CripRub: обмен криптовалюты на рубли с выплатой на карты российских банков и по СБП Скорость. Заявка обрабатывается в среднем от 5 до 180 минут после получения оплаты, в отдельных случаях до 3 рабочих дней (пункт 7.4 правил обмена). Время работы. Операторы на связи с понедельника по пятницу, с 10:00 до 22:00 по Москве. Что меняем. Bitcoin, Ethereum, Solana, Litecoin, Dogecoin, Tron, TON и USDT в сетях TRC20, ERC20 и BEP20. Куда выплачиваем. USDT выводится по СБП и на карты банков: Т-Банк, Райффайзен, ВТБ, Газпромбанк, Промсвязьбанк, Почта Банк, Россельхозбанк, МТС Банк, Открытие, Хоум Кредит, Озон Банк, ЮMoney. Остальные монеты выводятся на Т-Банк, Райффайзен и по СБП, TON на Т-Банк. Проверка средств. Входящие транзакции проходят AML-проверку на системах биржи Rapira. Поддержка: Telegram @CripRub, почта info@criprub.ru Сайт: https://criprub.ru
Перехват DNS у 15 криптопроектов: правильный домен открывал сайт с дрейнером В ночь с 30 на 31 октября посетители 15 сайтов криптопроектов попадали на подделки. Это был перехват доменов, зарегистрированных через Name.com: хакеры поменяли у них настройки DNS, поэтому человек набирал правильный адрес и открывал чужую копию сайта с дрейнером Step Drainer. Среди пострадавших Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun и StakePoint. Пересказываю заметку ForkLog, она вышла 1 ноября. В ней собраны посты Blockaid, которая сообщила об атаке, регистратора Name.com и аналитиков Bitquery, а еще заявления самих проектов. Транзакции по хешам я не открывал, ни одного из этих сайтов в ту ночь не посещал. Сначала Blockaid нашла вредоносные страницы на 12 сайтах, потом Name.com подтвердил, что 15 доменов его клиентов перенаправили без разрешения, и восстановил контроль над ними. На поддельном сайте посетителям предлагали подписать операцию, похожую на обычное взаимодействие с DeFi-протоколом. Такая подпись могла дать злоумышленникам вывести токены из подключенного кошелька или получить контроль над отдельными позициями пользователя в протоколе. Bitquery насчитала 202 386 долларов потерь у 32 кошельков в шести сетях, все отслеженные ею хищения пришлись на промежуток с 01:00 до 05:33 UTC 31 октября. Больше всех потерял один кошелек стейкера Kintsu в сети Monad: 160 531 доллар, около 79 процентов установленного ущерба. Вместе с еще одним кошельком это 96 процентов всей суммы. Bitquery отдельно пишет, что каждое отслеженное хищение прошло по подписи самой жертвы, и мой вывод ниже держится на этой фразе. Итог еще не окончательный, в оценку не вошли возможные потери в Solana и Aptos. Сам инструмент продавали как услугу. По исследованию LevelBlue, исходный код Step Drainer стоил около 750 долларов, а за 150 долларов можно было взять вариант, где разработчики забирали себе 20 процентов украденного. По ончейн-данным из той же заметки, похищенное делилось между тремя кошельками, и на один из них приходилось 55 процентов. Как именно злоумышленники получили доступ к настройкам доменов, пока неизвестно. Все 12 сайтов из первого списка Blockaid регистрировались через Name.com, но DNS у них обслуживали разные компании. У части сайтов это был сам регистратор, из остальных поставщиков ForkLog называет Cloudflare и Vercel. По словам Vercel, десять пострадавших доменов связаны с ее платформой. По заявлениям Kintsu, Origami Finance, FluxBeam и StonkFun, их смарт-контракты остались целы. Незадолго до этого, 29 октября, атаку через интерфейс пережила Polymarket: вредоносный код попал туда через скомпрометированного поставщика ПО, с 737 счетов увели не меньше 2,73 миллиона долларов. Дальше мой вывод, в источнике его нет. При подмене DNS в строке браузера стоял правильный домен, хоть открытый из закладки, хоть набранный вручную. Отличить подделку можно было разве что по тому, что сайт просил сделать. Для DeFi-протокола обычное дело попросить подключить MetaMask или другой кошелек и подписать операцию, поэтому подделка и сработала. У нашего обменника устройство другое. На сайте CripRub заявку заполняют в полях, а оплачивают, как сказано в пункте 6.4 правил, «по указанным реквизитам». В главном скрипте сайта и 55 частях, на которые он ссылается, я искал библиотеки подключения кошелька и вызовы подписи, совпадений ноль. Если страница, похожая на нашу, просит подключить кошелек или что-то подписать, это подделка. Если подмененная страница покажет свой адрес для оплаты, монеты уйдут мошенникам. Спросить, наш ли это адрес для оплаты, можно у поддержки CripRub в Telegram, а контакт поддержки любого обменника стоит сохранить заранее: на подмененной странице поддельным может оказаться и он. Судя по графику в шапке сайта, поддержка отвечает с понедельника по пятницу, с 10:00 и до 22:00 московского времени. В выходные такой вопрос, скорее всего, будет ждать понедельника, это стоит учитывать, если меняете в субботу или воскресенье. Переход на обменник с мониторинга вроде BestChange ведет на тот же домен, так что от подмены DNS он не защищает. Перед подписью кошелек показывает окно с запросом, и это окно стоит читать целиком, особенно если подписать просят на сайте, где раньше ничего подписывать не приходилось. Кто заходил на эти сайты в ночь на 31 октября, предупредил ли вас кошелек о подозрительной подписи? Если да, что он показал на экране перед подписью?
Взлом Mercado Bitcoin и вероятная кража 133 млн долларов у европейской организации: что успели заморозить Бразильская биржа Mercado Bitcoin сообщила об инциденте в одной из своих систем в ночь на 2 ноября и приостановила ввод и вывод средств. Наутро 3 ноября Chainalysis оценила ущерб примерно в 49 миллионов долларов в активах из 17 блокчейнов и сообщила, что помогла заморозить почти 10 миллионов, из них больше 9 миллионов в USDT. Вторая история пришла 2 ноября от ZachXBT: он написал о вероятной краже 1 ноября больше 106 миллионов долларов в USDC и USDT со счетов, связанных с неназванной европейской организацией, на нескольких централизованных биржах. 3 ноября его оценка превысила 133 миллиона. Все три истории я знаю по коротким заметкам ForkLog от 2 и 3 ноября, заявление биржи и посты ZachXBT в оригинале не читал. Цифры по ним взяты из этих заметок, кроме моего расчета и замера черного списка Tether, оба помечены отдельно. Про взлом Mercado Bitcoin известно немного. Биржа утверждает, что угрозу быстро локализовали и клиенты потерь не понесли. Утечки данных, по ее словам, тоже не было. Способ атаки пока неизвестен, сумму ущерба представители биржи не подтвердили. Сначала звучала предварительная оценка, что потери могут превысить 40 миллионов, Chainalysis потом назвала 49. По данным ZachXBT, в первые сутки предполагаемый похититель менял USDC на ETH, проводил активы через сервисы мгновенного обмена вроде WellWallet и Kyrrex, переводил их в Monero через Wagyu и гонял между блокчейнами. По методам отмывания он с высокой уверенностью не считает Lazarus Group причастной к атаке. Потом он нашел подозрительные выводы с бирж еще больше чем на 27 миллионов, часть из них прошла уже после первой публикации о краже. Жертвой, как он предполагает, может быть крупная финансовая организация в Западной Европе, которая пытается скрыть инцидент. Из-за того что о краже вовремя не сообщили, злоумышленник, по словам ZachXBT, успел отмыть больше 30 миллионов, которые могли бы заморозить правоохранители ЕС. Третья история, тоже от 2 ноября, связана с Binance. Кроссчейн-протокол Relay предупредил о возможных задержках и приостановках части транзакций и маршрутов: так он пытается не пропустить средства, похищенные при взломе Binance. Команда пишет про многоуровневые проверки рисков и блокировку адресов, связанных со злоумышленником. Сопоставив эти истории сам, я вижу у них общее. Пока похищенное лежит в USDT на известных адресах, его может заблокировать эмитент, и у Mercado Bitcoin почти вся замороженная часть пришлась именно на USDT. После обмена на ETH эмитента, который мог бы заблокировать монеты, уже нет, и остается надежда на биржи и сервисы обмена, как в истории с Relay. По моему расчету из тех же цифр, у бразильской биржи заморожено около пятой части похищенного, незамороженными оставались около 39 миллионов. Я заглянул в события черного списка в самих контрактах USDT. С начала 2 ноября по Гринвичу и до полудня 3-го Tether внес в список восемь адресов в Tron и два в Ethereum. Сжигал он в эти же часы тоже: шесть раз в Tron и восемь раз в Ethereum, все на адресах, замороженных раньше. В Ethereum все восемь сожжений прошли 2 ноября в 23:10 по Гринвичу, на 2,53 миллиона USDT. Связь этих адресов с Mercado Bitcoin по событиям не видна, и как именно Chainalysis помогла с заморозкой, в заметке не сказано. Слова «клиенты не понесли потерь» я понимаю так: баланс в учете биржи цел. Для того, кто держит монеты на бирже перед продажей, этого мало. Забрать этот баланс клиенты Mercado Bitcoin на 2 ноября не могли: ввод и вывод были приостановлены. Когда вывод вернут, в заметках не сказано, и все это время монеты нельзя ни продать в другом месте, ни перевести на свой кошелек. Задержка бывает и у обменника, и что делать в этом случае, лучше прочитать в его правилах до отправки монет. У нас в CripRub на этот случай есть пункт 7.5: если с зачисления монет прошло больше 72 часов, а выплаты нет, можно требовать возврат, если только задержку не вызвал форс-мажор и выплата не была частичной. Возврат после этого занимает от двух суток до 30 календарных дней, то есть может растянуться на месяц. Подтверждена ли ваша транзакция, видно по хешу в обозревателе сети. В Etherscan, например, на странице транзакции прямо написано число подтверждений блока. Если транзакция подтверждена, а выплаты все нет, с этим хешем и стоит идти в поддержку. Связать с Mercado Bitcoin хоть один из десяти адресов, которые Tether внес в черный список с 2 ноября до полудня 3-го, у меня не вышло. По каким признакам такую связь находят, если в событиях контракта ее не видно?
Уязвимость Linux у валидаторов Solana: что это значит для SOL в стейкинге и сколько ждать вывода 2 ноября Solana Foundation предупредила операторов узлов о критической уязвимости CVE-2026-98432 в ядре Linux. При определенных условиях она дает удаленно выполнять команды на сервере без авторизации, по шкале CVSS 3.1 у нее 9,8 из 10. Уязвимость касается операционной системы серверов, на которых работают валидаторы и другие сетевые приложения. Для держателя SOL в стейкинге важнее другое: если его валидатор сбоит, быстро перенести или вывести стейк не выйдет. Про предупреждение я узнал из заметки ForkLog от 2 ноября, где пересказан пост Тима Гарсии, который в Solana Foundation отвечает за работу с валидаторами, и бюллетень Red Hat. Своего валидатора у меня нет, проверить уязвимость на живом сервере я не могу. Длину эпохи Solana, от которой зависит, сколько ждать вывода из стейкинга, я замерил сам через публичный узел сети. Ошибка сидит в сетевой подсистеме IPv4, которая обрабатывает TCP-соединения. Две одновременные операции мешают друг другу, и ядро освобождает участок памяти, который еще используется. По бюллетеню Red Hat, атакующий может слать сетевые запросы с точным расчетом времени и портить память ядра. Обычно сервер после этого падает, но выполнить произвольный код тоже возможно. Уязвимый код есть в ядре с версии 4.4, выпущенной в 2016 году. Исправления для поддерживаемых веток готовы, но в части дистрибутивов их еще нет: на 2 ноября Ubuntu числила уязвимыми версии 22.04, 24.04, 26.04 и 26.10. В AWS выпустили исправления для Amazon Linux 2 и Amazon Linux 2023, сведений о реальных атаках через эту ошибку у компании нет. 27 октября Anthropic сообщила, что ее внутренняя исследовательская модель, которую компания еще не выпустила, написала рабочий код атаки на эту уязвимость. В лаборатории атака на сервер, где Multipath TCP принимал входящие соединения, прошла в два этапа. Сначала программа узнавала, где ядро лежит в памяти, и обходила защиту KASLR, потом выполняла команды с правами root, без учетных данных и действий пользователя. Первый этап занял около 48 минут, второй еще пять. Код атаки не опубликован. Демонстрацию провели на сервере с определенной конфигурацией, и о том, что атака сработает на любом сервере с Linux, исследователи не заявляли. До выхода исправлений Гарсия советует валидаторам на Ubuntu ограничить обработку части сетевых пакетов и отключить Multipath TCP вместе с миграцией TCP-соединений. По словам ForkLog, автоматического взлома самого блокчейна компрометация такого узла не означает. В конце октября кошелек Solflare сообщил об инциденте с ключами валидатора у стороннего стейкинг-провайдера. Узел перестал приносить доход тем, кто делегировал ему около 1,56 миллиона SOL на 160 миллионов долларов. Сами монеты не пострадали, Solflare обещает компенсировать пропущенные награды при переносе стейка на новый валидатор. В документации Anza к стейкингу сказано, что изменения происходят на границах эпох, а вывод из стейкинга устроен так же, как вход в него. Я снял время начала эпох через публичный узел Solana: эпохи 1074 и 1075 длились по 25,7 часа, слот за последний час перед замером занимал около 0,21 секунды. Эпоха 1076 началась 3 ноября в 08:29 по Гринвичу, и, по моему расчету, она закончится 4 ноября около 10:10. Кто отзывает стейк посреди эпохи, получает монеты к выводу только после ее конца, то есть ждать можно до суток с лишним. Если в сети одновременно выводят много стейка, ждать придется дольше: по той же документации скорость изменения всего стейка сети за эпоху ограничена. Если SOL хранится на бирже вроде Bybit или OKX, сроки вывода задает биржа. Для продажи это значит, что SOL сначала выводится из стейкинга и только потом отправляется обменнику. Пока монеты в стейке, отправить их нельзя: по документации Anza вывести можно только то, что сверх действующего стейка. Сумма после вывода обычно больше той, что была при входе, потому что награды, как сказано там же, сами прибавляются к стейку. В нашем обменнике CripRub заявку лучше создавать уже на ту сумму, которая лежит свободной: если перевод разойдется с заявкой сильнее, чем на 10 процентов, то, как записано в пункте 6.2, сделку вправе отменить, а средства вернуть. Меньшее расхождение пересчитают по факту. После деактивации я бы вывел монеты сначала на свой обычный кошелек, например в Trust Wallet, где SOL лежит свободным, и уже оттуда отправил по заявке. Если ваш SOL делегирован стороннему валидатору, присылал ли он что-нибудь про CVE-2026-98432 и про систему на своем сервере?
