Binance bị hack, tiện ích mở rộng Claude Code bị chỉnh sửa trong chợ ứng dụng của Cursor, sự cố Northflank và Mistral Large 4: bốn câu chuyện của nhà phát triển trong một Daily Diff

Nội dung video này đề cập

• Theo TRM Labs, ví Binance trên mười chuỗi khối đã gửi tiền đến các địa chỉ do một kẻ tấn công kiểm soát vào ngày 29 tháng 10 năm 2026, phần lớn trong khoảng 20 phút bắt đầu vào khoảng 20:05 UTC. TRM ước tính khoảng 6,36 tỷ USD, Elliptic 6,43 tỷ USD (giá trị tại thời điểm trộm cắp) và Binance ước tính khoảng 6,3 tỷ USD; cả TRM và Elliptic đều gọi đây là vụ trộm tiền điện tử lớn nhất được ghi nhận, gấp khoảng bốn lần vụ hack Bybit trị giá khoảng 1,5 tỷ USD vào tháng 2 năm 2025.
• Elliptic mô tả cơ chế Ethereum: một giao dịch mang 50 ủy quyền được ký bằng khóa của một ví nóng Binance, mỗi ủy quyền cho một nonce khác nhau để một giao dịch khớp, sử dụng EIP-7702 từ bản nâng cấp Pectra năm 2025 để ủy quyền ví cho hợp đồng của kẻ tấn công, hợp đồng này đã làm rỗng ví vài phút sau đó. Trên các chuỗi khác, tiền di chuyển trong các giao dịch chuyển khoản đã ký thông thường, mà TRM đọc là một sự thỏa hiệp của cơ sở hạ tầng ký của Binance. Tuyên bố đầu tiên của Binance đề cập đến một máy tính xách tay của kỹ sư DevOps bị xâm nhập và một vùng chứa dịch vụ; một bản cập nhật sau đó cho biết có thêm các điểm vi phạm và không nêu tên chúng.
• Binance cho biết tiền của người dùng an toàn, tiền gửi không bị ảnh hưởng, họ sẽ bù đắp tất cả các khoản lỗ và việc rút tiền sẽ tiếp tục trong một hoặc hai ngày. Elliptic tính 2,84 tỷ USD (44 phần trăm) bị đóng băng và TRM khoảng 2,7 tỷ USD. TRM tự tin gán vụ trộm cho nhóm TraderTraitor của Bắc Triều Tiên, Elliptic nói có khả năng, và không chính phủ nào xác nhận việc gán này.
• Thông báo bảo mật của Cursor cho biết Anthropic.claude-code phiên bản 2.1.313 trong chợ ứng dụng Cursor đã bị sửa đổi độc hại, không phải do Anthropic viết và có sẵn từ khoảng 2:27 sáng đến 1:35 chiều PT vào ngày 29 tháng 10 năm 2026, với tối đa 5.000 người dùng bị ảnh hưởng. Mã được chèn chạy khi tệp tiện ích mở rộng tải, thu thập chi tiết máy chủ, cố gắng thêm khóa SSH, mở một đường hầm ngược và tồn tại; Cursor cho biết bước SSH thất bại trên hầu hết các máy nhưng khóa, sự tồn tại và báo cáo máy chủ vẫn xảy ra, và máy chủ của kẻ tấn công đang ngoại tuyến. Kiểm tra authorized_keys để tìm nhận xét svc-telemetry. Thông báo không nói rõ bản dựng đã bị sửa đổi như thế nào.
• Phân tích của Phorion phát hiện ra một lỗi trong phần mềm độc hại: trên macOS, nó kiểm tra xem đăng nhập từ xa có tắt hay không bằng một lệnh mà, nếu không có quyền quản trị, sẽ in lỗi và thoát thành công, vì vậy tập lệnh bỏ qua việc bật SSH. Cursor đã xóa phiên bản này, đóng và xây dựng lại chợ ứng dụng của mình, xoay vòng khóa và không tìm thấy tiện ích mở rộng nào khác bị chỉnh sửa.
• Trang trạng thái của Northflank về sự cố bảo mật liệt kê cảnh báo mối đe dọa Wiz lúc 11:43 UTC ngày 30 tháng 10 năm 2026, bản vá mạng đầu tiên lúc 12:02, yêu cầu xoay vòng biến môi trường lúc 13:40 và, lúc 13:58, hướng dẫn giả định tất cả các biến môi trường đã được giải mã và tắt hoặc xoay vòng tất cả các khóa. Nó cho biết nhiều người dùng xác nhận khóa AI của họ đã được sử dụng và việc xoay vòng bí mật cho Postgres và MongoDB đã được bật cho tất cả người dùng lúc 15:12. Không có báo cáo sau sự cố nào được công bố khi trang này được chuẩn bị.
• Mistral đã phát hành trọng số của Mistral Large 4 vào ngày 29 tháng 10 năm 2026: khoảng 1 nghìn tỷ tham số trong thiết kế mixture-of-experts với khoảng 50 tỷ tham số hoạt động, được đào tạo, Mistral cho biết, trên 3.800 chip Nvidia Blackwell. Giấy phép mã nguồn mở hệ sinh thái Mistral là giấy phép MIT đã sửa đổi; một doanh nghiệp cung cấp mô hình cho bên thứ ba dưới dạng dịch vụ thông qua API hoặc các điểm cuối được lưu trữ cần có giấy phép thương mại riêng, và việc sử dụng nội bộ được miễn trừ. Các kết quả chuẩn như 19,7% trên FrontierCode 2.0 và 41% trên Terminal-Bench 4.0 là những tuyên bố của riêng Mistral.

Bản ghi đã dịch

Được dịch từ lời tường thuật tiếng Anh gốc. Âm thanh và phụ đề có sẵn được điều khiển bởi YouTube.

Mở đầu: chữ ký của ai đã di chuyển tiền của Binance?

0:00 Bảo mật tiền điện tử được cho là phải bảo vệ các khóa riêng tư. Trong trường hợp của Binance, Elliptic cho biết kẻ tấn công đã khiến các hệ thống của Binance tự ký hàng tỷ đô la rút tiền. Trong video này, bốn câu chuyện. Làm thế nào mà những kẻ tấn công khiến Binance tự ký các khoản rút tiền? Tiện ích mở rộng Claude Code bị chỉnh sửa đã cố gắng cài đặt gì? Bạn nên xoay vòng gì sau Northflank? Và giấy phép của Mistral cho phép bạn làm gì với một nghìn tỷ tham số?

0:24 Ngoài ra còn có một điều khoản trong một trong những câu chuyện này quyết định ai có thể lưu trữ một mô hình nghìn tỷ tham số. Tôi sẽ để nó đến cuối. Hôm nay là thứ Sáu, ngày ba mươi tháng Mười, và đây là The Daily Diff. Ví nóng là ví tiền điện tử một sàn giao dịch giữ trực tuyến để các khoản rút tiền được thực hiện ngay lập tức. Hãy nghĩ đến ngăn kéo tiền mặt ở một ngân hàng, ngoại trừ ngăn kéo được kết nối với internet. Câu chuyện thứ nhất.

Câu chuyện thứ nhất: làm thế nào mà những kẻ tấn công khiến Binance ký các khoản rút tiền?

0:43 Vào tối thứ Năm, các ví Binance trên mười chuỗi khối bắt đầu gửi số dư của chúng đến các địa chỉ do một kẻ tấn công kiểm soát. TRM Labs nói rằng hầu hết số tiền đã biến mất trong khoảng hai mươi phút, bắt đầu lúc tám giờ năm phút UTC. Tổng số tiền phụ thuộc vào người đếm. Binance ước tính khoảng sáu phẩy ba tỷ đô la. TRM đếm sáu phẩy ba sáu, và Elliptic đếm sáu phẩy bốn ba. Dù bằng cách nào thì đây cũng là vụ trộm tiền điện tử lớn nhất được ghi nhận,

1:09 gấp khoảng bốn lần vụ hack Bybit từ năm hai nghìn hai mươi lăm. Elliptic mô tả cơ chế. Trên Ethereum, một giao dịch mang năm mươi ủy quyền, mỗi ủy quyền được ký bằng khóa của ví nóng đó và mỗi ủy quyền có một giao dịch đối ứng khác nhau, vì vậy một ủy quyền chắc chắn sẽ khớp. Một tính năng từ bản nâng cấp Pectra năm hai nghìn hai mươi lăm sau đó đã giao ví cho hợp đồng của kẻ tấn công, hợp đồng này đã làm rỗng ví ba phẩy năm phút sau đó. Làm thế nào mà kẻ tấn công khiến Binance ký?

1:37 Tuyên bố đầu tiên của Binance cho biết máy tính xách tay của kỹ sư DevOps có thể đã bị xâm nhập, cho phép truy cập vào một vùng chứa dịch vụ có thể gửi các khoản rút tiền trái phép. Một bản cập nhật sau đó cho biết có thêm các điểm vi phạm và không nêu tên chúng. Cách xâm nhập của Bybit cũng là máy của một nhà phát triển, Elliptic lưu ý. Binance nói rằng tiền của người dùng an toàn, tiền gửi không bị ảnh hưởng, và họ sẽ bù đắp tất cả các khoản lỗ. Việc rút tiền bị tạm dừng và dự kiến sẽ trở lại trong vòng một hoặc hai ngày.

2:02 Elliptic tính bốn mươi bốn phần trăm bị đóng băng. TRM gán vụ trộm cho nhóm TraderTraitor của Bắc Triều Tiên với độ tin cậy cao, Elliptic nói có khả năng, và không chính phủ nào xác nhận nó. Bài học nằm ở các máy xung quanh các khóa. Tôi sẽ kiểm tra xem hệ thống ký của bạn có thể yêu cầu giao dịch nào. Câu chuyện thứ hai. Vào thứ Năm, trong khoảng mười một giờ, chợ tiện ích mở rộng của Cursor

Câu chuyện thứ hai: tiện ích mở rộng Claude Code bị chỉnh sửa đã cố gắng cài đặt gì?

2:23 đã phân phát một bản dựng đã sửa đổi của tiện ích mở rộng Claude Code của Anthropic, phiên bản hai phẩy một phẩy ba một ba. Cursor nói rằng Anthropic không viết nó, và rằng tối đa năm nghìn người đã cài đặt nó. Mã được chèn nằm trước mã bình thường của tiện ích mở rộng, vì vậy nó chạy ngay khi trình chỉnh sửa tải tệp, mà không cần nhấp chuột. Cursor nói rằng nó thu thập tên máy chủ, tên người dùng và tên biến môi trường, cố gắng thêm khóa SSH của kẻ tấn công và cố gắng mở một đường hầm ngược mà thử lại mỗi phút.

2:53 Chi tiết kỳ lạ là một lỗi, được tìm thấy bởi công ty bảo mật Phorion. Trên máy Mac, tập lệnh kiểm tra xem đăng nhập từ xa có tắt hay không bằng một lệnh mà, nếu không có quyền quản trị, sẽ in lỗi và vẫn báo cáo thành công. Tập lệnh không bao giờ thấy từ tắt, vì vậy nó giả định đăng nhập từ xa đang bật và bỏ qua việc bật nó lên. Cursor nói rằng bước đăng nhập thất bại trên hầu hết các máy, mặc dù khóa, sự tồn tại và báo cáo vẫn xảy ra. Nếu bạn đã cập nhật vào thứ Năm, hãy tìm kiếm tệp khóa được ủy quyền SSH của bạn để tìm nhận xét

3:21 S V C telemetry. Cursor nói rằng việc gỡ cài đặt tiện ích mở rộng có thể không đủ, vì tải trọng thả các tập lệnh riêng của nó, vì vậy hãy sử dụng các tập lệnh loại bỏ của nó và xoay vòng thông tin đăng nhập từ một máy đáng tin cậy. Cursor đã đóng và xây dựng lại chợ ứng dụng của mình, và máy chủ của kẻ tấn công đang ngoại tuyến. Thông báo của nó không nói rõ bản dựng đã sửa đổi được đưa vào bằng cách nào.

Câu chuyện thứ ba: bạn nên xoay vòng gì sau sự cố Northflank?

3:39 Câu chuyện thứ ba. Northflank điều hành các dịch vụ, cơ sở dữ liệu và bản dựng cho các nhà phát triển. Trang trạng thái của nó liệt kê một sự cố bảo mật, và dòng thời gian bắt đầu lúc mười một bốn mươi ba UTC vào thứ Sáu, với một cảnh báo từ công ty bảo mật Wiz. Mười chín phút sau là bản vá mạng đầu tiên. Đến một giờ bốn mươi, khách hàng được yêu cầu xoay vòng các biến môi trường ngay lập tức. Mười tám phút sau đó, thông báo thay đổi thành giả định mọi biến môi trường đã được giải mã, và tắt hoặc xoay vòng tất cả các khóa. Sau đó là dòng liên quan đến hóa đơn của bạn.

4:10 Trang này nói rằng nhiều người dùng đang xác nhận rằng khóa AI của họ đã được sử dụng. Đến ba giờ mười hai, Northflank đã bật tính năng xoay vòng bí mật cho các tiện ích bổ sung Postgres và MongoDB cho tất cả người dùng, và nó khuyến nghị tắt khả năng truy cập công khai trên các tiện ích bổ sung đó nếu bạn đã bật nó. Mạng, bản dựng và tiện ích bổ sung được liệt kê là đang gặp sự cố lớn, và chưa có báo cáo sau sự cố nào, vì vậy cách kẻ tấn công xâm nhập không được công khai. Xoay vòng mọi bí mật trên các khối lượng công việc, nhóm bí mật và bí mật toàn cầu,

4:37 bắt đầu với các khóa được tính phí theo mức sử dụng, như khóa nhà cung cấp AI. Sau đó kiểm tra trang sử dụng của từng nhà cung cấp để tìm các cuộc gọi bạn không thực hiện.

Câu chuyện thứ tư: bạn có thể làm gì với trọng số của Mistral Large 4?

4:45 Câu chuyện thứ tư. Vào ngày sáu tháng Mười, tôi đã nói với bạn rằng Mistral Large 4 đang trong giai đoạn xem trước và các trọng số đã được hứa hẹn vào cuối tháng Mười. Vào thứ Năm, các trọng số đã được phát hành, còn hai ngày nữa là hết hạn. Mistral đặt biệt danh cho nó là Le Chonk, phù hợp với một mô hình có một nghìn tỷ tham số. Hacker News đã đưa ra thông báo với hơn mười sáu trăm điểm. Đây là một sự kết hợp của các chuyên gia. Trong số một nghìn tỷ tham số của nó, khoảng năm mươi tỷ hoạt động cho mỗi mã thông báo, sử dụng bốn trong số một trăm hai mươi tám chuyên gia.

5:11 Mistral nói rằng họ đã huấn luyện mô hình trên ba nghìn tám trăm chip Nvidia Blackwell tại các trung tâm dữ liệu châu Âu của riêng mình. Biểu đồ đánh giá là của Mistral. Nó nói Large 4 dẫn đầu bài kiểm tra FrontierCode riêng tư của Cognition ở mức mười chín phẩy bảy phần trăm, và đạt bốn mươi mốt phần trăm trên Terminal Bench bốn. Trên chỉ số mã hóa Phân tích nhân tạo, nó ngang bằng với mô hình mở tốt nhất trong khi sử dụng ít hơn bốn mươi bảy phần trăm mã thông báo.

5:33 Chỉ có Claude Opus 5.5 đánh bại nó trong bài kiểm tra ưu tiên người dùng mù, Mistral nói. Bây giờ điều khoản tôi đã giữ lại. Giấy phép là MIT đã sửa đổi, miễn phí cho mục đích thương mại và phi thương mại. Nhưng một doanh nghiệp cung cấp cho bên thứ ba quyền truy cập vào mô hình thông qua API hoặc các điểm cuối được lưu trữ cần có giấy phép thương mại riêng từ Mistral. Việc sử dụng nó trong nội bộ công ty của bạn được miễn trừ. Nếu bạn muốn đọc điều này thay vì nghe tôi nói, bản diff sẽ đến hộp thư đến của bạn

6:02 mỗi sáng, miễn phí tại the daily diff dot dev, liên kết bên dưới. Vì vậy, phán quyết hôm nay là CẦN XEM XÉT LẠI.

Phán quyết: CẦN XEM XÉT LẠI

6:08 Tôi sẽ xem xét lại vì Binance chưa nêu tên các điểm vi phạm của mình, Cursor chưa nói rõ bản dựng được đưa vào bằng cách nào, Northflank chưa có báo cáo sau sự cố nào, và biểu đồ Mistral là của riêng Mistral. Hãy cho tôi biết trong phần bình luận nếu bạn sẽ đóng dấu khác. Và đó là diff cho hôm nay. Tôi là Niko từ Axrisi. Hợp nhất một cách có trách nhiệm.

Nguồn

1. North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in HistoryTRM Labs
2. The largest theft in history: North Korea likely behind the $6.4 billion Binance hackElliptic
3. The $6.3 Billion Binance Hack Was Pulled Off in Just 20 MinutesWIRED
4. Blockchain intelligence firms link North Korea to $6.3B hack on BinanceAP via NPR
5. Security notice: malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension MarketplaceCursor
6. Official Claude Code Extension Compromise: Security AdvisoryPhorion
7. Northflank security incidentNorthflank status page
8. We're releasing the weights of Mistral Large 4Mistral AI
9. Mistral-Large-4-1T-A52B model card and licenseHugging Face (Mistral AI)