Мільйон переказів по 0 ISK: хтось за шість годин переписав баланси гаманців усієї гри

Історія коротка і неприємна.

Що сталося

У п’ятницю гравці почали отримувати перекази на нуль ISK. Багато, швидко, від тих самих персонажів. Розробники побачили автоматизацію, забанили відправників і почали копати.

З’ясувалося таке: у клієнті була вразливість, через яку модифікована версія могла при переказі грошей побачити баланс гаманця отримувача. Переказ на нуль — ідеальний інструмент: нічого не коштує, а відповідь приходить.

Одна людина, чотири акаунти, близько мільйона окремих переказів між 15:00 і 21:00 UTC 4 вересня. Підсумок — знімок балансів персонажів і корпорацій по суттєвій частині гри.

Вразливість закрили з даунтаймом 8 вересня. Окремо уточнили, що до нещодавнього переїзду на нову версію мови програмування це стосунку не має.

Що витекло, а що ні

Витекло: баланс ISK на момент переказу. У персонажів — особистий гаманець, у корпорацій — лише головний, решта відділів не зачеплена.

Не витекло: баланс PLEX, історія операцій, ордери, рахунки, майно. І головне — жодних даних акаунта: ні логінів, ні пошти, ні платіжної інформації.

Тобто дізнатися, що в тебе на рахунку, хтось міг. Дістатися до акаунта через це — ні.

Як перевірити себе

Відкрий журнал гаманця і знайди вхідний переказ на 0 ISK за 4 вересня між 15:00 і 21:00 UTC від будь-кого з цих персонажів:

Mye Esubria
fxprobe1
fenriscw1
Skiasten

Якщо є — твій баланс на той момент зафіксовано. Якщо немає — найімовірніше, до тебе не дійшли, хоча розробники чесно кажуть: з огляду на масштаб «дуже ймовірно», що зачепило більшість активних.

Навіщо це було потрібно

Розробники кажуть прямо: мета невідома. Знімок гаманців — дивна здобич. Ані вкрасти, ані використати напряму не можна.

Можливі пояснення лежать на поверхні, і жодне не тішить: це дані для вибору цілей. Кого вигідніше обдурити, кого покликати у «вигідний контракт», у чиїй корпорації є що взяти. Список багатих гаманців з іменами — товар для тих, хто заробляє на довірі.

Розробники попереджають: знімок напевно вже гуляє по руках, і закриття діри цього не скасує.

Що робити

Небагато, але варто.

Увімкни двофакторний захист, якщо ще немає. Від цього конкретного витоку він би не врятував, але це той самий другий замок, який робить безглуздим усе, що хтось міг назбирати про тебе за межами гри.

Пам’ятай, що твій баланс можуть знати. Якщо раптом незнайомець точно вгадує, скільки в тебе грошей, — це не збіг і не проникливість. Це той самий список.

І стався до несподіваних пропозицій трохи підозріліше за звичайне найближчі місяці. Про те, як влаштовані пастки в контрактах, у нас є окремий розбір — зараз він актуальніший, ніж коли писався.