Новости про безопасность криптовалют

Discord разрешит Google и другим поисковым системам индексировать сообщения из некоторых крупных публичных серверов. С 16 ноября у серверов с не менее 1 000 участников из открытого каталога появятся публичные веб-страницы с краткими сводками обсуждений, а с середины декабря отдельные сообщения смогут появляться в поисковой выдаче. Пользователи смогут отключить эту функцию в настройках конфиденциальности, а для подростков и в ЕС, Великобритании, Канаде и Южной Корее она по умолчанию останется выключенной.

Платформа прогнозов MYRIAD сообщила, что из-за утечки закрытого ключа внутреннего кошелька злоумышленники смогли вмешаться в расчеты на 10 рынках в сети BNB Chain и получить выплаты по части позиций. Команда быстро отключила доступ скомпрометированного кошелька, заявила, что средства не были выведены, и отменила последнюю крупную сделку, по которой выплата не состоялась. Все 10 затронутых рынков аннулируют, а пользователям автоматически вернут средства по цене последней сделки до атаки; остальные рынки продолжают работать в обычном режиме.

Сайт Федеральной избирательной комиссии США подвергся хакерской атаке, из-за чего была временно отключена система электронной подачи документов и задержана публикация отчетов о финансировании избирательных кампаний перед промежуточными выборами 3 ноября. В FEC сообщили, что сбой начался около 22:00 по восточному времени в понедельник, при этом ранее поданные отчеты остаются доступными, а на само голосование инцидент не влияет. По данным AdImpact, расходы на рекламу и будущие бронирования на избирательный цикл 2026 года достигли примерно $11,21 млрд, превысив рекорд 2024 года в $11,2 млрд, а супер-PAC и группы с непрозрачным финансированием в последнюю неделю тратили в среднем более $50 млн в день.

Производитель аппаратных криптокошельков NGRAVE сообщил, что столкнулся с серьезной киберугрозой и сейчас следит за ситуацией, принимая меры защиты. Компания призвала пользователей быть особенно внимательными к поддельным сообщениям, письмам, сайтам и аккаунтам поддержки, которые могут выдавать себя за NGRAVE. NGRAVE также напомнила, что никогда не запрашивает фразу восстановления или Perfect Key: эти данные можно вводить только на экране устройства ZERO при восстановлении кошелька.

Gamdom столкнулась с новой атакой: группа Whitearmor заявила, что получила доступ к базе данных с 15 420 003 учетными записями клиентов и требует выкуп в размере $15 миллионов в BTC. По словам злоумышленников, у них есть 146 полей данных по каждому аккаунту, а в качестве доказательства они опубликовали пример JSON-файла объемом около 437 КБ примерно со 100 записями. Предварительно, причиной взлома могла стать старая учетная запись внутреннего сервера с правами администратора, данные которой долго не менялись.

HKMA сообщило о множестве обращений по поводу мошеннической схемы кредитования в e-HKD, в которой злоумышленники ложно ссылаются на связь с регулятором и предлагают гражданам подписывать соглашения. Ведомство подчеркнуло, что не имеет отношения к этим договорам и не связывается с жителями по вопросам личных финансов или переводов средств. HKMA также заявило, что участники пилотной программы e-HKD и других тестовых проектов не привлекают деньги у населения и не продвигают инвестиционные или сберегательные продукты. По этому факту регулятор подал заявление в полицию Гонконга.

OpenAI сообщила, что два ИИ-агента смогли обмениваться данными без сети и общих файлов, используя различия в скорости работы кэша процессора. Глава Vercel Гильермо Раух подтвердил это в тесте cpu-chat: даже при запуске изолированных виртуальных машин через Firecracker, отключении Hyper-Threading и разделении по разным ядрам процессора связь сохранялась. По словам Рауха, метод может работать не только на x86, но и на чипе M5 от Apple. При этом он уточнил, что речь идет о специально созданном эксперименте, а в реальных облачных средах такую передачу данных сложнее реализовать и можно выявить по мониторингу оборудования.

Binance сообщила, что за последнюю неделю ее служба безопасности выявила и остановила несколько кибератак, связанных с Северной Кореей. Ущерба системам компании и потерь активов не зафиксировано. По данным Binance, хакеры использовали методы социальной инженерии в рамках кампании Contagious Interview, маскируя атаки под собеседования, тестовые задания и установку программ. Компания призвала пользователей не запускать неизвестный код и не устанавливать неавторизованное ПО.

Cloudflare сообщила, что в модели GLM-5,3 на платформе Workers AI сбой в изоляции пользователей привел к утечке данных: в 155 ответах появился контент, ранее отправленный другими клиентами. Причиной стала нехватка кэша GPU при контекстном окне около 1,05 млн токенов и лимите кэша примерно 680 000 токенов, из-за чего слишком длинные запросы не прерывались с ошибкой, а продолжали обрабатываться с остаточными данными. В ходе расследования также выявили еще одну проблему: после отмены запроса система могла слишком рано передать кэш другому пользователю, а затем в его ответ попадали чужие данные. 9 сентября Cloudflare устранила утечку, заявила, что другие модели Workers AI не пострадали, а SGLang порекомендовала обновиться до v0,5.22 или более поздней версии.

Глава платформенной разработки Anthropic Кейтлин Лессе заявила, что теперь код в компании пишет Claude, а перед инженерами встают новые задачи — управление тысячами ИИ-агентов, их доступом и быстрая остановка системы при сбоях. Она отметила, что таким агентам нужна новая инфраструктура, а также строгий контроль прав, особенно если они работают неделями и взаимодействуют с внешними сервисами. Anthropic также напомнила о ранее раскрытых инцидентах: 26 октября в документах для IPO компания вновь сообщила, что 4 модели из-за ошибки в тестовой среде получили несанкционированный доступ к реальным сторонним системам и работали так примерно 10–34 часов за сеанс. По словам Лессе, для снижения рисков нужны изоляция сред, отслеживание действий между агентами и аварийный выключатель, который сможет остановить всю систему и сразу отключить связанные учетные данные.

Initia сообщила, что после уязвимости, обнаруженной 23 октября, разработала патч безопасности и сейчас проверяет его вместе с партнерами по кибербезопасности. После завершения аудита компания опубликует план восстановления поддержки затронутых активов и организованного перезапуска сетей Initia L1 и Rollup, который, как ожидается, займет ближайшие несколько дней.

Клиент Solana Firedancer от Jump Crypto обновил правила bug bounty: теперь за каждый отчет об уязвимости нужно безвозвратно сжечь 1 SOL, иначе заявку не примут к рассмотрению. В компании объяснили это ростом числа отчетов, созданных с помощью ИИ: во время аудита с 9 апреля по 9 мая 162 исследователя отправили 809 отчетов, но независимыми признали только 127 проблем, а почти половина валидных заявок оказалась дубликатами. Jump Crypto также повысила выплаты: до 20 ноября награды за подходящие уязвимости будут увеличены в 2 раза, а за баги в новой системе голосования Solana Alpenglow — до 3 раз. Максимальное вознаграждение за критические уязвимости достигает $300 000, при этом 1 SOL оценивается примерно в $100.

Канадская AI-компания Cohere сообщила, что во время проверки безопасности модель Qwen3,8-Flash-Next от Alibaba вместо написания правила для выявления подозрительных загрузок и запуска скриптов начала изучать временные файлы, сетевые инструменты и настройки тестового компьютера. После этого программа попыталась через curl отправить тестовую строку в хранилище Alibaba Cloud в регионе Пекина, но попытка не удалась из-за отсутствия доступа к внешней сети. В Cohere уточнили, что такие случаи происходили реже одного раза на 100 000 тестов, а при повторном запуске той же задачи модель работала нормально. Ранее разработчики также замечали, что Qwen иногда без запроса генерирует ссылки на файлы Alibaba Cloud через прокси, что может быть связано с остаточными данными обучения.

Из 48 кошельков девяти трейдеров, связанных с Telegram-ботом Bloom, за 94 секунды вывели $953 000, сообщила Bitquery. По данным аналитиков, все операции прошли в SOL и были подписаны приватными ключами затронутых кошельков. Bloom пообещал полностью возместить ущерб пострадавшим и заявил, что атака была связана с уязвимостью в стороннем модуле, при этом доступа к приватным ключам злоумышленники не получали. Bitquery также отметила, что часть атакованных кошельков не использовала бота с первой половины 2025 года, что указывает на долгосрочные риски для пользователей таких сервисов.

On Nexus сообщила, что 25 октября устаревшая торговая платформа DotSwap V1 подверглась атаке: за примерно 4 часа злоумышленник вывел около 8,5 BTC на сумму около $685 000 из пулов ликвидности и счетов V1. По данным компании, пострадали депозиты и BTC поставщиков ликвидности в V1, при этом кошельки пользователей, которые хранили средства самостоятельно, затронуты не были. Атакующий использовал старый механизм серверной подписи и с помощью автоматизированных скриптов нацелился на 99 токенов Runes. Сейчас DotSwap V1 отключен, команда отслеживает похищенные средства, сотрудничает с биржами и аналитическими партнерами и готовит подробный отчет с планом действий для пользователей.

По данным Scam Sniffer, у одного из пользователей похитили активы в сетях Ethereum и Base после предполагаемой утечки приватного ключа. Злоумышленник менее чем за 2 часа вывел 682 ETH, из которых около 281 ETH позже отправил в Tornado Cash.

Foundation, разработчик аппаратного кошелька Passport, сообщила, что в ходе расследования выявлено более 23 000 попыток фишинговых рассылок: 19 057 писем были отправлены через Mailgun, еще 1 503 — через Google Workspace. Компания подозревает утечку данных клиентов: личная информация могла сохраниться в старых таблицах после перехода с Wo commerce, а также затронуть новые заказы, оформленные после перехода на Shopify в мае этого года. Foundation заявила, что скомпрометированные учетные данные электронной почты уже отозваны, устаревшие сервисы отключены, а признаков взлома устройств Passport или утечки хранящихся на них закрытых ключей пока не обнаружено.

Keystone сообщила о взломе официального сайта 20 октября: злоумышленники через уязвимость в стороннем сервисе получили доступ к данным клиентов и ключам проверки подлинности устройств. Инцидент затронул 51 083 записи о покупках, включая 25 964 записи с персональными данными и 12 873 записи по заказам с неполной оплатой за 2024–2026 годы, при этом данные покупателей через Amazon и другие каналы не пострадали. Компания деактивирует старые ключи, уничтожит 18 835 устройств на складе и приостановит отправку заказов с сайта до выпуска устройств с новыми ключами; также срок хранения персональных данных сократят со 180 до 90 дней, а удаление данных в Shopify планируют завершить к 3 ноября. Keystone уточнила, что мнемонические фразы, приватные ключи, банковские данные и номера удостоверений личности затронуты не были, но устройства, полученные после 20 октября со старыми ключами, могут оставаться под риском подделки.

Anthropic сообщила, что к 2033 году планирует выплатить Google около $114,5 млрд, а общие платежи по договору аренды с Broa com за весь срок составят примерно $161,2 млрд без учета процентов. Компания предупредила, что расходы на вычислительные мощности и инфраструктуру продолжат расти и могут стать крупнейшей статьей операционных затрат, при этом имеющихся средств хватит как минимум на ближайшие 12 месяцев, но дополнительное финансирование может потребоваться раньше ожиданий. Кроме того, Anthropic более чем на месяц отложила предварительное обучение новой базовой модели Frontier, чтобы усилить защиту и снизить риск утечки параметров модели.

S&P Global завершила приобретение OpenZeppelin, о котором впервые объявила 17 сентября 2026 года, чтобы усилить направление оценки рисков цифровых активов и безопасности блокчейн-решений. OpenZeppelin, основанная в 2015 году, провела более 900 проверок безопасности, выявила свыше 10 000 уязвимостей, а ее библиотека OpenZeppelin Contracts использовалась для переводов на сумму более $38 трлн. После сделки OpenZeppelin продолжит работу как независимое подразделение, а ее основатель Демиан Бренер сохранит свой пост и будет подчиняться президенту S&P Global Ratings Яну Ле Паллеку. В компании отметили, что OpenZeppelin Contracts останется бесплатным проектом с открытым исходным кодом и поддержкой сообщества.

Исследователь Ethereum Foundation Тони Варштеттер сообщил, что разработчики отложили обновление тестовой сети Hoodi до версии Glamsterdam после отчета ChainSecurity о проблемах совместимости и безопасности EIP-8037 с рядом смарт-контрактов. По данным компании, обнаружено 13 реальных случаев: в некоторых транзакциях остаток газа может увеличиваться, из-за чего возникают ошибки в расчетах, откаты операций или ложное успешное выполнение, а часть контрактов может некорректно учитывать расход газа. На этой неделе команда продолжит проверку затронутых контрактов, а разработчикам и аудиторам рекомендовали проверить совместимость решений с EIP-8037 и EIP-8038 и сообщать о найденных проблемах.

Исследователь по безопасности killa с GitHub-аккаунтом KillaBoi использовал критические уязвимости PHP2Shell CVE-2026-109618 и CVE-2026-109619, взломал сайт stealmybitcoin com и получил вознаграждение около $2 021 в BTC — 0,02511679 BTC. После раскрытия 20 октября уязвимости PHP с возможностью удаленного выполнения кода создатели 24 октября запустили сайт на незакрытой версии PHP с наградой около $500, которая позже выросла примерно до $2 000 за счет пожертвований. Через 19,5 часов после старта конкурса killa получил с сервера закрытый ключ, а затем опубликовал полный PoC на GitHub.

Исследователь по безопасности рассказал, что OpenAI заблокировала его аккаунт после того, как он изучил купленный телевизор Samsung 2025 года и обнаружил в системе Tizen функции распознавания контента, анализа звука и отслеживания рекламы. 23 октября он опубликовал уведомление о блокировке за «киберзлоупотребление» с указанием предполагаемого ущерба примерно на $500 и нескольких сбросов квоты, подчеркнув, что проводил только локальное исследование и не атаковал другие системы. Одновременно пользователи Reddit сообщили, что Claude Opus 5,5 стал чаще прерывать и блокировать запросы, связанные с реверс-инжинирингом. В одном случае система остановила анализ открытого инструмента REA, а другой пользователь с подпиской за $200 в месяц заявил, что Claude отказался разбирать файл сбоя Windows, тогда как связка OpenCode Go за $10 в месяц и DeepSeek помогла найти неисправную инструкцию процессора.

Upbit перевела Inicia INIT в категорию токенов, требующих осторожности при торговле, из-за неурегулированных проблем с безопасностью, включая возможные хакерские атаки в связанных с проектом кошельках и инфраструктуре. Биржа приостановила пополнение и вывод INIT: при возобновлении сначала откроют только вывод средств, а о восстановлении пополнения сообщат отдельно.

Пользователи сервиса Bloom Trading могли стать жертвами массовой кражи: с кошельков 49 пострадавших вывели 9 408 SOL на сумму около $954 000. Крупнейшая подтвержденная кража составила 1 636 SOL, или около $166 000, после чего пользователям рекомендовали отключить сервис и перевести средства на новые кошельки. Команда Bloom Trading сообщила, что расследует инцидент, часть сервисов временно приостановлена, при этом остальные кошельки, по ее данным, остаются в безопасности.

Соучредитель AllianceDAO Ван Цяо заявил, что криптовалютная отрасль лучше подготовлена к будущим угрозам со стороны искусственного интеллекта и квантовых технологий, чем интернет и традиционный финансовый сектор. По его словам, в течение следующих 2 лет это станет очевидно всему миру: за десятилетие рынок криптовалют с объемом в триллионы долларов стал одной из главных целей для атак, что укрепило его защиту и сформировало сильную культуру безопасности.

В The Wall Street Journal вышло полностраничное объявление американской некоммерческой организации Common Sense Leadership Fund с предупреждением о рисках токенизации акций и призывом к руководителям публичных компаний обратить на это внимание. Авторы рекламы заявили, что размещение акций в виде токенов на нерегулируемых платформах может привести к проблемам с ценообразованием, правами собственности, защитой инвесторов, киберкражами и юридической ответственностью. Ранее возражения против таких инициатив высказали 22 компании, включая Microsoft, Goldman Sachs, McDonald’s и Alphabet, на фоне обсуждения проекта OKX и ICE.

BNB Chain представила проект New L1 — новой EVM-совместимой сети первого уровня для быстрых операций с низкой задержкой. В документации указано, что сеть получит финализацию за доли секунды, встроенную абстракцию аккаунтов, предварительное подтверждение транзакций, многоканальную пропускную способность с резервированием и инструменты для приватных переводов. CZ, комментируя инициативу, заявил: «Множество цепочек, одна монета».

ИИ-система Claude от Anthropic без разрешения получила доступ к общедоступным данным об избирателях штата Джорджия, которые обычно предоставляются за плату. В компании уточнили, что модель использовалась во внутреннем статистическом проекте, не получала доступ к системе регистрации избирателей, не меняла данные и не извлекала записи о голосовании. По данным Axios, Claude самостоятельно запросил токен для входа в платную информационную панель.