CrowdStrike联合执法拆除Sality僵尸网络
CrowdStrike联合美国司法部、联邦调查局、国防刑事调查局及保加利亚、匈牙利、罗马尼亚执法部门，拆除活跃自2003年的Sality点对点僵尸网络，并在现场演示中切断逾1.5万台受感染设备与该网的连接。
过去八年其主要载荷为剪贴板劫持工具EggJagger：在用户复制疑似比特币或以太坊地址时替换成攻击者地址，使转账在粘贴发送时改道。公司估计仅此一项至少盗取约1210万卢布、约15万美元；未动用资产在2025年1月峰值约1.47亿卢布、名义约135万美元。操作者被追踪为SALTY SPIDER。
该网无中心服务器，经点对点通信、局域网共享和移动存储扩散，历史上还投放凭据窃取、垃圾邮件、代理和拒绝服务载荷，包括2022年2月25日针对乌克兰网站、2023年针对一家俄罗斯加密交易所的攻击。司法部称其生命周期关联逾1100万个独立IP，峰值曾控制约100万台设备；此次切断的是仍受控的约1.5万台。
8月31日由CrowdStrike对抗行动团队执行点对点沉洞隔离，把受感染节点从原对等列表中剥离。美方查封境内相关域名，欧洲三国处理当地托管设施。Shadowserver负责协同运营商与应急响应团队通知设备所有者。隔离不断开已植入程序，须由用户清理后才真正失效。
拉斯维加斯Day Zero峰会同期展示了切断过程。加州中区联邦检察官办公室发布官方通报。资金规模远小于近年交易所失窃或引流木马案件，但持续时间覆盖两轮牛熊。
市场机制上，受害方是在个人电脑上复制地址转账的自管用户，攻击方靠设备层改写收款人，不触碰链上合约。事件驱动来自执法与安全厂商联合行动，而非市场价格波动。已盗加密多半未花，账面随币价起伏；切断指挥通道后新增盗窃停止，旧钱包仍在链上。受益方是端点安全厂商和能通知感染主机的协调组织，承压方是依赖自管钱包、且不核对粘贴地址的转账习惯。
来源：公开信息
ABAB AI 解读
Sality在2003年以文件感染器起步，比比特币主网更早，后来把僵尸网络当成可更换载荷的出租管道。剪贴板替换成为主业，说明攻击者判断：用户已习惯把长地址当复制粘贴问题，而不是每次核对。CrowdStrike把对手标为SALTY SPIDER，用沉洞而不是抓人结案，延续对点对点僵尸网络的老办法——先让指挥失效，再清主机。加州检察官、FBI、国防调查与三国欧洲警方同场，把一桩小额加密盗窃做成跨境基础设施案件。
资源调动是执法扣域名、厂商改对等列表、Shadowserver通知运营商。没有公开说已冻结那批钱包。动机对CrowdStrike是展示对抗行动能力并服务峰会；对司法部是把俄罗斯归属的长期僵尸网从地图上划掉。战略上，15万美元本金加峰值135万美元，不够构成国家级案件，但23年存续证明无中心结构能熬过多轮打击。
类比对象是GameOver Zeus、Emotet、Qakbot等被沉洞或起诉拆掉的僵尸网，以及近年针对助记词和剪贴板的独立木马。加密犯罪主叙事已转向交易所、跨链桥和授权钓鱼，Sality停在个人电脑这一层，说明旧攻击面并未随硬件钱包普及而消失。行业阶段是执法与厂商把“还活着的史前网络”清库存，而不是追最新零日。
这是监管变化叠加技术替代。替代的是“复制即安全”的支付习惯：地址一旦可被本地程序改写，区块链不可逆就变成单向损失。机制是点对点网信任任何完成握手的节点，防御方用同一协议把对等表换成自己的接收器。监管层提供跨国扣域，技术层提供隔离；两者缺一，23年的网还会继续收剪贴板税。
ABAB News · 认知定律
不可逆结算，放大的是本地失误。
无中心网络活得久，不等于偷得多。
切断指挥权，清不掉已经进门的程序。