#новость дня
Я не первый и не последний, от кого вы это прочтёте, но это правильно. Потому что, судя по всему, повторять придётся ещё долго.
У Binance увели $6,3 миллиарда. Сначала интернет увлечённо обсуждал северокорейскую шпионку, якобы соблазнившую одного из инженеров. Эту историю Binance опровергла, но северокорейский след вполне реальный — на него указало ФБР.
А вот способ проникновения оказался куда прозаичнее. Фальшивые рекрутеры в LinkedIn, несколько собеседований, тестовое задание с вредоносным кодом. Параллельно другой инженер установил заражённый Homebrew по рекламной ссылке. Дальше — доступ к внутренним системам, использование корпоративного ИИ-инструмента и кража миллиардов.
Сесурити на уровне.
Кстати, Андрей Ситник ещё в 2024 году поднимал проблему безопасности Dev Containers. Он обнаружил, что VS Code пробрасывает внутрь контейнера SSH-агент, GPG и другие ресурсы хоста. То есть даже запуск подозрительного кода в Dev Container не гарантирует изоляции.
Фейковые HR, фишинговые тестовые задания и заражённые зависимости появились не вчера. Не запускайте чужой код и не устанавливайте непонятно что на свои рабочие и личные компьютеры. Используйте изолированные среды без доступа к вашим ключам и учётным данным.
И, пожалуйста, доносите это до работодателей. Безопасная среда для запуска чужого кода должна быть нормой, а не личной паранойей разработчика. Особенно сейчас, когда ИИ-агенты готовы скачать и запустить вообще что угодно.
