Кража $2,5 млн бывшим агентом ФБР
5 ноября 2025 г. бывший сотрудник ФБР Патрик Стивен Яроч (37 лет) признал вину в мошенничестве и отмывании денег. По данным Минюста США, он вывел почти $2,5 млн с криптокошельков, ключи от которых бюро получило в ходе 35 дел. С 2017 года Яроч служил в бостонском отделе ФБР, а в феврале 2025 г. перешёл в подразделение контрразведки, получив доступ к системам, где хранилась информация о криптовалютах.
Прокуроры установили около 100 переводов: Яроч изымал монеты у фигур расследований, у структур, действующих в интересах враждебных стран, и как минимум с одного адреса ФБР. Вырученные средства обменивались на другие криптовалюты для сокрытия происхождения. С ноября 2025 по январь 2026 г. он потратил ≈ $93 000 на кредитные карты, автомобиль и займы, а по совету ChatGPT планировал купить виноградник в Португалии. 15 июня он выдал юристам доверенность на оформление налогового номера, а в сентябре планировал переезд.
29 июля Яроч сообщил о кражах сотрудникам Минюста и ФБР; через два дня его арестовали и уволили. Приговор ожидают 4 марта 2027 г., срок до 20 лет.
Вредоносные версии Swarm Desktop и bee‑js
Эксперты Socket обнаружили, что 9 ноября 2025 г. в npm была опубликована заражённая версия bee‑js 13.3.0 (≈ 75 мин), а сборка Swarm Desktop 0.56.2 находилась на GitHub более 8 часов. Злоумышленники использовали украденные секреты сборки и два взломанных аккаунта GitHub, чтобы внедрить код, который отправлял оператору файл ключа узла и конфигурацию с паролем в открытом виде. Это позволяло вывести все средства ноды, включая застейканные токены xDAI и xBZZ.
Для macOS и Linux вредонос получал адрес командного сервера из смарт‑контракта в Ethereum, а на Windows устанавливала клиент удалённого доступа ScreenConnect. Ethersphere отозвала вредоносные версии и выпустила исправление Swarm Desktop 0.56.3, однако переустановка не удаляет шпионские модули, поэтому советуют переместить активы на новый кошелёк с чистого компьютера.
Инструмент AntiFox и кража облачных ключей
Arctic Wolf описал, как группы атакуют с помощью AntiFox – форка открытого фреймворка ARTEX, развернутого на Alibaba Cloud. Инструмент автоматически ищет уязвимости и эксплуатирует их, позволяя похитить ключи доступа к аккаунтам AWS и дальше получать пароли и другие секреты из облачных хранилищ.
В одном сценарии злоумышленники внедряли веб‑шелл в приложение на Microsoft IIS и извлекали строки подключения к БД. В другом – входили в AWS под действующими учётными записями, за полчаса делали сотни запросов к API, получая ценные данные. Представители Amazon уточнили, что их сервисы не были взломаны; ключи украдены из скомпрометированных клиентских приложений.
Утечки данных из Grok Build
10 ноября 2025 г. исследователи Claroc проанализировали 35 578 публичных проектов Grok Build. В каждом десятом находились служебные или личные данные, в том числе 24 приложения сотрудников X и SpaceXSI, такие как конфиденциальное рекламное предложение X федеральному ведомству США и план адаптации новичков SpaceXSI. По умолчанию в платных аккаунтах доступ к приложению был открыт «все, у кого есть ссылка», что позволяло находить их через пассивный DNS. Claroc связалась с тремя пострадавшими организациями.
Кибератака на французские супермаркеты
По заявлению МИД Франции, в ночь на 12 октября 2023 г. группа Shahid Kaveh, связанная с киберцентром КСИР, провела первую в стране «кибернаступательную операцию». Злоумышленники удалённо захватили контроллеры холодильного оборудования (Danfoss, Dixell, Copeland), запустили бесконечные циклы оттаивания и отключили оповещения, что привело к пожарам и ущербу в десятки миллионов евро. Париж открыл расследование и запросил международные ордера на арест командующего группой и его заместителей.
Важные выводы: кража средств бывшим агентом ФБР демонстрирует риски внутреннего доступа к криптоданным; новые версии Swarm Desktop показывают, как легитимные инструменты могут стать вектором кражи; AntiFox подчёркивает угрозу автоматизированных эксплойтов в облаках; утечки из Grok Build напоминают о необходимости строгих настроек доступа; кибератака на супермаркеты подтверждает рост геополитически мотивированных киберугроз.
