Binance раскрыла, как у неё увели $6,34 млрд: никакой шпионки из КНДР — виноват оказался вайбкодинг и фальшивые рекрутеры 🤬

К атаке хакеры готовились пять месяцев. Рассказываю хронологию этого цирка:

— Июнь. DevOps-инженер Binance решил установить популярный ИИ-инструмент для кодинга. Нашёл инструкцию в поисковике, скачал подменённый установщик Homebrew и подцепил вредонос. Служба безопасности заметила заражение, заменила компьютер и сбросила учётные данные. Но хакеры уже знали, кто отвечает за кошельки.

— Сентябрь. Другого инженера заманили на два фальшивых собеседования с HR и «директором». Под видом тестового подсунули репозиторий с вирусом, подменявшим pyenv. Антивирус промолчал.

— 20 октября. Через заражённый ПК и внутренний ИИ атакующие добрались до коллег и токена развёртывания контейнеров.

— 29 октября. Захватили сервис подписи транзакций и увели 18 270 BTC, 233 млн XRP и почти миллион SOL.

Самое безумное началось, когда Binance попыталась остановить атаку: биржа отключила выводы, но через Ethereum EIP-7702 хакеры продолжили уводить деньги.

И отдельная красота: за 2026 год безопасники Binance отразили 57 предполагаемых северокорейских атак.

А потом кто-то просто согласился выполнить тестовое задание... 😂

Заметка на будущее: продолжать не доверять ИИ.

Разработчик попросил GPT-6 Sol перезагрузить сервер, а тот просто… сломал монтирование дисков, systemd и контейнеры. Ещё и запустил какие-то левые скрипты.

Вайбкодер настолько офигел был а шоке от этого, что открыл issue и оценил ущерб более чем в $10 тысяч. Codex же признал, что не имел полномочий вносить такие изменения, но что он теперь может… В общем, денек явно у парня не задался.

Ночной кошмар вайбкодеров 👻

Вайбкодим собственную пиксельную игру: принес сразу два бесплатных инструмента для создания ретро-игр!

— Pyxel — простой игровой движок на Python со встроенными редакторами графики, карт и звуков. Можно рисовать персонажей, собирать уровни, прописывать управление, движения и игровую логику. А ещё есть готовые примеры игр, чтобы не начинать с нуля.

— PixelFX — библиотека из 244 готовых пиксельных эффектов: взрывы, огонь, молнии, магия, погода и анимации самих персонажей. Всё можно настраивать, экспортировать в спрайтшиты и использовать в играх. А ещё внутри есть скилл для Claude Code, который помогает создавать собственные эффекты, и гайд, как вайбкодить красивые пиксельные эффекты.

Открываем свою геймдев-студию 🎮

Оркестрация пяти агентов выглядит как-то так 😂

ИИ теперь может тестировать и проходить ваши игры за вас — разработчики выложили в опенсорс Autopilot, агента, который играет и ищет баги! 😨

Ему можно поручить вообще всё: проверить фичу, найти проблемы на карте или победить босса, сохранив минимум 20% здоровья. Агент сам запускает игру, управляет персонажем и после прохождения выдаёт полноценный отчёт. Причём с каждой попыткой он запоминает особенности игры и учится играть лучше. Работает с Unreal Engine, Unity и Godot на Windows и macOS.

По тестам самих разрабов, Autopilot справляется с игровыми задачами почти вдвое быстрее и успешнее, чем Claude Code.

GitHub здесь. Тестировщики, держитесь 🥲

Ор, в Китае уволили роботов за лень и прогул — железяки даже не прошли испытательный срок в обычном магазине 😂

Компания AGIBOT провела эксперимент и отправила шесть роботов-гуманоидов на 24-часовую смену: они обслуживали покупателей, готовили кофе, раскладывали товары и убирались. Всего за сутки они выполнили 1730 задач, но двоих все-таки так и не взяли в штат.

— Первый слишком лениво проверял полки и не проявлял инициативы (понимаю). Начальство заметило и пожаловалось на недостаток рабочего энтузиазма.

— Второй же во время ночной смены обнаружил переполненную мусорку и… самовольно уехал в неизвестном направлении из магазина искать другую.

Слишком вжились в роль обычных работяг 🚬

Передать привет близким можно даже через космос — WB и Роскосмос запустили совместный проект, в котором пожелания россиян отправятся на Международную космическую станцию ❤️

Для участия достаточно до 9 ноября оставить сообщение на специальном сайте. Все послания станут частью огромного логотипа маркетплейса, который доставят на МКС. Ещё бренд подготовил сюрприз для самих космонавтов — что именно лежит в посылке, расскажут позже.

А 24 ноября в прямом эфире на Wibes можно будет собрать корзину товаров с космическим вайбом, которые пригодятся для подготовки в космонавты и полета в космос.

Шопинг вышел за пределы Земли.

Полезное: нашёл целую бесплатную библиотеку механических клавиатур, которые можно собрать дома ⌨️

Внутри ScottoKeebs коллекция из 19+ открытых проектов клавиатур и макропадов. Для каждого есть файлы корпуса, схемы подключения и прошивки, а большинство корпусов помещаются на обычный 3D-принтер с областью печати 220 × 220 мм.

Все файлы проектов бесплатны, остаётся только обзавестись комплектующими и засесть осенним вечерком.

Забираем 🧣

OpenAI взломала Linux почти тысячей способов — и потратила на это всего лишь... $1 200 000

ИИ-агенты проверили ядро Linux, подтвердили 1724 уязвимости и создали 948 уникальных рабочих эксплойтов для повышения привилегий. Заодно сгенерировали патчи для проверки разработчиками.

Один взлом обошёлся в среднем в $1279.

Похоже, скоро единственной защитой останется лимит токенов 😢

Инженеры KTS выкатили на Хабре бодрый разбор того, как восстанавливали прод заказчика после атак на дата-центры Яндекса.

После сбоя основной площадки команде пришлось перенести инфраструктуру и данные в другое облако, поэтапно запустить сервисы и проверить работу приложений. Что помогло вернуть критичные сервисы менее чем за сутки:

— Проверенные бэкапы. Инженеры ещё до аварии тестили восстановление, поэтому не пришлось проверять работоспособность копий в разгар инцидента;
— Terraform, Ansible и документация. Часть инфраструктуры уже была описана в коде, а известные зависимости и порядок запуска — задокументированы;
— Не всё зависит от DevOps. Можно быстро раскатать окружение, а потом ждать снапшоты от поддержки, выгрузку данных из S3 или свободные мощности у нового провайдера.

Главный вывод: бэкап считается рабочим не тогда, когда он успешно создался, а когда из него удалось восстановить систему.

Сохраняем, чтобы не чинить прод по памяти ☺️

Осталось повторить 🥲

OpenAI выкатила GPT-6 Cyber — нейросеть, которую специально обучили взламывать софт 😭

Результаты впечатляют:

— 81 новая опасная дыра в Firefox;
— Именно она нашла 948 эксплойтов для получения root в Linux;
— 95% успешных атак на тестовые серверы в RemoteExploitBench;
— На ExploitGym модель набрала 48,5% против 32,1% у предшественника.

При этом её научили соблюдать границы разрешённых атак — до 100% успешности в тестах.

Пока доступ только проверенным ИБ-специалистам через Daybreak Red.

ХАЛЯВА для 3D-художников и разработчиков игр — Epic Games делает всю библиотеку 3D-ассетов Quixel Megascans бесплатной 😳

Это более 20 тысяч фотореалистичных 3D-моделей, текстур и материалов для создания игровых миров и визуализаций. Все они к 12 ноября постепенно станут бесплатными.

Тем же, кто покупал ассеты с января 2025 года, вернут деньги (!!) на баланс Epic Games. А ещё они разрешили использовать материалы для обучения ИИ-моделей. Подарок какой-то.

Забираем на Fab 🤓

@xor_journal

Превращаем себя в аниме-девочку буквально за пару строчек кода 😊

LivLiv Player — крошечный 2,5D-движок для сайтов и стримов. Аватары открывают рот в такт вашему голосу, повторяют мимику через веб-камеру и работают прямо в браузере.

Весит всего 30 КБ в сжатом виде, в комплекте 21 персонаж.

Забираем — здесь.

Осваиваем Python и нейросети совершенно бесплатно — в «Школе 21» предлагают за две недели познакомиться с 7 цифровыми профессиями и попробовать себя в программировании, чтобы потом попасть на полноценное обучение.

Вместо скучной теории вас ждут 140 часов практики: будете писать код на Python, ставить задачи ИИ, проверять его ответы и находить ошибки. Всё это на реальных задачах и с инструментами, которые уже используют IT-специалисты 🔨

Обучение полностью бесплатное, а записаться можно в удобном кампусе или на сайте.

В пятничный релиз точно пригодится 😂

Duck. ai перестал работать в России — один из немногих бесплатных способов пользоваться GPT и Claude без VPN больше недоступен.

При входе на сайт появляется ошибка «Duck.ai is not supported in your country». Раньше сервис скрывал IP пользователей от разработчиков нейросетей, но, похоже, халява закончилась.

Официальных объяснений от DuckDuckGo нет. Терпим 🥲