# Binance hak, izmijenjena ekstenzija Claude Code u Cursorovoj trgovini, Northflank incident i Mistral Large 4: četiri priče za developere u jednom Daily Diff-u

Published: 2026-10-31

Četiri priče za developere, svaka pripisana primarnom izvoru: Binance je izgubio milijarde dolara u kripto valutama za oko dvadeset minuta, s tim da su firme za praćenje TRM Labs i Elliptic objavile različite ukupne iznose, a Binance dao vlastitu procjenu; Cursor kaže da je maliciozno modificirana verzija Anthropicove ekstenzije Claude Code, verzija 2.1.313, bila dostupna u njihovoj trgovini ekstenzija oko jedanaest sati; statusna stranica Northflanka savjetuje korisnicima da pretpostave da su sve varijable okoline dekriptirane nakon sigurnosnog upozorenja; i Mistral je objavio "težine" Mistral Large 4 pod licencom s klauzulom za hostirane usluge. Brojke su iz vlastitih izvora, nekoliko uzroka je još uvijek neobjašnjeno, a presuda je POTREBNA PROVJERA.

Canonical: https://thedailydiff.dev/bs/video/2026-10-30-binance-extension-northflank-mistral/

## Šta ovaj video pokriva

- Binance novčanici na deset blockchaina poslali su sredstva na adrese koje kontrolira jedan napadač 29. oktobra 2026. godine, većinu toga za oko 20 minuta počevši oko 20:05 UTC, prema TRM Labs. TRM broji oko 6,36 milijardi USD, Elliptic 6,43 milijardi USD (vrijednosti u vrijeme krađe), a Binance je procijenio oko 6,3 milijardi USD; TRM i Elliptic to nazivaju najvećom kripto krađom ikada zabilježenom, oko četiri puta većom od otprilike 1,5 milijardi USD ukradenih u Bybit haku u februaru 2025. godine.
- Elliptic opisuje Ethereum mehanizam: jedna transakcija je nosila 50 autorizacija potpisanih ključem Binance "hot" novčanika, svaka za različit "nonce" tako da se jedna poklopi, koristeći EIP-7702 iz Pectra nadogradnje iz 2025. godine kako bi se novčanik delegirao ugovor napadača, koji ga je ispraznio nekoliko minuta kasnije. Na drugim lancima sredstva su se kretala u običnim potpisanim transferima, što TRM tumači kao kompromitaciju Binanceove infrastrukture za potpisivanje. Prva izjava Binancea spomenula je kompromitovani laptop DevOps inženjera i kontejner usluge; kasnije ažuriranje je reklo da je bilo dodatnih tačaka proboja i nije ih imenovalo.
- Binance kaže da su korisnička sredstva sigurna, depoziti nisu pogođeni, pokrit će sve gubitke i isplate bi se trebale nastaviti u roku od dan-dva. Elliptic broji 2,84 milijardi USD (44 posto) zamrznutih, a TRM oko 2,7 milijardi USD. TRM pripisuje krađu sjevernokorejskoj grupi TraderTraitor s visokim povjerenjem, Elliptic kaže da je to vjerovatno, i nijedna vlada nije potvrdila atribuciju.
- Sigurnosna obavijest Cursora kaže da je Anthropic.claude-code verzija 2.1.313 u Cursorovoj trgovini zlonamjerno modificirana, nije je napisao Anthropic, i bila je dostupna otprilike od 2:27 ujutro do 1:35 popodne PT 29. oktobra 2026. godine, s najviše 5.000 pogođenih korisnika. Injektovani kod se pokreće kada se datoteka ekstenzije učita, prikuplja detalje hosta, pokušava dodati SSH ključ, otvoriti reverzni tunel i perzistirati; Cursor kaže da SSH korak ne uspijeva na većini mašina, ali ključ, perzistencija i izvještaj o hostu se ipak dešavaju, te da je server napadača offline. Provjerite authorized\_keys za komentar svc-telemetry. Obavijest ne kaže kako je modificirana verzija dospjela unutra.
- Analiza Phoriona pronalazi grešku u zlonamjernom softveru: na macOS-u provjerava je li udaljena prijava isključena komandom koja, bez administratorskih prava, ispisuje grešku i uspješno se završava, pa skripta preskače omogućavanje SSH-a. Cursor je uklonio verziju, ugasio i ponovno izgradio svoju trgovinu, rotirao ključeve i nije pronašao druge kompromitovane ekstenzije.
- Statusna stranica Northflanka za sigurnosni incident navodi Wiz sigurnosno upozorenje u 11:43 UTC 30. oktobra 2026., prvu mrežnu zakrpu u 12:02, zahtjev za rotiranje varijabli okoline u 13:40 i, u 13:58, instrukciju da se pretpostavi da su sve varijable okoline dešifrovane te da se svi ključevi onemoguće ili rotiraju. Navodi da više korisnika potvrđuje da su njihovi AI ključevi korišteni te da je rotacija tajni za Postgres i MongoDB omogućena za sve korisnike u 15:12. Nije objavljen post-mortem kada je ova stranica pripremljena.
- Mistral je objavio težine Mistral Large 4 29. oktobra 2026. godine: oko 1 bilion parametara u dizajnu "mješavine eksperata" sa približno 50 milijardi aktivnih, obučenih, kaže Mistral, na 3.800 Nvidia Blackwell čipova. Licenca Mistral Ecosystem Open-Weight je modificirana MIT licenca; poduzeće koje nudi model trećim stranama kao uslugu putem API-ja ili hostiranih krajnjih tačaka treba zasebnu komercijalnu licencu, a interna upotreba je izuzeta. Rezultati benchmarka kao što su 19,7 posto na FrontierCode 2.0 i 41 posto na Terminal-Bench 4.0 su vlastite tvrdnje Mistrala.

## Pitanja i odgovori

### Kako su napadači ispraznili Binanceove hot wallete, i zašto se cifre gubitaka razlikuju?

Elliptic kaže da je napadač poslao jednu Ethereum transakciju koja je nosila 50 autorizacija potpisanih ključem Binance "hot" novčanika, a zatim je koristio EIP-7702 za delegiranje novčanika na vlastiti ugovor, koji ga je ispraznio. TRM Labs broji oko 6,36 milijardi dolara, Elliptic 6,43 milijarde dolara, a Binance procjenjuje oko 6,3 milijarde dolara, jer svako drugačije vrednuje imovinu. Binance još nije imenovao sve tačke proboja.

### Šta je bila zlonamjerna ekstenzija Claude Code 2.1.313 u Cursor trgovini, i kako mogu provjeriti jesam li bio pogođen?

Cursor kaže da je Anthropic.claude-code 2.1.313 bila zlonamjerno modificirana verzija, koju nije napisao Anthropic, dostupna oko jedanaest sati 29. oktobra s najviše 5.000 pogođenih korisnika. Cursorova provjera: pretražite svoju SSH datoteku authorized\_keys za komentar svc-telemetry. Cursor upozorava da deinstalacija ekstenzije možda nije dovoljna i pruža skripte za uklanjanje.

### Šta trebam učiniti nakon sigurnosnog incidenta u Northflanku ako su moje varijable okoline bile izložene?

Statusna stranica Northflanka poručuje svim korisnicima da pretpostave da su njihove varijable okoline dekriptirane i da onemoguće ili rotiraju sve ključeve, uključujući tajne na radnim opterećenjima, grupama tajni i globalnim tajnama. Navodi se da više korisnika potvrđuje da su njihovi AI ključevi korišteni, pa prvo rotirajte ključeve koji se naplaćuju po korištenju i provjerite stranicu korištenja svakog pružatelja. Nije objavljen post-mortem kada je ova stranica pripremljena.

### Mogu li komercijalno koristiti Mistral Large 4, i šta njegova licenca kaže o hostingu za druge?

Da. Mistralova licenca za ekosistem otvorenog koda je modificirana MIT licenca koja dozvoljava komercijalnu i nekomercijalnu upotrebu. Poslovni subjekt koji trećim stranama omogućava pristup modelu ili derivatima putem API-ja ili hostiranih krajnjih tačaka treba zasebnu komercijalnu licencu od Mistrala. Interna upotreba koja model ne čini dostupnim trećim stranama je izuzeta, prema tekstu licence u repozitoriju Hugging Face.

### Kakva je bila presuda The Daily Diffa o ove četiri priče?

Presuda The Daily Diffa je bila POTREBNA PROVJERA. Nikin razlog je što Binance nije imenovao svoje tačke proboja, Cursor nije rekao kako je modificirani build dospio, Northflank još nema post-mortem, a Mistralov benchmark grafikon je Mistralov vlastiti. Savjet je da se pročitaju primarni izvori i postupi po konkretnim provjerama koje svaki od njih navodi.

## Poglavlja

- 0:00 Hladni početak: čiji je potpis pomjerio Binanceov novac?
- 0:43 Priča prva: kako su napadači naveli Binance da potpiše povlačenje?
- 2:19 Priča druga: šta je izmijenjena Claude Code ekstenzija pokušala instalirati?
- 3:39 Priča treća: šta biste trebali rotirati nakon Northflank incidenta?
- 4:45 Priča četvrta: šta možete učiniti s težinama Mistral Large 4?
- 6:06 Presuda: POTREBNA PROVJERA

## Prevedeni transkript

Prevedeno iz originalne engleske naracije. Dostupan zvuk i titlovi kontroliše YouTube.

### Hladni početak: čiji je potpis pomjerio Binanceov novac?

0:00 Kripto sigurnost bi trebala značiti čuvanje privatnih ključeva. U slučaju Binancea, Elliptic kaže da je napadač naveo Binanceove sisteme da potpišu milijarde dolara isplata. U ovom videu, četiri priče. Kako su napadači naveli Binance da sam potpiše isplate? Šta je izmijenjena Claude Code ekstenzija pokušala instalirati? Šta biste trebali rotirati nakon Northflanka? I šta Mistralova licenca dozvoljava s bilion parametara?

0:24 Postoji i jedna klauzula u jednoj od ovih priča koja odlučuje ko smije hostirati model s bilion parametara. To ću sačuvati za kraj. Petak je, trideseti oktobar, i ovo je The Daily Diff. Hot wallet je kripto novčanik koji mjenjačnica drži online kako bi isplate išle trenutno. Zamislite ladicu za gotovinu u banci, samo što je ladica povezana s internetom. Priča prva.

### Priča prva: kako su napadači naveli Binance da potpiše povlačenje?

0:43 U četvrtak navečer, Binance novčanici na deset blockchaina počeli su slati svoje stanje na adrese koje kontrolira jedan napadač. TRM Labs kaže da je većina otišla za oko dvadeset minuta, počevši u pet minuta nakon osam UTC. Ukupan iznos zavisi od toga ko broji. Binance procjenjuje oko šest tačaka tri milijarde dolara. TRM broji šest tačaka tri šest, a Elliptic šest tačaka četiri tri. U svakom slučaju, to je najveća kripto krađa ikada zabilježena,

1:09 otprilike četiri puta veća od Bybit hakerisanja iz dvadeset dvadeset pete. Elliptic opisuje mehanizam. Na Ethereumu, jedna transakcija je nosila pedeset autorizacija, svaka potpisana ključem tog hot novčanika i svaka s različitim brojačem transakcija, tako da se jedan sigurno poklopio. Značajka iz Pectra nadogradnje iz dvadeset dvadeset pete zatim je predala novčanik ugovoru napadača, koji ga je ispraznio tri i pol minute kasnije. Kako je napadač naveo Binance da potpiše?

1:37 Binanceova prva izjava rekla je da je laptop DevOps inženjera možda bio kompromitovan, dajući pristup servisnom kontejneru koji je mogao podnijeti neovlaštene isplate. Kasnije ažuriranje kaže da je bilo dodatnih tačaka proboja i ne imenuje ih. Bybitov ulazak je također bio računar developera, primjećuje Elliptic. Binance kaže da su korisnička sredstva sigurna, depoziti nisu pogođeni, i da će pokriti sve gubitke. Isplate su pauzirane i očekuje se da će se vratiti u roku od dan-dva.

2:02 Elliptic broji četrdeset četiri posto zamrznutih. TRM s velikom sigurnošću pripisuje krađu sjevernokorejskoj grupi TraderTraitor, Elliptic kaže vjerovatno, i nijedna vlada to nije potvrdila. Lekcija leži u mašinama oko ključeva. Proverio bih šta može tražiti transakciju od vašeg sistema za potpisivanje. Priča druga. U četvrtak, otprilike jedanaest sati, Cursorova trgovina ekstenzijama

### Priča druga: šta je izmijenjena Claude Code ekstenzija pokušala instalirati?

2:23 je poslužila modificiranu verziju Anthropicove ekstenzije Claude Code, verzija dva tačka jedan tačka tri jedan tri. Cursor kaže da je Anthropic nije napisao, i da ju je instaliralo najviše pet hiljada ljudi. Injektirani kod sjedi ispred uobičajenog koda ekstenzije, pa se pokreće čim editor učita datoteku, bez klika. Cursor kaže da prikuplja ime hosta, korisničko ime i imena varijabli okoline, pokušava dodati SSH ključ napadača, i pokušava otvoriti reverzni tunel koji se ponovno pokušava svakog minuta.

2:53 Čudan detalj je greška, koju je pronašla sigurnosna firma Phorion. Na Macu, skripta provjerava je li udaljena prijava isključena komandom koja, bez administratorskih prava, ispisuje grešku i ipak javlja uspjeh. Skripta nikada ne vidi riječ "isključeno", pa pretpostavlja da je udaljena prijava uključena i preskače uključivanje. Cursor kaže da korak prijave ne uspijeva na većini mašina, iako se ključ, perzistencija i izvještaj ipak dešavaju. Ako ste ažurirali u četvrtak, pretražite svoju SSH datoteku autoriziranih ključeva za komentar

3:21 S V C telemetrija. Cursor kaže da deinstaliranje ekstenzije možda nije dovoljno, jer je payload ispušta svoje skripte, pa koristite njegove skripte za uklanjanje i rotirajte akreditive s pouzdane mašine. Cursor je ugasio i ponovno izgradio svoju trgovinu, a server napadača je offline. Njegova obavijest ne kaže kako je modificirana verzija ušla.

### Priča treća: šta biste trebali rotirati nakon Northflank incidenta?

3:39 Priča treća. Northflank pokreće usluge, baze podataka i izgradnje za programere. Njegova stranica statusa navodi sigurnosni incident, a vremenska linija počinje u jedanaest četrdeset tri UTC u petak, s upozorenjem sigurnosne kompanije Wiz. Devetnaest minuta kasnije došla je prva mrežna zakrpa. Do jedan četrdeset kupcima je rečeno da odmah rotiraju varijable okoline. Osamnaest minuta nakon toga poruka se promijenila na pretpostavku da je svaka varijabla okoline dekriptovana, i da se svi ključevi onemoguće ili rotiraju. Zatim red koji dotiče vaš račun.

4:10 Stranica kaže da više korisnika potvrđuje da su njihovi AI ključevi korišteni. Do tri dvanaest, Northflank je uključio rotaciju tajni za Postgres i MongoDB dodatke za sve korisnike, i preporučuje isključivanje javne izloženosti na tim dodacima ako ste je omogućili. Mreža, izgradnje i dodaci su navedeni kao u velikom prekidu, i još nema post-mortema, tako da način na koji je napadač ušao nije javno poznat. Rotirajte svaku tajnu na radnim opterećenjima, grupama tajni i globalnim tajnama,

4:37 počevši od ključeva koji se naplaćuju po korištenju, poput ključeva AI provajdera. Zatim provjerite stranicu korištenja svakog provajdera za pozive koje niste napravili.

### Priča četvrta: šta možete učiniti s težinama Mistral Large 4?

4:45 Priča četvrta. Šestog oktobra sam vam rekao da je Mistral Large 4 u pretpregledu i da su težine obećane za kraj oktobra. U četvrtak su težine stigle, s dva dana rezerve. Mistral ga naziva Le Chonk, što odgovara modelu s bilion parametara. Hacker News je objavi dao preko šesnaest stotina bodova. To je mješavina eksperata. Od bilion parametara, oko pedeset milijardi je aktivno za svaki token, koristeći četiri od sto dvadeset osam eksperata.

5:11 Mistral kaže da je model obučio na tri hiljade osamsto Nvidia Blackwell čipova u svojim evropskim data centrima. Grafikon benchmarka je Mistralov. Kaže da Large 4 predvodi privatni test FrontierCode tvrtke Cognition s devetnaest tačaka sedam posto, i postiže četrdeset jedan posto na Terminal Bench četiri. Na Artificial Analysis indeksu kodiranja izjednačava se s najboljim otvorenim modelom dok koristi četrdeset sedam posto manje tokena.

5:33 Samo ga je Claude Opus 5.5 pobijedio u testu slijepe ljudske preferencije, kaže Mistral. Sada klauzula koju sam sačuvao. Licenca je modificirana MIT, besplatna za komercijalnu i nekomercijalnu upotrebu. Ali poslovanje koje trećim stranama omogućava pristup modelu putem API-ja ili hostiranih krajnjih točaka treba zasebnu komercijalnu licencu od Mistrala. Korištenje unutar vlastite kompanije je izuzeto. Ako ovo radije čitate nego čujete od mene, "diff" vam stiže u inbox

6:02 svako jutro, besplatno na daily diff dot dev, link ispod. Današnja presuda je POTREBNA PROVJERA.

### Presuda: POTREBNA PROVJERA

6:08 Pregledao bih to jer Binance nije imenovao svoje tačke proboja, Cursor nije rekao kako je build dospio, Northflank još nema post-mortem, a Mistralov grafikon je Mistralov vlastiti. Recite mi u komentarima da li biste ga drugačije ovjerili. I to je to za danas. Ja sam Niko iz Axrisija. Spajajte odgovorno.

## Izvori

- [North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History](https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history) — TRM Labs
- [The largest theft in history: North Korea likely behind the $6.4 billion Binance hack](https://www.elliptic.co/insights/binance-largest-hack-in-history/) — Elliptic
- [The $6.3 Billion Binance Hack Was Pulled Off in Just 20 Minutes](https://www.wired.com/story/the-dollar63-billion-binance-hack-was-pulled-off-in-just-20-minutes/) — WIRED
- [Blockchain intelligence firms link North Korea to $6.3B hack on Binance](https://www.npr.org/2026/10/30/g-s1-150902/blockchain-intelligence-firms-link-north-korea-to-6-3b-hack-on-binance) — AP via NPR
- [Security notice: malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension Marketplace](https://cursor.com/blog/claude-code-extension-security-notice) — Cursor
- [Official Claude Code Extension Compromise: Security Advisory](https://phorion.io/blog/offical-claude-code-vsx-compromise/) — Phorion
- [Northflank security incident](https://status.northflank.com/cmvv0rn5a092f14rutwccodpp) — Northflank status page
- [We're releasing the weights of Mistral Large 4](https://mistral.ai/news/mistral-large-4-oss/) — Mistral AI
- [Mistral-Large-4-1T-A52B model card and license](https://huggingface.co/mistralai/Mistral-Large-4-1T-A52B) — Hugging Face (Mistral AI)