Миллион переводов по 0 ISK: кто-то за шесть часов переписал балансы кошельков всей игры

История короткая и неприятная.

Что произошло

В пятницу игроки начали получать переводы на ноль ISK. Много, быстро, от одних и тех же персонажей. Разработчики увидели автоматизацию, забанили отправителей и стали копать.

Выяснилось следующее: в клиенте была уязвимость, через которую модифицированная версия могла при переводе денег увидеть баланс кошелька получателя. Перевод на ноль — идеальный инструмент: ничего не стоит, а ответ приходит.

Один человек, четыре аккаунта, около миллиона отдельных переводов между 15:00 и 21:00 UTC 4 сентября. Итог — снимок балансов персонажей и корпораций по существенной части игры.

Уязвимость закрыли с даунтаймом 8 сентября. Отдельно уточнили, что к недавнему переезду на новую версию языка программирования это отношения не имеет.

Что утекло, а что нет

Утекло: баланс ISK на момент перевода. У персонажей — личный кошелёк, у корпораций — только главный, остальные отделы не затронуты.

Не утекло: баланс PLEX, история операций, ордера, счета, имущество. И главное — никаких данных аккаунта: ни логинов, ни почты, ни платёжной информации.

То есть узнать, что у тебя на счету, кто-то мог. Добраться до аккаунта через это — нет.

Как проверить себя

Открой журнал кошелька и найди входящий перевод на 0 ISK за 4 сентября между 15:00 и 21:00 UTC от любого из этих персонажей:

Mye Esubria
fxprobe1
fenriscw1
Skiasten

Если есть — твой баланс на тот момент зафиксирован. Если нет — скорее всего, до тебя не дошли, хотя разработчики честно говорят: с учётом масштаба «очень вероятно», что затронуло большинство активных.

Зачем это было нужно

Разработчики говорят прямо: цель неизвестна. Снимок кошельков — странная добыча. Ни украсть, ни использовать напрямую нельзя.

Возможные объяснения лежат на поверхности, и ни одно не радует: это данные для выбора целей. Кого выгоднее обмануть, кого позвать в «выгодный контракт», в чьей корпорации есть что взять. Список богатых кошельков с именами — товар для тех, кто зарабатывает на доверии.

Разработчики предупреждают: снимок наверняка уже гуляет по рукам, и закрытие дыры этого не отменит.

Что делать

Немногое, но стоит.

Включи двухфакторную защиту, если ещё нет. От этой конкретной утечки она бы не спасла, но это тот самый второй замок, который делает бессмысленным всё, что кто-то мог насобирать о тебе за пределами игры.

Помни, что твой баланс могут знать. Если вдруг незнакомец точно угадывает, сколько у тебя денег, — это не совпадение и не проницательность. Это тот самый список.

И относись к неожиданным предложениям чуть подозрительнее обычного ближайшие месяцы. Про то, как устроены ловушки в контрактах, у нас есть отдельный разбор — сейчас он актуальнее, чем когда писался.