Atacul Binance, o extensie Claude Code modificată în magazinul Cursor, incidentul Northflank și Mistral Large 4: patru știri pentru dezvoltatori într-un singur Daily Diff

Ce acoperă acest videoclip

• Portofelele Binance de pe zece blockchain-uri au trimis fonduri către adrese controlate de un atacator pe 29 octombrie 2026, majoritatea în aproximativ 20 de minute începând cu ora 20:05 UTC, conform TRM Labs. TRM numără aproximativ 6,36 miliarde USD, Elliptic 6,43 miliarde USD (valori la momentul furtului), iar Binance a estimat aproximativ 6,3 miliarde USD; atât TRM, cât și Elliptic o numesc cea mai mare furt de criptomonede înregistrat, de aproximativ patru ori mai mare decât furtul de aproximativ 1,5 miliarde USD de la Bybit din februarie 2025.
• Elliptic descrie mecanismul Ethereum: o tranzacție a conținut 50 de autorizații semnate cu cheia unui portofel "hot" Binance, fiecare pentru un nonce diferit, astfel încât una să se potrivească, utilizând EIP-7702 de la upgrade-ul Pectra din 2025 pentru a delega portofelul contractului atacatorului, care l-a golit câteva minute mai târziu. Pe celelalte lanțuri, fondurile s-au mutat în transferuri semnate obișnuite, pe care TRM le interpretează ca o compromitere a infrastructurii de semnare Binance. Prima declarație Binance a menționat un laptop compromis al unui inginer DevOps și un container de servicii; o actualizare ulterioară a spus că au existat puncte suplimentare de încălcare și nu le-a numit.
• Binance spune că fondurile utilizatorilor sunt în siguranță, depozitele nu sunt afectate, va acoperi toate pierderile și retragerile ar trebui să reînceapă într-o zi sau două. Elliptic numără 2,84 miliarde USD (44 la sută) blocate și TRM aproximativ 2,7 miliarde USD. TRM atribuie furtul grupului TraderTraitor din Coreea de Nord cu mare încredere, Elliptic spune că este probabil, și niciun guvern nu a confirmat atribuirea.
• Notificarea de securitate a Cursor spune că Anthropic.claude-code versiunea 2.1.313 din magazinul Cursor a fost modificată malițios, nu a fost scrisă de Anthropic, și a fost disponibilă de la aproximativ 2:27 AM până la 1:35 PM PT pe 29 octombrie 2026, cu cel mult 5.000 de utilizatori afectați. Codul injectat rulează la încărcarea fișierului extensiei, colectează detalii despre gazdă, încearcă să adauge o cheie SSH, să deschidă un tunel invers și să persiste; Cursor spune că pasul SSH eșuează pe majoritatea mașinilor, dar cheia, persistența și raportul gazdei încă se întâmplă, și că serverul atacatorului este offline. Verificați "authorized_keys" pentru comentariul svc-telemetry. Notificarea nu spune cum a ajuns versiunea modificată.
• Analiza Phorion găsește o eroare în malware: pe macOS, verifică dacă login-ul la distanță este dezactivat cu o comandă care, fără drepturi de administrator, afișează o eroare și iese cu succes, astfel încât scriptul sare peste activarea SSH. Cursor a eliminat versiunea, a închis și a reconstruit magazinul său, a rotit cheile și nu a găsit alte extensii modificate.
• Pagina de stare a Northflank pentru incidentul de securitate listează o alertă de amenințare Wiz la 11:43 UTC pe 30 octombrie 2026, o primă remediere a rețelei la 12:02, o cerere de rotire a variabilelor de mediu la 13:40 și, la 13:58, o instrucțiune de a presupune că toate variabilele de mediu au fost decriptate și de a dezactiva sau roti toate cheile. Se spune că mai mulți utilizatori confirmă că cheile lor AI au fost utilizate și că rotirea secretelor pentru Postgres și MongoDB a fost activată pentru toți utilizatorii la 15:12. Niciun raport post-mortem nu a fost publicat la momentul pregătirii acestei pagini.
• Mistral a lansat "greutățile" (weights) modelului Mistral Large 4 pe 29 octombrie 2026: aproximativ 1 trilion de parametri într-un design "mixture-of-experts" cu aproximativ 50 de miliarde activi, antrenați, spune Mistral, pe 3.800 de chipuri Nvidia Blackwell. Licența Mistral Ecosystem Open-Weight este o licență MIT modificată; o afacere care oferă modelul terților ca serviciu printr-un API sau puncte finale găzduite necesită o licență comercială separată, iar utilizarea internă este scutită. Rezultatele benchmark-urilor, cum ar fi 19,7 la sută pe FrontierCode 2.0 și 41 la sută pe Terminal-Bench 4.0, sunt propriile afirmații ale Mistral.

Transcrierea tradusă

Tradus din narațiunea originală în engleză. Audio-ul și subtitrările disponibile sunt controlate de YouTube.

Introducere scurtă: a cui semnătură a mutat banii Binance?

0:00 Securitatea cripto ar trebui să însemne păstrarea cheilor private. În cazul Binance, Elliptic spune că atacatorul a făcut ca propriile sisteme Binance să semneze miliarde de dolari în retrageri. În acest videoclip, patru povești. Cum au reușit atacatorii să-i facă pe Binance să semneze singuri retragerile? Ce a încercat să instaleze o extensie Claude Code modificată? Ce ar trebui să rotiți după Northflank? Și ce vă permite licența Mistral să faceți cu un trilion de parametri?

0:24 Există, de asemenea, o clauză într-una dintre aceste povești care decide cine poate găzdui un model cu un trilion de parametri. O voi păstra pentru final. Este vineri, treizeci octombrie, și acesta este The Daily Diff. Un portofel "hot" este portofelul criptografic pe care un schimb îl păstrează online pentru ca retragerile să se efectueze instantaneu. Gândiți-vă la sertarul de numerar al unei bănci, doar că sertarul este conectat la internet. Povestea unu.

Prima poveste: cum au reușit atacatorii să-i facă pe Binance să semneze retragerile?

0:43 Joi seara, portofelele Binance de pe zece blockchain-uri au început să-și trimită soldurile către adrese controlate de un singur atacator. TRM Labs spune că majoritatea a plecat în aproximativ douăzeci de minute, începând cu cinci minute după ora opt UTC. Totalul depinde de cine numără. Binance estimează aproximativ șase virgula trei miliarde de dolari. TRM numără șase virgula treizeci și șase, iar Elliptic șase virgula patruzeci și trei. Oricum ar fi, este cel mai mare furt de criptomonede înregistrat,

1:09 aproximativ de patru ori mai mare decât atacul Bybit din douăzeci douăzeci și cinci. Elliptic descrie mecanismul. Pe Ethereum, o tranzacție a purtat cincizeci de autorizații, fiecare semnată cu cheia acelui portofel "hot" și fiecare cu un contor de tranzacții diferit, astfel încât una să se potrivească cu siguranță. O funcție din upgrade-ul Pectra din douăzeci douăzeci și cinci a predat apoi portofelul contractului atacatorului, care l-a golit trei minute și jumătate mai târziu. Cum l-a făcut atacatorul pe Binance să semneze?

1:37 Prima declarație a Binance a spus că laptopul unui inginer DevOps ar fi putut fi compromis, oferind acces la un container de servicii care putea depune retrageri neautorizate. O actualizare ulterioară spune că au existat puncte suplimentare de încălcare și nu le numește. Modul de acces al Bybit a fost, de asemenea, o mașină de dezvoltator, notează Elliptic. Binance spune că fondurile utilizatorilor sunt în siguranță, depozitele nu sunt afectate, și va acoperi toate pierderile. Retragerile sunt întrerupte și se așteaptă să reînceapă într-o zi sau două.

2:02 Elliptic numără patruzeci și patru la sută blocate. TRM atribuie furtul grupului TraderTraitor din Coreea de Nord cu mare încredere, Elliptic spune probabil, și niciun guvern nu a confirmat acest lucru. Lecția stă în mașinile din jurul cheilor. Aș audita ce poate cere sistemului dumneavoastră de semnare pentru o tranzacție. Povestea doi. Joi, timp de aproximativ unsprezece ore, magazinul de extensii Cursor

A doua poveste: ce a încercat să instaleze extensia Claude Code modificată?

2:23 a servit o versiune modificată a extensiei Claude Code de la Anthropic, versiunea doi virgula unu virgula trei unu trei. Cursor spune că Anthropic nu a scris-o, și că cel mult cinci mii de persoane au instalat-o. Codul injectat stă în fața codului normal al extensiei, astfel încât rulează în momentul în care editorul încarcă fișierul, fără niciun clic. Cursor spune că colectează numele gazdei, numele de utilizator și numele variabilelor de mediu, încearcă să adauge o cheie SSH a atacatorului și încearcă să deschidă un tunel invers care reîncearcă în fiecare minut.

2:53 Detaliul ciudat este o eroare, descoperită de firma de securitate Phorion. Pe un Mac, scriptul verifică dacă autentificarea la distanță este dezactivată cu o comandă care, fără drepturi de administrator, afișează o eroare și raportează totuși succes. Scriptul nu vede niciodată cuvântul "off", deci presupune că autentificarea la distanță este activată și sare peste activarea acesteia. Cursor spune că pasul de autentificare eșuează pe majoritatea mașinilor, deși cheia, persistența și raportul tot se întâmplă. Dacă ați actualizat joi, căutați în fișierul dumneavoastră de chei autorizate SSH comentariul

3:21 S V C telemetry. Cursor spune că dezinstalarea extensiei ar putea să nu fie suficientă, deoarece "payload-ul" aruncă propriile scripturi, deci utilizați scripturile sale de eliminare și rotiți credentialele de pe o mașină de încredere. Cursor a închis și a reconstruit magazinul său, iar serverul atacatorului este offline. Notificarea sa nu spune cum a intrat versiunea modificată.

A treia poveste: ce ar trebui să rotiți după incidentul Northflank?

3:39 Povestea trei. Northflank rulează servicii, baze de date și "build-uri" pentru dezvoltatori. Pagina sa de stare listează un incident de securitate, iar cronologia începe la unsprezece patruzeci și trei UTC vineri, cu o alertă de la compania de securitate Wiz. Nouăsprezece minute mai târziu a venit prima remediere a rețelei. Până la ora unu patruzeci, clienților li s-a spus să rotească variabilele de mediu imediat. Optsprezece minute după aceea, mesajul s-a schimbat în a presupune că fiecare variabilă de mediu a fost decriptată și să dezactiveze sau să rotească toate cheile. Apoi rândul care îți afectează factura.

4:10 Pagina spune că mai mulți utilizatori confirmă că cheile lor AI au fost utilizate. Până la trei doisprezece, Northflank activase rotirea secretelor pentru "add-on-urile" Postgres și MongoDB pentru toți utilizatorii și recomandă dezactivarea expunerii publice pe acele "add-on-uri" dacă ați activat-o. Rețelele, "build-urile" și "add-on-urile" sunt listate ca fiind în pană majoră, și nu există încă un "post-mortem", deci modul în care a intrat atacatorul nu este public. Rotiți fiecare secret pe sarcinile de lucru, grupurile de secrete și secretele globale,

4:37 începând cu cheile care facturează per utilizare, cum ar fi cheile furnizorilor de AI. Apoi verificați pagina de utilizare a fiecărui furnizor pentru apeluri pe care nu le-ați făcut.

A patra poveste: ce puteți face cu "greutățile" (weights) modelului Mistral Large 4?

4:45 Povestea patru. Pe șase octombrie v-am spus că Mistral Large 4 era în previzualizare și că "greutățile" (weights) erau promise pentru sfârșitul lunii octombrie. Joi, "greutățile" au aterizat, cu două zile înainte. Mistral îl poreclește "Le Chonk", ceea ce se potrivește unui model cu un trilion de parametri. Hacker News a oferit anunțului peste șaisprezece sute de puncte. Este un "mixture of experts". Dintre cei un trilion de parametri, aproximativ cincizeci de miliarde sunt activi pentru fiecare "token", utilizând patru dintre o sută douăzeci și opt de experți.

5:11 Mistral spune că a antrenat modelul pe treizeci și opt de sute de chipuri Nvidia Blackwell în propriile sale centre de date europene. Graficul de "benchmark" este al lui Mistral. Spune că Large 4 conduce testul privat FrontierCode de la Cognition la nouăsprezece virgula șapte la sută și obține patruzeci și unu la sută pe Terminal Bench patru. Pe indicele de codare Artificial Analysis, se clasează la fel ca cel mai bun model deschis, utilizând patruzeci și șapte la sută mai puține "token-uri".

5:33 Doar Claude Opus 5.5 l-a depășit într-un test "blind" de preferință umană, spune Mistral. Acum clauza pe care am salvat-o. Licența este o licență MIT modificată, gratuită pentru utilizare comercială și necomercială. Dar o afacere care oferă terților acces la model printr-un API sau puncte finale găzduite necesită o licență comercială separată de la Mistral. Utilizarea sa în cadrul propriei companii este scutită. Dacă preferați să citiți asta decât să mă auziți spunând-o, "diff-ul" ajunge în căsuța dvs. de email

6:02 în fiecare dimineață, gratuit la the daily diff dot dev, link mai jos. Deci verdictul de astăzi este NECESITĂ REVIZUIRE.

Verdict: NECESITĂ REVIZUIRE

6:08 Aș revizui-o pentru că Binance nu a numit punctele sale de breșă, Cursor nu a spus cum a intrat "build-ul", Northflank nu are încă un "post-mortem", și graficul Mistral este propriul lui Mistral. Spuneți-mi în comentarii dacă ați fi ștampilat-o diferit. Și asta e "diff-ul" pentru azi. Sunt Niko de la Axrisi. Faceți "merge" responsabil.

Surse

1. North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in HistoryTRM Labs
2. The largest theft in history: North Korea likely behind the $6.4 billion Binance hackElliptic
3. The $6.3 Billion Binance Hack Was Pulled Off in Just 20 MinutesWIRED
4. Blockchain intelligence firms link North Korea to $6.3B hack on BinanceAP via NPR
5. Security notice: malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension MarketplaceCursor
6. Official Claude Code Extension Compromise: Security AdvisoryPhorion
7. Northflank security incidentNorthflank status page
8. We're releasing the weights of Mistral Large 4Mistral AI
9. Mistral-Large-4-1T-A52B model card and licenseHugging Face (Mistral AI)