# Binance hack, isang tinukoy na Claude Code extension sa marketplace ng Cursor, ang insidente ng Northflank at Mistral Large 4: apat na kwento ng developer sa isang Daily Diff

Published: 2026-10-31

Apat na kwento ng developer, bawat isa ay nakatalaga sa pangunahing pinagmulan nito: Nawalan ng bilyun-bilyong dolyar sa crypto ang Binance sa loob ng halos dalawampung minuto, na may mga kumpanya ng pagsubaybay na TRM Labs at Elliptic na naglathala ng iba't ibang kabuuan at ang Binance na nagbigay ng sarili nitong pagtatantya; Sinasabi ng Cursor na isang malisyosong binagong build ng extension ng Claude Code ng Anthropic, bersyon 2.1.313, ay available sa marketplace ng extension nito sa loob ng halos labing-isang oras; Sinasabi ng status page ng Northflank sa mga customer na ipagpalagay na ang lahat ng environment variables ay na-decrypt matapos ang isang alerto sa seguridad; at inilabas ng Mistral ang mga bigat ng Mistral Large 4 sa ilalim ng lisensya na may clause para sa mga hosted services. Ang mga figure ay sariling mga pinagmulan, ilang sanhi ay hindi pa rin maipaliwanag, at ang pasya ay KAILANGAN NG REBYU.

Canonical: https://thedailydiff.dev/fil/video/2026-10-30-binance-extension-northflank-mistral/

## Ang sakop ng video na ito

- Ang mga Binance wallet sa sampung blockchain ay nagpadala ng pondo sa mga address na kontrolado ng isang attacker noong Oktubre 29, 2026, karamihan sa loob ng halos 20 minuto simula bandang 20:05 UTC, ayon sa TRM Labs. Nagbilang ang TRM ng halos USD 6.36 bilyon, Elliptic USD 6.43 bilyon (mga halaga sa oras ng pagnanakaw) at tinatayang ng Binance na humigit-kumulang USD 6.3 bilyon; Parehong tinawag ng TRM at Elliptic ito bilang pinakamalaking pagnanakaw ng crypto na naitala, halos apat na beses ang humigit-kumulang USD 1.5 bilyong Bybit hack noong Pebrero 2025.
- Inilalarawan ng Elliptic ang mekanismo ng Ethereum: isang transaksyon ang nagdala ng 50 na pahintulot na nilagdaan gamit ang key ng isang Binance hot wallet, bawat isa ay para sa ibang nonce upang tumugma ang isa, gamit ang EIP-7702 mula sa 2025 Pectra upgrade upang idelegar ang wallet sa kontrata ng attacker, na inubos ito minuto pagkatapos. Sa iba pang mga chain, lumipat ang pondo sa ordinaryong nilagdaang paglilipat, na binabasa ng TRM bilang isang kompromiso sa imprastraktura ng pagpirma ng Binance. Binanggit ng unang pahayag ng Binance ang isang na-kompromisong laptop ng DevOps engineer at isang service container; isang mas huling update ang nagsabi na may mga karagdagang puntos ng paglabag at hindi ito pinangalanan.
- Sinasabi ng Binance na ligtas ang pondo ng user, hindi apektado ang mga deposito, sasagutin nito ang lahat ng pagkalugi at dapat na magpatuloy ang pag-withdraw sa loob ng isa o dalawang araw. Nagbibilang ang Elliptic ng USD 2.84 bilyon (44 porsyento) na na-freeze at ang TRM ng halos USD 2.7 bilyon. Ikinakabit ng TRM ang pagnanakaw sa grupong TraderTraitor ng North Korea na may mataas na kumpiyansa, sinasabi ng Elliptic na malamang, at walang pamahalaan ang nagkumpirma ng atribusyon.
- Sinasabi ng security notice ng Cursor na ang Anthropic.claude-code bersyon 2.1.313 sa Cursor marketplace ay sadyang binago, hindi isinulat ng Anthropic, at available mula bandang 2:27 am hanggang 1:35 pm PT noong Oktubre 29, 2026, na may pinakamataas na 5,000 user na apektado. Ang in-inject na code ay tumatakbo kapag naglo-load ang file ng extension, kinokolekta ang mga detalye ng host, sinusubukang magdagdag ng SSH key, magbukas ng reverse tunnel at magpatuloy; Sinasabi ng Cursor na nabigo ang hakbang ng SSH sa karamihan ng mga makina ngunit nangyayari pa rin ang key, persistence at host report, at na offline ang server ng attacker. Suriin ang authorized\_keys para sa komento svc-telemetry. Hindi sinasabi ng notice kung paano nakapasok ang binagong build.
- Natagpuan ng pagsusuri ng Phorion ang isang bug sa malware: sa macOS sinisiyasat nito kung naka-off ang remote login gamit ang isang command na, nang walang admin rights, nagpi-print ng error at nag-e-exit nang matagumpay, kaya nilalaktawan ng script ang pag-enable ng SSH. Inalis ng Cursor ang bersyon, isinara at muling itinayo ang marketplace nito, pinaikot ang mga key at walang nakitang ibang binagong extension.
- Inililista ng status page ng Northflank para sa security incident ang isang Wiz threat alert sa 11:43 UTC noong Oktubre 30, 2026, isang unang network patch sa 12:02, isang kahilingan na paikutin ang environment variables sa 13:40 at, sa 13:58, isang instruksyon na ipagpalagay na ang lahat ng environment variables ay na-decrypt at i-disable o paikutin ang lahat ng keys. Sinasabi nito na maraming user ang nagkukumpirma na ang kanilang mga AI key ay nagamit na at na ang secret rotation para sa Postgres at MongoDB ay na-enable para sa lahat ng user sa 15:12. Walang post-mortem na inilathala nang ihanda ang page na ito.
- Inilabas ng Mistral ang mga bigat ng Mistral Large 4 noong Oktubre 29, 2026: humigit-kumulang 1 trilyong parameter sa isang mixture-of-experts design na may halos 50 bilyong aktibo, sinanay, sabi ng Mistral, sa 3,800 Nvidia Blackwell chips. Ang Mistral Ecosystem Open-Weight License ay isang binagong lisensya ng MIT; isang negosyo na nag-aalok ng modelo sa mga third party bilang isang serbisyo sa pamamagitan ng isang API o hosted endpoints ay nangangailangan ng hiwalay na komersyal na lisensya, at ang panloob na paggamit ay exempt. Ang mga resulta ng benchmark tulad ng 19.7 porsyento sa FrontierCode 2.0 at 41 porsyento sa Terminal-Bench 4.0 ay sariling mga pahayag ng Mistral.

## Mga tanong at sagot

### Paano naubos ng mga attacker ang mga hot wallet ng Binance, at bakit magkakaiba ang mga pigura ng pagkalugi?

Sinasabi ng Elliptic na ang isang attacker ay nagsumite ng isang transaksyon sa Ethereum na nagdala ng 50 na pahintulot na nilagdaan gamit ang key ng isang Binance hot wallet, pagkatapos ay ginamit ang EIP-7702 upang idelegar ang wallet sa sarili nitong kontrata, na inubos ito. Nagbilang ang TRM Labs ng halos $6.36 bilyon, Elliptic $6.43 bilyon at tinatayang ng Binance na humigit-kumulang $6.3 bilyon, dahil bawat isa ay iba ang pagpapahalaga sa mga asset. Hindi pa pinangalanan ng Binance ang lahat ng punto ng paglabag.

### Ano ang malisyosong Claude Code 2.1.313 extension sa Cursor marketplace, at paano ko masasabi kung naapektuhan ako?

Sinasabi ng Cursor na ang Anthropic.claude-code 2.1.313 ay isang malisyosong binagong build, hindi isinulat ng Anthropic, na available sa loob ng halos labing-isang oras noong Oktubre 29 na may pinakamataas na 5,000 user na apektado. Ang pagsusuri ng Cursor: hanapin sa iyong SSH authorized\_keys file ang komentong svc-telemetry. Nagbabala ang Cursor na maaaring hindi sapat ang pag-uninstall ng extension at nagbibigay ng mga removal script.

### Ano ang dapat kong gawin pagkatapos ng insidente ng seguridad ng Northflank kung nalantad ang aking environment variables?

Sinasabi ng status page ng Northflank sa lahat ng user na ipagpalagay na ang kanilang environment variables ay na-decrypt at i-disable o paikutin ang lahat ng key, kasama ang mga lihim sa mga workload, secret group at global secret. Sinasabi nito na maraming user ang nagkukumpirma na ang kanilang mga AI key ay nagamit na, kaya paikutin muna ang mga key na may bayad kada gamit at tingnan ang pahina ng paggamit ng bawat provider. Walang post-mortem na inilathala nang ihanda ang page na ito.

### Maaari ko bang gamitin ang Mistral Large 4 sa komersyal, at ano ang sinasabi ng lisensya nito tungkol sa pagho-host nito para sa iba?

Oo. Ang Mistral's Ecosystem Open-Weight License ay isang binagong lisensya ng MIT na nagpapahintulot ng komersyal at di-komersyal na paggamit. Ang isang negosyo na nagbibigay sa mga third party ng access sa modelo o mga derivatives sa pamamagitan ng isang API o hosted endpoints ay nangangailangan ng hiwalay na komersyal na lisensya mula sa Mistral. Ang panloob na paggamit na hindi nagpapahintulot sa modelo na maging available sa mga third party ay exempt, ayon sa teksto ng lisensya sa Hugging Face repository.

### Ano ang pasya ng The Daily Diff sa apat na kwentong ito?

Ang pasya ng The Daily Diff ay KAILANGAN NG REBYU. Ang dahilan ni Niko ay hindi pinangalanan ng Binance ang mga punto ng paglabag nito, hindi sinabi ng Cursor kung paano nakapasok ang binagong build, wala pang post-mortem ang Northflank at ang tsart ng benchmark ng Mistral ay sariling Mistral. Ang payo ay basahin ang mga pangunahing pinagmumulan at kumilos ayon sa mga konkretong pagsusuri na inilista ng bawat isa.

## Mga Kabanata

- 0:00 Malamig na pagbubukas: kaninong lagda ang naglipat ng pera ng Binance?
- 0:43 Unang kwento: paano nakuha ng mga umaatake ang Binance para pirmahan ang mga withdrawal?
- 2:19 Ikalawang kwento: ano ang sinubukang i-install ng binagong extension ng Claude Code?
- 3:39 Ikatlong kwento: ano ang dapat mong paikutin pagkatapos ng insidente ng Northflank?
- 4:45 Ika-apat na kwento: ano ang magagawa mo sa mga bigat ng Mistral Large 4?
- 6:06 Pasya: KAILANGAN NG REBYU

## Isinaling transcript

Isinalin mula sa orihinal na salaysay sa English. Ang available na audio at mga caption ay kinokontrol ng YouTube.

### Malamig na pagbubukas: kaninong lagda ang naglipat ng pera ng Binance?

0:00 Ang seguridad ng crypto ay dapat mangahulugan ng pagbabantay sa mga pribadong key. Sa kaso ng Binance, sinasabi ng Elliptic na nakuha ng umaatake ang sariling mga sistema ng Binance upang pirmahan bilyun-bilyong dolyar ng mga withdrawal. Sa video na ito, apat na kwento. Paano nakuha ng mga umaatake ang Binance upang pirmahan ang mga withdrawal mismo? Ano ang sinubukang i-install ng binagong extension ng Claude Code? Ano ang dapat mong paikutin pagkatapos ng Northflank? At ano ang pinahihintulutan ng lisensya ng Mistral na gawin mo sa isang trilyong parameter?

0:24 Mayroon ding isang clause sa isa sa mga kwentong ito na nagpapasya kung sino ang maaaring mag-host ng isang trilyong parameter na modelo. Iiwan ko ito para sa dulo. Biyernes, Oktubre tatlumpu, at ito ang The Daily Diff. Ang hot wallet ay ang crypto wallet na iniiwan ng exchange online upang agad na mailabas ang mga withdrawal. Isipin ang cash drawer sa isang bangko, maliban sa ang drawer ay konektado sa internet. Kwento isa.

### Unang kwento: paano nakuha ng mga umaatake ang Binance para pirmahan ang mga withdrawal?

0:43 Noong Huwebes ng gabi, ang mga Binance wallet sa sampung blockchain ay nagsimulang magpadala ng kanilang mga balanse sa mga address na kontrolado ng isang attacker. Sinasabi ng TRM Labs na karamihan dito ay umalis sa loob ng halos dalawampung minuto, simula bandang alas-otso y singko ng gabi UTC. Ang kabuuan ay depende sa kung sino ang nagbibilang. Tinatayang ng Binance na humigit-kumulang anim na punto tatlong bilyong dolyar. Nagbilang ang TRM ng anim na punto tatlong anim, at ang Elliptic ay anim na punto apat na tatlo. Anuman, ito ang pinakamalaking pagnanakaw ng crypto na naitala,

1:09 halos apat na beses ang Bybit hack mula noong dalawampu't dalawampu't lima. Inilalarawan ng Elliptic ang mekanismo. Sa Ethereum, isang transaksyon ang nagdala ng limampung pahintulot, bawat isa ay nilagdaan gamit ang key ng hot wallet na iyon at bawat isa ay may iba't ibang transaction counter, kaya siguradong may tumugma. Isang feature mula sa dalawampu't dalawampu't limang Pectra upgrade ang nagpasa ng wallet sa kontrata ng attacker, na inubos ito tatlo at kalahating minuto pagkatapos. Paano nakuha ng attacker ang Binance upang pumirma?

1:37 Sinabi ng unang pahayag ng Binance na ang laptop ng isang DevOps engineer ay maaaring nakompromiso, na nagbibigay ng access sa isang service container na maaaring magsumite ng mga hindi awtorisadong withdrawal. Ang isang mas huling update ay nagsasabi na mayroong karagdagang mga puntos ng paglabag at hindi nila pinangalanan. Ang paraan din ng Bybit ay ang makina ng isang developer, sabi ni Elliptic. Sinasabi ng Binance na ligtas ang pondo ng user, hindi apektado ang mga deposito, at sasagutin nito ang lahat ng pagkalugi. Ang mga withdrawal ay naka-pause at inaasahang babalik sa loob ng isa o dalawang araw.

2:02 Nagbibilang ang Elliptic ng apatnapu't apat na porsyento na na-freeze. Ikinakabit ng TRM ang pagnanakaw sa grupong TraderTraitor ng North Korea na may mataas na kumpiyansa, sinasabi ng Elliptic na malamang, at walang gobyerno ang nagkumpirma nito. Ang aralin ay nasa mga makina sa paligid ng mga key. I-a-audit ko kung ano ang maaaring humingi ng transaksyon sa iyong sistema ng pagpirma. Kwento dalawa. Noong Huwebes, sa loob ng halos labing-isang oras, ang Cursor extension

### Ikalawang kwento: ano ang sinubukang i-install ng binagong extension ng Claude Code?

2:23 marketplace ay naghatid ng binagong build ng extension ng Claude Code ng Anthropic, bersyon dalawang punto isa punto tatlong isa tatlo. Sinasabi ng Cursor na hindi ito isinulat ng Anthropic, at na pinakamaraming limang libong tao ang nag-install nito. Ang in-inject na code ay nasa harap ng normal na code ng extension, kaya tumatakbo ito sa sandaling i-load ng editor ang file, nang walang click. Sinasabi ng Cursor na kinokolekta nito ang hostname, username at mga pangalan ng environment variable, sinusubukang magdagdag ng SSH key ng attacker, at sinusubukang magbukas ng reverse tunnel na nagre-retry kada minuto.

2:53 Ang kakaibang detalye ay isang bug, na natagpuan ng security firm na Phorion. Sa isang Mac, tinitignan ng script kung naka-off ang remote login gamit ang isang command na, nang walang admin rights, nagpi-print ng error at nagre-report pa rin ng tagumpay. Hindi nakikita ng script ang salitang off, kaya ipinapalagay nito na naka-on ang remote login at nilalaktawan ang pag-on nito. Sinasabi ng Cursor na nabigo ang hakbang sa pag-login sa karamihan ng mga makina, bagaman nangyayari pa rin ang key, persistence at report. Kung nag-update ka noong Huwebes, hanapin ang S V C telemetry sa iyong SSH authorized keys file.

3:21 S V C telemetry. Sinasabi ng Cursor na maaaring hindi sapat ang pag-uninstall ng extension, dahil ibinababa ng payload ang sarili nitong mga script, kaya gamitin ang mga removal script nito at paikutin ang mga kredensyal mula sa isang pinagkakatiwalaang makina. Isinara ng Cursor at muling itinayo ang marketplace nito, at offline ang server ng attacker. Hindi sinasabi ng notice nito kung paano nakapasok ang binagong build.

### Ikatlong kwento: ano ang dapat mong paikutin pagkatapos ng insidente ng Northflank?

3:39 Kwento tatlo. Nagpapatakbo ang Northflank ng mga serbisyo, database at build para sa mga developer. Ang status page nito ay naglilista ng insidente sa seguridad, at ang timeline ay nagsisimula sa labing-isa apatnapu't tatlo UTC noong Biyernes, na may alerto mula sa kumpanya ng seguridad na Wiz. Labing-siyam na minuto pagkatapos ay dumating ang unang network patch. Pagsapit ng isa y kwarenta, sinabihan ang mga customer na paikutin agad ang environment variables. Labing-walong minuto pagkatapos nito, nagbago ang mensahe upang ipagpalagay na ang bawat environment variable ay na-decrypt, at i-disable o paikutin ang lahat ng key. Pagkatapos ay ang linya na tumutukoy sa iyong bill.

4:10 Sinasabi ng pahina na maraming user ang nagkukumpirma na ang kanilang mga AI key ay nagamit na. Pagsapit ng alas-tres y dose, binuksan ng Northflank ang secret rotation para sa Postgres at MongoDB add-ons para sa lahat ng user, at inirerekomenda nito ang pag-off ng public exposure sa mga add-on na iyon kung in-enable mo ito. Ang networking, builds at add-ons ay nakalista bilang nasa malaking outage, at wala pang post-mortem, kaya hindi pa pampubliko kung paano nakapasok ang attacker. Paikutin ang bawat lihim sa mga workload, secret group at global secret,

4:37 simula sa mga key na may bayad kada gamit, tulad ng mga key ng AI provider. Pagkatapos, tingnan ang pahina ng paggamit ng bawat provider para sa mga tawag na hindi mo ginawa.

### Ika-apat na kwento: ano ang magagawa mo sa mga bigat ng Mistral Large 4?

4:45 Kwento apat. Noong Oktubre anim sinabi ko sa iyo na ang Mistral Large 4 ay nasa preview at ang mga bigat ay ipinangako sa pagtatapos ng Oktubre. Noong Huwebes, dumating ang mga bigat, na may dalawang araw na natitira. Binibigyan ng Mistral ng palayaw na Le Chonk, na angkop para sa isang modelo na may isang trilyong parameter. Binigyan ng Hacker News ang anunsyo ng higit sa labing-anim na raang puntos. Ito ay isang halo ng mga eksperto. Sa isang trilyong parameter nito, halos limampung bilyon ang aktibo para sa bawat token, gamit ang apat sa isang daan at dalawampu't walong eksperto.

5:11 Sinasabi ng Mistral na sinanay nito ang modelo sa tatlong libo walong daang Nvidia Blackwell chips sa sarili nitong mga European data center. Ang tsart ng benchmark ay sa Mistral. Sinasabi nito na ang Large 4 ang nangunguna sa pribadong FrontierCode test ng Cognition sa labing-siyam na punto pitong porsyento, at nakakuha ng apatnapu't isang porsyento sa Terminal Bench apat. Sa Artificial Analysis coding index, nakatabla ito sa pinakamahusay na bukas na modelo habang gumagamit ng apatnapu't pitong porsyento na mas kaunting token.

5:33 Tanging si Claude Opus 5.5 lang ang nakatalo dito sa isang blind human preference test, sabi ni Mistral. Ngayon ang clause na inipon ko. Ang lisensya ay isang binagong MIT, libre para sa komersyal at di-komersyal na paggamit. Ngunit ang isang negosyo na nagbibigay sa mga third party ng access sa modelo sa pamamagitan ng isang API o hosted endpoints ay nangangailangan ng hiwalay na komersyal na lisensya mula sa Mistral. Ang paggamit nito sa loob ng iyong sariling kumpanya ay exempt. Kung mas gusto mong basahin ito kaysa pakinggan akong sabihin ito, ang diff ay dumarating sa iyong inbox

6:02 tuwing umaga, libre sa the daily diff dot dev, link sa ibaba. Kaya ang pasya ngayon ay KAILANGAN NG REBYU.

### Pasya: KAILANGAN NG REBYU

6:08 Ire-review ko ito dahil hindi pinangalanan ng Binance ang mga breach point nito, Hindi sinabi ng Cursor kung paano nakapasok ang build, wala pang post-mortem ang Northflank, at ang tsart ng Mistral ay sariling Mistral. Sabihin mo sa akin sa mga komento kung iba ang iyong tatak. At iyon ang diff para sa araw na ito. Ako si Niko mula sa Axrisi. Pagsamahin nang responsable.

## Mga Pinagmulan

- [North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History](https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history) — TRM Labs
- [The largest theft in history: North Korea likely behind the $6.4 billion Binance hack](https://www.elliptic.co/insights/binance-largest-hack-in-history/) — Elliptic
- [The $6.3 Billion Binance Hack Was Pulled Off in Just 20 Minutes](https://www.wired.com/story/the-dollar63-billion-binance-hack-was-pulled-off-in-just-20-minutes/) — WIRED
- [Blockchain intelligence firms link North Korea to $6.3B hack on Binance](https://www.npr.org/2026/10/30/g-s1-150902/blockchain-intelligence-firms-link-north-korea-to-6-3b-hack-on-binance) — AP via NPR
- [Security notice: malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension Marketplace](https://cursor.com/blog/claude-code-extension-security-notice) — Cursor
- [Official Claude Code Extension Compromise: Security Advisory](https://phorion.io/blog/offical-claude-code-vsx-compromise/) — Phorion
- [Northflank security incident](https://status.northflank.com/cmvv0rn5a092f14rutwccodpp) — Northflank status page
- [We're releasing the weights of Mistral Large 4](https://mistral.ai/news/mistral-large-4-oss/) — Mistral AI
- [Mistral-Large-4-1T-A52B model card and license](https://huggingface.co/mistralai/Mistral-Large-4-1T-A52B) — Hugging Face (Mistral AI)