文章总结： 本文分析暗网论坛BreachForums疑似回归事件，指出旧密码可用仅证明数据库被迁移，不能证实原运营者回归。文章强调身份链未证实，警示防守方需精确标注情报来源，区分数据库延续与人员延续，避免误判威胁归属。 综合评分： 85 文章分类： 威胁情报,数据泄露,暗网,安全运营

暗网新玩家，不等于 BreachForums 回来了

原创

独眼情报 独眼情报

独眼情报

2026年9月7日 15:37 湖北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

旧密码还能用，不能证明原来的运营者回来了。它可能只说明一件事：有人把旧论坛的认证数据搬到了新站。

2026 年 9 月 6 日，地下论坛 bf 发布了一份声明。发帖账号名为 ShinyHunters，点名 darkforum、raidforums、batchfrm、BreachStars 四个站点模仿既有社区，将 XSS、R4MP、Exploit、PwnForums 和自己列为「已核实」有独特风格的知名论坛，结尾宣称自己是「唯一官方」。截至 9 月 7 日，首页显示约 36.9 万会员、8.5 万主题、87.5 万帖子。

这些数字很像一个老社区的家底。但会员数量不是回归人数，旧帖数量也不是新站的活跃程度。账号和帖子可以来自数据库导入，几十万人的历史记录可以出现在新站。

旧账号、旧密码能够登录的反馈，更容易让人相信「BreachForums 回来了」。本次使用真实旧账号测试可以成功登录，但它与原团队回归之间，仍然隔着一条尚未证实的身份链。

查封的是站点

2025 年 10 月，美国和法国执法机构查封了 breachforums[.]hn。这个域名此前用于重启论坛，查封时已被用作 Salesforce 数据窃取事件的勒索泄露站。

查封域名、取得服务器，能够打断当时的运营，却不能让已经流出的数据库副本消失。

2026 年 1 月 9 日，一份包含 323,986 条用户记录的 BreachForums 数据库被公开。Resecurity 的分析指出，这批数据来自 MyBB 论坛的用户表，最后一条注册记录停在 2025 年 8 月 11 日。3 月，另一版本「Version 5」的泄露被 Have I Been Pwned 收录，涉及约 34 万个唯一邮箱，以及用户名和 Argon2 密码哈希。

网站验证密码，通常不需要保存明文。用户登录时，服务器依据保存的哈希记录检查输入是否匹配。恢复了兼容的密码校验记录、认证逻辑及必要配置，新站就可能继续接受旧密码，不需要先破解密码，也不需要旧服务器在线。

这些材料支持「通过历史数据恢复论坛」的解释，不能确定数据来自哪份备份，更不能确定由谁接手。

老资料能复制

当前 ShinyHunters 账号显示于 2023 年 5 月加入，签名档保留了 PGP 公钥链接和 RaidForums 网页存档链接。Resecurity 公布的历史账号记录中，也能找到相应的注册时间及链接。

这种一致性值得记录，但不能当作几份相互独立的身份证明。注册时间、公钥链接、签名档和声望值，都可能随同一批数据迁移。复制得越完整，页面越像原站；这仍然回答不了账号背后是不是原来的人。

2026 年 4 月 3 日，ISMG 报道，一名与 ShinyHunters 官方渠道有关联的人士否认参与当时的论坛重启，称该团体在 2025 年 10 月查封后没有重建 BreachForums，还表示其他人利用泄露数据恢复了类似论坛，连自己的 ShinyHunters 账号也被重新导入。

shinyhunters 暗网站否认重建任何论坛

「已核实」名单不是安全背书

9 月的声明自己限定了「已核实」的含义：这是站方对社区身份的分类，不是独立机构认证，也不为名单中所有用户、管理员和活动背书。

PwnForums 就是一个例子。SpyCloud 记录，该站于 2026 年 4 月初上线，将另一个 BreachForums 后继站的账号、等级和积分迁移过来。账号迁移既可以服务于正常接手，也可以被用于克隆；迁移本身没有鉴别真伪的能力。

bf 站内保留的 4 月公告还曾批评 PwnForums 的基础设施，不推荐用户使用。到了 9 月，PwnForums 又出现在它认可的社区名单中。这也太双标了吧。🐶

「唯一官方」还有一层现实利益。旧账号带着等级、积分和声望回归，用户更容易把新站视为旧站的延续。谁承接这份信任，谁就更有机会承接访问和交易。身份争夺不只是招牌之争，也关系到旧社区的参与者最终流向哪里。

情报标签需要比论坛招牌更精确

目前更稳妥的判断是：bf 展示了历史 BreachForums 资料，站方承认进行过数据库导入，但运营者与历史主体之间的连续性尚未得到独立证实。

对防守方而言，知识库不宜只写一个笼统的「BreachForums」。应保留品牌标签，再注明具体域名、抓取日期、账号编号和原始页面。注册时间、声望值可以作为历史背景，不能单独承担身份认证的作用。

旧密码证明不了旧主人。最需要防范的，是把数据库的延续，当成人的延续。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：独眼情报 独眼情报 独眼情报《暗网新玩家，不等于 BreachForums 回来了》