CrowdStrike聯合執法拆除Sality殭屍網絡
CrowdStrike聯合美國司法部、聯邦調查局、國防刑事調查局及保加利亞、匈牙利、羅馬尼亞執法部門，拆除活躍自2003年的Sality點對點殭屍網絡，並在現場演示中切斷逾1.5萬臺受感染設備與該網的連接。
過去八年其主要載荷爲剪貼板劫持工具EggJagger：在用戶複製疑似比特幣或以太坊地址時替換成攻擊者地址，使轉賬在粘貼發送時改道。公司估計僅此一項至少盜取約1210萬盧布、約15萬美元；未動用資產在2025年1月峯值約1.47億盧布、名義約135萬美元。操作者被追蹤爲SALTY SPIDER。
該網無中心服務器，經點對點通信、局域網共享和移動存儲擴散，歷史上還投放憑據竊取、垃圾郵件、代理和拒絕服務載荷，包括2022年2月25日針對烏克蘭網站、2023年針對一家俄羅斯加密交易所的攻擊。司法部稱其生命週期關聯逾1100萬個獨立IP，峯值曾控制約100萬臺設備；此次切斷的是仍受控的約1.5萬臺。
8月31日由CrowdStrike對抗行動團隊執行點對點沉洞隔離，把受感染節點從原對等列表中剝離。美方查封境內相關域名，歐洲三國處理當地託管設施。Shadowserver負責協同運營商與應急響應團隊通知設備所有者。隔離不斷開已植入程序，須由用戶清理後才真正失效。
拉斯維加斯Day Zero峯會同期展示了切斷過程。加州中區聯邦檢察官辦公室發佈官方通報。資金規模遠小於近年交易所失竊或引流木馬案件，但持續時間覆蓋兩輪牛熊。
市場機制上，受害方是在個人電腦上覆制地址轉賬的自管用戶，攻擊方靠設備層改寫收款人，不觸碰鏈上合約。事件驅動來自執法與安全廠商聯合行動，而非市場價格波動。已盜加密多半未花，賬面隨幣價起伏；切斷指揮通道後新增盜竊停止，舊錢包仍在鏈上。受益方是端點安全廠商和能通知感染主機的協調組織，承壓方是依賴自管錢包、且不覈對粘貼地址的轉賬習慣。
來源：公開信息
ABAB AI 解讀
Sality在2003年以文件感染器起步，比比特幣主網更早，後來把殭屍網絡當成可更換載荷的出租管道。剪貼板替換成爲主業，說明攻擊者判斷：用戶已習慣把長地址當複製粘貼問題，而不是每次覈對。CrowdStrike把對手標爲SALTY SPIDER，用沉洞而不是抓人結案，延續對點對點殭屍網絡的老辦法——先讓指揮失效，再清主機。加州檢察官、FBI、國防調查與三國歐洲警方同場，把一樁小額加密盜竊做成跨境基礎設施案件。
資源調動是執法扣域名、廠商改對等列表、Shadowserver通知運營商。沒有公開說已凍結那批錢包。動機對CrowdStrike是展示對抗行動能力並服務峯會；對司法部是把俄羅斯歸屬的長期殭屍網從地圖上劃掉。戰略上，15萬美元本金加峯值135萬美元，不夠構成國家級案件，但23年存續證明無中心結構能熬過多輪打擊。
類比對象是GameOver Zeus、Emotet、Qakbot等被沉洞或起訴拆掉的殭屍網，以及近年針對助記詞和剪貼板的獨立木馬。加密犯罪主敘事已轉向交易所、跨鏈橋和授權釣魚，Sality停在個人電腦這一層，說明舊攻擊面並未隨硬件錢包普及而消失。行業階段是執法與廠商把“還活着的史前網絡”清庫存，而不是追最新零日。
這是監管變化疊加技術替代。替代的是“複製即安全”的支付習慣：地址一旦可被本地程序改寫，區塊鏈不可逆就變成單向損失。機制是點對點網信任任何完成握手的節點，防禦方用同一協議把對等表換成自己的接收器。監管層提供跨國扣域，技術層提供隔離；兩者缺一，23年的網還會繼續收剪貼板稅。
ABAB News · 認知定律
不可逆結算，放大的是本地失誤。
無中心網絡活得久，不等於偷得多。
切斷指揮權，清不掉已經進門的程序。