FlamingChina’s Tianjin Supercomputer Samples Are Still Being Sold While Beijing Has Not Confirmed the Theft
Die erste Quittung war keine Erklärung des chinesischen Ministeriums. Es war eine Preisliste. Am 6. Februar 2026 veröffentlichte ein Telegrammkonto, das sich FlamingChina nannte, Beispieldateien und eine Behauptung, die sich wie eine Prahlerei liest, bis die Proben geöffnet sind: Der Betreiber hatte gelebt im National Supercomputing Center in Tianjin für etwa sechs Monate, zog mehr als 10 Petabyte und würde eine Vorschau für Tausende von Dollar oder den Stapel für weit verkaufen mehr, zahlbar in kryptowährung. Um den 4. Februar herum trug ein BreachForums, das unter dem Griff airborneshark1 aufgeführt war, den gleichen Platz. Forennamen ändern sich. Die Dateien im Beispielordner sind das einzige Objekt, das jemand außerhalb des Gebäudes testen kann.
Zehn Petabyte ist kein gestohlener Posteingang. Ein High-End-Laptop hält etwa ein Terabyte. Zehn Petabyte sind in der Größenordnung von zehntausend dieser Laufwerke. Wenn sogar ein Stück echte Verteidigungsarbeit ist, ist der Schaden nicht die Rechnung. Der Schaden ist eine Karte, die zeigt, wer was auf einer gemeinsamen nationalen Maschine berechnet und welche Anmeldefläche lange genug geöffnet blieb, damit ein geduldiger Dieb sie gehen konnte. CNN konnte nicht überprüfen, ob der vollständige Datensatz von Tianjin stammte. Spezialisten, die sich die ersten Proben anschauten, sagten dem Netzwerk, dass sie echt aussahen. Diese Lücke, Experten sagen, dass die Dateien mit einer Mieterliste übereinstimmen, ein Staat, der nichts sagt, ist immer noch die öffentliche Aufzeichnung. Das frühe GhostStory-Label auf dieser Adresse war ein Aufkleber. Die Persona, die die Daten verkaufte, war FlamingChina. Die AEGIS-Allianz treats marketing names as stickers. Hashes and directories are the product.
A machine that rents cycles to everybody
NSCC-Tianjin is not a vault with one customer. It sells time. Research institutes, companies, and government shops rent cycles on a campus that became famous when Tianhe-1 sat at the top of the TOP500 list in 2010. Descriptions of the modern center put the client count in the thousands, with CNN’s reporting using a figure near 6,000. A mixed tenant list is why one intrusion can spit aircraft skins, fusion models, and biology papers out of the same tree. Dakota Cary, a SentinelOne consultant who focuses on China, told CNN the sample swath was „exactly what I would expect to see from the supercomputing center.“ Most of those customers, he said, would have little reason to keep a machine of their own.
April Berichterstattung benannte Organisationen, die in den Proben auftauchten: die Aviation Industry Corporation of China, die Commercial Aircraft Corporation of China, die National University Von Verteidigungstechnologie und nordwestlichen polytechnischen Universität. Einige Dokumente trugen chinesische Markierungen, die mit einer geheimen Klassifizierung übereinstimmten, einschließlich Dateien, die als zehn Jahre lang klassifiziert beschrieben wurden. Weitere Akten waren technische Renderings und animierte Simulationen von Bomben und Raketen. Marc Hofer, der den NetAskari-Blog schreibt und sagte, er habe mit der Persona gesprochen, beschrieb eine Probe als Schadensstudie, die auf gepanzerte Ziele abzielte, darunter ein HIMARS-Raketensystem. einem Träger und gehärtetem Beton. TechRadar and Security Affairs repeated the aerospace and weapons descriptions. None of them could put a government confirmation under the headline.
Cary did not describe an elegant zero-day ballet. He described a hole. In his read, and in the account Hofer said he heard, the operator used a compromised VPN domain, then a botnet that pulled data out to different servers over months in pieces small enough to look like ordinary scientific traffic. „You can think of it as having a bunch of different servers that you have access to and you’re pulling data through this hole in the security of the NSCC,“ Cary said. If that account is true, the method is not genius. It is patience plus a shared login nobody watched. Jeff Wichman, an incident-response director at Semperis, called a military-secret theft on this scale shocking. Unimaginable is a press word. Unmonitored is the operational one.
The samples did not die with the first sales post
Ein 10-Petabyte-Haufen ist nicht etwas, was ein Forum-Käufer auf einem Verbraucherlaufwerk parkt und über ein Wochenende dekodiert. Hofer sagte CNN, dass nur ein Staat oder ein gut finanziertes Labor es durcharbeiten und mit etwas Nützlichem zurückkommen könnte. Kriminelle Märkte sind immer noch an den Rändern wichtig, weil ein verifizierter Splitter von AVIC- oder COMAC-Designdaten ein Geschenk an ein rivalisierendes Luft- und Raumfahrtprogramm und ein verifizierter Splitter von National ist. Die Arbeit der University of Defense Technology ist ein Geschenk für jeden, der die Waffenforschung kartographiert. Die realistischen Käufer sind Regierungen, Auftragnehmer und einige Makler, die bereits Kühllager haben und Menschen, die chinesische technische Dokumente lesen. Geheimdienste, die bereits auf Tianjin-Mietern sammeln, benötigen keinen Einkaufswagen. Der Wagen ist für alle anderen, und für den Beweis, dass die Dateien echt genug sind, um Preis.
Der Wagen schloss im Februar nicht. Am 14. September 2026 kennzeichnete der Threat-Intelligence-Account S2W eine DarkForums-Auflistung durch eine Person, die sich The BlackH4t nennt und das anbietet, was sie als klassifiziertes Chinesisch bezeichnet Militärische und supercomputing-daten, die an nscc-tianjin plus AVIC, COMAC, NUDT, NWPU und die Huazhong University of science and technology gebunden sind. Der Pitch fügte Mitarbeiteridentifikationsscans hinzu und behauptete Beispielverzeichnisse kursierten bereits. Diese Auflistung ist kein unabhängiger forensischer Bericht, und es ist kein Beweis dafür, dass der neue Alias FlamingChina ist. Es ist ein Beweis dafür, dass Tianjin-verknüpfte Verzeichnisse noch Monate nach dem ersten Telegram-Post als Produkt verkauft wurden, während Peking immer noch keine Zeitleiste für Vorfälle veröffentlicht hatte. Die Cyber Security Incident Database noch trug das ursprüngliche ereignis als ungelöst. Das Schweigen des Ministeriums für Wissenschaft und Technologie und der Cyberspace Administration von China, die beide CNN im April um einen Kommentar gebeten hatten, füllte nichts. Ein Verkaufsgespräch füllte es zuerst.
Shared compute is shared risk
Ein nationales Supercomputing-Center ist ein Hotel mit einem Wissenschaftsbudget. Mieter kommen und gehen. Accounts linger. VPN-Zertifikate werden wiederverwendet. Forschungsgruppen teilen sich Kratzerscheiben, weil die Alternative eine Schlange ist. Rüstungsunternehmen sitzen zwei Racks von einem Universitätsfusionsteam entfernt, weil es der Maschine egal ist, wer für den Zyklus bezahlt hat. Diese Architektur ist effizient. Es ist auch eine kompromittierte Domain weg von einem Katalog der Geheimnisse anderer Leute. Cary sagte gegenüber CNN, dass schwache Cybersicherheit eine langjährige Bedingung in einer breiten Reihe von chinesischen Industrien sei. Chinas eigene nationale Sicherheitssprache für 2025 nannte stärkere Barrieren für Netzwerke, Daten und künstliche Intelligenz als Priorität. Eine priorität aufzulisten ist nicht dasselbe wie ein vpn-loch zu schließen.
Skepticism belongs in the file, not outside it. Some security writers, including coverage at PC Gamer, noted that researchers were not ready to bless a 10-petabyte claim on the strength of a Telegram channel. They are right that a sales channel is not a chain of custody. They are not a reason to ignore samples that specialists recognized as the kind of work Tianjin tenants actually run. The honest status is alleged, partially inspected, unconfirmed by the victim, and still on the market. A story that stops at „unverified“ and a story that stops at „the biggest hack ever“ are both lazy. The middle is a center that sells cycles to thousands of clients, a persona that priced the warehouse, and a government that has preferred quiet.
Related files in this archive sit on the hacker news desk, including the U.S. Treasury breach attributed to Chinese operators, sanktionen folgten, und die Google takedown of a phone-traffic shadow network. The international desk ist der breitere Rahmen. Das Muster auf dieser Seite ist älter als jeder Alias. Shared Compute ist Shared Risk. Eine VPN-Domain ist eine Haustür. Sechs Monate stiller Exfiltration sind ein Versagen des Zuschauens. Nationale Laboratorien, die Zyklen mieten, können nicht so tun, als wären sie geschlossene Geschäfte. Die Mieter, die auf dieser Etage Kleinstjobs geparkt haben, wissen bereits, wie die Rechnung aussieht, wenn die Proben halten.
