حمله بایننس، یک افزونه کلاود کد دستکاری شده در مارکت پلیس Cursor، حادثه Northflank و Mistral Large 4: چهار داستان توسعه‌دهنده در یک Daily Diff

این ویدیو چه مواردی را پوشش می‌دهد

• بر اساس گزارش TRM Labs، کیف پول‌های بایننس در ده بلاکچین در 29 اکتبر 2026، وجوهی را به آدرس‌های تحت کنترل یک مهاجم ارسال کردند که بیشتر آن در حدود 20 دقیقه از حدود ساعت 20:05 UTC شروع شد. TRM حدود 6.36 میلیارد دلار، Elliptic 6.43 میلیارد دلار (ارزش‌ها در زمان سرقت) و بایننس حدود 6.3 میلیارد دلار تخمین زده است؛ TRM و Elliptic هر دو آن را بزرگترین سرقت رمزارز ثبت شده می‌نامند، حدود چهار برابر هک Bybit در فوریه 2025 که تقریباً 1.5 میلیارد دلار بود.
• Elliptic مکانیزم اتریوم را اینگونه توصیف می‌کند: یک تراکنش 50 مجوز را که با کلید یک کیف پول داغ بایننس امضا شده بود، هر یک برای یک nonce متفاوت حمل می‌کرد تا یکی از آنها مطابق باشد، با استفاده از EIP-7702 از ارتقاء Pectra 2025 برای واگذاری کیف پول به قرارداد مهاجم، که دقایقی بعد آن را خالی کرد. در سایر زنجیره‌ها وجوه در نقل و انتقالات امضا شده معمولی جابجا شدند، که TRM آن را به عنوان سازش زیرساخت امضای بایننس می‌داند. اولین بیانیه بایننس به لپ‌تاپ و یک کانتینر سرویس مهندس DevOps اشاره کرد که به خطر افتاده بود؛ یک به‌روزرسانی بعدی گفت که نقاط نقض اضافی وجود داشته و نام آنها را ذکر نکرد.
• بایننس می‌گوید وجوه کاربران ایمن است، سپرده‌ها تحت تأثیر قرار نگرفته‌اند، تمام خسارات را پوشش خواهد داد و برداشت‌ها باید ظرف یک یا دو روز از سر گرفته شوند. Elliptic 2.84 میلیارد دلار (44 درصد) را مسدود شده و TRM حدود 2.7 میلیارد دلار را مسدود شده می‌داند. TRM سرقت را با اطمینان بالا به گروه TraderTraitor کره شمالی نسبت می‌دهد، Elliptic می‌گوید که این احتمال وجود دارد و هیچ دولتی این انتساب را تأیید نکرده است.
• اطلاعیه امنیتی Cursor می‌گوید که نسخه 2.1.313 Anthropic.claude-code در مارکت پلیس Cursor به طور مخرب تغییر یافته است، توسط Anthropic نوشته نشده است و از حدود ساعت 2:27 صبح تا 1:35 بعد از ظهر PT در 29 اکتبر 2026 در دسترس بود، با حداکثر 5000 کاربر تحت تأثیر. کد تزریق شده هنگام بارگذاری فایل افزونه اجرا می‌شود، جزئیات میزبان را جمع‌آوری می‌کند، سعی می‌کند یک کلید SSH اضافه کند، یک تونل معکوس باز کند و پایدار بماند؛ Cursor می‌گوید که مرحله SSH در اکثر دستگاه‌ها شکست می‌خورد اما کلید، پایداری و گزارش میزبان همچنان اتفاق می‌افتند و سرور مهاجم آفلاین است. برای یافتن کامنت svc-telemetry در authorized_keys جستجو کنید. این اطلاعیه نمی‌گوید که نسخه تغییر یافته چگونه وارد شده است.
• تحلیل Phorion یک باگ در بدافزار پیدا می‌کند: در macOS، با دستوری که بدون حقوق مدیر، یک خطا را چاپ می‌کند و با موفقیت خارج می‌شود، بررسی می‌کند که آیا ورود از راه دور خاموش است یا خیر، بنابراین اسکریپت از فعال کردن SSH صرف‌نظر می‌کند. Cursor این نسخه را حذف کرد، مارکت پلیس خود را تعطیل و دوباره ساخت، کلیدها را چرخاند و هیچ افزونه دستکاری شده دیگری پیدا نکرد.
• صفحه وضعیت Northflank برای حادثه امنیتی یک هشدار تهدید Wiz را در ساعت 11:43 UTC در 30 اکتبر 2026، اولین پچ شبکه در ساعت 12:02، درخواستی برای چرخش متغیرهای محیطی در ساعت 13:40 و در ساعت 13:58، دستوری برای فرض رمزگشایی شدن تمام متغیرهای محیطی و غیرفعال کردن یا چرخش تمام کلیدها را فهرست می‌کند. این صفحه می‌گوید چندین کاربر تأیید می‌کنند که کلیدهای هوش مصنوعی آنها استفاده شده است و چرخش راز برای Postgres و MongoDB برای همه کاربران در ساعت 15:12 فعال شده است. هیچ گزارش پس از حادثه ای در زمان تهیه این صفحه منتشر نشده است.
• Mistral وزن‌های Mistral Large 4 را در 29 اکتبر 2026 منتشر کرد: حدود 1 تریلیون پارامتر در طراحی mixture-of-experts با تقریباً 50 میلیارد فعال، آموزش دیده، Mistral می‌گوید، بر روی 3800 تراشه Nvidia Blackwell. مجوز Open-Weight اکوسیستم Mistral یک مجوز MIT تغییر یافته است؛ یک کسب و کار که مدل را به اشخاص ثالث به عنوان یک سرویس از طریق API یا نقاط پایانی میزبانی شده ارائه می‌دهد، به یک مجوز تجاری جداگانه نیاز دارد، و استفاده داخلی معاف است. نتایج بنچمارک مانند 19.7 درصد در FrontierCode 2.0 و 41 درصد در Terminal-Bench 4.0 ادعاهای خود Mistral است.

رونوشت ترجمه شده

ترجمه شده از روایت اصلی انگلیسی. صوت و زیرنویس‌های موجود توسط YouTube کنترل می‌شوند.

شروع ناگهانی: امضای چه کسی پول بایننس را جابجا کرد؟

0:00 امنیت رمزارز به معنای حفاظت از کلیدهای خصوصی است. در مورد بایننس، Elliptic می‌گوید مهاجم سیستم‌های خود بایننس را وادار به امضا کرد میلیاردها دلار برداشت. در این ویدئو، چهار داستان. مهاجمان چگونه بایننس را وادار به امضای برداشت‌ها کردند؟ افزونه کلاود کد دستکاری شده چه چیزی را می‌خواست نصب کند؟ پس از Northflank چه چیزی را باید تغییر دهید؟ و مجوز Mistral با یک تریلیون پارامتر به شما اجازه چه کاری را می‌دهد؟

0:24 همچنین یک بند در یکی از این داستان‌ها وجود دارد که تصمیم می‌گیرد چه کسی می‌تواند یک مدل با یک تریلیون پارامتر را میزبانی کند. آن را برای پایان نگه می‌دارم. جمعه، سی‌ام اکتبر است و این Daily Diff است. کیف پول داغ، کیف پول رمزنگاری شده‌ای است که یک صرافی آنلاین نگه می‌دارد تا برداشت‌ها فوراً انجام شود. تصور کنید کشوی پول در یک بانک، اما کشو به اینترنت متصل است. داستان اول.

داستان اول: مهاجمان چگونه بایننس را وادار به امضای برداشت‌ها کردند؟

0:43 عصر پنجشنبه، کیف پول‌های بایننس در ده بلاکچین شروع به ارسال موجودی‌های خود به آدرس‌های تحت کنترل یک مهاجم کردند. TRM Labs می‌گوید بیشتر آن در حدود بیست دقیقه خارج شد، از ساعت هشت و پنج دقیقه UTC شروع شد. کل مبلغ به کسی که می‌شمارد بستگی دارد. بایننس حدود شش و سه دهم میلیارد دلار تخمین می‌زند. TRM شش و سی و شش صدم و Elliptic شش و چهل و سه صدم را می‌شمارد. در هر صورت این بزرگترین سرقت رمزارز ثبت شده است،

1:09 تقریباً چهار برابر هک Bybit از سال بیست و بیست و پنج. Elliptic مکانیزم را توصیف می‌کند. در اتریوم، یک تراکنش پنجاه مجوز را حمل می‌کرد، هر یک با کلید آن کیف پول داغ امضا شده و هر یک با یک شمارنده تراکنش متفاوت، بنابراین یکی مطمئناً مطابقت داشت. یک ویژگی از ارتقاء Pectra بیست و بیست و پنج سپس کیف پول را به قرارداد مهاجم واگذار کرد که سه و نیم دقیقه بعد آن را خالی کرد. چگونه مهاجم بایننس را وادار به امضا کرد؟

1:37 اولین بیانیه بایننس گفت که لپ‌تاپ یک مهندس DevOps ممکن است به خطر افتاده باشد، که دسترسی به یک کانتینر سرویس را فراهم می‌کرد که می‌توانست برداشت‌های غیرمجاز را ارسال کند. یک به‌روزرسانی بعدی می‌گوید که نقاط نقض اضافی وجود داشته و آنها را نام نمی‌برد. Elliptic اشاره می‌کند که راه نفوذ Bybit نیز یک ماشین توسعه‌دهنده بود. بایننس می‌گوید وجوه کاربران ایمن است، سپرده‌ها تحت تأثیر قرار نگرفته‌اند، و تمام خسارات را پوشش خواهد داد. برداشت‌ها متوقف شده و انتظار می‌رود ظرف یک یا دو روز از سر گرفته شوند. Elliptic چهل و چهار درصد را مسدود شده می‌داند.

2:02 TRM سرقت را با اطمینان بالا به گروه TraderTraitor کره شمالی نسبت می‌دهد، Elliptic می‌گوید احتمالاً، و هیچ دولتی آن را تأیید نکرده است. درس در ماشین‌های اطراف کلیدها نهفته است. من بررسی می‌کنم چه چیزی می‌تواند از سیستم امضای شما برای یک تراکنش درخواست کند. داستان دوم. روز پنجشنبه، برای حدود یازده ساعت، مارکت پلیس افزونه Cursor یک نسخه تغییر یافته از افزونه Claude Code شرکت Anthropic،

داستان دوم: افزونه کلاود کد دستکاری شده چه چیزی را می‌خواست نصب کند؟

2:23 نسخه دو نقطه یک نقطه سه یک سه را ارائه می‌کرد. Cursor می‌گوید Anthropic آن را ننوشته است و حداکثر پنج هزار نفر آن را نصب کرده‌اند. کد تزریق شده قبل از کد عادی افزونه قرار می‌گیرد، بنابراین به محض بارگذاری فایل توسط ویرایشگر، بدون نیاز به کلیک، اجرا می‌شود. Cursor می‌گوید که نام میزبان، نام کاربری و نام متغیرهای محیطی را جمع‌آوری می‌کند، تلاش می‌کند یک کلید SSH مهاجم را اضافه کند و تلاش می‌کند یک تونل معکوس را باز کند که هر دقیقه دوباره امتحان می‌کند. جزئیات عجیب یک باگ است که توسط شرکت امنیتی Phorion پیدا شده است.

2:53 در یک مک، اسکریپت با دستوری بررسی می‌کند که آیا ورود از راه دور خاموش است که، بدون حقوق مدیر، یک خطا را چاپ می‌کند و همچنان موفقیت را گزارش می‌دهد. اسکریپت هرگز کلمه خاموش را نمی‌بیند، بنابراین فرض می‌کند ورود از راه دور روشن است و از روشن کردن آن صرف‌نظر می‌کند. Cursor می‌گوید مرحله ورود در بیشتر دستگاه‌ها شکست می‌خورد، اگرچه کلید، پایداری و گزارش همچنان اتفاق می‌افتند. اگر روز پنجشنبه به‌روزرسانی کرده‌اید، فایل کلیدهای مجاز SSH خود را برای کامنت S V C telemetry جستجو کنید.

3:21 Cursor می‌گوید حذف افزونه ممکن است کافی نباشد، زیرا بارگذاری اسکریپت‌های خودش را رها می‌کند، بنابراین از اسکریپت‌های حذف آن استفاده کنید و اعتبارنامه‌ها را از یک ماشین قابل اعتماد تغییر دهید. Cursor مارکت پلیس خود را تعطیل و دوباره ساخت و سرور مهاجم آفلاین است. اطلاعیه آن نمی‌گوید که نسخه تغییر یافته چگونه وارد شده است. داستان سوم. Northflank خدمات، پایگاه‌های داده و ساخت‌ها را برای توسعه‌دهندگان اجرا می‌کند.

داستان سوم: پس از حادثه Northflank چه چیزی را باید تغییر دهید؟

3:39 صفحه وضعیت آن یک حادثه امنیتی را لیست می‌کند، و جدول زمانی در ساعت یازده و چهل و سه دقیقه UTC روز جمعه با یک هشدار از شرکت امنیتی Wiz آغاز می‌شود. نوزده دقیقه بعد اولین پچ شبکه آمد. تا ساعت یک و چهل دقیقه به مشتریان گفته شد که متغیرهای محیطی را بلافاصله تغییر دهند. هجده دقیقه بعد از آن پیام به این تغییر یافت که فرض کنید هر متغیر محیطی رمزگشایی شده است و تمام کلیدها را غیرفعال یا تغییر دهید. سپس خطی که به قبض شما مربوط می‌شود. صفحه می‌گوید چندین کاربر تأیید می‌کنند

4:10 که کلیدهای هوش مصنوعی آنها استفاده شده است. تا ساعت سه و دوازده دقیقه، Northflank چرخش راز را برای افزونه‌های Postgres و MongoDB برای همه کاربران روشن کرده بود، و توصیه می‌کند اگر قابلیت عمومی را در آن افزونه‌ها فعال کرده‌اید، آن را خاموش کنید. شبکه‌سازی، ساخت‌ها و افزونه‌ها به عنوان در وضعیت قطعی عمده ذکر شده‌اند، و هنوز هیچ گزارش پس از حادثه ای منتشر نشده است، بنابراین نحوه ورود مهاجم عمومی نیست. تمام رازها را در بارهای کاری، گروه‌های راز و رازهای جهانی تغییر دهید، با کلیدهایی شروع کنید که به ازای هر استفاده صورت‌حساب می‌شوند، مانند کلیدهای ارائه‌دهنده هوش مصنوعی.

4:37 سپس صفحه استفاده هر ارائه‌دهنده را برای تماس‌هایی که انجام نداده‌اید بررسی کنید. داستان چهارم. در ششم اکتبر به شما گفتم که Mistral Large 4 در مرحله پیش‌نمایش است و

داستان چهارم: با وزن‌های Mistral Large 4 چه کارهایی می‌توانید انجام دهید؟

4:45 وزن‌ها برای پایان اکتبر وعده داده شده بودند. روز پنجشنبه وزن‌ها رسیدند، با دو روز فرصت باقی‌مانده. Mistral به آن Le Chonk لقب می‌دهد، که برای مدلی با یک تریلیون پارامتر مناسب است. Hacker News بیش از شانزده صد امتیاز به این اعلامیه داد. این یک ترکیب از متخصصان است. از یک تریلیون پارامتر آن، حدود پنجاه میلیارد برای هر توکن فعال هستند، با استفاده از چهار نفر از صد و بیست و هشت متخصص. Mistral می‌گوید که مدل را

5:11 روی سی و هشت صد تراشه Nvidia Blackwell در مراکز داده اروپایی خود آموزش داده است. نمودار بنچمارک مال Mistral است. این شرکت می‌گوید Large 4 در تست خصوصی FrontierCode Cognition با نوزده و هفت دهم درصد پیشتاز است و در Terminal Bench چهار چهل و یک درصد امتیاز کسب می‌کند. در شاخص کدنویسی Artificial Analysis با بهترین مدل باز برابر است در حالی که چهل و هفت درصد توکن‌های کمتری استفاده می‌کند. فقط Claude Opus 5.5 آن را در یک تست ترجیح انسانی کور شکست داد،

5:33 Mistral می‌گوید. حالا بندی که ذخیره کردم. مجوز یک MIT تغییر یافته است، رایگان برای استفاده تجاری و غیرتجاری. اما یک کسب و کار که از طریق API یا نقاط پایانی میزبانی شده به اشخاص ثالث دسترسی به مدل می‌دهد، به یک مجوز تجاری جداگانه از Mistral نیاز دارد. استفاده از آن در داخل شرکت خودتان معاف است. اگر ترجیح می‌دهید این را بخوانید تا اینکه من آن را بگویم، دیف هر روز صبح به ایمیل شما می‌رسد، رایگان در daily diff dot dev، لینک در پایین.

6:02 بنابراین حکم امروز NEEDS REVIEW است. من آن را بررسی می‌کنم زیرا بایننس نقاط نقض خود را نام نبرده است،

حکم: نیاز به بررسی دارد

6:08 Cursor نگفته است که نسخه چگونه وارد شده است، Northflank هنوز گزارش پس از حادثه ای ندارد، و نمودار Mistral مال خود Mistral است. در نظرات به من بگویید اگر شما آن را طور دیگری علامت زده بودید. و این دیف امروز است. من نیکو از Axrisi هستم. مسئولانه ادغام کنید. مسئولانه ادغام کنید.

منابع

1. North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in HistoryTRM Labs
2. The largest theft in history: North Korea likely behind the $6.4 billion Binance hackElliptic
3. The $6.3 Billion Binance Hack Was Pulled Off in Just 20 MinutesWIRED
4. Blockchain intelligence firms link North Korea to $6.3B hack on BinanceAP via NPR
5. Security notice: malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension MarketplaceCursor
6. Official Claude Code Extension Compromise: Security AdvisoryPhorion
7. Northflank security incidentNorthflank status page
8. We're releasing the weights of Mistral Large 4Mistral AI
9. Mistral-Large-4-1T-A52B model card and licenseHugging Face (Mistral AI)