MEGANews. Cамые важные события в мире инфосека за февраль

Замедление Telegram в России

В фев­рале Рос­комнад­зор перешел к активно­му замед­лению Telegram. Поль­зовате­ли по всей стра­не стол­кну­лись с проб­лемами при заг­рузке фото, видео и голосо­вых сооб­щений, а сер­висы монито­рин­га зафик­сирова­ли свы­ше 10 тысяч жалоб за сут­ки.

10 фев­раля пред­ста­вите­ли РКН офи­циаль­но под­твер­дили, что вво­дят «пос­ледова­тель­ные огра­ниче­ния» про­тив мес­сен­дже­ра. По сло­вам пред­ста­вите­лей ведомс­тва, адми­нис­тра­ция Telegram про­дол­жает игно­риро­вать рос­сий­ское законо­датель­ство и не при­нима­ет реаль­ных мер для про­тиво­дей­ствия мошен­ничес­тву и исполь­зованию его в прес­тупных и тер­рорис­тичес­ких целях, а так­же не обес­печива­ет защиту пер­сональ­ных дан­ных:

В свя­зи с этим по решению упол­номочен­ных орга­нов Рос­комнад­зор про­дол­жит вве­дение пос­ледова­тель­ных огра­ниче­ний с целью добить­ся исполне­ния рос­сий­ско­го законо­датель­ства и обес­печить защиту граж­дан.

Па­рал­лель­но из Наци­ональ­ной сис­темы домен­ных имен ис­чезли записи для WhatsApp, Facebook, Instagram (при­над­лежат ком­пании Meta, деятель­ность которой приз­нана экс­тре­мист­ской и зап­рещена в РФ), YouTube и Tor Project. По информа­ции СМИ, при­чина может быть тех­ничес­кой: обо­рудо­вание ТСПУ (тех­ничес­кие средс­тва про­тиво­дей­ствия угро­зам) работа­ет на пре­деле мощ­ностей и не может одновре­мен­но замед­лять нес­коль­ко круп­ных сер­висов.

18 фев­раля гла­ва Мин­цифры Мак­сут Шада­ев на заседа­нии комите­та Гос­думы за­явил, что у пра­воох­ранитель­ных орга­нов есть «пря­мые под­твержде­ния» дос­тупа инос­тран­ных спец­служб к перепис­ке в Telegram и проб­лема при­обре­ла «сис­темати­чес­кий харак­тер»:

У нас есть пря­мые под­твержде­ния со сто­роны пра­воох­ранитель­ных орга­нов, что, к сожале­нию, если в начале СВО Telegram рас­смат­ривал­ся как дос­таточ­но ано­ним­ный сер­вис, им поль­зовались наши воен­ные, то сей­час мно­го фак­тов, которые под­твержде­ны нашими орга­нами, о том, что дос­туп к перепис­кам в Telegram име­ют инос­тран­ные спец­служ­бы, — рас­ска­зал гла­ва Мин­цифры. — Если рань­ше это все‑таки носило эпи­зоди­чес­кий харак­тер, то сей­час это носит уже сис­темати­чес­кий харак­тер.

Кро­ме того, адми­нис­тра­ция мес­сен­дже­ра, по сло­вам Шада­ева, про­игно­риро­вала око­ло 150 тысяч зап­росов об уда­лении зап­рещен­ного кон­тента (в том чис­ле 1500 каналов с CSAM, 4000 фишин­говых ботов, 18 тысяч матери­алов нацист­ской темати­ки и более 100 тысяч тре­бова­ний, свя­зан­ных с дис­кре­дита­цией воору­жен­ных сил).

На воп­рос о даль­нейших пла­нах Шада­ев отве­тил: «Сна­чала штра­фы, потом голосо­вые, потом замед­ление, даль­ше я не могу ска­зать». Он уточ­нил, что основная фун­кци­ональ­ность пока дос­тупна — замед­ляет­ся толь­ко заг­рузка боль­ших фай­лов, а в зоне СВО работу мес­сен­дже­ра пока решили не огра­ничи­вать.

Пред­ста­вите­ли Telegram наз­вали заяв­ления о взло­ме шиф­рования мес­сен­дже­ра «пред­намерен­ной фаль­сифика­цией, приз­ванной оправдать зап­рет и при­нуж­дение граж­дан к исполь­зованию кон­тро­лиру­емой государс­твом плат­формы для обме­на сооб­щени­ями».

Ос­нователь мес­сен­дже­ра Павел Дуров выс­казал­ся о замед­лении Telegram дваж­ды. Сна­чала он заявил, что Рос­сия пыта­ется зас­тавить граж­дан перей­ти на «при­ложе­ние, соз­данное для слеж­ки и полити­чес­кой цен­зуры», и напом­нил о про­вале ана­логич­ной стра­тегии в Ира­не.

Поз­же Дуров разоб­рал аргу­мент о «китай­ском пути» с WeChat. По его сло­вам, ни один успешный наци­ональ­ный мес­сен­джер (ни WeChat, ни KakaoTalk, ни LINE) не стал лидером бла­года­ря бло­киров­ке кон­курен­тов, все победи­ли в сво­бод­ной рыноч­ной кон­курен­ции. Дуров писал:

Кон­курен­ция — дви­жущая сила инно­ваций. Ее устра­нение лишь сни­зит качес­тво жиз­ни и безопас­ность обще­ния людей.

Так­же Дуров пообе­щал при­дер­живать­ся прин­ципов сво­боды сло­ва и защиты кон­фиден­циаль­нос­ти поль­зовате­лей, «нев­зирая на любое дав­ление».

На­пом­ним, что огра­ниче­ния работы мес­сен­дже­ров начались еще в августе 2025 года с бло­киров­ки голосо­вых звон­ков в WhatsApp и Telegram. В октябре РКН перешел к час­тично­му огра­ниче­нию работы сер­висов, а в нояб­ре пре­дуп­редил о воз­можной пол­ной бло­киров­ке WhatsApp.

Взлом механизма обновлений Notepad++

Еще в кон­це 2025 года поль­зовате­ли за­мети­ли, что сис­тема обновле­ний Notepad++ раз­дает мал­варь вмес­то легитим­ных обновле­ний. Вре­донос выпол­нял клас­сичес­кую раз­ведку — собирал информа­цию о сис­теме через netstat, systeminfo, tasklist и whoami, а резуль­таты переда­вал на temp[.]sh с помощью curl.

Уже тог­да ИБ‑спе­циалист Кевин Бомонт (Kevin Beaumont) пре­дуп­реждал, что ему извес­тно минимум о трех пос­тра­дав­ших орга­низа­циях, и все они име­ли биз­нес‑инте­ресы в Вос­точной Азии.

2 фев­раля раз­работ­чик Notepad++ Дон Хо (Don Ho) обна­родо­вал резуль­таты про­веден­ного рас­сле­дова­ния. Ока­залось, что ата­ка началась еще в июне 2025 года и осу­щест­вля­лась через ком­про­мета­цию инфраструк­туры хос­тинг‑про­вай­дера сай­та notepad-plus-plus.org: зло­умыш­ленни­ки перех­ватыва­ли и выбороч­но перенап­равля­ли тра­фик обновле­ний на свои сер­веры.

Пос­ле пла­ново­го обслу­жива­ния 2 сен­тября ата­кующие потеря­ли дос­туп к самому сер­веру, но сох­раняли кон­троль над внут­ренни­ми сер­висами про­вай­дера вплоть до 2 декаб­ря, про­дол­жая под­менять обновле­ния. Как писал Хо, сра­зу нес­коль­ко незави­симых экспер­тов свя­зали эту ата­ку с некой китай­ской «пра­витель­ствен­ной» хакер­ской груп­пиров­кой:

Я при­ношу глу­бокие изви­нения всем поль­зовате­лям, пос­тра­дав­шим от это­го взло­ма. Бла­года­ря вне­сен­ным изме­нени­ям и уси­лению защиты, я счи­таю, ситу­ация пол­ностью решена. Скрес­тим паль­цы.

Поз­днее спе­циалис­ты Rapid7 и «Лабора­тории Кас­пер­ско­го» опуб­ликова­ли под­робные отче­ты и сооб­щили, что за кам­пани­ей сто­ит хак­груп­па Lotus Blossom (она же Lotus Panda, Billbug) — китай­ская APT, спе­циали­зиру­ющаяся на кибер­шпи­она­же про­тив госс­трук­тур, телеко­мов и кри­тичес­кой инфраструк­туры в Юго‑Вос­точной Азии и Цен­траль­ной Аме­рике.

Ис­сле­дова­тели выяс­нили, что мас­штаб ком­про­мета­ции был шире, чем пред­полага­лось. В час­тнос­ти, ана­лити­ки «Лабора­тории Кас­пер­ско­го» обна­ружи­ли еще две цепоч­ки зараже­ния, активные с июля по сен­тябрь 2025 года, — ата­кующие еже­месяч­но пол­ностью меняли инфраструк­туру (IP-адре­са, домены, фай­лы). Целями ока­зались ИТ‑пос­тавщи­ки, госуч­режде­ния и финан­совые орга­низа­ции в Авс­тра­лии, Латин­ской Аме­рике и Юго‑Вос­точной Азии.

В Rapid7, в свою оче­редь, опи­сали ранее неиз­вес­тный бэк­дор Chrysalis, который дос­тавлял­ся через тро­яни­зиро­ван­ный NSIS-уста­нов­щик. Для заг­рузки мал­вари исполь­зовал­ся DLL sideloading через пере­име­нован­ную легитим­ную ути­литу Bitdefender Submission Wizard — при­ем, харак­терный имен­но для Lotus Blossom.

Бэк­дор пре­дос­тавлял ата­кующим инте­рак­тивный шелл, мог соз­давать про­цес­сы, выпол­нять фай­ловые опе­рации и заг­ружать/ска­чивать фай­лы. Сре­ди при­меча­тель­ных осо­бен­ностей — кас­томное хеширо­вание API, мно­жес­твен­ные уров­ни обфуска­ции и исполь­зование Microsoft Warbird, недоку­мен­тирован­ного внут­ренне­го фрей­мвор­ка Microsoft.

Для защиты Дон Хо рекомен­довал всем поль­зовате­лям вруч­ную уста­новить вер­сию 8.9.1, которая уже вклю­чает про­вер­ку сер­тифика­та и под­писи заг­ружа­емо­го уста­нов­щика.

4% коммитов на GitHub пишет Claude Code

• По дан­ным спе­циалис­тов ком­пании SemiAnalysis, 4% пуб­личных ком­митов на GitHub сей­час соз­дают­ся с помощью Claude Code. Ана­лити­ки прог­нозиру­ют, что к кон­цу 2026 года этот показа­тель пре­высит 20%.

• Ис­сле­дова­тели отме­чают, что, по дан­ным METR, горизонт авто­ном­ной работы ИИ‑аген­тов удва­ивает­ся каж­дые 4–7 месяцев. Если на отметке в 30 мин агент дописы­вает код, то на 4,8 ч — рефак­торит целый модуль, а при мно­год­невных задачах спо­собен авто­мати­зиро­вать пол­ноцен­ный аудит.

• При этом под­черки­вает­ся, что сто­имость ИИ‑инс­тру­мен­тов сни­жает­ся: под­писка Claude Pro или ChatGPT сто­ит 20 дол­ларов США в месяц, тог­да как сред­ний аме­рикан­ский спе­циалист обхо­дит­ся работо­дате­лю в 350–500 дол­ларов США в день.

Бумажные фишинговые письма

Об­наруже­на необыч­ная фишин­говая кам­пания, нацелен­ная на поль­зовате­лей аппа­рат­ных крип­товалют­ных кошель­ков Trezor и Ledger. Вмес­то тра­дици­онных элек­трон­ных писем зло­умыш­ленни­ки рас­сыла­ют бумаж­ные пись­ма на офи­циаль­ных блан­ках, стре­мясь зав­ладеть seed-фра­зами и похитить средс­тва жертв.

Пись­ма выг­лядят как офи­циаль­ные уве­дом­ления от отде­лов безопас­ности Trezor и Ledger. В них говорит­ся о яко­бы новой обя­затель­ной про­цеду­ре — про­вер­ке аутен­тифика­ции или про­вер­ке тран­закций. Получа­телям пред­лага­ют отска­ниро­вать QR-код и прой­ти верифи­кацию на спе­циаль­ном сай­те до опре­делен­ной даты, ина­че они потеря­ют дос­туп к фун­кци­ям сво­его кошель­ка.

Од­ним из получа­телей таких писем стал ИБ‑эксперт Дмит­рий Сми­лянец, который и рас­ска­зал о новой улов­ке мошен­ников. В пись­ме, которое Сми­лянец получил от лица ком­пании Trezor, утвер­жда­лось, что поль­зовате­лю необ­ходимо завер­шить про­цесс про­вер­ки до 15 фев­раля 2026 года.

Как сооб­щали дру­гие поль­зовате­ли, ана­логич­ные пос­лания, написан­ные от лица пред­ста­вите­лей Ledger, содер­жали дату 15 октября 2025 года. Оба пись­ма соз­давали искусс­твен­ное чувс­тво сроч­ности, под­талки­вая жертв к немед­ленным дей­стви­ям.

QR-коды из писем ведут на вре­донос­ные сай­ты, ими­тиру­ющие офи­циаль­ные стра­ницы нас­трой­ки Trezor и Ledger. На момент про­веде­ния рас­сле­дова­ния один из фишин­говых доменов уже был заб­локиро­ван, но сайт — двой­ник Trezor оста­вал­ся активным.

Мо­шен­ничес­кая схе­ма прос­та и стро­ится на пси­холо­гичес­ком дав­лении. Под­дель­ные стра­ницы пре­дуп­режда­ют о воз­можных серь­езных пос­ледс­тви­ях: огра­ниче­нии дос­тупа к кошель­ку, ошиб­ках при под­писании тран­закций, проб­лемах с обновле­ниями. На финаль­ном эта­пе от поль­зовате­лей тре­буют ввес­ти seed-фра­зу, сос­тоящую из 12, 20 или 24 слов. Яко­бы это необ­ходимо для под­твержде­ния вла­дения устрой­ством. Объ­ясне­ние на фишин­говом сай­те гла­сило:

За­вер­шите нас­трой­ку про­вер­ки аутен­тифика­ции до 15 фев­раля 2026 года, толь­ко если вы не при­обре­ли Trezor Safe 7, Trezor Safe 5, Trezor Safe 3 или Trezor Safe 1 пос­ле 30 нояб­ря 2025 года. Пос­ле ука­зан­ной даты устрой­ство уже пред­варитель­но нас­тро­ено, и никаких дей­ствий не тре­бует­ся.

Пос­ле вво­да дан­ных они немед­ленно попада­ют в руки ата­кующих через API-интерфейс. Узнав seed-фра­зу, мошен­ники получа­ют пол­ный кон­троль над все­ми средс­тва­ми жер­твы.

Сто­ит отме­тить, что это не пер­вый слу­чай, ког­да ата­кующие перехо­дят в офлайн. К при­меру, в 2021 году зло­умыш­ленни­ки вооб­ще рас­сылали потен­циаль­ным жер­твам модифи­циро­ван­ные устрой­ства Ledger, которые ворова­ли дан­ные во вре­мя пер­вичной нас­трой­ки. А вес­ной 2025 года поль­зовате­ли аппа­рат­ных кошель­ков уже со­обща­ли о получе­нии фаль­шивых бумаж­ных писем, яко­бы написан­ных пред­ста­вите­лями Ledger.

Спе­циалис­ты напоми­нают: про­изво­дите­ли аппа­рат­ных кошель­ков никог­да и ни при каких обсто­ятель­ствах не зап­рашива­ют у поль­зовате­лей seed-фра­зы. Вво­дить их мож­но толь­ко непос­редс­твен­но на самом устрой­стве при вос­ста­нов­лении дос­тупа, но ни в коем слу­чае не на компь­юте­ре, смар­тфо­не или каком‑то сай­те.

Тим Бернерс-Ли об интернете

Соз­датель World Wide Web Тим Бер­нерс‑Ли (Tim Berners-Lee) дал интервью The Guardian. Изоб­ретатель веба приз­нался, что разоча­рован тем, во что прев­ратилось его детище: соц­сети вро­де X, Snapchat и YouTube манипу­лиру­ют вов­лечен­ностью, вызыва­ют зависи­мость и рас­простра­няют дезин­форма­цию. Бер­нерс‑Ли наз­вал свою мис­сию «бит­вой за душу веба» и заявил, что еще не поз­дно все испра­вить:

Это лишь неболь­шая часть все­го интерне­та, но проб­лема в том, что люди про­водят на этих сай­тах очень мно­го вре­мени, потому что они вызыва­ют зависи­мость. [Эта часть веба] опти­мизи­рова­на для зло­бы.

Рань­ше сущес­тво­вала ман­тра, что тех­нологии ней­траль­ны, а люди быва­ют хороши­ми и пло­хими. На самом деле это неп­равда при­мени­тель­но к вебу. То, как вы про­екти­руете сайт — будь то Reddit, Pinterest или Snapchat, — может быть явным бла­гом. Или, если при­ори­тетом ста­новит­ся вов­лечен­ность, его алго­ритм может быть явным злом.

Мы можем починить интернет. Еще не поз­дно.

Хакеры копируют Gemini

Ко­ман­да Google Threat Intelligence Group (GTIG) опуб­ликова­ла отчет о мас­штаб­ных зло­упот­ребле­ниях боль­шой язы­ковой моделью Gemini. По дан­ным ком­пании, зло­умыш­ленни­ки исполь­зуют ИИ на всех эта­пах сво­их атак — от раз­ведки до эксфиль­тра­ции дан­ных. Более того, отдель­ные груп­пы пыта­ются кло­ниро­вать саму модель с помощью дис­тилля­ции.

Ана­лити­ки зафик­сирова­ли даже попыт­ки извле­чения зна­ний из Gemini через мас­совые зап­росы. В одном из слу­чаев ата­кующие отпра­вили модели более 100 тысяч пром­птов на раз­ных язы­ках, собирая отве­ты для обу­чения собс­твен­ной, более дешевой копии модели, вос­про­изво­дящей про­цес­сы при­нятия решений для ими­тации фун­кци­ональ­нос­ти.

Та­кая прак­тика называ­ется дис­тилля­цией и пред­став­ляет собой серь­езную ком­мерчес­кую и кон­курен­тную проб­лему защиты интеллек­туаль­ной собс­твен­ности. Прин­цип прост: вмес­то того что­бы тра­тить мил­лиар­ды дол­ларов и годы на обу­чение собс­твен­ной LLM, зло­умыш­ленни­ки пыта­ются исполь­зовать уже сущес­тву­ющую модель как шор­ткат. Ата­кующие засыпа­ют Gemini тысяча­ми тща­тель­но подоб­ранных пром­птов, собира­ют все отве­ты, а затем исполь­зуют получен­ные дан­ные для тре­ниров­ки мень­шей и более дешевой модели.

Так­же спе­циалис­ты GTIG отме­тили, что «пра­витель­ствен­ные» хак­груп­пы из Китая (APT31, Temp.HEX), Ира­на (APT42), Север­ной Кореи (UNC2970) и Рос­сии активно исполь­зуют Gemini для под­дер­жки всех ста­дий сво­их атак — от раз­ведки и соз­дания фишин­говых при­манок до раз­работ­ки управля­ющей инфраструк­туры и кра­жи дан­ных.

К при­меру, китай­ские хакеры прит­ворялись ИБ‑экспер­том, что­бы поп­росить Gemini авто­мати­зиро­вать ана­лиз уяз­вимос­тей и пре­дос­тавить пла­ны тес­тирова­ния в рам­ках вымыш­ленно­го сце­нария. Дру­гая груп­пиров­ка тес­тирова­ла инс­тру­мен­тарий Hexstrike MCP и про­сила модель ана­лизи­ровать уда­лен­ное выпол­нение кода, тех­ники обхо­да WAF и резуль­таты SQL-инъ­екций про­тив кон­крет­ных аме­рикан­ских целей.

В свою оче­редь, иран­ская APT42 исполь­зовала LLM для соци­аль­ной инже­нерии, а так­же как плат­форму для уско­рения соз­дания кас­томных вре­донос­ных инс­тру­мен­тов — от отладки до генера­ции кода и изу­чения тех­ник экс­плу­ата­ции.

Так­же ана­лити­ки зафик­сирова­ли исполь­зование ИИ для внед­рения новых воз­можнос­тей в сущес­тву­ющие семей­ства мал­вари, вклю­чая фишинг‑кит CoinBait и заг­рузчик мал­вари HonestCue.

CoinBait пред­став­ляет собой фишин­говый набор, обер­нутый в SPA на React и мас­киру­ющий­ся под крип­товалют­ный обменник для сбо­ра учет­ных дан­ных. Арте­фак­ты в коде ука­зыва­ют на то, что его раз­работ­ка велась с исполь­зовани­ем ИИ. К при­меру, одним из приз­наков исполь­зования LLM слу­жат сооб­щения с пре­фик­сом «Analytics:».

Ис­сле­дова­тели полага­ют, что эта мал­варь была соз­дана с при­мене­нием плат­формы Lovable AI, пос­коль­ку раз­работ­чик исполь­зовал кли­ент Lovable Supabase и при­ложе­ние lovable.app.

Заг­рузчик HonestCue, в свою оче­редь, пред­став­ляет собой PoC-фрей­мворк, который с помощью Gemini API генери­рует код на C# для вто­рой ста­дии мал­вари, а затем ком­пилиру­ет и исполня­ет пей­лоады в памяти.

Спе­циалис­ты Google под­черки­вают, что уже заб­локиро­вали акка­унты и инфраструк­туру всех обна­ружен­ных зло­умыш­ленни­ков, а так­же внед­рили новые защит­ные меры, что­бы усложнить подоб­ные ата­ки в будущем.

Атака на телекомы Сингапура

Агентство кибер­безопас­ности Син­гапура (CSA) сооб­щило, что прош­лый год ока­зал­ся тяжелым для телеком­муника­цион­ного сек­тора стра­ны. Выяс­нилось, что китай­ская хак­груп­па UNC3886 про­ник­ла в сети всех четырех круп­ней­ших опе­рато­ров свя­зи Син­гапура: Singtel, StarHub, M1 и Simba.

Об­наружив ата­ку, влас­ти запус­тили мас­штаб­ную опе­рацию Cyber Guardian, что­бы оста­новить зло­умыш­ленни­ков и очис­тить инфраструк­туру. Опе­рация дли­лась 11 месяцев и ста­ла круп­ней­шей в исто­рии стра­ны. В ней были задей­ство­ваны более 100 спе­циалис­тов из шес­ти пра­витель­ствен­ных ведомств, силовых струк­тур и раз­ведки.

По офи­циаль­ным дан­ным, ата­кующие про­ник­ли в сис­темы опе­рато­ров свя­зи еще в начале 2025 года. Пер­вые сиг­налы о стран­ной активнос­ти влас­ти получи­ли летом, ког­да сами телеко­мы начали док­ладывать о подоз­ритель­ных событи­ях в сво­их сетях. С это­го момен­та началась дол­гая и скрыт­ная борь­ба с хакера­ми без оста­нов­ки кри­тичес­ких сер­висов.

Со­обща­ется, что UNC3886 исполь­зовала ком­бинацию неназ­ванных 0-day-уяз­вимос­тей и кас­томных рут­китов для скрыт­ного про­ник­новения в сети и сох­ранения сво­их позиций. В CSA под­черки­вают, что ата­ка была хирур­гичес­ки точ­ной и тща­тель­но спла­ниро­ван­ной. Груп­пиров­ка про­думан­но выбира­ла цели, обхо­дила защиту и зак­репля­лась в наибо­лее важ­ных учас­тках инфраструк­туры.

Хо­тя влас­ти не рас­кры­вают под­робнос­ти об исполь­зован­ных хакера­ми уяз­вимос­тях, ранее ИБ‑спе­циалис­ты Mandiant от­мечали, что UNC3886 экс­плу­ати­рова­ла проб­лемы нулево­го дня в фай­рво­лах FortiGate (CVE-2022-41328), VMware ESXi (CVE-2023-20867) и VMware vCenter Server (CVE-2023-34048).

При этом син­гапур­ские влас­ти заяв­ляют, что хакеры не сумели получить дос­туп к поль­зователь­ским дан­ным. Хотя груп­па зак­репилась в сетях телеко­мов, укра­ден­ная информа­ция огра­ничи­лась тополо­гией сетей, кон­фигура­циями и дру­гой информа­цией, полез­ной в рам­ках дол­госроч­ной раз­ведки.

Ни­каких наруше­ний в работе сер­висов не было зафик­сирова­но. Министр циф­рового раз­вития и информа­ции Жозефин Тео (Josephine Teo) под­чер­кну­ла, что Син­гапур избе­жал катас­тро­фичес­ких пос­ледс­твий, к которым обыч­но при­водят подоб­ные ата­ки.

В кон­це 2024 года ста­ло извес­тно о похожей опе­рации китай­ской груп­пиров­ки Salt Typhoon, в рам­ках которой хакеры ском­про­мети­рова­ли инфраструк­туру нес­коль­ких аме­рикан­ских телеко­мов и получи­ли дос­туп к сис­темам закон­ного прос­лушива­ния. Пос­ле это­го ФБР пред­ложило наг­раду в раз­мере до 10 мил­лионов дол­ларов США за информа­цию об учас­тни­ках хак­груп­пы.

1,5 миллиона хищений со счетов зафиксировали в России за 2025 год

• Как сооб­щило изда­ние «Ком­мерсант», по дан­ным Бан­ка Рос­сии, в 2025 году количес­тво хищений со сче­тов впер­вые пре­выси­ло 1,5 мил­лиона опе­раций. Общий объ­ем укра­ден­ного вырос по срав­нению с 2024 годом на 1,8 мил­лиар­да руб­лей.

• Мо­шен­ники сме­щают фокус с карт на дис­танци­онное бан­ков­ское обслу­жива­ние (ДБО) и сис­тему быс­трых пла­тежей (СБП). Объ­ем хищений по кар­там сни­зил­ся на 1,5 мил­лиар­да руб­лей, зато через ДБО вырос на 1 мил­лиард руб­лей, через СБП — на 1,7 мил­лиар­да руб­лей, а в элек­трон­ных кошель­ках — на 70% (до 170 мил­лионов руб­лей).
• Сред­ний раз­мер хищения сни­зил­ся с 23 тысяч до 18,7 тысячи руб­лей — минимум за всю исто­рию наб­людений. Час­тично это объ­ясня­ется запус­ком обя­затель­ного сер­виса для пос­тра­дав­ших в мобиль­ных при­ложе­ниях бан­ков (с 1 октября 2025 года): заяв­лять о мел­ких хищени­ях ста­ло про­ще.
• Эк­спер­ты свя­зыва­ют рост хищений через ДБО и СБП с эво­люци­ей мошен­ничес­ких схем. Кар­точный антифрод стал зна­читель­но жес­тче, а перево­ды через мобиль­ное при­ложе­ние или СБП кли­ент под­твержда­ет сам — тех­ничес­ки опе­рация выг­лядит легитим­ной.

Кампания VK Styles

Эк­спер­ты ком­пании Koi Security обна­ружи­ли, что око­ло 500 тысяч поль­зовате­лей «Вкон­такте» ста­ли жер­тва­ми ата­ки через вре­донос­ные рас­ширения для Chrome. В общей слож­ности иссле­дова­тели выяви­ли пять опас­ных рас­ширений, замас­кирован­ных под инс­тру­мен­ты кас­томиза­ции VK. Самое популяр­ное из них, VK Styles, нас­читыва­ло свы­ше 400 тысяч заг­рузок.

Кам­пания дли­лась око­ло семи месяцев и зат­ронула в основном рус­ско­языч­ных поль­зовате­лей из стран Вос­точной Евро­пы, Цен­траль­ной Азии и рус­ско­языч­ных диас­пор по все­му миру.

На пер­вый взгляд рас­ширения выг­лядели безобид­но и яко­бы содер­жали кас­томные темы офор­мле­ния и допол­нитель­ные фун­кции для «Вкон­такте». Одна­ко сис­тема оцен­ки рис­ков Koi Security обна­ружи­ла, что рас­ширение для Chrome внед­ряло скрип­ты кон­текс­тной рек­ламы «Яндекса» на каж­дую стра­ницу, откры­ваемую поль­зовате­лем. Даль­нейшее рас­сле­дова­ние обна­ружи­ло стран­ность в коде рас­ширения — ID мет­рики «Яндекса» вычис­лялся динами­чес­ки (по фор­муле R-A- + 843 079 ⋅ 2), что­бы обой­ти ста­тичес­кий ана­лиз.

Ис­сле­дова­тели уста­нови­ли, что за этой кам­пани­ей сто­ял зло­умыш­ленник под ником 2vk, исполь­зовав­ший инфраструк­туру VK для управле­ния мал­варью. Так, вре­донос заг­ружал код из метадан­ных про­филя vk[.]com/m0nda, который работал как замас­кирован­ный управля­ющий сер­вер: в HTML-метате­гах были закоди­рова­ны ссыл­ки на GitHub и «Яндекс», отку­да ска­чива­лась основная полез­ная наг­рузка — обфусци­рован­ный JavaScript, внед­рявший­ся на каж­дую стра­ницу VK.

Ана­лиз 17 ком­митов на GitHub 2vk (с июня 2025-го по январь 2026 года) показал пос­тоян­ную эво­люцию мал­вари: от манипу­ляции CSRF-cookie до авто­под­писки на груп­пы, сбро­са нас­тро­ек и отсле­жива­ния донатов через VK Donut API.

Спе­циалис­ты под­черки­вают, что это не нас­пех написан­ный вре­донос, а пол­ноцен­ный под­держи­ваемый про­ект с кон­тро­лем вер­сий и ите­ратив­ными доработ­ками.

C веро­ятностью 75% при каж­дом визите в VK мал­варь под­писыва­ла жер­тву на груп­пу VK Styles (1,4 мил­лиона учас­тни­ков), соз­давая видимость популяр­ности, — друзья пос­тра­дав­ших видели под­писку и тоже начина­ли доверять рас­ширению. Даже пос­ле отписки сох­ранял­ся 75%-й шанс пов­торной под­писки.

Кро­ме того, каж­дые 30 дней вре­донос сбра­сывал нас­трой­ки про­филя жер­твы, а так­же внед­рял скрип­ты кон­текс­тной рек­ламы «Яндекса» на все стра­ницы, при этом ID мет­рики вычис­лялся динами­чес­ки, что­бы обой­ти ста­тичес­кий ана­лиз.

От­дель­но иссле­дова­тели отме­чают, что мал­варь манипу­лиро­вала CSRF-токена­ми VK (remixsec_redir), что потен­циаль­но поз­воляло обхо­дить защиту и выпол­нять дей­ствия от име­ни поль­зовате­ля, которые выг­лядели легитим­ными для сис­тем безопас­ности.

Са­ма по себе кам­пания VK Styles ока­залась отно­ситель­но безобид­ной — никаких укра­ден­ных паролей или похищен­ных дан­ных, толь­ко тем­ные пат­терны, манипу­ляции акка­унта­ми и при­нуди­тель­ные под­писки. Одна­ко экспер­ты пре­дуп­режда­ют, что сле­дующая полез­ная наг­рузка, рас­простра­няемая ана­логич­ным спо­собом, может ока­зать­ся куда серь­езнее.

Мейнтейнеры Godot об ИИ-слопе

Ре­ми Вер­шель­де (Rémi Verschelde), мей­нтей­нер опен­сор­сно­го игро­вого движ­ка Godot, пожало­вал­ся на поток сге­нери­рован­ных ИИ пул‑рек­вестов. По его сло­вам, рецен­зентам при­ходит­ся по нес­коль­ко раз в день раз­бирать­ся, написан ли код хотя бы час­тично челове­ком, понима­ет ли автор, что он отправ­ляет, и не сфаб­рикова­ны ли резуль­таты тес­тов. Сей­час в оче­реди Godot на GitHub ско­пилось более 4600 откры­тых пул‑рек­вестов. Вер­шель­де отме­тил:

ИИ‑слоп в пул‑рек­вестах ста­новит­ся все более изма­тыва­ющим и демора­лизу­ющим для мей­нтей­неров Godot. Мы гор­димся тем, что откры­ты для новых кон­трибь­юто­ров и пре­дос­тавля­ем любому поль­зовате­лю движ­ка воз­можность внес­ти свой вклад в его раз­витие. Но мей­нтей­неры уде­ляют очень мно­го вре­мени помощи новым учас­тни­кам в под­готов­ке пул‑рек­вестов, и я не знаю, как дол­го мы смо­жем это выдер­живать.

Предустановленная малварь Keenadu

Эк­спер­ты «Лабора­тории Кас­пер­ско­го» обна­ружи­ли новый Android-бэк­дор Keenadu, который про­ника­ет на устрой­ства сра­зу нес­коль­кими путями: через заражен­ные про­шив­ки, сис­темные при­ложе­ния и офи­циаль­ный магазин Google Play. В ком­пании пре­дуп­редили, что поль­зовате­ли рис­куют купить уже заражен­ные «из короб­ки» гад­жеты.

По сос­тоянию на фев­раль 2026 года решения ком­пании зафик­сирова­ли более 13 тысяч ата­кован­ных Keenadu устрой­ств. Боль­ше все­го пос­тра­дав­ших находят­ся в Рос­сии, Япо­нии, Гер­мании, Бра­зилии и Нидер­ландах.

Схе­ма встра­ива­ния бэк­дора в про­шив­ку выг­лядит сле­дующим обра­зом: вре­донос­ная ста­тичес­кая биб­лиоте­ка libVndxUtils.a лин­кует­ся с libandroid_runtime.so и заража­ет про­цесс Zygote — родитель­ский для всех при­ложе­ний в сис­теме. Копия бэк­дора ока­зыва­ется в адресном прос­транс­тве каж­дого запущен­ного при­ложе­ния, что дела­ет изо­ляцию при­ложе­ний друг от дру­га бес­смыс­ленной.

Ис­сле­дова­тели отсле­дили путь зараже­ния на при­мере план­шетов Alldocube, а имен­но модели Alldocube iPlay 50 mini Pro (T811M). Выяс­нилось, что вре­донос­ная зависи­мость попала в репози­торий с исходным кодом про­шив­ки еще на эта­пе сбор­ки. Под­черки­вает­ся, что заражен­ные про­шив­ки име­ли дей­стви­тель­ную под­пись, а все пос­леду­ющие обновле­ния для пос­тра­дав­ших моделей так­же были зараже­ны (в том чис­ле выпущен­ные уже пос­ле того, как вен­дор пуб­лично приз­нал проб­лему).

Keenadu встре­чает­ся и в устрой­ствах дру­гих про­изво­дите­лей, и, по зак­лючению иссле­дова­телей, речь идет об ата­ке на цепоч­ку пос­тавок: ском­про­мети­рован­ная зависи­мость попала в исходни­ки про­шив­ки, и про­изво­дите­ли, веро­ятно, даже не подоз­ревали о зараже­нии.

Сто­ит отме­тить, что при этом Keenadu не акти­виру­ется, если язык или часовой пояс устрой­ства жер­твы свя­заны с Кита­ем.

Ар­хитек­тура Keenadu пос­тро­ена по кли­ент‑сер­верной модели: сер­верная часть (AKServer) работа­ет в при­виле­гиро­ван­ном про­цес­се system_server, кли­ент­ская (AKClient) встра­ивает­ся во все осталь­ные при­ложе­ния. Это дает опе­рато­рам мал­вари прак­тичес­ки неог­раничен­ный кон­троль над устрой­ством: они могут выдавать и отзы­вать раз­решения у любого при­ложе­ния, получать дан­ные геоло­кации, IMEI, MAC-адрес и про­чую информа­цию об устрой­стве.

От­меча­ется, что в новых вер­сиях Android дос­тавка APK реали­зова­на через уста­новоч­ные сес­сии. Веро­ятно, таким обра­зом мал­варь пыта­ется обой­ти огра­ниче­ния, вве­ден­ные в пос­ледних вер­сиях ОС: при­ложе­ния из сто­рон­них источни­ков не могут получить дос­туп к опас­ным раз­решени­ям, в час­тнос­ти к «спе­циаль­ным воз­можнос­тям».

По сло­вам спе­циалис­тов, бэк­дор при­меня­ется для реали­зации нес­коль­ких кри­миналь­ных схем. Основная — рек­ламное мошен­ничес­тво путем скры­того вза­имо­дей­ствия с рек­ламны­ми эле­мен­тами и монети­зации уста­новок при­ложе­ний (путем ими­тации перехо­дов из рек­ламы).

Кро­ме того, отдель­ный модуль для Chrome перех­ватыва­ет поис­ковые зап­росы поль­зовате­ля (вклю­чая наб­ранные в режиме инкогни­то) и может под­менять поис­ковик.

От­дель­ный заг­рузчик нацелен на при­ложе­ния Amazon, SHEIN и Temu и, сог­ласно жалобам поль­зовате­лей, может без ведома вла­дель­ца устрой­ства добав­лять товары в кор­зины.

Осо­бого вни­мания зас­лужива­ет слу­чай, ког­да Keenadu был най­ден внут­ри сис­темно­го при­ложе­ния для рас­позна­вания лиц. Теоре­тичес­ки это давало зло­умыш­ленни­кам дос­туп к биомет­ричес­ким дан­ным жертв.

По­мимо это­го, в ряде про­шивок бэк­дор был встро­ен не в libandroid_runtime.so, а в отдель­ные сис­темные при­ложе­ния. Так­же вре­донос был най­ден как в некото­рых неофи­циаль­ных источни­ках, так и в магази­нах Google Play и Xiaomi GetApps.

В офи­циаль­ном магази­не Google Play наш­ли сра­зу нес­коль­ко заражен­ных мал­варью при­ложе­ний для умных камер, общее количес­тво заг­рузок которых пре­выша­ло 300 тысяч. В нас­тоящее вре­мя они уже уда­лены.

Так­же сооб­щает­ся, что в ходе иссле­дова­ния уда­лось уста­новить связь Keenadu с дру­гими круп­ными Android-бот­нетами: Triada, BADBOX и Vo1d. К при­меру, выяс­нилось, что BADBOX ска­чивал один из модулей Keenadu, а код обо­их вре­доно­сов име­ет замет­ные сходс­тва (хотя раз­личий тоже немало). Из‑за это­го иссле­дова­тели пред­полага­ют, что авто­ры Keenadu вдох­новля­лись исходни­ками BADBOX.

Дмит­рий Калинин, стар­ший эксперт по кибер­безопас­ности «Лабора­тории Кас­пер­ско­го», ком­менти­рует:

Пре­дус­танов­ленное вре­донос­ное ПО — проб­лема, которая оста­ется акту­аль­ной для мно­жес­тва Android-устрой­ств. Ничего не подоз­рева­ющие поль­зовате­ли могут слу­чай­но при­обрести уже заражен­ные гад­жеты. Поэто­му, что­бы обе­зопа­сить свои устрой­ства и дан­ные, необ­ходимо уста­нав­ливать защит­ные прог­раммы, спо­соб­ные обна­ружи­вать вре­донос­ное ПО. Мы пред­полага­ем, что про­изво­дите­ли не зна­ли о ком­про­мета­ции цепоч­ки пос­тавок, в резуль­тате которой Keenadu про­ник на устрой­ства, пос­коль­ку злов­ред ими­тиро­вал легитим­ные ком­понен­ты сис­темы. В све­те таких угроз важ­но, что­бы про­изво­дите­ли тща­тель­но кон­тро­лиро­вали каж­дый этап про­изводс­тва устрой­ств и про­веря­ли, что про­шив­ка не зараже­на.

Уда­лить Keenadu штат­ными средс­тва­ми Android невоз­можно: в сов­ремен­ных вер­сиях ОС сис­темный раз­дел, где находит­ся libandroid_runtime.so, смон­тирован в режиме «толь­ко для чте­ния». Единс­твен­ный вари­ант — най­ти и уста­новить чис­тую про­шив­ку от про­изво­дите­ля (если таковая сущес­тву­ет) или переп­рошить устрой­ство самос­тоятель­но. До замены про­шив­ки в ком­пании рекомен­дуют вов­се отка­зать­ся от исполь­зования заражен­ных устрой­ств.

RCE-уязвимость в «Блокноте»

Раз­работ­чики Microsoft испра­вили уяз­вимость в «Блок­ноте» (Notepad) для Windows 11. Проб­лема поз­воляла запус­кать локаль­ные или уда­лен­ные фай­лы через Markdown-ссыл­ки, что мог­ло при­вес­ти к уда­лен­ному выпол­нению кода.

С выходом Windows 11 ком­пания Microsoft решила упраз­днить WordPad и серь­езно перера­бота­ла клас­сичес­кий «Блок­нот», прев­ратив его из прос­того тек­сто­вого редак­тора в инс­тру­мент с под­дер­жкой фор­матиро­вания и Markdown. Теперь «Блок­нот» уме­ет откры­вать и редак­тировать фай­лы в фор­мате .md, а Markdown-ссыл­ки в нем ста­новят­ся кли­кабель­ными.

Имен­но эта фун­кци­ональ­ность и ста­ла век­тором ата­ки. В рам­ках фев­раль­ско­го «втор­ника обновле­ний» Microsoft рас­кры­ла информа­цию об уяз­вимос­ти CVE-2026-20841.

В бюл­летене безопас­ности Microsoft сооб­щает­ся:

Не­кор­рек­тная ней­тра­лиза­ция спе­циаль­ных эле­мен­тов, исполь­зуемых в коман­дах, в при­ложе­нии Windows Notepad поз­воля­ет неав­торизо­ван­ному зло­умыш­ленни­ку уда­лен­но выпол­нить код.

По сло­вам раз­работ­чиков, для экс­плу­ата­ции бага дос­таточ­но обма­ном зас­тавить поль­зовате­ля клик­нуть по вре­донос­ной ссыл­ке в Markdown-фай­ле, откры­том в «Блок­ноте»:

Вре­донос­ный код выпол­няет­ся в кон­тек­сте прав текуще­го поль­зовате­ля, открыв­шего Markdown-файл, и дает ата­кующе­му те же при­виле­гии, что у это­го поль­зовате­ля.

«Блок­нот» в Windows 11 обновля­ется через Microsoft Store, так что патч рас­простра­нит­ся авто­мати­чес­ки и уяз­вимость вряд ли успе­ет нанес­ти серь­езный ущерб.

Пуб­ликация информа­ции об этой проб­леме прив­лекла вни­мание ИБ‑сооб­щес­тва. Иссле­дова­тели ра­зоб­рались в механиз­ме экс­плу­ата­ции бага и выяс­нили, что дос­таточ­но соз­дать файл .md со ссыл­ками вида file://, ука­зыва­ющи­ми на исполня­емые фай­лы, или исполь­зовать спе­циаль­ные URI вро­де ms-appinstaller://.

Ес­ли поль­зователь откры­вал такой файл в «Блок­ноте» вер­сии 11.2510 или более ран­ней, перек­лючал­ся в режим Markdown и кли­кал по ссыл­ке, ука­зан­ная прог­рамма запус­калась без какого‑либо пре­дуп­режде­ния со сто­роны Windows. Более того, ссыл­ки мог­ли ука­зывать на фай­лы в уда­лен­ных SMB-шарах, что рас­ширяло воз­можнос­ти для ата­ки.

Microsoft испра­вила проб­лему, добавив диалог под­твержде­ния для любых ссы­лок, исполь­зующих про­токо­лы, отличные от http:// и https://. Теперь при кли­ке на ссыл­ки с URI-схе­мами file:, ms-settings:, ms-appinstaller:, mailto: и дру­гими «Блок­нот» будет отоб­ражать пре­дуп­режде­ние.

Од­нако теперь спе­циалис­ты зада­ются воп­росом, почему Microsoft изна­чаль­но не огра­ничи­ла набор допус­тимых про­токо­лов. Ведь зло­умыш­ленник по‑преж­нему может убе­дить поль­зовате­ля нажать «Да» в новом диало­говом окне с помощью соци­аль­ной инже­нерии.

27 бит энтропии — надежность паролей, сгенерированных LLM

• Спе­циалис­ты ком­пании Irregular 50 раз поп­росили ChatGPT, Claude и Gemini сге­нери­ровать пароль из 16 сим­волов с заг­лавны­ми и строч­ными бук­вами, циф­рами и спец­симво­лами.
• Из 50 паролей, соз­данных Claude, толь­ко 30 были уни­каль­ными — 20 дуб­лирова­лись и 18 из них ока­зались одной и той же стро­кой.
• У всех трех моделей обна­ружи­лись харак­терные пат­терны: сов­пада­ющие началь­ные и конеч­ные сим­волы, пред­ска­зуемые пос­ледова­тель­нос­ти.
• По фор­муле Шен­нона реаль­ная энтро­пия LLM-паролей сос­тавила око­ло 27 бит (по сим­воль­ной ста­тис­тике) и око­ло 20 бит (по логариф­мичес­ким веро­ятностям). Тог­да как по‑нас­тояще­му слу­чай­ный пароль той же дли­ны дает 98–120 бит. На прак­тике это озна­чает, что пароль от ИИ мож­но взло­мать за нес­коль­ко часов даже на ста­ром железе.

• Ис­сле­дова­тели под­черки­вают: проб­лему нель­зя решить «пра­виль­ным пром­птом» — LLM по при­роде опти­мизи­рова­ны на пред­ска­зуемость, а не на слу­чай­ность. Для генера­ции паролей рекомен­дуют исполь­зовать спе­циали­зиро­ван­ные инс­тру­мен­ты.

ИИ-скандал в HackerOne

Баг­баун­ти‑плат­форма HackerOne ока­залась в цен­тре скан­дала: иссле­дова­тели заподоз­рили, что ком­пания может исполь­зовать их отче­ты об уяз­вимос­тях для обу­чения ИИ‑моделей. В ито­ге отве­чать спе­циалис­там приш­лось CEO ком­пании Каре Спраг (Kara Sprague).

По­водом для слу­чив­шегося пос­лужила запущен­ная в прош­лом месяце плат­форма Agentic PTaaS — новый про­дукт HackerOne, который ком­пания опи­сыва­ет как «неп­рерыв­ную про­вер­ку безопас­ности с авто­ном­ными ИИ‑аген­тами и челове­чес­кой экспер­тизой». В опи­сании отдель­но под­черки­валось, что аген­ты «про­ходят обу­чение и совер­шенс­тву­ются на проп­риетар­ной базе зна­ний об экс­пло­итах, накоп­ленной HackerOne за годы тес­тирова­ния реаль­ных кор­поратив­ных сис­тем».

В ито­ге баг­ханте­ры задались оче­вид­ным воп­росом: отку­да взя­лись эти дан­ные для обу­чения? Быв­ший иссле­дова­тель под ником YShahinzadeh писал:

Как быв­ший баг­хантер на H1, наде­юсь, что вы не исполь­зовали мои репор­ты для обу­чения ваших ИИ‑аген­тов.

Дру­гой спе­циалист под ником AegisTrail сфор­мулиро­вал свое мне­ние еще мрач­нее:

Ког­да white hat’ы чувс­тву­ют, что пра­вовая сис­тема работа­ет про­тив них, прив­лекатель­ность тем­ной сто­роны ста­новит­ся воп­росом злос­ти и выжива­ния, а не эти­ки.

На ситу­ацию была вынуж­дена отре­аги­ровать CEO HackerOne Кара Спраг, которая дала раз­верну­тый ком­мента­рий о ситу­ации через LinkedIn. Гла­ва ком­пании заяви­ла:

HackerOne не обу­чает генера­тив­ные ИИ‑модели — ни внут­ри ком­пании, ни через сто­рон­них про­вай­деров — на отче­тах иссле­дова­телей или кон­фиден­циаль­ных дан­ных кли­ентов.

Так­же она под­чер­кну­ла, что отче­ты спе­циалис­тов не исполь­зуют­ся для тон­кой нас­трой­ки и ино­го улуч­шения моделей, а сто­рон­ним пос­тавщи­кам моделей пря­мо зап­рещено «хра­нить или исполь­зовать дан­ные иссле­дова­телей или кли­ентов для обу­чения собс­твен­ных моделей».

По сло­вам Спраг, аген­тная ИИ‑сис­тема HackerOne Hai соз­дана «для уско­рения получе­ния резуль­татов, таких как верифи­циро­ван­ные отче­ты, исправ­ления оши­бок и вып­лачен­ные воз­награж­дения, при сох­ранении целос­тнос­ти и кон­фиден­циаль­нос­ти вкла­да иссле­дова­телей».

Скан­дал под­тол­кнул к пуб­личным заяв­лени­ям и кон­курен­тов HackerOne. Так, осно­ватель и гла­ва ком­пании Intigriti Стейн Янс (Stijn Jans) сооб­щил, что хочет чет­ко обоз­начить позицию ком­пании, и заверил иссле­дова­телей: «Ваша работа при­над­лежит вам». По его сло­вам, ком­пания исполь­зует ИИ толь­ко для вза­имной выгоды иссле­дова­телей и заказ­чиков, что­бы уси­лить челове­чес­кую кре­атив­ность и обес­печить более быс­трую и точ­ную обра­бот­ку резуль­татов.

По­лити­ка Bugcrowd в отно­шении ИИ уже зафик­сирова­на в усло­виях исполь­зования: треть­им сто­ронам зап­рещено обу­чать на дан­ных иссле­дова­телей и кли­ентов любые ИИ и LLM-модели. Так­же плат­форма обя­зыва­ет самих иссле­дова­телей соб­людать пра­вила при работе с генера­тив­ным ИИ: авто­мати­зиро­ван­ные или неп­роверен­ные резуль­таты не при­нима­ются к рас­смот­рению.

HackerOne, в свою оче­редь, анон­сирова­ла обновле­ние Terms and Conditions. Судя по все­му, скан­дал убе­дил ком­панию зафик­сировать свои обе­щания пись­мен­но.

Ошибка ценой 620 тысяч BTC

Юж­нокорей­ская крип­товалют­ная бир­жа Bithumb слу­чай­но отпра­вила сво­им поль­зовате­лям 620 тысяч бит­коинов (око­ло 40 мил­лиар­дов дол­ларов США) вмес­то неболь­ших про­мовып­лат.

Ве­чером 6 фев­раля 2026 года на бир­же Bithumb запус­тили обыч­ную про­моак­цию с сим­воличес­кими при­зами — око­ло 2000 вон (при­мер­но 1,4 дол­лара США). Одна­ко что‑то пош­ло не так на уров­не кон­фигура­ции сис­тем. Вмес­то скром­ных наг­рад сот­ни поль­зовате­лей получи­ли по 2000 бит­коинов каж­дый.

За счи­таные минуты на 695 акка­унтов было зачис­лено око­ло 620 тысяч BTC. По кур­су на тот момент речь шла при­мер­но о 40 мил­лиар­дах дол­ларов США. Некото­рые вла­дель­цы неожи­дан­ного богатс­тва спеш­но попыта­лись про­дать бит­коины. Рез­кий всплеск пред­ложения обру­шил цену BTC на Bithumb при­мер­но на 17% по срав­нению с дру­гими пло­щад­ками, хотя внут­реннее падение дли­лось недол­го.

Пред­ста­вите­ли бир­жи отре­аги­рова­ли на сбой быс­тро. При­мер­но через 35 мин пос­ле начала инци­ден­та тор­говля и вывод средств на зат­ронутых акка­унтах были заб­локиро­ваны. В ито­ге поч­ти все бит­коины уда­лось вер­нуть. Bithumb заяви­ла, что вос­ста­нови­ла уже 99,7% от оши­боч­но отправ­ленных поль­зовате­лям 620 тысяч BTC.

В ком­пании под­чер­кну­ли, что инци­дент про­изо­шел из‑за внут­ренней опе­раци­онной ошиб­ки, а не из‑за взло­ма или внеш­ней ата­ки:

Хо­тим про­яснить: этот инци­дент не свя­зан с какими‑либо внеш­ними хакер­ски­ми ата­ками или наруше­ниями безопас­ности и не соз­дает проб­лем для защиты сис­тем или управле­ния акти­вами кли­ентов. Средс­тва поль­зовате­лей находят­ся под надеж­ной защитой, как и преж­де, а тор­говые опе­рации, депози­ты и вывод средств работа­ют в обыч­ном режиме.

Од­нако южно­корей­ские регуля­торы жес­тко отре­аги­рова­ли на слу­чив­шееся. Пос­ле инци­ден­та пред­ста­вите­ли финан­сового над­зора стра­ны про­вели экс­трен­ные совеща­ния. Чинов­ники вырази­ли обес­поко­енность уяз­вимос­тями в сис­темах крип­тотрей­дин­га и дали понять, что могут орга­низо­вать внеп­лановые про­вер­ки работы Bithumb, если будут выяв­лены новые наруше­ния.

Де­ло в том, что это не пер­вый слу­чай, ког­да Bithumb прив­лека­ет вни­мание влас­тей и СМИ, а так­же стра­дает от хакер­ских атак.

• Пер­вый взлом Bithumb про­изо­шел еще в июле 2017 года, и тог­да со сче­тов ресур­са было похище­но неиз­вес­тное количес­тво Bitcoin и Ethereum (общей сто­имостью нес­коль­ко мил­лионов дол­ларов).
• Вто­рой взлом про­изо­шел летом 2018 года, и зло­умыш­ленни­ки похити­ли 35 мил­лиар­дов вон, то есть око­ло 31 мил­лиона дол­ларов в крип­товалю­те (пре­иму­щес­твен­но Ripple).
• Тре­тий взлом про­изо­шел в 2019 году. По дан­ным иссле­дова­телей, тог­да с горяче­го кошель­ка бир­жи было выведе­но более 3 мил­лионов токенов EOS (око­ло 13 мил­лионов дол­ларов) и 20 мил­лионов токенов Ripple (при­мер­но 6 мил­лионов дол­ларов). Взлом­щики вывели похищен­ные средс­тва в раз­личные бир­жи и обменщи­ки, вклю­чая Huobi, HitBTC, WB, EXmo.

Создатель Claude Code о профессии программиста

Бо­рис Чер­ни (Boris Cherny), соз­датель Claude Code в ком­пании Anthropic, дал интервью под­касту Y Combinator Lightcone. Чер­ни заявил, что 2026 год при­несет «безум­ные» переме­ны в ИИ‑индус­трии и радикаль­но изме­нит работу раз­работ­чиков. По его сло­вам, уже сей­час от 70 до 90% кода в Anthropic пишет ИИ, а Claude Code на 90% написан самим собой.

Чер­ни рас­ска­зал, что недав­но отпра­вил 22 пул‑рек­веста, в которых каж­дая строч­ка была сге­нери­рова­на ИИ:

Я думаю, что для меня написа­ние кода — прак­тичес­ки решен­ная задача, и ско­ро так будет для всех, незави­симо от области. Думаю, ско­ро мы уви­дим, как дол­жность инже­нер‑прог­раммист пос­тепен­но исчезнет. Воз­можно, ее заменит бил­дер, про­дакт‑менед­жер, или мы сох­раним ста­рое наз­вание прос­то по при­выч­ке.