Пост
Этот пост по его id.
https://api.web3aggregator.io/api/v1/posts/19906 curl -H "Authorization: Bearer $W3A_API_KEY" 'https://api.web3aggregator.io/api/v1/posts/19906'Нужен ключ: W3A_API_KEY в окружении.
API отдаёт одно это сообщение: остальные части альбома там — отдельные посты, связанные полем album.
Документация API💀 Тестовое задание на $6,3 млрд
🪙 Binance выкатила предварительный отчёт о крупнейшем хаке в истории крипты (писали об этом выше 👆).
Впервые мы можем довольствоваться не просто отпиской формата «хакеры украли», а реально посмотреть, как именно всё случилось, — и, да, как и предполагалось, ни одной дыры в шифровании там нет.
🔖 Хронология событий
Все четверо — инженеры самой Binance. Хакеры не внедрялись в компанию, а сами «хантили» её сотрудников под видом стороннего работодателя.
➡️ Июнь. Инженер ставил ИИ-инструментарий и скачал поддельный Homebrew (пакетный менеджер для Mac). Безопасники засекли, сменили технику и пароли — но хакеры уже точно знали, кто в команде отвечает за кошельки.
➡️ Сентябрь. Второго инженера Binance нашли на обычной платформе для поиска работы: хакеры представились работодателем из другой компании. Видеозвонок с «HR», потом «CEO» вымышленной фирмы, в конце — «тестовое задание»: репозиторий с вредоносом на рабочий комп. Запустил — вирус подменил pyenv (инструмент разработчика), спрятал следы, защита не увидела ничего.
➡️ 20 октября. Через этот комп и внутренний ИИ-инструмент Binance добрались до ещё двух инженеров. У одного нашёлся токен с правом разворачивать контейнеры.
➡️ 29 октября. Подняли вредоносный контейнер и ударили по системе, которая подписывает транзакции кошельков.
⭐ При чём тут EIP-7702
Уже писали ранее, повторим.
На Ethereum деньги уводили через EIP-7702 (обновление сети от мая 2025): обычный адрес может доверить смарт-контракту действовать за себя, не раскрывая приватный ключ (задумывалась для «умных кошельков»😐).
Хакеры превратили hot wallet Binance в 🧹«метлу».
Загвоздка была в следующем: разрешение на вывод срабатывает, только если в нём указан точный порядковый номер следующей транзакции кошелька. А горячий кошелёк биржи без остановки отправлял выводы клиентов, и номер всё время сдвигался. Поэтому хакеры заранее подписали 50 разрешений — на 50 номеров вперёд — и отправили их одной транзакцией. Сработало одно.
И даже когда биржа остановила выводы, эти разрешения продолжали действовать сами по себе, отзывать их пришлось отдельной процедурой.
❗️ CZ: «банки взламывают чаще»
В интервью CZ упирает на то, что биржи все равно безопаснее банков. По механике он прав — банки реально ломают: Bangladesh Bank в 2016-м ($81 млн), в Бразилии в 2025-м увели ~$140 млн через подрядчика, продавшего доступ всего за R$5 000 (~$900).
😊 Но он недоговаривает главное — что происходит после взлома.
К примеру, в Бангладеш хакеры отправили поручений на $951 млн, и ФРБ Нью-Йорка успел заблокировать $851 млн: ведь банковский перевод идёт часами через корреспондентов, комплаенс и живых людей.
У Binance $6,3 млрд увели за 20 минут (почувствуй разницу, что называется 🤷♂️), и тормозить их было некому. Подтверждённую транзакцию в блокчейне не отменить — максимум эмитент заморозит свой стейбл, если успеет (так перехватили ~$2,7 млрд, остальное биржа, как мы уже знаем, покрыла из своего кармана).
• • • • • • • • • •
В итоге, самое слабое звено защиты — не шифрование, а люди: $6,3 млрд утекли через HR-звонок и «тестовое задание». CZ советует биржам «тщательнее проверять соискателей», хотя фейковым, в данном случае, был как раз работодатель.
А вот преимущество, которое нам продаёт Mr CZ, — дискуссионно, как минимум. Банк взломать можно, но вынести из него миллиарды за полчаса — уже сложнее.
На этом всё, пока ... мальчики и девочки 😭
💱 Проверенная обменка
🪙 Binance выкатила предварительный отчёт о крупнейшем хаке в истории крипты (писали об этом выше 👆).
Впервые мы можем довольствоваться не просто отпиской формата «хакеры украли», а реально посмотреть, как именно всё случилось, — и, да, как и предполагалось, ни одной дыры в шифровании там нет.
Группа TraderTraitor (он же Lazarus) взломала самую простую уязвимость — людей.
🔖 Хронология событий
Все четверо — инженеры самой Binance. Хакеры не внедрялись в компанию, а сами «хантили» её сотрудников под видом стороннего работодателя.
➡️ Июнь. Инженер ставил ИИ-инструментарий и скачал поддельный Homebrew (пакетный менеджер для Mac). Безопасники засекли, сменили технику и пароли — но хакеры уже точно знали, кто в команде отвечает за кошельки.
➡️ Сентябрь. Второго инженера Binance нашли на обычной платформе для поиска работы: хакеры представились работодателем из другой компании. Видеозвонок с «HR», потом «CEO» вымышленной фирмы, в конце — «тестовое задание»: репозиторий с вредоносом на рабочий комп. Запустил — вирус подменил pyenv (инструмент разработчика), спрятал следы, защита не увидела ничего.
➡️ 20 октября. Через этот комп и внутренний ИИ-инструмент Binance добрались до ещё двух инженеров. У одного нашёлся токен с правом разворачивать контейнеры.
➡️ 29 октября. Подняли вредоносный контейнер и ударили по системе, которая подписывает транзакции кошельков.
⭐ При чём тут EIP-7702
Уже писали ранее, повторим.
На Ethereum деньги уводили через EIP-7702 (обновление сети от мая 2025): обычный адрес может доверить смарт-контракту действовать за себя, не раскрывая приватный ключ (задумывалась для «умных кошельков»😐).
Хакеры превратили hot wallet Binance в 🧹«метлу».
Загвоздка была в следующем: разрешение на вывод срабатывает, только если в нём указан точный порядковый номер следующей транзакции кошелька. А горячий кошелёк биржи без остановки отправлял выводы клиентов, и номер всё время сдвигался. Поэтому хакеры заранее подписали 50 разрешений — на 50 номеров вперёд — и отправили их одной транзакцией. Сработало одно.
И даже когда биржа остановила выводы, эти разрешения продолжали действовать сами по себе, отзывать их пришлось отдельной процедурой.
❗️ CZ: «банки взламывают чаще»
В интервью CZ упирает на то, что биржи все равно безопаснее банков. По механике он прав — банки реально ломают: Bangladesh Bank в 2016-м ($81 млн), в Бразилии в 2025-м увели ~$140 млн через подрядчика, продавшего доступ всего за R$5 000 (~$900).
😊 Но он недоговаривает главное — что происходит после взлома.
К примеру, в Бангладеш хакеры отправили поручений на $951 млн, и ФРБ Нью-Йорка успел заблокировать $851 млн: ведь банковский перевод идёт часами через корреспондентов, комплаенс и живых людей.
У Binance $6,3 млрд увели за 20 минут (почувствуй разницу, что называется 🤷♂️), и тормозить их было некому. Подтверждённую транзакцию в блокчейне не отменить — максимум эмитент заморозит свой стейбл, если успеет (так перехватили ~$2,7 млрд, остальное биржа, как мы уже знаем, покрыла из своего кармана).
• • • • • • • • • •
В итоге, самое слабое звено защиты — не шифрование, а люди: $6,3 млрд утекли через HR-звонок и «тестовое задание». CZ советует биржам «тщательнее проверять соискателей», хотя фейковым, в данном случае, был как раз работодатель.
А вот преимущество, которое нам продаёт Mr CZ, — дискуссионно, как минимум. Банк взломать можно, но вынести из него миллиарды за полчаса — уже сложнее.
На этом всё, пока ... мальчики и девочки 😭
🔔 ПОДПИСАТЬСЯ НА КАНАЛ
💱 Проверенная обменка
