Hacker News Digest

Ledger подтвердила, что часть её аппаратных кошельков, проданных через малайзийского реселлера CryptoBilis, была вскрыта и оснащена вредоносным аппаратным имплантом, который опустошал криптокошельки пользователей. Компания начала расследование 9 октября после жалоб на пропажу средств, попросила CryptoBilis прекратить продажи и уже 10 октября подтвердила факт несанкционированного вмешательства как минимум в одном устройстве. Позже Ledger заявила, что все сообщения о кражах связаны именно с устройствами этого продавца, а масштаб проблемы назвала «ограниченным».

Имплант подробно описал Марк Карпелес, бывший глава Mt. Gox: в модели Ledger Nano X вредоносная плата спрятана за экраном, перехватывает вывод дисплея и нажатия кнопок, чтобы вычислить seed-фразу, а затем передаёт её злоумышленнику по LTE через eSIM. Дурным признаком выдаёт себя антенный провод. Исследователи из Tibane Labs подтвердили находку и нашли две версии импланта: в одной оригинальную батарею заменили на меньшую, чтобы освободить место, а маркировку микроконтроллера и eSIM соскоблили; вторая, более совершенная, работает от штатной батареи и умещается под OLED-экраном. Оба варианта собраны на заводской гибкой печатной плате, а не кустарно.

Ledger советует не покупать устройства у неавторизованных продавцов, не распаковывать уже купленное и перевести средства на новый кошелёк с новой seed-фразой. Встроенная проверка подлинности «Genuine Check» не способна выявить имплант, если оригинальный защищённый элемент остался нетронутым. Других реселлеров пока не уличили, но доверие к сети посредников подорвано — многие призывают её упразднить.

Атака на Ledger была реальной поставочной атакой с использованием eSIM‐импланта и микропроцессора, считывающего экран кошелька через OCR для кражи приватных ключей при инициализации. Уязвимость проявилась в устройствах, проданных через малайзийского реселлера CryptoBilis и в розничных сетях, например MediaMarkt в Германии, что подтверждает глобальный характер поставки. Любые аппаратные кошельки подвержены подделке в цепочке поставок, а не только специализированные устройства. Аппаратные кошельки не решают проблему самокастоди, поскольку уязвимости могут возникать на этапе производства, логистики и эксплуатации. Рекомендуется использовать мультисиг‐кошельки с распределением ключей между несколькими устройствами разных производителей. Для снижения риска подделки советуют залить плату в эпоксидную смолу (potting) или использовать прозрачный корпус для визуальной проверки наличия посторонних компонентов. Подобные импланты могут быть обнаружены по GSM‐сигналам, так как eSIM излучает в диапазоне мобильных сетей. Аналогичные атаки уже происходили, например у Coldcard с уязвимым RNG, подтверждая, что такие сценарии не являются лишь теорией. Открытый исходный код и возможность аудита считаются преимуществом: они позволяют сообществу быстрее обнаруживать подделки. Доверие к аппаратным кошелькам должно базироваться не только на их «закрытой» конструкции, а на проверяемой цепочке поставок и физических мерах защиты.

Современный интернет превратился из хаотичного публичного пространства в высокооптимизированную машину для эксплуатации человеческой уязвимости. То, что когда-то было периферийным злоупотреблением — мошенничество, спам, манипуляции — стало его организующим принципом: алгоритмы теперь не просто реагируют на слабости, а активно их ищут, профилируют, усиливают и привязывают к платёжным ссылкам. Любая неуверенность — будь то страх, одиночество, жажда принадлежности или надежда на спасение — становится коммерческой нишей, где вместо ответа предлагают курс, криптовалюту, добавку или реферальную ссылку. Потребитель, продавец и продукт слились в одного измотанного человека, который целыми днями продвигает то, что сам не понимает, не получая за это ничего, кроме иллюзии участия в чужой пирамиде.

Эта система работает потому, что зависимость — её бизнес-модель: лента подаёт чередующиеся дозы гнева, страха, зависти, похоти и надежды, каждая из которых сопровождается предложением купить что-то. Люди doomscrollют, пока не купят ставку, монету, добавку или курс, а затем репостят предложение — потребление становится распространением, а жертва — продавцом. Большинство участников не зарабатывают: математика не сходится, но это и есть суть схемы — aspiring инфлюенсер с сорока семью подписчиками — не предприниматель, а бесплатная рабочая сила для платформы и дешёвый канал для того, кто продаёт ему мечту. Жизнь в такой среде заставляет внутренне принять её ценности: мысли измеряются охватом, опыт — делимостью, люди — полезностью для идентичности. Человек становится читаемым для машины, сделав себя непонятным себе самому. В отличие от реального мира, где разговор заканчивается, книга заканчивается, а друг устаёт и говорит «замолчи», здесь нет трения — только бесконечный цикл вовлечения, конверсии и роста, в котором человеческая жизнь не имеет intrinsic ценности, а существует только пока приносит прибыль алгоритму, чьи цели никто не выбирал и никто не может проверить.

Интернет как технология не изменился, но его эксплуатация стала системной: монетизация внимания превратила человеческие слабости в масштабную бизнес-модель. Алгоритмы не изобрели страхи и тревоги, а индустриализировали их извлечение через системы рекомендаций, экспериментирующие с уязвимостями пользователей ради удержания внимания и конверсии. Интернет-зависимость усугубляется тем, что люди работают за компьютерами с доступом в сеть — как алкоголик за барной стойкой. Платформы, ориентированные на прибыль, логично пришли к гипер-аддиктивному контенту для максимизации рекламных доходов, что делает любую новую «народную» платформу уязвимой к той же эволюции. Социальные сети создали среду без социальных последствий: токсичное поведение не ведёт к изгнанию, а лишь к созданию новых аккаунтов, усиливая циклы манипуляции. Монетизация социальных взаимодействий разрушает их суть — общение превращается в конкуренцию, манипуляцию и тревожную tribalism. Современный интернет отражает более широкий кризис общества: упадок доверия, рост мошенничества, разрушение реальных услуг — всё это усиливается, но не создаётся интернетом. Большинство онлайн-мошенничеств — перенос офлайн-схем в цифровую среду, где число потенциальных жертв выросло в миллионы раз, а методы стали изощрённее. Пользователи платят не только деньгами, но и персональной информацией, используемой для профилирования, фингерпринтинга и таргетированной эксплуатации через рекламные системы. Фингерпринтинг и уникальные идентификаторы работают даже через VPN, создавая постоянный невидимый профиль. Технологии повторяют исторические паттерны: каждое новое средство коммуникации сначала кажется безобидным, затем становится инструментом масштабного обмана, после чего разрушается. Люди, выросшие в эпоху кликбейта и грифтов, уже не различают манипуляцию и искренность — это проблема поколений, а не интернета как такового. ИИ усиливает проблему, генерируя контент, имитирующий эмоциональные триггеры и делающий манипуляцию менее различимой. Криптовалюты и ИИ стали новыми апофеозами экономики грифтов — они не создают ценность, а продают иллюзию выгоды, используя те же психологические механизмы, что и реклама. Альтернативой остаются небольшие пространства вроде Lemmy и old.reddit.com, где сохраняется «старый интернет» — без корпоративного давления и алгоритмической манипуляции. Как советовал Вольтер, нужно возделывать свой сад — отказываться от крупных платформ ради малых некоммерциализированных пространств.

Go 1.27 вводит возможность объявлять типы параметров в методах, что позволяет размещать обобщённые операции непосредственно внутри типов, а не только как функции верхнего уровня. Например, метод Map[U any](f func(T) U) можно добавить к структуре Box[T], позволяя преобразовывать элементы одного типа в другой через цепочку вызовов Map. Это упрощает код и делает его более интуитивным, но интерфейсы по-прежнему не поддерживают обобщённые методы.

Новые возможности включают более гибкую работу со структурами: в литералах теперь можно использовать любые селекторы полей, включая те, что наследуются от встроенных структур, что удобно для работы с промотированными полями. Также добавлены улучшения в обработке ошибок, производительности (специализированные аллокации и экспериментальный simd), а также обновления в криптографии и удобстве разработки, такие как стандартный пакет uuid и выпуск json/v2. Эти изменения делают Go 1.27 значимым шагом в развитии экосистемы, особенно для тех, кто активно использует обобщения и структурированные данные.

В обсуждении введения generics в Go 1.27 участники расходятся: одни считают, что они упрощают и делают код более интуитивным, другие — что усложняют и снижают читаемость. Некоторые видят в этом естественное развитие языка, другие — его сближение с Java или C++. По опыту @fauigerzigerk, generics полезны, но требуют осторожного применения.