По данным CoinMarketCap, специалисты по блокчейн-безопасности Blockaid и PeckShield сообщили, что 19 сентября один и тот же злоумышленник атаковал два AI-ориентированных криптопроекта — Fetch.ai и NuNet. Совокупный ущерб на момент атак оценивался примерно в $2 млн, после чего котировки связанных токенов заметно просели. В случае Fetch.ai из смарт-контракта вывели FET. Как отмечает Blockaid, атакующий сначала перевел около 8,7 млн токенов FET (примерно на $1,53 млн) из контракта для свопа токенов Fetch.ai. Исследователи обратили внимание, что адрес- получатель позднее фигурировал и в инциденте с NuNet — это ключевой аргумент в пользу того, что обе атаки связаны с одним и тем же участником. Blockaid также опубликовала адреса кошельков, задействованных злоумышленником, и пример транзакции, чтобы помочь другим проектам и биржам выявлять и блокировать дальнейшее перемещение средств. NuNet столкнулся с аномальной эмиссией NTX. Во втором эпизоде злоумышленник, используя deployer-аккаунт NuNet, выпустил порядка 408,5 млн несанкционированных токенов NTX. По цене, указанной в отчете, их стоимость составила около $463 тыс. По данным исследователей, эти токены были отправлены на тот же кошелек, куда поступили похищенные FET, что дополнительно связывает оба инцидента. Эксперты отмечают, что подобные случаи обычно указывают на слабые места в управлении правами доступа к контрактам или в защите ключевых учетных записей. При компрометации прав деплоя или механизма обновления контрактов атакующий способен не только вывести существующие активы, но и создавать новую эмиссию токенов. Отдельное внимание уделяется дальнейшему движению 546 ETH. После атак злоумышленник оперативно конвертировал значительную часть средств в 546 ETH — около $1,44 млн. По словам исследователей, такая схема типична: она усложняет отслеживание и последующую заморозку активов. На фоне новостей NTX NuNet снизился примерно на 65%–70%, FET Fetch.ai — примерно на 10%. На момент публикации ни Fetch.ai, ни NuNet официальных заявлений по инциденту не сделали. Ключевые показатели: — Переведено FET: около 8,7 млн — Несанкционированно выпущено NTX: около 408,5 млн — Получено злоумышленником: 546 ETH В отчете подчеркивается, что инцидент высветил типовой риск для AI- и compute-ориентированных криптопроектов, связанный с управлением правами в контрактах: компрометация deployer-аккаунта или контракта конвертации токенов может запустить цепную реакцию потерь сразу в нескольких проектах.

Как сообщает Huo Xing Cai Jing, 20 сентября Strategy заявила, что ее акции MSTR за последний месяц выросли примерно на 48%, показав максимальную динамику среди компонентов индекса Nasdaq 100. За тот же период бумаги Meta прибавили 21,9%, AMD — 20%, CrowdStrike — 17,9%, Intel — 17%, заняв места со второго по пятое соответственно.

Директор по информационной безопасности SlowMist (CISO) под ником 23pds 19 сентября выпустил срочное предупреждение: владельцам iPhone следует немедленно обновить iOS. По его данным, злоумышленники уже ввели в эксплуатацию fullchain-цепочку уязвимостей iOS, которая может незаметно извлекать приватные ключи и мнемонические seed-фразы из криптокошельков. Публикация исследователя в X указывает на риск для устройств под управлением iOS 13–iOS 26.5; верхняя граница, как уточняется, еще требует окончательного подтверждения. Угроза особенно критична для активов в мобильных кошельках с самостоятельным хранением. Как работает цепочка атаки Атака начинается, когда жертва открывает вредоносную веб-страницу в Safari — чаще всего по ссылке из социальной инженерии или с "watering hole"-ресурса. Далее страница использует баг повреждения памяти в WebKit и JavaScriptCore, получая произвольное чтение и запись на уровне JavaScript. Затем цепочка обходит Pointer Authentication Codes, получает выполнение нативного кода, выходит из песочницы WebContent и повышает привилегии до root на уровне ядра. Этого достаточно, чтобы читать Keychain устройства и извлекать данные приложений кошельков, включая приватные ключи и фразы восстановления. В отличие от классического фишинга, здесь не требуется, чтобы пользователь вводил seed-фразу: достаточно перейти по ссылке. Кого затрагивает По словам 23pds, под ударом диапазон iOS 13–iOS 26.5, при этом верхняя граница пока не подтверждена окончательно. Поскольку ключи извлекаются напрямую с устройства, компрометацию кошелька нельзя "исправить" сменой пароля: тот, кто получил приватные ключи, способен перевести средства. Наибольший риск несут пользователи self-custody, так как при краже ключа на уровне устройства отсутствует механизм восстановления со стороны биржи. Предупреждение прозвучало на фоне роста мобильных угроз и рисков в магазинах приложений для розничных держателей криптоактивов. В числе резонансных случаев — недавние обвинения в адрес Apple, что в App Store продолжал оставаться фейковый Bitcoin-кошелек после сообщения о краже на $875 000. Что делать пользователям Рекомендации SlowMist предельно конкретны: немедленно обновить iOS до последней версии, не открывать в Safari непрошенные ссылки, а тем, кто держал hot wallet на потенциально уязвимом устройстве, — сгенерировать новые ключи на чистом, обновленном устройстве и перевести средства. SlowMist пока не опубликовала расширенный официальный бюллетень; на момент подготовки материала основной публичный источник — пост исследователя.

Доля розничных инвесторов в США, настроенных пессимистично в отношении акций, поднялась до 53% — институциональные участники рынка считают, что этот контртрендовый индикатор приближается к зоне вероятного отскока. Как сообщает GoldNews, на фоне восстановления цен на нефть и роста доходностей казначейских облигаций США настроения частных инвесторов по американскому фондовому рынку заметно сместились в сторону "медведей". Согласно последнему еженедельному опросу Американской ассоциации индивидуальных инвесторов (AAII), около 53% респондентов ожидают слабой динамики акций США в ближайшие шесть месяцев. Это примерно на 14 п.п. выше, чем неделей ранее, и максимальное значение с мая 2025 года. Доля оптимистов опустилась ниже 29%, снизившись примерно на 10 п.п. за неделю — минимум примерно за год.

По данным Gold财经, 20 сентября основатель SlowMist Юй Сянь (Yu Xian) предупредил в X о случае подмены и кражи криптоактивов, связанном с приложением ComeCome (Bai Tuo Bai Tuo), которое позиционируется как сервис доставки еды. Внешне оно выглядит как легитимное, но, по словам Юй Сяня, скрытно похищает криптоактивы на iPhone, используя методы "poisoning", схожие с теми, что ранее выявлялись в приложении FomoPeek. Он рекомендовал пользователям iOS немедленно обновиться до последней версии системы; владельцам iPad и Mac также следует учитывать сопоставимые риски и сохранять бдительность.

По данным Huo Xing Cai Jing, основатель SlowMist Юй Сянь сообщил, что после недавнего инцидента с отравлением приложения FomoPeek и кражей средств выявлено еще одно приложение с похожей тактикой атаки — ComeCome (comecome.icu), которое позиционируется как сервис доставки еды. Версии FomoPeek v1.1–1.2 содержали вредоносный SDK, объединяющий восемь техник эксплуатации уязвимостей ядра iOS и автоматически подбирающий вектор атаки в зависимости от модели устройства и версии системы. Под удар, как известно, попадают iOS 12–18.7 и 26–26.1. При успешной эксплуатации злоумышленники обходят механизм песочницы iOS и похищают активы криптокошельков. Юй Сянь предупредил, что риск может распространяться и на iPad и Mac, и рекомендовал немедленно обновиться до последней версии iOS и проявлять повышенную осторожность при установке приложений из недоверенных источников.

По данным мониторинга PeckShield, 20 сентября (UTC+8) злоумышленник, ранее причастный к атакам на Fetch.ai и NuNet, воспользовался уязвимостью в SingularityNET и без разрешения выпустил в сети Ethereum 260 млн токенов AGIX и 53,838 млн WMTX. Сейчас на адресе атакующего находятся криптоактивы примерно на $16,77 млн: 198,3 млн AGIX (около $14,42 млн), 649 ETH (примерно $1,67 млн) и 33,538 млн WMTX (около $627 400). Источник: BlockBeats.

SpaceX объявила о строительстве в Луизиане крупного стартового комплекса площадью 125 тыс. акров. Компания рассчитывает выйти на темп около 30 запусков ракет в сутки. Власти штата оценивают проект как сделку с потенциальным эффектом до 100 млрд долларов инвестиций и созданием примерно 10 тыс. рабочих мест. Согласно материалам по линии экономического развития, SpaceX будет перечислять местным властям около 25 млн долларов в год в обмен на налоговые льготы: компании предоставят освобождение от уплаты налога на имущество на сумму в несколько миллиардов долларов на период 25 лет. Площадка расположена примерно в 45 минутах езды от города Аббевилл.

18 сентября Национальное полицейское агентство Японии (NPA) и Федеральное бюро расследований США (FBI) совместно сообщили о деятельности северокорейской хакерской группы WaterPlum, также известной как "Contagious Interview". По данным ведомств, злоумышленники длительное время выдавали себя за рекрутеров и криптокомпании, убеждая разработчиков запускать вредоносный код под видом тестовых заданий и совместной работы над проектом. С декабря 2025 года по июль 2026 года, как утверждается, группа заразила более 30 000 устройств в свыше чем 100 странах. Компрометации подверглись более 7 000 криптокошельков: похищались средства и учетные данные. Общий ущерб оценивается как минимум в $10,71 млн в криптоактивах. В отличие от прежних кампаний, ориентированных в основном на биржи и крупные организации, WaterPlum расширила фокус на частных разработчиков, фрилансеров и специалистов Web3. Власти отмечают, что атаки не ограничиваются прямой кражей активов из кошельков. Скомпрометированные компьютеры и похищенная идентификационная информация используются для проникновения в компании жертв, что открывает путь к дальнейшим кражам коммерческих секретов, вымогательству и даже подаче заявок на работу от лица пострадавших. "Высокооплачиваемая вакансия" как точка входа Ключевой сценарий начинается не с фишингового письма, а с правдоподобного предложения о работе. Злоумышленники имитируют AI-, крипто- или NFT-компании и выходят на разработчиков через соцсети, сайты вакансий, платформы подработок и маркетплейсы для фрилансеров. После первичного контакта обычно назначается онлайн-видеоинтервью или предлагается выполнить тестовое задание. Атака разворачивается на этапе "технической оценки". Кандидату присылают репозиторий с кодом и просят запустить проект локально, исправить баги или "починить" проблемы, например связанные с софтом для видеосвязи. Внешне это выглядит как обычный проект на JavaScript, Python или в среде VS Code, но внутри присутствует вредоносный код. WaterPlum, по данным расследования, часто использует NPM-пакеты (менеджер пакетов Node.js), содержащие вредоносные вставки. Упоминаются несколько семейств вредоносного ПО: BeaverTail, InvisibleFerret, OtterCookie, OtterCandy и StoatWaffle. В ряде случаев злоумышленники задействуют файл конфигурации .vscode/tasks.json, позволяющий автоматически выполнять код после того, как пользователь откроет папку проекта в VS Code и подтвердит доверие. Для жертвы весь процесс может выглядеть безобидно: скачать код, открыть проект и запустить программу по инструкции "интервьюера". При этом вредоносное ПО устанавливается в фоне. После первичного доступа злоумышленники устанавливают средства удаленного управления (RAT) для долговременного контроля над устройством и разворачивают инфостилеры для сбора данных. В перечень целей входят: - логины и пароли, сохраненные в браузере; - содержимое буфера обмена, записи нажатий клавиш и скриншоты; - приватные ключи криптокошельков, сид-фразы и связанные данные; - файлы на компьютере и в общих папках; - фотографии удостоверений личности, включая водительские права и паспорта. Собранные сведения отправляются на сервер, контролируемый атакующими. Даже если на момент компрометации кошелек пуст, утечка приватного ключа или мнемоники позволяет злоумышленникам наблюдать за адресом длительное время и выводить средства, как только они поступят. Риски выходят далеко за рамки личных кошельков: у разработчиков часто есть доступ к корпоративным репозиториям, облачным сервисам и внутренним системам. Используя сохраненные учетные данные и существующие права на устройстве, WaterPlum может проникать в системы работодателей, клиентов или партнеров, перемещаться внутри корпоративной сети и использовать чувствительные данные для дальнейшего ущерба. "Хабы удаленной работы" за рубежом и использование документов Украденные водительские права, паспорта и другие документы, как отмечают NPA и FBI, применяются и для другой схемы: их передают северокорейским IT-специалистам, которые под чужими личностями устраиваются на работу за границей для получения валютной выручки. По версии ведомств, WaterPlum в основном распространяет вредоносное ПО через фиктивные вакансии, а северокорейские IT-работники изображают зарубежных разработчиков, чтобы проникать в компании. При этом фиксируется пересечение по людям и инфраструктуре. Японская сторона и FBI считают, что члены WaterPlum и часть северокорейских IT-работников связаны с 313-м бюро Департамента военной промышленности при Центральном комитете Трудовой партии Кореи. Чтобы обходить проверки личности и геолокации, северокорейские IT-работники, по данным расследования, взаимодействуют с посредниками за рубежом. Те размещают рабочие компьютеры у себя дома, предоставляют данные личности и получают зарплату, тогда как фактическая работа выполняется удаленно лицами, находящимися в Северной Корее, России и других регионах. Такой "удаленный хаб" маскирует реальное местоположение и личность исполнителя. В этой модели сотрудник подключается к корпоративным системам с локальных компьютеров и сетей, например в Японии или США, создавая у компании впечатление, что он физически находится на месте. Помогающая сторона также получает выданные работодателем устройства, предоставляет документы и банковские счета, после чего переводит зарплату фактическим исполнителям. NPA заявляет, что впервые выявила подобный объект на территории Японии. Следствие установило, что причастные не только помогали скрывать личность и получать работу, но и переводили за рубеж суммы на десятки миллионов иен, включая криптоактивы. В уведомлении подчеркивается: компании и частные лица, которые нанимают северокорейских IT-работников, перечисляют им деньги или помогают с документами, банковскими счетами либо удаленными устройствами, рискуют нарушить местное законодательство и режим санкций против КНДР. Риски для бизнеса не сводятся к "утечке зарплат" в Северную Корею. Приводятся примеры: один IT-работник из КНДР вымогал у работодателя деньги из-за конфликта по оплате и публично выложил проприетарный исходный код компании; другой подрядчик, нанятый для поддержки сайта, внес вредоносные изменения, из-за чего ресурс стал недоступен. Поддельные резюме и попытка устроиться в японскую криптобиржу Криптокомпании названы одной из ключевых целей северокорейских IT-работников. В мае 2025 года японская криптобиржа получила заявку на инженерную позицию от кандидата, которого заподозрили в причастности к этой категории. Соискатель просматривал вакансию через VPN и отправил поддельное резюме. Резюме выглядело чрезмерно "идеальным": заявлялось владение множеством языков программирования, блокчейн-технологий, криптосистем и облачных сервисов; в каждой категории перечислялось более десяти навыков и релевантных опытов. В биографии фигурировали учеба в европейских университетах и работа в нескольких городах Европы и Азии за короткий период. На видеоинтервью кандидат утверждал, что родился в Малайзии и живет в Финляндии, а родными языками назвал малайский и китайский. При этом уровень английского, по оценке интервьюеров, не соответствовал заявленному образованию и опыту: кандидат отвечал лишь на базовые вопросы и не мог подробно объяснить большую часть технических пунктов из резюме. Уведомление также перечисляет признаки, встречавшиеся у других подозреваемых соискателей: отказ от личных встреч, требование оплаты в криптовалюте, частые взгляды на другой экран, посторонние голоса на фоне, регулярные зависания видео или звука. Частые взгляды в сторону могут указывать на чтение подсказок; даже если на экране один человек, за кадром могут работать несколько участников, подстраивая ответы и "подтверждая" компетенции. Что делать при подозрении на заражение Ведомства и международные организации подчеркивают: простого удаления вредоносного ПО недостаточно. Если вы запускали непроверенный код, нельзя считать устройство и кошелек безопасными, даже если средства еще не украдены. Вредоносное ПО могло уже получить приватный ключ, сид-фразу или браузерные учетные данные и просто не проявлять активность сразу. Возможен и бэкдор, который сохранит доступ до удобного момента. Рекомендуется не запускать код от незнакомых людей на устройствах, где хранятся криптоактивы или обрабатываются чувствительные данные. Если тестирование необходимо, используйте песочницу или виртуальную машину, изолированную от повседневной среды, и до запуска проверяйте проект на обфусцированный, нечитаемый или самозагружающийся код. Особое внимание стоит уделять скриптам с командами curl, base64, mshta, InvokeWebRequest и другими механизмами загрузки, кодирования или скрытого исполнения — не запускать их без полного понимания назначения. Если антивирус пометил устройство как зараженное или вы ранее запускали программу, полученную от подозрительного работодателя, рекомендуется немедленно отключиться от сети. Даже после удаления вредоноса следует исходить из компрометации данных кошелька: создать новый кошелек на отдельном безопасном устройстве, перевести на него все активы и хранить новую сид-фразу офлайн. Из-за риска скрытых бэкдоров на зараженном компьютере наиболее надежной мерой считается резервное копирование важного и полная переустановка или сброс операционной системы, а не продолжение работы в прежней среде.