Hacker News Digest

Wiki-страница содержит список публичных инстансов Nitter (форка под названием Shitter), разделённых на три категории: рабочие, активные но с ограничением скорости и ранее активные/снятые с поддержки. Рабочие инстансы включают такие домены, как shitter.thepixora.com, nitter.kareem.one, nitter.miningtcup.me, nittr.tr и несколько onion-адресов в Tor-сети. Среди ограниченных по скорости — nt.vern.cc, nitter.fullex.fr и другие. В разделе «Formerly active» перечислены ранее доступные инстансы, такие как xcancel.com и nitter.poast.org, которые больше не работают. Для желающих запустить собственный публичный инстанс даны ссылки на руководства по получению множества сессионных токенов и обходу DMCA-жалоб. Также упомянут репозиторий с пользовательскими конфигурациями для повышения производительности публичных инстансов. Страница последний раз редактировалась 3 сентября 2026 года.

Обсуждение дополняет статью, подтверждая, что рост числа рабочих инстансов Nitter не является устойчивым решением, а скорее временным явлением, подверженным быстрым тakedown'ам и зависящим от индивидуальных усилий пользователей.

• Совет: Лучший способ устойчиво использовать Nitter — запустить собственный инстанс за обратным прокси с базовой аутентификацией, раздавая доступ только доверенным лицам, чтобы избежать блокировок.

• Совет: Для автоматического перенаправления на рабочие инстансы можно использовать сервис twiiit.com, хотя ранее существовавший linkahest уже отключен.

• Совет: Чтобы избежать рисков юридических последствий при публичном хостинге Nitter, следует размещать инстанс вместе с другими децентрализованными сервисами (SearXNG, Invidious, Redlib) и не привлекать к нему излишнего внимания.

• Спор: Некоторые считают, что поддержка Nitter продлевает жизнь Twitter/X, тогда как другие утверждают, что обход ограничений — это акт сопротивления, а не поддержка, и что отсутствие пиратства сделало бы стриминговые сервисы ещё дороже.

• Совет: Использование Nitter через RSS-фиды остаётся рабочим, даже если веб-сайт закрыт, что указывает на то, что ограничения могут быть формальными и не затрагивать все каналы доступа.

• Совет: Для получения API-ключей и сессий многие пользователи покупают аккаунты Twitter с токенами аутентификации на сторонних сайтах, хотя это рискованно и может нарушать условия сервиса.

• Совет: Некоторые публичные инстансы содержат вредоносные 'are you a robot' диалоги, перенаправляющие на эксплойты — рекомендуется избегать непроверенных списков и искать альтернативы вручную.

• Пользователи согласны, что интерфейс Nitter значительно лучше официального Twitter, особенно в плане отзывчивости и отсутствия необходимости в аккаунте, что делает его предпочтительным для чтения.

• Совет: Для автоматического переключения на рабочие инстансы можно использовать пользовательские скрипты, хотя в треде не указаны конкретные реализации, только запрос на их наличие.

• Спор: Одни считают, что Nitter поддерживает Twitter/X, сохраняя его релевантность, другие утверждают, что это лишь способ защиты свободы слова и доступа к информации без регистрации.

• Совет: Ссылки на Nitter следует заменять на первоисточники, так как инстансы быстро умирают, и ссылки становятся нерабочими, что делает их ненадёжными для долгосрочного использования.

• Многие отмечают, что даже с Nitter Twitter остаётся 'мусорной кучей', и его интерфейс не исправляет фундаментальных проблем платформы, таких как токсичность и алгоритмическая манипуляция.

Luanti — открытая платформа для создания voxel-игр — была удалена из Google Play по жалобе Tracer.AI, действующей от имени Microsoft, которая утверждала, что приложение нарушает авторские права Minecraft. При этом Luanti не содержит ни одного проприетарного ассета из Minecraft: его базовые текстуры — это простые кубы, созданные сообществом, а сама платформа не поставляется с готовыми играми. Жалоба ссылается на регистрацию Minecraft Java Edition 1.9, но не указывает конкретные скопированные элементы — что делает её абсолютно необоснованной.

Это уже второй случай за последние два года: аналогичная жалоба была подана и против игры Allumeria, а в 2023 году Luanti успешно оспорила подобную жалобу. Tracer.AI, по всей видимости, использует AI-инструменты для массовой отправки расплывчатых DMCA-уведомлений, не проверяя факты. Google, в свою очередь, автоматически удаляет приложения, не давая разработчикам оперативно отреагировать. Luanti уже подала встречное уведомление и доступна на F-Droid и на своём сайте, но такие действия ставят под угрозу свободное ПО. Авторы призывают Microsoft, Google и Tracer.AI прекратить использование непроверенных AI-алгоритмов и соблюдать закон — кубы не могут быть авторским правом.

Тред дополняет статью фактами и разногласиями. **Процедура:** Это не классическая DMCA, а псевдо-DMCA Google без автоматического counter-notice. При настоящей DMCA немедленный counter-notice восстанавливает контент и перекладывает ответственность на заявителя, но Google этого не реализовал (@kevin_thibedeau, @vorpalhex). Microsoft получала аналогичную претензию от Tracer.AI в 2023 году и проиграла апелляцию (@vintermann, @tag2103). Tracer.AI в разных кейсах указывал юрисдикцию США и Вануату — паттерн bad actor. **Асимметрия стимулов:** У Tracer.AI нулевая цена false positive и ненулевая false negative, что создаёт перекос в пользу злоупотреблений. Штрафы по 17 U.S.C. 512(f) существуют, но почти не применяются (@benjiro29, @ethin, @testing22321, @luckylion). **Спор о клонировании:** - Сторона A (@VCFundedGenYer): скриншоты Luanti буквально совпадают со скриншотами Minecraft, называть жалобу «baseless» смешно. - Сторона B (@culi, @vintermann): Luanti (бывший Minetest) — движок, собран с нуля во FLOSS-стиле, не содержит ассетов Minecraft и не является прямым конкурентом. **Спор о залоге за strike:** - Сторона A (@jmward01): обязательный возвратный залог дисциплинирует заявителей. - Сторона B (@applfanboysbgon, @raincole): любой ощутимый залог убьёт и без того слабую позицию малых авторов, превращая механизм в оружие против них. **Спор об AI-сканере:** - Сторона A (@mysterydip, @astrobe_): AI-сканер мог найти похожий код в jar. - Сторона B (@duskdozer, @puskavi, @clort): маловероятно, так как DMCA подаёт Microsoft напрямую; скорее триггер — voxel-стиль и изображения. AI-сгенерированный код по Thaler v. Perlmutter не копирайтится. **Практические советы:** Google позволяет анонимно получить URL-removed под флагом «infringing copyright» — в половине случаев владелец сайта не уведомляется (@luckylion, blackhat SEO). Luanti всё ещё можно установить через F-Droid (@sam_lowry_). Правовые контрмеры — tortious interference и встречный иск за bad faith, учитывая оспаривание 2023 года (@conartist6, @ncr100).

В 2022 году я написал о крахе компании Pollen, которая в 2021‑2022 годах собрала 150 млн $, выдержала пандемию, но в апреле 2022 года уволила около 200 человек, а через три недели объявила банкротство. Основатель Callum Negus‑Fancey лгал сотрудникам, не выплачивал зарплаты, пенсионные взносы и страховки, а CTO Bradley Wright вручную imposes $3,2 млн двойного списания с клиентов, которое так и не вернули. Документальный фильм BBC «Crashed: $800M Festival Fail» подробно описал эти нарушения. Это привело к массовым жалобам и скандалу, который привлек внимание медиа.

Через четыре года после публикации я узнал, что Google удалил мою статью из поиска после жалобы о нарушении авторских прав. Я единственный владелец прав, поэтому блокировка выглядит как попытка подавить материал. Это показывает, насколько легко подать ложный запрос и заставить поисковый гигант скрыть репортажи, даже основанные на фактах. Такая уязвимость онлайн‑контента позволяет корпоративным силам стирать нежелательные истории. Таким образом, контроль над информацией остаётся у тех, кто умеет правильно подать жалобу. Это подчёркивает, что даже правдивые расследования могут исчезнуть из публичного доступа.

• Обсуждается, как злоупотребление DMCA‑запросами позволяет удалять статьи и сайты без проверки их достоверности.
• Указаны случаи фальшивых запросов от вымышленных лиц (например, «Ellie Piee» из Bouvet Island) и их влияние на репутацию.
• Участники отмечают отсутствие санкций за ложные жалобы и отсутствие обязательного подтверждения личности заявителя.
• Стресс‑эффект (Streisand effect) усиливает внимание к удаляемому материалу, делая такие случаи публичными.

За три года правообладатели добились удаления Google 749 миллионов URL-адресов теневой библиотеки Anna's Archive, что составляет 5% от всех URL, удаленных Google по авторским правам за всю историю. Эта цифра значительно превышает 4,2 миллиона удаленных ссылок The Pirate Bay, делая Anna's Archive самой атакуемой платформой. Несмотря на масштабную кампанию, сайт остается легко обнаруживаемым через поиск, а правообладатели продолжают подавать около 10 миллионов новых URL еженедельно.

Anna's Archive, запущенный в конце 2022 года как альтернатива Z-Library, пережил блокировки в разных странах и судебные иски в США после того, как сайт получил доступ к WorldCat. Более 1000 авторов и издателей, включая Penguin Random House и John Wiley & Sons, отправляли DMCA-уведомления. Несмотря на давление, основные домены сайта остаются активными, а поиск по названию все еще выдает его в топе результатов.

• Google исчезает из обсуждения как поисковик, а вместо него используются Yandex, DuckDuckGo и другие альтернативы.
• Пользователи отмечают, что Google не только не предоставляет доступ к контенту, но и удаляет результаты поиска, включая Anna's Archive, что вызывает у них недоумение.
• Обсуждается, что LLM тренируются на скачанном контенте, что ставит под вопросом справедливость использования данных.
• Поднимается вопрос о том, какие еще библиотеки и архивы доступны после закрытия подобных ресурсов.
• Участники делятся советами, как обойти цензуру и продолжать иметь доступ к научным и другим книгам.

Как мы взломали Burger King: обход аутентификации = прослушка драйв- thru

Старт
RBI (Burger King, Tim Hortons, Popeyes) управляет 30 000 точек через платформу «assistant». Уязвимости позволяли открыть любую из них и слушать разговоры у окна заказа.

Дыры

1. Регистрация без проверки почты: GraphQL-мутация signUp создавала аккаунт мгновенно; пароль присылали открытым текстом.
2. Список всех магазинов: инкрементный storeId + запрос getStore → персонал, конфиги, id.
3. createToken без авторизации: передал storeId – получил master-токен.
4. Повышение до админа: updateUser(roles: "admin") одной мутацией.
5. Сайт заказа оборудования: пароль «защищён» клиентским JS, сам пароль в HTML.
6. Планшеты в зале и драйв-thru:
   • главный экран /screens/main?authToken=… – история разговоров с аудио;
   • диагностика /screens/diagnostic – пароль admin, регулировка громкости и запись звука в реальном времени.

Итог
Одна уязвимая GraphQL-точка → полный контроль над глобальной сетью, персональными данными и живыми разговорами клиентов.

• Пост исследователя безопасности о дырах в IT Burger King удалили после жалобы DMCA от стартапа Cyble.
• Уязвимости были клиент-side-only пароль в HTML, незащищённые голосовые записи, привязка голоса к имени и номеру авто.
• Автор сообщил Burger King заранее, получил молчание и нулевой бонус, после публикации — DMCA-удаление.
• Комментаторы обсуждают: злоупотребление DMCA, отсутствие bug bounty, этика публичного разоблачения и перспективы тюрьмы за CFAA.