BreachForums论坛是一个为黑客及网络犯罪分子提供买卖被入侵数据库、黑客工具以及分享网络犯罪知识的暗网平台。与BreachForums论坛相关的各种戏剧性事件层出不穷，而且愈演愈烈。尽管屡遭执法部门的打击，偶尔还会发生内部冲突，但专注于买卖数据泄露的论坛仍然不断涌现。
“暗网下/AWX”梳理了近期Indra的BreachForums的变迁，在其关闭BreachForums之后，BreachForums[.]sb经过了几轮变化，先是被@Caine持有并继续运营，之后该论坛的管理团队集体退出。后明网域名BreachForums[.]as与BreachForums[.]sb被DarkForums的Knox买走，而据称是冒牌的Shinyhunters又开设了一个新明网域名BreachForums[.]ai来运营新版本的BreachForums。
Indra的BreachForums的工作人员集体辞职
@paw（@pine）在BreachForums[.]sb发布公开声明表示，BreachForums[.]sb的6名工作人员（@pine、@Loki、@888、@Tanaka、@paw、@Addka72424）已辞职，并声明：“请勿信任任何新出现的或现有的克隆站点，BreachForums这个名字已经不复存在，且永远不会回归。”
对此，在Telegram上假冒Shinyhunters的管理员@Caine声称，旧论坛的工作人员退出，是因为“勒索”。这些版主要求以1000美元的门罗币作为报酬，以补偿他们所做的一切工作。在被他拒绝后，他们选择了离开。而论坛将会组建新的工作人员团队。
BreachForums[.]as与BreachForums[.]sb显示了新的提示信息
“暗网下/AWX”尝试访问BreachForums[.]as与BreachForums[.]sb这两个明网域名，两个网站均显示相同的界面UI风格，一眼可以看出显然属于同一个所有者。
BreachForums[.]as网站展示了BreachForums[.]sb的明网域名与暗网域名：
BreachForums[.]sb则称，BreachForums现已完全由Knox（knox.hn）掌控。所有数据（包括最新的数据库和源代码）均已得到妥善保管。不再有混乱和诈骗，不再有不确定性——一切现已实现集中管理。请勿信任任何克隆站点。并提供了Telegram联系方式。
上周重启的一个新BreachForums论坛
周一，一名自称是勒索组织ShinyHunters成员的人宣布重启运营一个新的的BreachForums论坛（BreachForums[.]ai）。但一位与ShinyHunters官方频道有关联的人士表示，该组织与BreachForums的任何重启都毫无关系。他们表示：“我们与那个论坛没有任何关系。自从2025年10月10日被FBI查封后，我们就再也没有重启过它。”
本周重启的BreachForums论坛是“暗网下/AWX”前期介绍的Indra的BreachForums论坛的延续，上个月，Indra的BreachForums论坛的“基础设施，包括完整的数据库和源代码”，被“直接从其托管服务器”黑客入侵，并以1万美元的价格出售。新BreachForums论坛管理员（化名“x”）表示，前任管理员“N/A”得知此事后“惊慌失措，带走了能带走的东西，然后立即离开，没有通知社区”，之后“数据库就落入了不明人士手中”。
这一惊慌失措的说法似乎指的是3月16日发布在论坛旧版本上的一条公告，该公告宣布“BreachForums已死”，并正在寻找新的管理团队。公告表示：“我们现在正在寻找一位负责任的个人或团体，愿意接管论坛的领导权并继续提供支持。”
除了ShinyHunters的官方否认之外，安全研究人员还详细列举了“x”的说法中的矛盾之处，暗示其内容不实，并表示一些合法的BreachForums前运营者似乎正在注册多个BreachForums域名，以阻止类似的重启声明出现。
ShinyHunters表示，此次重启是利用先前泄露的数据发起的一系列BreachForum虚假论坛中的最新一起。该组织的一名成员说道：“其他威胁行为者能够恢复一个外观相似的合法论坛，包括重新导入旧用户数据，其中也包括我自己的ShinyHunters账户。”
IntelOpsV3称冒牌SH推出的BreachForums论坛又是一个冒牌货
暗网情报研究者@IntelOpsV3称，在Indra关闭其BreachForums并实施“卷款跑路”的时候，一个冒牌的SH（Shinyhunters）带着另一个冒牌的BreachForums（BreachForums[.]ai）出现了。于是，几乎在同一时间，至少有3个一模一样的网站，都声称自己是真正的BF。但不知道这些所谓BreachForums能运营多久。
新BreachForums论坛使用了暗网域名：http://c66go4clkqodr7tdjfu76jztjs7w7d3fajdeypxn73v4ju3dt7g5yyyd[.]onion
@IntelOpsV3提醒，其正在密切关注所有新的BF克隆站点，请谨慎对待所有这些新克隆站点。因为原BreachForums的PGP密钥、网站代码和数据库都已泄露，是时候让Breachforums这个名字长眠了。
@IntelOpsV3称，这是新的BF团队，可以看到他们在TG上假扮成“Shinyhunters”，他们声称自己是唯一的正宗BF，他们还发布了一则警告，称其他克隆站点均为假冒。这个新冒出的BreachForums克隆站点由doxeur、kiroshell和breach3d所有。breach3d就是那个发布假Dell数据库的冒牌Shinyhunters。
但可惜的是，SLSH已经发布了BFv5数据库，并指认他们是冒牌货。真正的SLSH称：“目前所有的论坛都是假的 [ .sb .ac .fi .bf .us 等]，如果它们继续存在，我们将泄露所有BF的备份。因为我们掌握了所有MyBB 1.8版本的漏洞利用代码。”
@IntelOpsV3称，这个论坛是假的。这个论坛的ShinyHunters是个冒牌货。他们冒充IntelOps、Pine、Loki等组织，正如你们从我们的推特帖子中看到的，这个论坛里充斥着各种角色扮演。
BreachForums[.]ai的管理员“x”发布公告驳斥@IntelOpsV3
BreachForums[.]ai的管理员“x”于4月2日发布公告进行回应，并澄清该论坛的现状。“x”表示，他们没有导入旧BreachForums的SQL数据库，并不意味着他们是蜜罐（honeypot）或退出骗局（exit scam）。他自称这是一个全新的开始，这是BreachForums的官方延续。并请大家在做出假设前，先进行适当的研究，不要基于不完整的信息下结论。
公告表示，他们理解大家的怀疑，但事实不会改变。一旦论坛完全开发并稳定下来，他们将对克隆站点采取行动。“x”称，一些来源（如 Twitter 上的 IntelOps (@intelopsv3)）散布了虚假信息，声称其是退出骗局。这些说法是错误的。IntelOps有历史性地不经查证就发布信息，并经常误报或歪曲细节。
“x”称，他们鼓励大家保持信息灵通、核查事实，并避免匆忙下结论。他们不是蜜罐/退出骗局。
公告表示，如果是蜜罐，他们会尝试修改MyBB源代码来尽可能记录用户的信息。相反，他们移除了IP记录，并用自定义构建的垃圾邮件预防系统取而代之。即使FBI或任何执法机构查封后端服务器也找不到任何有用的东西。
“x”宣称自己的VPS是完全加密的，用户的隐私是优先事项。
SLSH冒牌者究竟是谁
独立安全研究人员Ryan Moran（@rmoskovy）表示，在对这位自称“ShinyHunters”冒牌者进行分析时，我使用一个假账号通过Telegram向其发送消息，声称需要向“Rey”（一名与SH/SLSH有关联的威胁行为者）偿还一大笔钱，并要求对方提供“Rey”的联系方式。
然而，对方非但没有提供“Rey”的联系方式，反而要求@rmoskovy直接向其汇款。当进一步追问时，对方发来了一个拼写错误的账号，该账号是“Rey”真实用户名的拼写变体：
2026-02-26 -> Qilin 2026-02-26 -> Rey 2026-02-20 -> Qiliin 2026-01-24 -> XiaoBtc ( MBTC ) 2025-12-24 -> MBTC 2025-12-24 -> Crimesite 2025-11-08 -> Bjorka 2025-11-04 -> NinjaBoi6890 2025-10-31 -> SkyHunters 2025-10-25 -> Asley 2025-09-10 -> Kimbo 2025-06-09 -> Bebale Office 2025-05-15 -> Lesley
经查询其提供的用户名，发现该账号此前曾名为“HaiseRows”，曾被用于冒充勒索软件团伙“Qilin”。除此之外，他们还进一步暴露了自身：该账号收藏的群聊是一个与网站篡改相关的印尼群聊，其中涉及cPanel和Joomla的销售。
该用户活跃过的几乎所有群聊都是印尼群，最值得注意的是：
- t[.]me/+n0Z8jU9JpgEwOTY9
- t[.]me/IndonesiaDefacer
为了进一步确认这一点，@rmoskovy对他们的所有账户和频道进行了风格分析，结果完全吻合。此外，他们此前曾运作过一个加密货币诈骗计划，据称以“XiaoBTC”的名义提供BTC兑换XMR/USDT的服务，并出售“带有余额的加密货币账户”：
Joseph Valent.. [12月24日]：“谁想要一个带有余额的加密货币账户，联系我”
他们还宣传了多个冒充SLSH的虚假频道，同时在X平台上冒充SH用户“Inside Darknet”进行采访，声称SLSH是假的。
“x”发布新公告欢迎大家回来
BreachForums[.]ai的管理员“x”于4月5日发布新的公告“Welcome Back”，公告欢迎BreachForums社区成员回到BreachForums。自称这里是BreachForums平台的官方延续站点，并提醒大家请勿相信任何非官方的克隆或仿冒站点。
公告如下：
我们很高兴地宣布，我们的第三方托管服务现已上线，地址为：escrow.breachforums.ai
此外，我们的CDN已成功恢复，我们很快将开始在该CDN上托管数据库。我们已导入原始的 BreachForums 数据库。虽然并非所有帖子、回复和用户都已完全恢复，但绝大多数用户及其原有等级已成功恢复。
您应能使用之前的账号信息登录。若忘记密码，请使用“重置密码”功能并查收您的邮箱。若您已无法访问该邮箱，可通过私信联系我。
请注意，并非所有等级都已恢复。但如果您此前持有付费等级，欢迎申请恢复。只需通过私信发送购买凭证，我们将尽快为您处理。
若未收到邮件，请检查您的垃圾邮件文件夹，不过邮件通常应出现在收件箱中。
关于TOR访问的咨询，我们的官方地址是：
http://c66go4clkqodr7tdjfu76jztjs7w7d3fa…yyd.onion/该地址也可在论坛顶部找到。
很高兴您能回归，期待与大家共同重建社区。