Он поспал, утром открыл глаза — а в счёте на четыреста долларов больше.
Ни строчки кода не написал. Компьютер даже не включал. Эти четыреста долларов списали, пока он спал, — кто-то использовал его аккаунт.
Глубокой ночью семнадцатого октября компания, выпускающая инструменты для программирования с открытым исходным кодом, начала рассылать письма тем, кто ими пользовался. Короткая тема. Требование немедленно принять меры. В письме говорилось, что ключи сторонних сервисов могли утечь.
Второе письмо пришло под утро. В нём перечислялись компании: OpenAI, Anthropic, Google.
Пострадали аккаунты одного и четырёх десятых процента пользователей её онлайн-панели. Цифра небольшая. Но для каждого из этих людей это всё.
Проблема была в одном: злоумышленники проникли в старую систему, которую уже выводили из эксплуатации. Самый ранний след датируется поздним вечером шестнадцатого числа. Первое письмо пострадавшие получили лишь через двадцать два часа. За двадцать два часа можно сколько угодно раз отправить запросы, израсходовать весь лимит и успеть провернуть всё это до того, как ты проснёшься.
В чём проблема? В уголке системы, который все считали уже отключённым. Почему? Да потому, что его не было ни в чьём списке, и когда случилась беда, никто не вспомнил о нём в первую очередь.
Многие думают, что ключи подбирают или взламывают. Нет. В большинстве случаев утечку вообще не нужно взламывать. Ключ просто лежит там, куда уже никто не заглядывает, а дверь всё ещё открыта. Ты переносишь его из основной системы, помечаешь как подлежащий удалению — и забываешь, что он всё ещё работает.
Почему эта старая система так долго оставалась без присмотра, компания внятно не объяснила.
Один разработчик рассказал, что сначала получил предупреждение о расходе лимита от Anthropic, а потом — уведомление от разработчиков инструмента. Всё наоборот. Те, кто выставляет счёт, заметили проблему раньше, чем те, кто его оплачивает. У кого-то в Google Cloud списали двести евро, а проект приостановили за злоупотребления. Другие говорят, что месячный лимит в двадцать долларов закончился.
Вернут ли деньги, компания ответила лишь, что ведёт переговоры с тремя поставщиками. Не очень похоже на обещание. Использовали ли ключи для обучения других моделей, тоже неизвестно. В компании называют случившееся масштабной атакой с дистилляцией моделей. Насколько это объяснение верно, покажет расследование.
Криптомиру эта история знакома.
В твоём кошельке могут быть десятки выданных разрешений. В две тысячи двадцать первом на каком-то сайте было разрешение на неограниченный доступ. Тогда это было нужно, чтобы попасть в белый список. Нажал, порадовался, что успел, а на следующий день уже забыл, как назывался сайт. Но адрес контракта всё это время лежал в истории твоего кошелька и ждал, когда кто-нибудь постучится. Тогда никто и не думал отзывать разрешение.
Проект давно забросили. Разрешение осталось. Ты не помнишь. Блокчейн помнит.
Это то же самое, что хранить ключ в уже выведенной из эксплуатации административной панели.
В прошлом году кто-то подменил одну очень популярную библиотеку для подключения сайтов. За несколько часов опустошили кошельки множества людей — они даже не успели сообщить о случившемся. Никто ничего не взламывал. Просто подменили версию библиотеки. Ты бы этого даже не заметил. Когда ты подтверждал транзакцию, интерфейс говорил тебе всё те же слова.
Я давно об этом думаю. Безопасность нельзя оценивать по тому, новое что-то или старое. За новыми системами следят каждый день, за старыми — никто. Вот и вся история. Системы, которые находятся посреди процесса вывода из эксплуатации, опаснее всего: их уже нет в списке обслуживаемых, но они ещё не умерли. Все думают, что они исчезнут сами собой.
Что делать? Вот конкретный совет. Открой кошелёк, пролистай список разрешений до самого начала и отзови те, которые тебе незнакомы. Если ты зарегистрировался на бирже три года назад и теперь даже пароль не помнишь, лучше удали там все API-ключи, особенно те, у которых есть право выводить средства. Сид-фразу запиши от руки, не фотографируй и не храни в галерее телефона.
Это займёт меньше десяти минут.
Десять минут — чтобы закрыть вход, о котором ты, возможно, давно забыл.
И это того стоит.
$BTC $ETH $BNB #OpenCode #API密钥 #账户安全 #крипто