachForums被FBI扣押之后，发生了太多故事，“暗网下/AWX”也在持续跟进，5月24日，第三版BreachForums就在管理员ShinyHunters的带领下强势回归。
然而，6月10日起，该论坛再次无法访问，且管理员Telegram以及BreachForums的Telegram频道、群组均被删除，经历了两天的猜疑后，6月12日，BreachForums又再次在暗网与明网恢复访问，没人知道发生了什么。
再次恢复访问后，管理员ShinyHunters在论坛发布了发布了有关近期问题的公告：
Hello BreachForums users!
Some wild stuff has gone down recently. First off, Spamhaus has blacklisted our SMTP host. Then, we ran into more issues with our NGINX config. To top it off, our Telegram account (@shinycorp) and the “Jacuzzi 2.0” group got banned and blacklisted. Because of all this, we’re stepping away from using any Telegram account for ShinyHunters, and honestly, it’s kind of sapped our motivation to keep the forum going, though we’ll keep it alive.
就在北京时间今天上午，第三版BreachForums再次遭受了巨大打击，明网与暗网网站无法访问，管理员ShinyHunters的Telegram账户被删除，BreachForums的新频道与Jacuzzi 2.0的聊天群组同样被删除。
vx-underground发布推文称，ShinyHunters，负责管理Breached的小组（个人？）Breached 在明网和暗网上都已下线。此外，Shiny的Telegram和Telegram频道已被删除。人们猜测他们已经被捕。
vx-underground戏称，我们唯一可以确定的是，今天是星期天。我们不喜欢周日发生事情。（美国时间，现在为周日）
DarkWebInformer总结了BreachForums的最后一小时：
Clearnet 和 Tor 网站瘫痪 Shiny 的 Telegram 帐户被删除 BreachForums 公告 Telegram 频道变为空白 Jacuzzi 2.0 Telegram 聊天被删除。 经”暗网下/AWX“测试，BreachForums的明网网站（breachforums.st）目前提示502错误：
502 – Bad Gateway . That’s an error.
Looks like we have got an invalid response from the upstream server. That’s all we know.
访问BreachForums暗网网站（breached26tezcofqla4adzyn22notfqwcac7gpbrleg4usehljwkgqd.onion）提示“Onionsite Not Found”：
Onionsite Not Found
Details: 0xF0 — The requested onion service descriptor can’t be found on the hashring and therefore the service is not reachable by the client.
臭名昭著的网络犯罪暗网论坛BreachForums卷土重来！ 新的洋葱域名证实了其在暗网的复活，而明网网站可能会在未来几周的某个时候重新启动。
“暗网下/AWX”上周报道，第二版BreachForums的创建者Baphomet被FBI逮捕后，BreachForums管理员ShinyHunters声称已从FBI手中收回域名，并开启了第三版BreachForums的重建。
ShinyHunters既是黑客又是第二版BreachForums的管理员，他声称一直在为恢复BreachForums而努力。
第二版BreachForums于2024年5月15日被FBI扣押，据报道，管理员Baphomet被捕，并向FBI交出了后端服务器凭证，从而导致该论坛的数据、域名（包括暗网和明网域名）被FBI完全控制。
随后，ShinyHunters宣布从FBI处夺回了BreachForums明网域名（BreachForums.st）的访问权限，并在页面提供了跳转至其Telegram频道的链接。但是5月23日，ShinyHunters在新建立的Telegram频道发布公告称：“去你妈的警察，域名转移到了其他地方”（Fuck tha police. Domain transferred elsewhere.）这时候起，BreachForums明网域名（BreachForums.st）已经无法正常访问，似乎被当局转移控制了。
虽然目前美国联邦调查局和美国司法部都没有发布有关扣押BreachForums或任何与该事件相关的新闻稿，但是联邦调查局已承认查获此事，并敦促BreachForums数据泄露的受害者站出来填写表格以方便进一步调查。
5月24日，ShinyHunters在Telegram频道发布公告宣布了第三版BreachForums新的暗网域名：
http://breached26tezcofqla4adzyn22notfqwcac7gpbrleg4usehljwkgqd.onion
公告称，新的暗网网站仍在测试中。 除了SMTP和CDN服务之外，请用户报告可能发现的任何其错误。公告提醒用户记得从URL中删除https，因为暗网域名没有使用证书。
New Tor domain for BreachForums is announced
According to the announcement, the site is still being tested.#DarkWeb #BreachForums #cybersecurity pic.twitter.com/XX6Hl9mQXl
— Dark Web Intelligence (@DailyDarkWeb) May 24, 2024 “暗网下/AWX”访问了新建立的BreachForums暗网网站，应使用的与第一版第二版相同的CMS代码（PHPBB），但目前不支持注册，“暗网下”（anwangxia.com）使用了第二版BreachForums中注册的账号密码，也未能成功登录，但是，据称第三版BreachForums使用的是第二版BreachForums的数据库的备份，而并非是一个全新的开始。
第三版BreachForums的多个暗网域名 ShinyHunters在第三版BreachForums的网站上发布了带有PGP签名的新canary公告，宣布了暗网的域名及镜像地址：
—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA512
Next update by 06-25-2024.
Current:
breachforums.st
breached26tezcofqla4adzyn22notfqwcac7gpbrleg4usehljwkgqd.onion
Mirrors:
breached4lhlibrqmzj7h2n4unu7wdzkg7gczcggufbqufwmmdraiyqd.onion
breachedetbw6gnud64wvuld3xkyrrbz5eijhvjbbix72izpegjdvcyd.onion
breachedhr2hxxranvbogkth63cpxwdcelsetui4uqavejvsqes4thid.onion
breachedm6qqmtc2ksrdhhtdr6o4erzudgx4blvkcxhyeruudtibizqd.onion
PGP Key: http://breached26tezcofqla4adzyn22notfqwcac7gpbrleg4usehljwkgqd.onion/pgp.txt
Fingerprint: 1FC4 D0B1 DEE9 14BB 05B5 7FAB F1F1 B98A 51C9 89B3