Він поспав, а вранці розплющив очі — і побачив у рахунку зайві чотириста доларів.
Жодного рядка коду не написав. Комп’ютера не вмикав. Ці чотириста доларів хтось витратив через його акаунт, поки він спав.
Пізно ввечері сімнадцятого жовтня компанія, що створює інструменти для програмування з відкритим кодом, почала розсилати листи тим, хто ними користувався. Коротка тема. Вимога негайно вжити заходів. У листі йшлося, що ключі сторонніх сервісів могли потрапити в чужі руки.
Другий лист надійшов уночі й уточнював, про які саме сервіси йдеться: OpenAI, Anthropic, Google.
Постраждали власники 1,4 відсотка акаунтів у її онлайн-панелі. Цифра невелика. Але для цих людей це все.
Проблема була в одному місці. Зловмисники проникли до старої системи, яку саме виводили з експлуатації. Найраніші сліди ведуть до пізнього вечора шістнадцятого числа, а перший лист ці люди отримали лише через двадцять дві години. За двадцять дві години можна виконати чимало запитів, вичерпати весь ліміт і встигнути зробити все це, поки ти ще не розплющив очі.
У чому проблема? У закутку, який усі вважали вже вимкненим. Чому? Бо його не було в жодному чиємусь списку, тож коли щось пішло не так, ніхто не згадав про нього одразу.
Багато хто думає, що ключі вгадують або підбирають. Ні. Більшість витоків узагалі не потребує зламу. Ключ просто лежить там, куди вже ніхто не заглядає, а двері все ще відчинені. Переносиш його з основної системи, ставиш позначку «вивести з експлуатації» — і забуваєш, що він досі працює.
Як ця стара система так довго залишалася без нагляду, компанія чіткої відповіді не дала.
Один розробник розповів, що спершу отримав попередження про вичерпання ліміту від Anthropic, а вже потім — повідомлення від компанії, яка створила інструмент. Вийшло навпаки. Той, хто виставляє рахунок, помітив проблему раніше за того, хто його оплачує. В одного зловмисники витратили двісті євро на Google Cloud, а проєкт призупинили через зловживання. Інший написав, що його місячний ліміт у двадцять доларів вичерпався.
Чи повернуть гроші, компанія не сказала — лише повідомила, що веде переговори з усіма трьома. Звучить не надто обнадійливо. Чи використали ці дані для тренування інших моделей, теж незрозуміло. Вони називають це масштабною атакою з дистиляцією моделей. Чи обґрунтоване це формулювання — покаже розслідування.
Криптоспільноті така історія знайома.
У твоєму гаманці повно дозволів. У 2021 році на якомусь сайті був дозвіл на необмежену суму — тоді він був потрібен, щоб потрапити до білого списку. Натиснув, ще й подумав, який спритний. А наступного дня вже забув, як називався той сайт. Та адреса контракту так і залишилася прив’язаною до твого гаманця — чекає, поки хтось постукає. Тоді ти й не думав відкликати дозвіл.
Команда проєкту давно зникла. Дозвіл досі чинний. Ти про нього не пам’ятаєш. А блокчейн пам’ятає.
Це те саме, що зберігати ключ у панелі керування, яку вже вивели з експлуатації.
Торік у дуже популярному вебкомпоненті для підключення гаманців підмінили одну з версій. За кілька годин спустошили гаманці багатьох людей — вони навіть не встигли поскаржитися. Ніхто нічого не зламував. Просто підмінили версію. Ти навіть не помітиш. Коли підписуватимеш транзакцію, інтерфейс показуватиме те саме, що й раніше.
Я довго про це думав. Безпеку не варто оцінювати за тим, нова система чи стара. За новими стежать щодня, за старими — ніхто. Ось і все. Найнебезпечніші — системи, які вже почали виводити з експлуатації, але ще не завершили цей процес: їх уже немає в списку тих, за якими стежать, але вони ще не померли. Усі думають, що вони зникнуть самі собою.
Що робити? Конкретно: відкрий гаманець і перегорни список дозволів до самого початку. Побачиш незнайомий — відклич. Якщо ти зареєструвався на біржі три роки тому й тепер навіть пароля не пам’ятаєш, просто видали там усі ключі API, особливо ті, що дають змогу виводити кошти. Сід-фразу запиши від руки, не фотографуй і не зберігай у галереї телефона.
На це піде менше десяти хвилин.
Десять хвилин — і ти закриєш вхід, про який, можливо, давно забув.
Справді варто.
$BTC $ETH $BNB #OpenCode #API密钥 #账户安全 #крипто