Самая дорогая уязвимость — не в смарт-контракте, а на компьютере инженера.
Binance раскрыла, как произошла кража 10-29: в июне инженер по кошелькам нажал на рекламное объявление в поиске Google и установил изменённую версию Homebrew; в сентябре «рекрутер» пригласил его на видеоинтервью, а в тестовом коде было спрятано вредоносное ПО. В итоге хакеры воспользовались украденными учётными данными и внутренним ИИ-инструментом и за 20 минут вывели средства из горячего кошелька. ФБР связало атаку с северокорейской группировкой TraderTraitor.
Когда грабят банк, никто не говорит, что банк должен закрыться. Открыто рассказать о каждом шаге после ограбления лучше, чем промолчать, как делают другие.
Никакой уязвимости нулевого дня, никакого взлома закрытого ключа. Одно рекламное объявление, одно собеседование, один ИИ-инструмент с чрезмерными правами доступа.
На той же неделе выяснилось, что с конца сентября в ПК-лаунчер NIKKE внедряли вредоносный код, чтобы красть пароли из браузера, cookie-файлы и данные кошельков. Издатель незаметно заменил файлы и не сделал ни одного заявления.
Мои правила:
На компьютере, где установлен кошелёк, я не играю и не запускаю «тестовые проекты», присланные незнакомцами.
Устанавливаю инструменты только с официальных сайтов и не нажимаю на рекламные объявления в поиске.
В каталогах, доступных ИИ-инструментам, нет сид-фраз.
Играть на одном компьютере, а управлять деньгами на другом — звучит дорого. На самом деле это просто дешевле, чем потерять деньги.
$BNB
Binance раскрыла, как произошла кража 10-29: в июне инженер по кошелькам нажал на рекламное объявление в поиске Google и установил изменённую версию Homebrew; в сентябре «рекрутер» пригласил его на видеоинтервью, а в тестовом коде было спрятано вредоносное ПО. В итоге хакеры воспользовались украденными учётными данными и внутренним ИИ-инструментом и за 20 минут вывели средства из горячего кошелька. ФБР связало атаку с северокорейской группировкой TraderTraitor.
Когда грабят банк, никто не говорит, что банк должен закрыться. Открыто рассказать о каждом шаге после ограбления лучше, чем промолчать, как делают другие.
Никакой уязвимости нулевого дня, никакого взлома закрытого ключа. Одно рекламное объявление, одно собеседование, один ИИ-инструмент с чрезмерными правами доступа.
На той же неделе выяснилось, что с конца сентября в ПК-лаунчер NIKKE внедряли вредоносный код, чтобы красть пароли из браузера, cookie-файлы и данные кошельков. Издатель незаметно заменил файлы и не сделал ни одного заявления.
Мои правила:
На компьютере, где установлен кошелёк, я не играю и не запускаю «тестовые проекты», присланные незнакомцами.
Устанавливаю инструменты только с официальных сайтов и не нажимаю на рекламные объявления в поиске.
В каталогах, доступных ИИ-инструментам, нет сид-фраз.
Играть на одном компьютере, а управлять деньгами на другом — звучит дорого. На самом деле это просто дешевле, чем потерять деньги.
$BNB