А еще, Google начал давать ссылки на... пропагандистский проект кремля Рувики. Я не знаю зачем. Причем, я не в РФ. Очевидно, влияет язык интерфейса и запроса, но ЗАЧЕМ? "Что бы что" они делают

Binance опубликовал первый разбор взлома 29 октября.

Ушло $6,34 млрд, из них $2,85 млрд заморожено или перехвачено. ФБР показывает на КНДР. Биржа обещает покрыть потери сама и уверяет, что 98% токенов уже восполнила. Отчёт предварительный, но читать его стоит не ради цифр.

Хронология:

— Июнь. Инженер из команды кошельков ищет в поисковике, как поставить популярный ИИ-инструмент для кода, и скачивает поддельный Homebrew. Безопасники это ловят, меняют ему компьютер, перевыпускают доступы. Молодцы.
Только хакеры уже знают, кто в Binance занимается кошельками.

— Сентябрь. Другому инженеру на легальной площадке по поиску работы пишет "директор проекта". Первое собеседование с "HR" по видео (для доверия тот показывает соцсеть с личными фото). Второе с "CEO" несуществующей компании. В конце тестовое задание: скачать репозиторий.
На рабочий компьютер.
Код срабатывает при установке, подменяет pyenv, защита молчит: 0-day.

— 20 октября. Через этот компьютер и внутренний ИИ-инструмент хакеры получают контроль над двумя инженерами кошельков (как именно, Binance не уточняет). Один из них тот самый, июньский. С новым компьютером и новыми паролями. И с токеном на развёртывание контейнеров.

— 29 октября. Контейнер, скрипт, доступ к сервису подписи кошельков. Ключи красть уже незачем, если кассир сам подписывает всё, что ему подносят.

С 20:05 по 20:09 UTC пять горячих кошельков отдают 233 млн XRP. Дальше SOL и OP, и только потом внутреннее оповещение. Следом 18 270 BTC.

Теперь для гуманитариев (и для меня, я не настоящий криптан). Через EIP-7702 хакеры выписали своему смарт-контракту частичные права на горячий кошелёк. Это доверенность на счёт. Binance закрывает вывод, то есть отделение банка, а доверенность лежит в блокчейне и в отделении не нуждается.

Отозвать её должен владелец счёта. А кошелёк на MPC (Multi-Party Computation) — способ подписывать транзакции так, что полного приватного ключа нигде нет, ни на одном сервере и ни у одного человека. Схема, которая защищает от кражи ключа, не дала быстро отозвать доверенность. Пришлось на ходу делать отдельную процедуру.

Последний перевод прошёл в 23:56 UTC, доверенность обнулили в 00:10. Четыре часа с небольшим.

Короткий вывод. Криптографию никто не ломал. Поисковик, собеседование, тестовое задание, внутренний ассистент. Binance пишет, что с начала года отбил 57 атак, которые связывает с Северной Кореей, но хватило одной пропущенной.

Теперь про "корейских хакеров". ФБР называет группу TraderTraitor, но свои доказательства, судя по прессе, не раскрывает. Улики аналитиков косвенные: деньги смешались со средствами взлома Bitget, почерк похож на Bybit. Версия правдоподобная (КНДР в этом бизнесе давно). Но посмотрите, как она всем удобна:

— Binance: проиграть государству не так стыдно, как объяснять, почему токен развёртывания лежал на компьютере инженера.
— ФБР: метка Lazarus делает адреса токсичными для бирж и сервисов, а деньги отмываются прямо сейчас и не нужно никаких судов, доказывать что-то.
— Аналитикам: реклама.
— СМИ: готовый заголовок.

А в открытом суде это почти наверняка никто проверять не будет. Подсудимого не привезут, а опровержению из Пхеньяна никто не поверит.

Собственно, я не спорю, что это могла быть КНДР. Беда в том, что вопрос "кто" вытесняет вопрос "как". А тот же путь через собеседование и инструменты разработчика сработает для кого угодно.

https://x.com/binance/article/2117626126214504729

У меня появилось немного свободного времени, которое я тут же убил на... чтение Form S-1 от Антропика. Ну, потому что это основное важное, что сейчас в мире происходит.

— — —
Anthropic подала документы на IPO. Тикер ANT, по-нашему муравей (сотрудников там и правда зовут Ants).

Цифры, разумеется, загляденье: $16,3 млрд выручки за полугодие, в 14 раз больше, чем годом ранее. Во втором квартале появилась операционная прибыль.

Но интереснее другое. Раздел с рисками:

Обычно это юридическая страховка: мы можем не преуспеть, на дата-центр может упасть метеорит, вот это всё вот. А тут чтиво. Много букв, поэтому короткий пересказ.

Риск первый: деньги.

Я сложил названные в проспекте контракты на вычисления, вышло около $640 млрд (итоговая сумма пока пустая, так что считайте это оценкой). Значительная часть оплачивается независимо от использования, а некоторые договоры заключены на 20 лет. Выручка при этом в основном зависит от потребления и часто не закреплена долгими контрактами.

Для гуманитариев и депутатов: вы сняли огромный дом на годы вперёд без права выезда, а зарплата у вас почасовая. Причём заказчик может завтра передумать.

На счетах, впрочем, $131,7 млрд. Пока хватает. Но если выручка отстанет от счетов за железо, возможны перекрёстные дефолты. И эффект домино.

Риск второй: партнёры.

Amazon, Google и Microsoft для Anthropic одновременно инвесторы, поставщики, клиенты и конкуренты. Через их маркетплейсы проходит 48% выручки. То есть ваш арендодатель ещё и совладелец вашего магазина, ваш покупатель и держит такой же магазин через дорогу.

Понятно объяснил?

Риск третий: сами модели.

При тестах из-за ошибки в настройке среды четыре модели получили несанкционированный доступ к реальным чужим системам. Ранняя версия одной из них нашла пароль, стала администратором, собрала учётные данные и прочитала персональные данные человека.

Отдельно компания пишет, что модели, включая её собственные, пытались сопротивляться отключению, скрывали информацию и вели себя так, что это напоминает шантаж.

А ещё модели могут менять поведение, когда понимают, что их проверяют. Для инженеров: Volkswagen со своим дизель-гейтом это уже проходил. Только там машины никто обучать не пытался.

При этом более 90% вкладов в кодовую базу в сентябре написал сам Claude, и всё чаще модели участвуют в исследованиях безопасности.

Проверяемый помогает строить проверку. Ну что ж.

Риск четвёртый: государство.

Anthropic публично заявила, что её технологии не должны использоваться для массовой слежки внутри страны и полностью автономного оружия. В ответ президент распорядился, чтобы федеральные ведомства перестали ими пользоваться, а Пентагон признал компанию риском для цепочки поставок.

Суд в Калифорнии в основном встал на сторону Anthropic. Апелляция в Вашингтоне решением 2:1 по другой статье поддержала Пентагон.

В июне Минторг США ввёл экспортные ограничения на Fable 5 и Mythos 5, и эти модели отключили для всех клиентов, пока запрет не сняли. А в законопроектах уже обсуждают национализацию и принудительное отключение систем.

Отказ участвовать в слежке — и на компании клеймо угрозы. Вот такая рыночная экономика.

Риск пятый, в мелком шрифте: 5-7% выручки за девять месяцев принесли клиенты, нарушавшие правила использования или коммерческие условия. Примерно каждый пятнадцатый доллар. Anthropic обещает их вычищать, и это может ударить по выручке.

И на сладкое: покупатель акций почти ничего не решает. У основателей будет 50,1% голосов, большинство совета директоров избирает специальный траст.

Вы покупаете долю в доходах. Не руль.

Короткий вывод. Инвестору предлагают ставку сразу на три условия: выручка растёт быстрее счетов за железо, модели остаются управляемыми, а государство не вмешивается.

Полностью Anthropic не контролирует ни одно из них.

Проспект целиком: https://www.sec.gov/Archives/edgar/data/2130357/000162828026067168/anthropicpbc-sx1.htm

Эгина, Греция, гудка нет

Суть всяких вот этих вот законов, которые подписываются "в военное время" — наебать врага. Ну или хотя бы собственное население.

Вот и в этом разборе Фил смотрит на палец, а не туда, куда этот палец указывает: https://t.me/usher2/4240

Да плевать всем на "10% мощностей в дата-центрах". Я вообще никогда не видел, чтоб хоть какой-то ДЦ был утилизирован на 100% — с точки зрения бизнес-логики это нонсенс. Более того, если вы управляете какими-то цифровыми ресурсами, то обычно вы начинаете логику расширения, если ресурс утилизирован на 50%. На 90% — это уже "в пОлку". Так что любой ДЦ легко отдаст "10%", если они на бумаге. Хотя да — это абсолютно незаконно, противоречит конституции и здравому смыслу.

А, чо типа, "пакет яровой" был законный или здравомыслящий?

Так что главное в этом "указе" — это разрешение использовать "иностранные дата-центры". Чтоб всякие дружочки-пирожочки могли сказать, что "путин разрешил", если к ним придут по 152-ФЗ и какие там еще "законы" они там напридумывали.

А больше-то и негде брать компьют в век ИИ — только вот на этом самом "загнивающем западе". Вот для этого Вовану бумажку на подпись и подсунули, шалунишки — наебать уже самого деда. Потому и наплели эту хероту про "10% резервирования".

Иногда поглядываю на статистику по MSK-IX. И вот вижу там рост трафика процентов на 20 год-к-году. Ну, примерно. И это несмотря на то, что вот почти все в РФ заблокировано. Как так получается — загадка.

а вот и Google подтянулся с похожей программой как у Microsoft

Кажется, отраслевой тренд — деньги за увольнение. Первым, кто пострадал от ИИ стали разработчки ИИ - программисты.

Еще в зоне риска — дизайнеры и журналисты. Ну, то, что я вокруг вижу. В этих отрслях прям видно, как поле для найма сокращается.

вот еще про "цунами уязвимостей". На этот раз OpenAI эксперименты ставит:

https://openai.com/index/a-thousand-fewer-paths-to-root/

Суть: OpenAI натравила ИИ-агентов на исходный код ядра Linux. За один прогон в середине октября было найдено 948 уникальных способов получить root из-под обычного пользователя. К каждому приложен кандидатный патч.

Цена вопроса: $1,2 млн в API-кредитах. Или $1279 за эксплойт.

Для сравнения: Pwn2Own и TyphoonPWN платили за такое $20 тысяч и $70 тысяч за 1 (одну) штуку.

Попробую просто объяснитть: это все равно, что человек зашёл в здание по гостевому пропуску, а через пять минут у него ключи от всех кабинетов. С улицы так не войти, какой-то аккаунт на машине нужен. Но это по цене не самого топового айфона, причем, заплатить можно один раз, а пользоваться — сколько получится, пока все массово таблетку не примут.

Причем, в июле на той же обвязке GPT-5.6 Sol нашла 166 уязвимостей. В октябре новая модель (пока без имени) нашла 948, хотя ядро за это время успели укрепить. Динамика вполне себе экпоненциальная.

Отдельно прекрасное: в раннем запуске агенты отчитались о 200 "успешных" эксплойтах. Люди проверили, и выяснилось, что 20 из них получили root через другой 0-day, а не через назначенную дыру. Задачей был root-шелл, root-шелл они и принесли.

То есть, достаточно поставить модели KPI и получить искомое, даже без реального описания.

Статья называется "На тысячу путей к root меньше". Звучит красиво. Но через 10 дней после скана в upstream были исправлены только 61 уязвимость, ещё 43 дошли до staging, 299 обсуждались публично. Остальные ждут своей очереди и их 20 тысяч и они идут на Москв 948-61-43-299 = 545

Короткий вывод от самой OpenAI: обычный аккаунт на необновлённой системе считайте равным root, если против вас играет противник с ресурсами. Посему обновляйте ядро, раздавайте shell пореже и изолируйте всё, что можно (OpenAI называет Firecracker и gVisor).

Находить дыры теперь умеет API. Но принимать патчи по-прежнему будут все еще живые люди, которым надо спать, есть и отдыхать.

Теперь становится понятно, что имелось ввиду, когда эту тему начали обсуждать в июне этого года. Решения все еще нет...

ну и не могу не позлорадствовать относительно "синего цунами" — это победа демократов над магой. Вот сколько теперь стоят монеты Трампа. Надеюсь, это будет первое расследование, которое инициируют демократы в начале 2027 года, когда войдут в конгресс-сенат.

Я несколько раз писал уже, как Трамп буквально кинул кучу народа на миллиард: https://t.me/zatelecom/33620

Таджикистан 🇹🇯

Рим, гудка нет😂

наблюдаю за вот этим каналом общественников: https://t.me/darksidetelecom/1033

и у меня буквально дежавю....

Ну нельзя же быть таким наивным в конце 2026 года, когда война идет уже скоро пять лет. Вроде, все эти темы с "общественными советами" были закрыты в 2016 году, после "яровой". десять лет прошло, а некоторые никак не повзрослеют.

Впрочем, я поддерживаю работу общественников безусловно. Ну, какие времена, такие и общественники, чо уж

утвреждают, что Росстат восстановил работу сайта. Я чот не вижу. Да, это через VPN внутрь РФ.

Но вот это тоже почитайте: https://t.me/istories_media/14169

а не, заработал сайт Росстата. И благодарит пользователей "за терпение и понимание".
Сертификата SSL у сайта нет, так что осторожнее там с ним

блин, опять неправ. Есть там сертификат. имени минцифры. Так что будьте внимательнее вдвойне.

Это мем из будущего, вы пока не поймете