Админим с Буквой

23 ноября в Москве пройдёт Kuber Conf от АОТ — офлайн-конференция по Kubernetes.

Кто такие АОТ? — это ассоциация профессионалов в среде облачно-ориентированных технологий, её основали VK Cloud, Yandex Cloud и «Флант».

📍 Когда и где:
23 ноября, 11:00–19:00. Регистрация с 10:00.
Москва, Connect, 5-й Донской проезд, 17.

🎤 Чего послушать:

— (Bykva's choice 👍)«Как дать агенту управление кластером вашей инфраструктуры?» — Эдгар Сипки (Sipki & EasyP Tech);
— «Одна строчка положила весь парк Kubernetes-кластеров» — Макарий Балашов (Технократия);
— «Проект вместо namespace: как сделать мультитенантность в Kubernetes-платформе» — Александр Синичкин (Флант);
— «LLM-диагностика инцидентов в Kubernetes и OpenStack» — Сергей Усков (VK Cloud);
— «Как мы в MWS Cloud Platform доставляем системный софт в managed K8s» — Татьяна Овчинникова (MWS Cloud Platform).

🗣 Круглые столы
– «Kubernetes победил, и это проблема?» — ведёт Дмитрий Евдокимов (Luntry);
– «Из-за ИИ нас всех уволят, что будем делать?» — ведёт Никита Ладошкин (Positive Technologies).

Остальные доклады — про бизнес-требования и ядро Linux, bare metal в managed Kubernetes, AI-чат по всем системам и отечественную кластерную ОС. При этом программа дополняется и организаторы говорят, что будет 2 трека и 17 докладов.

🎟 И всё это за каких-то 6000₽. В цену входит: завтрак, обед, кофе-брейк, автепати с пивом :) ещё и полезностей мешок отсыпят опытные люди из индустрии. И ловите скидку 1000 руб на билет для подписчиков канала по промокоду bykvaadmaot

👉 Регистрация по ссылке!
Полная программа: https://aot-kuberconf.ru/

Binance опубликовал первый разбор взлома 29 октября.

Ушло $6,34 млрд, из них $2,85 млрд заморожено или перехвачено. ФБР показывает на КНДР. Биржа обещает покрыть потери сама и уверяет, что 98% токенов уже восполнила. Отчёт предварительный, но читать его стоит не ради цифр.

Хронология:

— Июнь. Инженер из команды кошельков ищет в поисковике, как поставить популярный ИИ-инструмент для кода, и скачивает поддельный Homebrew. Безопасники это ловят, меняют ему компьютер, перевыпускают доступы. Молодцы.
Только хакеры уже знают, кто в Binance занимается кошельками.

— Сентябрь. Другому инженеру на легальной площадке по поиску работы пишет "директор проекта". Первое собеседование с "HR" по видео (для доверия тот показывает соцсеть с личными фото). Второе с "CEO" несуществующей компании. В конце тестовое задание: скачать репозиторий.
На рабочий компьютер.
Код срабатывает при установке, подменяет pyenv, защита молчит: 0-day.

— 20 октября. Через этот компьютер и внутренний ИИ-инструмент хакеры получают контроль над двумя инженерами кошельков (как именно, Binance не уточняет). Один из них тот самый, июньский. С новым компьютером и новыми паролями. И с токеном на развёртывание контейнеров.

— 29 октября. Контейнер, скрипт, доступ к сервису подписи кошельков. Ключи красть уже незачем, если кассир сам подписывает всё, что ему подносят.

С 20:05 по 20:09 UTC пять горячих кошельков отдают 233 млн XRP. Дальше SOL и OP, и только потом внутреннее оповещение. Следом 18 270 BTC.

Теперь для гуманитариев (и для меня, я не настоящий криптан). Через EIP-7702 хакеры выписали своему смарт-контракту частичные права на горячий кошелёк. Это доверенность на счёт. Binance закрывает вывод, то есть отделение банка, а доверенность лежит в блокчейне и в отделении не нуждается.

Отозвать её должен владелец счёта. А кошелёк на MPC (Multi-Party Computation) — способ подписывать транзакции так, что полного приватного ключа нигде нет, ни на одном сервере и ни у одного человека. Схема, которая защищает от кражи ключа, не дала быстро отозвать доверенность. Пришлось на ходу делать отдельную процедуру.

Последний перевод прошёл в 23:56 UTC, доверенность обнулили в 00:10. Четыре часа с небольшим.

Короткий вывод. Криптографию никто не ломал. Поисковик, собеседование, тестовое задание, внутренний ассистент. Binance пишет, что с начала года отбил 57 атак, которые связывает с Северной Кореей, но хватило одной пропущенной.

Теперь про "корейских хакеров". ФБР называет группу TraderTraitor, но свои доказательства, судя по прессе, не раскрывает. Улики аналитиков косвенные: деньги смешались со средствами взлома Bitget, почерк похож на Bybit. Версия правдоподобная (КНДР в этом бизнесе давно). Но посмотрите, как она всем удобна:

— Binance: проиграть государству не так стыдно, как объяснять, почему токен развёртывания лежал на компьютере инженера.
— ФБР: метка Lazarus делает адреса токсичными для бирж и сервисов, а деньги отмываются прямо сейчас и не нужно никаких судов, доказывать что-то.
— Аналитикам: реклама.
— СМИ: готовый заголовок.

А в открытом суде это почти наверняка никто проверять не будет. Подсудимого не привезут, а опровержению из Пхеньяна никто не поверит.

Собственно, я не спорю, что это могла быть КНДР. Беда в том, что вопрос "кто" вытесняет вопрос "как". А тот же путь через собеседование и инструменты разработчика сработает для кого угодно.

https://x.com/binance/article/2117626126214504729

Разбор текущей ситуации:

В ночь с 1 на 2 ноября 2026 года на нашу инфраструктуру была совершена кибератака с получением доступа к управляющему контуру всей архитектуры и последующим запуском обнуляющих скриптов.

На текущий момент мы не можем раскрыть все детали происходящего, в том числе в целях последующего безопасного запуска инфраструктуры.

Восстановление инфраструктуры, которая пострадала в этой атаке, продолжается.

Что уже сделано:

• Восстановление dedicated‑серверов под собственным администрированием пользователей. Данный сервис был восстановлен 2.11 ориентировочно в 14:00.
• Восстановление DNS‑серверов. Доступен функционал смены DNS‑записей (A, MX, TXT) в зонах ru/рф/su — можно перенаправить домены на другие адреса. Это применимо для доменов, зарегистрированных в Beget и направленных на DNS‑сервера Beget. Над управлением международными доменами ведётся работа.
• Восстановление 80 % инфраструктуры почтового сервиса. Ожидаем полный вывод его в полноценную эксплуатацию в течение 10 часов.
• Домены. Мы договорились с КЦ (Координационный центр сети Интернет) о том, чтобы домены в зонах .ru/.рф/.su у которых заканчивается срок делегирования, не были разделегированы и продолжили работать. По международным доменам продолжается работа.

Напоминаем, что приоритетное продление домена возможно даже после окончания его регистрации.

Общее состояние инфраструктуры Beget на данный момент:

Бэкапы и резервные копии.
Файловые бэкапы всего хостинга и облачной инфраструктуры сохранены, но без восстановления работы нашей инфраструктуры нет возможности предоставить к ним доступ прямо сейчас. Это связано с необходимостью ручной проверки каждого сервера на наличие скрытых уязвимостей и вредоносных скриптов. К сожалению, просто включить серверы без их тщательной проверки невозможно.

К сожалению, бинарные бэкапы VPS полностью утеряны. Остаётся возможность восстановления данных из файловых бэкапов.

Выделенные серверы.
Все серверы без нашего администрирования введены в работу. На серверах под нашим администрированием большая часть данных также сохранилась, продолжается проверка и ввод серверов в работу.

Хостинговые серверы.
По предварительной оценке, восстановлению подлежат почти 100 % сайтов, размещавшихся на виртуальном хостинге. Мы приступили к восстановлению работы хостинговых серверов. Запуск виртуального хостинга также требует скрупулёзной проверки серверов, и на это также требуется значительное время.

Облачная инфраструктура.
В облачной инфраструктуре (VPS, S3 и Kubernetes) все данные были утрачены. Сохранены файловые бэкапы VPS. Настройки CDN, IP утрачены. Мы не сдаёмся и продолжаем поиск способов восстановить эти данные.

Доменные имена.
Ваши доменные имена в безопасности. Мы уже работаем над восстановлением управления доменами. Вы уже сейчас можете управлять DNS‑записями доменов.

Панель управления.
В течение 24 часов мы предоставим ограниченный интерфейс для управления частью услуг.

Конкретные сроки восстановления всех сервисов сейчас уточняются.
Это займёт существенное время, так как требуется ручная проверка более 1000 серверов.

По тем данным, которые сейчас есть, мы видим, что на серверах, где были данные пользователей, не было попыток скачать или изменить данные. Мы рекомендуем сменить все пароли, ключи доступа и другие учётные данные, которые могли храниться на серверах.

Все сотрудники Beget работают в кризисном режиме. Отдел DevOps работает круглосуточно и будет работать в таком графике до окончания работ по инциденту.

Мы знаем, что вы на нас рассчитываете, и прикладываем максимум усилий.
Мы понимаем, что в текущей ситуации вам бы хотелось иметь больше информации и контроля, однако мы не можем делиться информацией, которая на данном этапе ещё может повредить проведению расследования.

Спасибо за ваше понимание.

По мере появления достоверной информации мы будем её публиковать.