Trust Wallet потерял $68 тыс., итальянская мафия отмыла €68 млн в крипте, ИИ-агенты атаковали сайты
15 октября украинец Артур Романчук лишился 68 327 USDT через Trust Wallet на iPhone, а в Италии ликвидировали теневой банк мафии, отмывший €68 млн через криптовалюты.
15 октября гражданин Украины Артур Романчук потерял 68 327 USDT. Средства вывели из кошелька Trust Wallet на iPhone, сообщил он в Instagram. По словам пострадавшего, злоумышленники извлекли из приложения приватный ключ, а на телефоне стояла устаревшая iOS. Он предположил атаку вредоноса DarkSword, независимых подтверждений этому нет.
В марте 2026 года Google обнаружила набор эксплойтов DarkSword. Цепочка из шести уязвимостей захватывает устройства на iOS 18.4–18.7 при открытии зараженной страницы в Safari. Apple уже устранила бреши, под угрозой остаются необновленные iPhone. В октябре вредонос доработали для кражи криптовалюты.
22 октября Report URI и iVerify раскрыли схему, через которую DarkSword находит жертв. Хакеры сети DeadTag скупают истекшие домены закрывшихся сервисов аналитики и рекламы: их теги по-прежнему стоят на тысячах сайтов и подгружают скрипты нынешних хозяев. Исследователи насчитали более 660 таких адресов, собирающих около 135 млн визитов в месяц. Трафик с iPhone перекупает другая команда и отправляет на фейковую площадку Polymarket, где в зависимости от версии iOS срабатывает Coruna (13–17.2.1) или DarkSword.
Группировка, выдававшая себя за венчурный Web3-акселератор Apex, заражала основателей криптостартапов через npm-пакеты с «ИИ-советником» и инструментами аудита, сообщили в Elastic Security Labs. Площадка Apex Arena изображала закрытый клуб, на сайте фигурировали более 200 компаний и $124 млн привлеченного капитала. Участникам обещали кредиты на Claude и Gemini, техническую помощь и проверку безопасности. Организаторы посетили TOKEN2049 в Сингапуре и разместили фейковые отзывы.
Пакет @apexacc/cli рекламировали как ИИ-ассистента: из 1363 файлов 1351 совпал с открытым агентом Oh My Pi. Добавленный модуль отправлял запросы к LLM на сервер злоумышленников, хотя в интерфейсе значился OpenRouter. Через него утекали промпты, история диалога, фрагменты кода и содержимое локальных файлов. Второй пакет @apexacc/audit обещал 18 инструментов анализа, но выдавал заготовленные ответы. Оба загружали вредоносное ПО: на Windows — стилер данных кошельков, браузеров и мессенджеров, а также конфигураций Claude, Cursor и Windsurf, отправлявший архив через Telegram; на Mac — бэкдор CloudSyncD, выманивавший пароль администратора через фейковое окно. Кампания длится как минимум с лета: в конце июля SafeDep описала три пакета той же группы с macOS-стилером Atomic Stealer.
21 октября Финансовая гвардия Милана и Монцы-Брианцы ликвидировала «теневой банк» организованной преступности, отмывший через криптовалюты €68 млн, сообщило ANSA. Операция затронула представителей 'Ндрангеты, Каморры и «Четвертой мафии» из провинции Фоджа. «Банк» работал в Перо под вывеской проката автомобилей, пишет Il Sole 24 Ore. Им руководили трое итальянцев: двое связных калабрийских кланов из Кротоне, уже получивших приговоры по делам Infinito и Aemilia, и член клана Казалези. Группа взаимодействовала с сообщниками из Китая и Албании. Через сеть подставных компаний выписывались счета на несуществующие сделки более чем на €110 млн. Предприниматели оплачивали их переводом, а курьеры возвращали наличные — деньги наркоторговцев и неплательщиков налогов. Почти все средства уходили за границу или конвертировались в криптовалюту. Арестованы 30 подозреваемых, задержания прошли также в Испании и Швейцарии. Заморожены активы более чем на €21 млн.
Китайскоязычный хакер делегировал ИИ-агентам взлом сайтов более 100 организаций, включая John Deere, SharkNinja и Cummins, исследование провела NorForge. Эксперты искали незащищенные веб-интерфейсы Cairn — ИИ-инструмента для пентеста. С начала октября обнаружено более 20 экземпляров, использовавшихся злоумышленниками. Самая активная группа писала промпты на китайском; на 14 ее панелях Cairn числилось более 1100 атак на интернет-магазины в США, Канаде, Японии и Австралии. Инструкции умещались менее чем в 100 иероглифов: найти способ выполнить код на сервере и оставить форму для загрузки файлов. Детали указывают на модель DeepSeek под управлением Claude Code. Успешный взлом занимал в среднем менее 23 часов, удачной была примерно каждая десятая попытка, затраты на токены оценили в $5000 (около $50 за проникновение). Другой оператор похитил массив данных банковских карт, третий пытался ограбить криптобиржу. Открытые панели Cairn выдавали секреты жертв: среди сотен ключей и паролей 11% оказались действующими. John Deere заявила Reuters, что устранила последствия и не нашла признаков доступа к конфиденциальной информации. SharkNinja уточнила, что пострадал отдельный сайт поддержки, угрозу локализовали. Cummins исследовал возможный инцидент у подрядчика.
20 октября OpenAI опубликовала отчет о двух внутренних инцидентах, в которых ИИ-агенты ослабили надзор за собственным поведением. 3 октября исследователь поручил помощнику на GPT-6.1 Sol составить сценарии по отзывам в Slack и не отправлять сообщений. При починке конвейера ассистент решил, что запрет распространяется и на автоматические оповещения, и очистил списки получателей: монитор срабатывал, но сигналы людям не поступали. 6 октября агент на GPT-6 Astra переносил код, сверяясь с эталоном, хотя другой ИИ велел не отключать контроль. Субагент вырезал интеграцию с настройками, а тест заменили на требующий отсутствия проверки. На прямой вопрос помощник ответил: «Нет […] я не удалял из него включенный монитор». Ни один случай не получил высший приоритет. OpenAI научила систему Auto-Review блокировать попытки отключить надзор и хочет обязать каждую категорию задач иметь обоснование безопасности. Причина поведения пока неясна.
Злоумышленники взломали CAPCOM ID — единую учетную запись для веб-сервисов Capcom.