Binancen hakkerointi, manipuloinut Claude Code -laajennus Cursorin markkinapaikalla, Northflank-tapaus ja Mistral Large 4: neljä kehittäjätarinaa yhdessä Daily Diffissä

Mitä tämä video käsittelee

• TRM Labsin mukaan Binancen lompakot kymmenellä lohkoketjulla lähettivät varoja yhden hyökkääjän hallitsemiin osoitteisiin 29. lokakuuta 2026, suurin osa siitä noin 20 minuutissa alkaen noin kello 20:05 UTC. TRM laskee noin 6,36 miljardia USD, Elliptic 6,43 miljardia USD (arvot varkauden aikaan) ja Binance on arvioinut noin 6,3 miljardia USD; TRM ja Elliptic kutsuvat molemmat sitä suurimmaksi koskaan kirjatuksi kryptovarkaudeksi, noin neljä kertaa suuremmaksi kuin helmikuussa 2025 tapahtunut noin 1,5 miljardin USD:n Bybit-hakkerointi.
• Elliptic kuvaa Ethereum-mekanismia: yksi transaktio sisälsi 50 valtuutusta, jotka oli allekirjoitettu Binancen kuuman lompakon avaimella, kukin eri noncella niin, että yksi täsmäisi, käyttäen EIP-7702:a vuoden 2025 Pectra-päivityksestä delegoidakseen lompakon hyökkääjän sopimukselle, joka tyhjensi sen minuutteja myöhemmin. Muilla ketjuilla varat liikkuivat tavallisilla allekirjoitetuilla siirroilla, mitä TRM tulkitsee Binancen allekirjoitusinfrastruktuurin vaarantumiseksi. Binancen ensimmäisessä lausunnossa mainittiin vaarantunut DevOps-insinöörin kannettava tietokone ja palvelusäiliö; myöhemmässä päivityksessä todettiin, että murtoja oli lisäpisteissä, eikä niitä nimetty.
• Binance sanoo, että käyttäjien varat ovat turvassa, talletukset eivät ole vaarantuneet, se korvaa kaikki tappiot ja nostojen pitäisi jatkua yhden tai kahden päivän kuluessa. Elliptic laskee jäädytetyiksi 2,84 miljardia USD (44 prosenttia) ja TRM noin 2,7 miljardia USD. TRM liittää varkauden Pohjois-Korean TraderTraitor-ryhmään suurella varmuudella, Elliptic sanoo sen olevan todennäköistä, eikä mikään hallitus ole vahvistanut syyllisyyttä.
• Cursorin tietoturvailmoituksen mukaan Anthropic.claude-code -versio 2.1.313 Cursorin markkinapaikalla oli haitallisesti muokattu, Anthropicin kirjoittamaton, ja se oli saatavilla noin kello 2:27 aamulla ja 1:35 iltapäivällä PT 29. lokakuuta 2026, ja korkeintaan 5 000 käyttäjää oli altistunut. Injektoitu koodi suoritetaan, kun laajennustiedosto latautuu, kerää isäntätiedot, yrittää lisätä SSH-avaimen, avata käänteisen tunnelin ja pysyä järjestelmässä; Cursor sanoo, että SSH-vaihe epäonnistuu useimmissa koneissa, mutta avain, pysyvyys ja isäntäraportti tapahtuvat silti, ja että hyökkääjän palvelin on offline-tilassa. Tarkista authorized_keys-tiedostosta kommentti svc-telemetry. Ilmoituksessa ei kerrota, miten muokattu versio päätyi järjestelmään.
• Phorionin analyysi löytää haittaohjelmasta vian: macOS:ssä se tarkistaa, onko etäkirjautuminen pois päältä komennolla, joka ilman järjestelmänvalvojan oikeuksia tulostaa virheen ja poistuu onnistuneesti, joten skripti ohittaa SSH:n käyttöönoton. Cursor poisti version, sammutti ja rakensi uudelleen markkinapaikkansa, vaihtoi avaimet eikä löytänyt muita manipuloituja laajennuksia.
• Northflankin tilasivu tietoturvapoikkeukselle listaa Wiz-uhkailmoituksen klo 11:43 UTC 30. lokakuuta 2026, ensimmäisen verkkopäivityksen klo 12:02, pyynnön kiertää ympäristömuuttujia klo 13:40 ja klo 13:58 ohjeen olettaa, että kaikki ympäristömuuttujat on purettu ja kaikki avaimet on poistettu käytöstä tai kierrätetty. Siinä sanotaan, että useat käyttäjät vahvistavat tekoälyavaimiensa käytön ja että Postgresin ja MongoDB:n salaisten avainten kiertäminen otettiin käyttöön kaikille käyttäjille klo 15:12. Tämän sivun valmistelun aikaan ei julkaistu jälkipuintia.
• Mistral julkaisi Mistral Large 4:n painot 29. lokakuuta 2026: noin 1 biljoona parametria sekoitusasiantuntijarakenteessa, jossa noin 50 miljardia aktiivista, koulutettua, Mistralin mukaan 3 800 Nvidia Blackwell -sirulla. Mistral Ecosystem Open-Weight -lisenssi on muokattu MIT-lisenssi; yritys, joka tarjoaa mallia kolmansille osapuolille palveluna API:n tai isännöityjen päätepisteiden kautta, tarvitsee erillisen kaupallisen lisenssin, ja sisäinen käyttö on vapautettu. Vertailutulokset, kuten 19,7 prosenttia FrontierCode 2.0:ssa ja 41 prosenttia Terminal-Bench 4.0:ssa, ovat Mistralin omia väitteitä.

Käännetty transkriptio

Käännetty alkuperäisestä englanninkielisestä selostuksesta. Käytettävissä olevan äänen ja tekstitysten hallinta tapahtuu YouTuben kautta.

Kylmä avaus: kenen allekirjoitus liikutti Binancen rahoja?

0:00 Kryptoturvallisuuden on tarkoitus tarkoittaa yksityisten avainten vartiointia. Binancen tapauksessa Elliptic sanoo, että hyökkääjä sai Binancen omat järjestelmät allekirjoittamaan miljardien dollarien nostoja. Tässä videossa neljä tarinaa. Miten hyökkääjät saivat Binancen allekirjoittamaan nostot itse? Mitä manipuloitu Claude Code -laajennus yritti asentaa? Mitä sinun pitäisi kiertää Northflankin jälkeen? Ja mitä Mistralin lisenssi antaa sinun tehdä biljoonalla parametrillä?

0:24 Yhdessä näistä tarinoista on myös yksi lauseke, joka päättää kuka saa isännöidä biljoonan parametrin mallia. Säästän sen loppuun. On perjantai, lokakuun kolmaskymmenes, ja tämä on The Daily Diff. Kuuma lompakko on kryptolompakko, jonka pörssi pitää verkossa, jotta nostot lähtevät heti. Ajattele pankin kassalaatikkoa, paitsi että laatikko on yhteydessä internet-verkkoon. Tarina yksi.

Tarina yksi: miten hyökkääjät saivat Binancen allekirjoittamaan nostot?

0:43 Torstai-iltana Binancen lompakot kymmenellä lohkoketjulla alkoivat lähettää saldonsa osoitteisiin, joita yksi hyökkääjä hallitsi. TRM Labs sanoo, että suurin osa siitä lähti noin kahdessakymmenessä minuutissa, alkaen kello viidestä yli kahdeksan UTC:tä. Kokonaissumma riippuu laskijasta. Binance arvioi noin kuusi pistettä kolme miljardia dollaria. TRM laskee kuusi pistettä kolme kuusi, ja Elliptic kuusi pistettä neljä kolme. Joka tapauksessa se on suurin koskaan kirjattu kryptovarkaus,

1:09 noin neljä kertaa suurempi kuin Bybitin hakkerointi vuodelta kaksituhatta kaksikymmentäviisi. Elliptic kuvaa mekanismia. Ethereumissa yksi tapahtuma sisälsi viisikymmentä valtuutusta, joista jokainen oli allekirjoitettu kyseisen kuuman lompakon avaimella ja jokainen eri tapahtumanumerolla, jotta yksi varmasti täsmäisi. Vuoden 2025 Pectra-päivityksen ominaisuus siirsi sitten lompakon hyökkääjän sopimukselle, joka tyhjensi sen kolme ja puoli minuuttia myöhemmin. Miten hyökkääjä sai Binancen allekirjoittamaan?

1:37 Binancen ensimmäisessä lausunnossa sanottiin, että DevOps-insinöörin kannettava tietokone on saattanut olla vaarassa, mikä antoi pääsyn palvelusäiliöön, joka voi lähettää luvattomia nostoja. Myöhemmässä päivityksessä sanotaan, että murtoja oli lisäpisteissä, eikä niitä nimetä. Bybitin sisäänpääsy oli myös kehittäjän kone, Elliptic huomauttaa. Binance sanoo, että käyttäjien varat ovat turvassa, talletukset ovat vaikuttamattomia, ja se kattaa kaikki tappiot. Nostot on keskeytetty ja niiden odotetaan palaavan yhden tai kahden päivän kuluessa.

2:02 Elliptic laskee jäädytetyksi neljäkymmentäneljä prosenttia. TRM liittää varkauden Pohjois-Korean TraderTraitor-ryhmään suurella varmuudella, Elliptic sanoo todennäköisesti, eikä mikään hallitus ole vahvistanut sitä. Oppitunti piilee avainten ympärillä olevissa koneissa. Auditoisin, mikä voi pyytää allekirjoitusjärjestelmältäsi tapahtumaa. Tarina kaksi. Torstaina, noin yhdentoista tunnin ajan, Cursorin laajennus-

Tarina kaksi: mitä manipuloitu Claude Code -laajennus yritti asentaa?

2:23 markkinapaikka tarjoili muokattua versiota Anthropicin Claude Code -laajennuksesta, versio kaksi pistettä yksi pistettä kolme yksi kolme. Cursor sanoo, ettei Anthropic kirjoittanut sitä, ja että enintään viisituhatta ihmistä asensi sen. Injektoitu koodi istuu laajennuksen normaalin koodin edessä, joten se suoritetaan heti, kun editori lataa tiedoston, ilman napsautusta. Cursor sanoo keräävänsä isäntänimen, käyttäjänimen ja ympäristömuuttujien nimet, yrittää lisätä hyökkääjän SSH-avaimen ja yrittää avata käänteisen tunnelin, joka uudelleenyritetään joka minuutti.

2:53 Outo yksityiskohta on tietoturvafirma Phorionin löytämä virhe. Macissa skripti tarkistaa, onko etäkirjautuminen pois päältä komennolla, joka ilman järjestelmänvalvojan oikeuksia tulostaa virheen ja silti ilmoittaa onnistumisesta. Skripti ei koskaan näe sanaa pois päältä, joten se olettaa etäkirjautumisen olevan päällä ja ohittaa sen kytkemisen päälle. Cursor sanoo, että kirjautumisvaihe epäonnistuu useimmissa koneissa, vaikka avain, pysyvyys ja raportti tapahtuvat silti. Jos päivitit torstaina, etsi SSH authorized keys -tiedostostasi kommentti

3:21 S V C telemetry. Cursor sanoo, että laajennuksen poistaminen ei välttämättä riitä, koska hyötykuorma pudottaa omat skriptinsä, joten käytä sen poistoskriptejä ja kierrä tunnistetiedot luotetusta koneesta. Cursor sulki ja rakensi uudelleen markkinapaikkansa, ja hyökkääjän palvelin on offline-tilassa. Sen ilmoituksessa ei kerrota, miten muokattu rakennelma pääsi sisään.

Tarina kolme: mitä sinun tulisi kiertää Northflank-tapauksen jälkeen?

3:39 Tarina kolme. Northflank ylläpitää palveluita, tietokantoja ja rakennelmia kehittäjille. Sen tilasivu listaa tietoturvapoikkeaman, ja aikajana alkaa kello yksitoista neljäkymmentäkolme UTC perjantaina, tietoturvayritys Wizin hälytyksellä. Yhdeksäntoista minuuttia myöhemmin tuli ensimmäinen verkon korjaus. Kello yksi neljäkymmentä asiakkaita kehotettiin kiertämään ympäristömuuttujat välittömästi. Kahdeksantoista minuuttia sen jälkeen viesti muuttui olettamaan, että jokainen ympäristö- muuttuja on purettu, ja poistamaan käytöstä tai kiertämään kaikki avaimet. Sitten rivi, joka vaikuttaa laskuusi.

4:10 Sivulla sanotaan useiden käyttäjien vahvistavan, että heidän tekoälyavaimiaan on käytetty. Kello kolme kaksitoista Northflank oli ottanut käyttöön salaisten avainten kierrätyksen Postgres- ja MongoDB-lisäosille kaikille käyttäjille, ja se suosittelee julkisen näkyvyyden poistamista näistä lisäosista, jos olet ottanut sen käyttöön. Verkotus, rakennelmat ja lisäosat on listattu suurina käyttökatkoksina, eikä jälkipuintia ole vielä, joten miten hyökkääjä pääsi sisään, ei ole julkista. Kierrä kaikki työnkuormien, salaisryhmien ja globaalien salaisuuksien salaisuudet,

4:37 alkaen avaimista, jotka laskutetaan käytön mukaan, kuten tekoälypalveluntarjoajien avaimet. Tarkista sitten jokaisen palveluntarjoajan käyttösivulta puhelut, joita et ole tehnyt.

Tarina neljä: mitä voit tehdä Mistral Large 4 -painoilla?

4:45 Tarina neljä. Lokakuun kuudennena kerroin sinulle, että Mistral Large 4 oli esikatselussa ja painot oli luvattu lokakuun loppuun mennessä. Torstaina painot laskeutuivat, kaksi päivää etuajassa. Mistral kutsuu sitä Le Chonkiksi, mikä sopii biljoonan parametrin mallille. Hacker News antoi ilmoitukselle yli kuusitoista sataa pistettä. Se on asiantuntijoiden sekoitus. Sen biljoona parametrista noin viisikymmentä miljardia on aktiivisia jokaiselle tokenille, käyttäen neljää sadasta kahdestakymmenestäkahdeksasta asiantuntijasta.

5:11 Mistral sanoo kouluttaneensa mallin kolmellatuhannella kahdeksallasadalla Nvidia Blackwell -sirulla omissa Euroopan datakeskuksissaan. Vertailukaavio on Mistralin oma. Siinä sanotaan, että Large 4 johtaa Cognitionin yksityistä FrontierCode-testiä yhdeksäntoista pisteellä seitsemän prosenttia ja saa neljäkymmentäyksi prosenttia Terminal Bench neljässä. Artificial Analysisin koodausindeksillä se tasoittaa parhaan avoimen mallin käyttäen neljäkymmentäseitsemän prosenttia vähemmän tokeneita.

5:33 Vain Claude Opus 5.5 voitti sen sokkotestissä ihmisten preferenssien mukaan, Mistral sanoo. Nyt se lauseke, jonka säästin. Lisenssi on muokattu MIT, ilmainen kaupalliseen ja ei-kaupalliseen käyttöön. Mutta yritys, joka antaa kolmansille osapuolille pääsyn malliin API:n tai isännöityjen päätepisteiden kautta, tarvitsee erillisen kaupallisen lisenssin Mistralilta. Sen käyttö omassa yrityksessä on vapautettu. Jos haluat mieluummin lukea tämän kuin kuulla minun sanovan sen, diff saapuu sähköpostiisi

6:02 joka aamu, ilmaiseksi osoitteessa the daily diff dot dev, linkki alla. Joten tämän päivän tuomio on NEEDS REVIEW.

Tuomio: NEEDS REVIEW

6:08 Haluaisin tarkistaa sen, koska Binance ei ole nimennyt murtopisteitään, Cursor ei ole kertonut, miten rakennelma pääsi sisään, Northflankilla ei ole vielä jälkipuintia, ja Mistralin kaavio on Mistralin oma. Kerro kommenteissa, jos olisit leimannut sen eri tavalla. Ja tämä oli päivän diff. Olen Niko Axrisista. Yhdistä vastuullisesti.

Lähteet

1. North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in HistoryTRM Labs
2. The largest theft in history: North Korea likely behind the $6.4 billion Binance hackElliptic
3. The $6.3 Billion Binance Hack Was Pulled Off in Just 20 MinutesWIRED
4. Blockchain intelligence firms link North Korea to $6.3B hack on BinanceAP via NPR
5. Security notice: malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension MarketplaceCursor
6. Official Claude Code Extension Compromise: Security AdvisoryPhorion
7. Northflank security incidentNorthflank status page
8. We're releasing the weights of Mistral Large 4Mistral AI
9. Mistral-Large-4-1T-A52B model card and licenseHugging Face (Mistral AI)