Russian OSINT

🥷Новости по Binance:

Криптобиржа Binance подтвердила, что речь идёт о крупном инциденте информационной безопасности, общий предварительный ущерб от которого оценивается примерно в $6,3 млрд.

По данным первичного расследования, злоумышленник скомпрометировал ноутбук DevOps-инженера компании, получил доступ к сервисному контейнеру и провёл несанкционированные транзакции на вывод средств, однако признаков утечки закрытых ключей от кошельков не обнаружено.

Совместно с блокчейн-партнёрами биржа уже заморозила в сети затронутые активы примерно на $3 млрд. По заверению компании, все убытки будут полностью покрыты из фонда SAFU и собственных средств Binance, поэтому активы пользователей находятся в безопасности.

В качестве меры предосторожности площадка временно приостановила ввод и вывод средств на период проверок безопасности, отозвала авторизацию у затронутого адреса и привлекла к отслеживанию и возврату средств правоохранительные органы со специалистами по блокчейн-аналитике.

👮После завершения расследования и устранения последствий инцидента компания опубликует подробный технический отчёт и обновлённые данные о подтверждении резервов.

👆Chainalysis пишут о том, что якобы средства, украденные хакерами из КНДР в результате взлома Bitget в прошлом месяце, смешиваются со средствами, украденными из Binance, и с высокой долей уверенности связывают атаку на Binance с северокорейскими спецами.

ZachXBT комментирует:

Украденные средства из Binance на $6,3 млрд и взлома Bitget на $388 млн были смешаны на одном адресе 45 минут назад, после прибытия через THORChain. Это указывает на то, что, вероятно, один и тот же субъект стоит за обоими инцидентами. Взлом Bitget был приписан TraiderTraitor, связанному с КНДР, который имел пересечения с другими предыдущими взломами, такими как Kelp DAO.

Большинство средств ($4,90 млрд из $6 млрд) были украдены менее чем за 15 минут — Arkham.

✋ @Russian_OSINT

OpenAI умеют в маркетинг...

✋ @Russian_OSINT

✋ @Russian_OSINT

Глубокой ночью Binance опубликовала в X обновлённый отчёт и уточнила, что «текущая подтверждённая общая сумма замороженных средств составляет $2,54 млрд. Эта цифра может продолжать расти по мере того, как наши команды тесно сотрудничают с правоохранительными органами, эмитентами, фирмами по анализу блокчейна и отраслевыми партнёрами для отслеживания и замораживания дополнительных активов».

✋Возможный взлом горячих кошельков Binance и аномальный вывод активов на миллиарды долларов

Вечером 29 октября 2026 года с горячих кошельков Binance в сети Ethereum начался крупный вывод активов, который аналитик Spreek и сооснователь биржи Чанпэн Чжао сочли похожим на взлом. Предварительно известно об оттоке свыше $2 млрд, а в карточке binance-hacker-1029 на Arkham Intelligence по срезу на 00:36 мск (этой ночью) 30 октября указаны 52 адреса с активами примерно на $5,72 млрд, хотя сама биржа Binance ни взлом, ни сумму ущерба официально не подтвердила. К утру (когда вы читаете этот пост) сумма могла измениться.

В X Binance сообщила о расследовании потенциальной проблемы безопасности и заверила в сохранности средств пользователей, а в комментарии для Cointelegraph представитель биржи отметил, что на момент его ответа влияние на средства клиентов не было подтверждено. Как пишут ABMedia и Crypto Briefing, эмитенты стейблкойнов экстренно внесли кошельки получателя в чёрные списки смарт-контрактов, лишив взломщика возможности переводить или менять украденные токены. Сначала Чанпэн Чжао (@cz_binance) поблагодарил Tether и Circle за блокировку первых $971 млн и $823 млн и добавил, что как акционер ожидает полного покрытия средств клиентов. Вскоре глава Tether Паоло Ардоино отчитался, что сумма заблокированных на связанных с инцидентом счетах токенов превысила 1,567 млрд USDT, а глава Circle Джереми Аллер подтвердил заморозку свыше 800 млн USDC совместно с правоохранительными органами.

Согласно ончейн-разбору, злоумышленник мог использовать механизм EIP-7702, чтобы привязать к горячему кошельку Binance 14 собственный смарт-контракт, после чего через функцию sweep инициировалвывод ETH и токенов. Для такого делегирования требовалась действительная криптографическая подпись кошелька Binance 14, однако каким способом её получили, пока неизвестно. В англоязычном сегменте соцсетей атаку уже по привычке пытаются приписать северокорейской группировке Lazarus, но никаких доказательств этой версии никто не приводит.

— указал Херпиг.

Выбор продукта Google расходится с позицией президента BfV Синана Селена, который в 2025 году призывал создать альтернативы американскому аналитическому ПО, тогда как само ведомство в официальном ответе журналистам заявило об особом интересе к европейским решениям ради укрепления технической устойчивости. Дополнительную потребность в вычислительных мощностях формирует и внесённый в сентябре 2026 года законопроект о реформе разведывательного права, который предусматривает расширение полномочий BND по сбору и хранению данных стратегической разведки, а также создание правовой основы для автоматизированного анализа больших массивов информации с помощью ИИ-систем. В итоге 🇩🇪Германия повторяет путь 🇺🇸США, где разведсообщество и военные работают в облаке AWS Secret Cloud от Amazon, и 🇬🇧Великобритании, спецслужбы которой ещё в 2021 году заключили с американской корпорацией контракт на создание собственного секретного облака.

История с «ND-Cloud» наглядно показывает разрыв между политическими декларациями о цифровом суверенитете Европы и реальной практикой государственных закупок. Когда вслед за бундесвером немецким спецслужбам потребовалось масштабируемое облачное ядро под задачи ИИ-аналитики и стратегической разведки с допуском уровня «Секретно», ведомства предпочли готовый стек американского техногиганта. Даже при размещении серверов внутри Германии и ручной загрузке патчей с физических носителей ключевым риском остаётся архитектурная зависимость от закрытых обновлений Google, полноценно проверить которые немецкий оператор не сможет.

История с «ND-Cloud» наглядно показывает разрыв между политическими декларациями о цифровом суверенитете Европы и реальной практикой государственных закупок. Когда вслед за бундесвером немецким спецслужбам потребовалось масштабируемое облачное ядро под задачи ИИ-аналитики и стратегической разведки с допуском уровня «Секретно», ведомства предпочли готовый стек американского техногиганта. Даже при размещении серверов внутри Германии и изолированной установке патчей ключевым риском остаётся архитектурная зависимость от проприетарных обновлений Google, возможности независимого аудита которых без доступа к исходному коду серьёзно ограничены.

✋ @Russian_OSINT

🇩🇪Секретное облако спецслужб ФРГ за €500 млн построят на базе технологий 🌐 Google

Публичные призывы руководства немецкой контрразведки к цифровому суверенитету не помешали спецслужбам Германии сделать ставку на облачную платформу американской корпорации Google для обмена государственными секретами. Как показало совместное расследование телерадиокомпаний NDR и WDR, Федеральная разведывательная служба (BND), Федеральное ведомство по охране конституции (BfV) и Служба военной контрразведки (MAD) планируют развернуть единое облако «ND-Cloud» для быстрого обмена данными вплоть до грифа «Секретно» («Geheim»), а стоимость проекта инсайдеры оценивают минимум в €500 млн. Новая платформа позволит передавать секретные файлы без жёсткой привязки к разрозненным особо защищённым «красным системам» (rote Systeme), работа в которых возможна только со стационарных офисных компьютеров, а в перспективе объединит и земельные ведомства по охране конституции.

Технической основой проекта должна стать платформа Google Distributed Cloud (GDC) в конфигурации Air-Gapped, работающая на территории ФРГ без прямого подключения к интернету и серверам вендора. К развёртыванию дата-центров планируют привлечь государственного ИТ-интегратора бундесвера BWI GmbH, который ещё в мае 2025 года заключил рамочный контракт с немецкой структурой Google на создание двух изолированных облачных инстансов для вооружённых сил до конца 2027 года. Как поясняли в бундесвере по аналогичному контуру BWI, обновления ПО для такой среды переносятся проверенным персоналом исключительно на физических носителях информации. Запуск «ND-Cloud» намечали на первый квартал 2027 года, однако сроки сдвинулись, так как ряд компонентов всё ещё проходит аттестацию в Федеральном ведомстве по информационной безопасности (BSI), без допуска которого выделение средств из федерального бюджета не разблокируют.

Как пояснил в комментарии для NDR и WDR руководитель направления кибербезопасности и новых угроз в независимой организации Interface Свен Херпиг, допуск BSI подтвердит соблюдение требований к хранению и обработке чувствительных данных, но сохранит зависимость от закрытого кода американского разработчика.

«Обновления по-прежнему будут поступать от Google. Тогда возникает вопрос: способен ли вообще оператор в нашей стране оценить, к каким последствиям может привести то или иное обновление? С этим связан и следующий вопрос: насколько масштабными должны быть изменения, чтобы обновлённая версия снова подлежала переоценке и повторному допуску?»

2️⃣ Ночь на 16 сентября по мск (демарш Нгуена и раскол сцены). Вечером 15 сентября по времени США (в 01:21 ночи 16 сентября по Москве) Нгуен опубликовал серию постов в X
на 780,2 тыс. просмотров, обвинил исследователя в нарушении слова и объявил о прекращении работы над PS5 Linux, о чём сразу написало издание Kotaku
. При этом часть сообщества в ответах упрекнула самого Нгуена в эгоизме за то, что он сам с 2025 года прятал эксплойт от публики.

3️⃣ 1–22 октября (патч Sony, выплата и последствия). Уже 1 октября Sony закрыла уязвимость в прошивке 14.10 (выпустив 21 октября 14.20). Следом 12–13 октября исследователи опубликовали технический разбор бага и эксплойт Byepervisor Reborn, а 14 октября Джордан выложил скриншот выплаты в $50 000, который набрал 1,8 млн просмотров и вызвал новую волну обсуждений в прессе. Несмотря на уход Нгуена, другие разработчики сцены продолжили его проект и к 20–22 октября сами добавили в форки и основную ветку ps5-linux-loader поддержку прошивок до 13.60 (включая PS5 Pro), тогда как на 14.00 нет публичного эксплойта ядра, а начиная с 14.10 уязвимость гипервизора уже исправлена.

«Я ухожу со сцены PS5 и прекращаю всю свою работу над Linux для PS5. После того как я вложил в это всю душу и месяцы своей жизни, включая планы доделать поддержку PS5 Pro и выпустить релиз в 2027 году, всё пошло прахом. Раньше сцена состояла из группы исключительно талантливых исследователей, а теперь это просто кучка новичков, использующих LLM и пишущих хаки, которые они даже не понимают. „Слоп-кидди“ нашли единственную оставшуюся уязвимость гипервизора, которую я тоже обнаружил некоторое время назад, и решили сообщить о ней в Sony»

— написал 😡Нгуен.

В этой истории по-своему можно понять обе стороны конфликта. Энди Нгуен потратил много месяцев личного времени на развитие порта Linux и подготовку поддержки PS5 Pro, попросил потерпеть всего два месяца до ноябрьского релиза GTA 6 и получил прямое согласие, а меньше чем через сутки его планы пошли прахом. Причём инженер Google не стал раздувать грязные разборки и обвинять оппонента во лжи ради оправдания, а просто на эмоциях хлопнул дверью и ушёл со сцены.

При этом прагматичный расчёт Джордана тоже очевиден. Как только выяснилось, что в Discord ту же самую ошибку при выходе из сна через LLM нащупал уже третий человек, ждать ноября стало бессмысленно, ведь по правилам Sony на HackerOne выплату забирает только первый приславший репорт.

Действительно ли эти деньги пошли на уход за смертельно больной матерью или молодой исследователь просто вбросил жалостливую историю, чтобы защититься от травли после получения $50 000, проверить сложно. Но главный итог от этого не меняется: коммерческие языковые модели заметно упростили поиск подобных логических ошибок в коде, и годами придерживать найденную уязвимость под красивую дату становится всё рискованнее.

✋ @Russian_OSINT

💻 Инженер Google Энди Нгуен нашёл эту уязвимость ещё в 2025 году. Базовый загрузчик ps5-linux-loader для старых версий ПО (3.xx–7.61) был выложен в открытый доступ ещё весной и летом 2026 года, но новый баг гипервизора Нгуен держал в секрете, чтобы перенести PS5 Linux на свежие прошивки и добавить полную поддержку PS5 Pro к 2027 году. Причём он специально отложил публикацию этого эксплойта до релиза GTA 6, назначенного на 19 ноября 2026 года.

Расчёт был прагматичным, так как для цифровой покупки и скачивания GTA 6 в день выхода геймерам потребуется войти в PSN на самой актуальной прошивке. Если раскрыть уязвимость раньше, то Sony закроет её патчем, и владельцам 🎮PS5 придётся выбирать между обновлением ради GTA 6 и сохранением старой прошивки ради Linux.

⚙️Технические детали:

Опубликованный после конфликта эксплойт Byepervisor Reborn и технический разбор от Sonic-iso показывают, что речь шла о последней известной уязвимости гипервизора на прошивках вплоть до 13.60 (и потенциально 14.00, где пока нет публичного эксплойта ядра):

▪️Просчёт при выходе из сна (CWE-665). В обычном режиме гипервизор PS5 жёстко изолирует игровую ОС (GameOS) с помощью теневой таблицы памяти NPT Root 1. Однако при пробуждении консоли из спящего режима S3 гипервизор сбрасывает настройки и временно возвращает все 16 логических процессоров (потоков) к привилегированной таблице NPT Root 0, где открыт полный доступ к памяти самого гипервизора и структурам VMCB.
▪️Окно состояния гонки. При возобновлении работы основной логический процессор 0 при первом же обращении к коду GameOS переключается обратно в изолированную NPT Root 1, а вот остальные 15 потоков остаются без защиты до момента их штатного пробуждения системой.
▪️Запуск Linux с флешки. Получив предварительный доступ на уровне ядра GameOS через другую уязвимость, эксплойт перехватывает управление в это короткое окно и вызывает команду khv_startup_mp (0x0f) на логическом процессоре с индексом 15. Это отключает аппаратную защиту кода XOM и позволяет через сетевой загрузчик ps5-linux-loader.elf запустить с USB-накопителя полноценную Ubuntu 26.04 без переразметки родного SSD консоли.

👨‍💻Случилось так, что в середине сентября 2026 года малоизвестный исследователь Джордан с помощью LLM независимо от Нгуена обнаружил тот же самый баг гипервизора. Узнав об этом, Нгуен лично попросил его потерпеть два месяца до релиза GTA 6, и Джордан согласился. Однако договорённость продержалась меньше 24 часов, а события развернулись не менее интересно, чем в сериале «Санта-Барбара»:

1️⃣ 15 сентября (утечка в Discord и отправка репорта). В закрытом Discord-чате выяснилось, что ещё один независимый участник тоже раскопал эту уязвимость с помощью LLM. Поняв, что баг перестал быть секретом и по правилам Sony на HackerOne вознаграждение получит только первый приславший отчёт, Джордан в тот же день сдал уязвимость вендору, объяснив позже журналистам IGN, что деньги помогут ему позаботиться о смертельно больной матери.

🤖 Найденный с помощью ИИ баг за $50 000 сорвал планы по запуску 😁Linux на PS5 к выходу GTA 6

Независимый исследователь под ником 2tonejordy получил от Sony максимальные 📖$50 000 за критическую уязвимость PlayStation 5. По его словам в интервью IGN, речь идёт о баге гипервизора, который он нашёл с помощью большой языковой модели (сам автор LLM не назвал, а параллельно нашедший тот же баг исследователь Sonic-iso использовал Claude). Досрочная сдача уязвимости вендору закрыла путь к запуску Linux с её помощью на будущих прошивках и вынудила ИБ-инженера Google Энди Нгуена (theflow0) со скандалом покинуть хак-сцену PS5.