Кібератака GMO в Японії: знищені торгові рахунки, GMO Coin стверджує, що не постраждав

Роботи для торгівлі, використані проти своїх власників. У Японії компанія GMO Internet підтвердила крадіжку інформації про клієнтів з << Onamae.com Desktop Cloud >>, свого сервісу віртуальних серверів, який орендують тисячі трейдерів форекс для роботи з MT4 та MT5. Біржа GMO Coin стверджує, що не виявила жодних шахрайських операцій на своїх рахунках.

Ключові моменти цієї статті:

• GMO Internet підтвердила крадіжку інформації про клієнтів з її сервісу << Onamae.com Desktop Cloud >>, який використовують тисячі трейдерів форекс.
• GMO Coin, криптобіржа групи, не постраждала від шахрайських операцій, але порадила своїм користувачам вжити додаткових заходів безпеки.
• Після виявлення шкідливих програм на деяких серверах, GMO відмовилася платити викуп і звернулася до держави для активізації кіберзахисту.

GMO Coin не постраждав, але на чеку

GMO Coin, криптобіржа групи, опублікувала попередження 23 жовтня. Вона зазначила, що на цей момент не підтверджено жодних несанкціонованих операцій на рахунках клієнтів.

Проте біржа закликає своїх користувачів перевірити історію своїх замовлень та залишки, активувати ключ доступу та сповіщення про входи. Особливо, їм радять видалити невикористовувані або невідомі API-ключі. API-ключ є ключем, який дозволяє сторонньому програмному забезпеченню, наприклад, боту, робити замовлення від вашого імені.

Стейблкоїни групи не з'являються в жодному з п'яти звітів, опублікованих GMO Internet. GYEN та ZUSD, випущені GMO Trust у Нью-Йорку, все одно ліквідуються. Їхні власники можуть викупити їх за паритетом до 11 листопада 2026 року, без відомого зв'язку з атакою.

Що сталося на серверах GMO

Все почалося з повідомлення клієнта 19 жовтня. Наступного дня GMO Internet виявила шкідливі програми, встановлені на деяких серверах. 21 жовтня о 4 годині хостинг-провайдер відключив усі послуги.

Число 26 739 серверів активно обговорюється в X. Це правда, але воно стосується потенційно вразливих машин. GMO уточнює, що це не кількість фактично скомпрометованих серверів.

Проблема полягає в тому, що ці машини містили. Трейдери залишали на них свої програми MT4 та MT5, постійно підключені до своїх брокерів, включаючи ідентифікатори. Деякі клієнти потім побачили замовлення, які вони ніколи не давали. Японська преса цитує особу з Канагава, яка нібито втратила близько 4 мільйонів єн за дві секунди.

OANDA Japan, XMTrading, Titan FX, AXIORY та IronFX попросили своїх клієнтів змінити паролі. Вже 22 жовтня Агентство фінансових послуг (FSA) попросило брокерів форекс, через їхню професійну асоціацію, стежити за аномальними транзакціями.

Відмова від викупу та заклик до держави

Четвертий звіт GMO, датований 24 жовтня, підтверджує, що інформація про клієнтів дійсно була екстрагована. Компанія не уточнює, які саме. Вона також повідомляє, що отримала запит на викуп, сума якого не розголошується.

Загрози детально описані в офіційному повідомленні GMO. Атакуючий обіцяє продовжувати робити руйнівні замовлення на рахунках, відкритих у більше ніж 70 японських та іноземних брокерів, опублікувати дані клієнтів та запустити програму-вимагач. Це число 70 походить від самого хакера. Жоден офіційний звіт цього не підтверджує.

GMO відмовляється платити і передала свої переговори поліції. Група відшкодує збитки, понесені на шахрайських замовленнях, і виплатить 5 000 єн кожному клієнту, незалежно від того, постраждали вони чи ні. Послуга не буде відновлена.

【Важливо】 Вибачення та повідомлення про несанкціонований доступ до «Onamae.com Desktop Cloud» (четвертий звіт)

Ми щиро вибачаємося за великі незручності та занепокоєння, які ми завдали нашим клієнтам

Ми повідомляємо про рішення, яке було прийнято
① Всі клієнти, які користуються послугами, отримають компенсацію в розмірі 5 000 єн...
--- Група GMO Internet (@GMOGroup) 24 жовтня 2026 року

Що незвично, GMO звернулася до уряду з проханням застосувати активний кіберзахист, що набрав чинності 1 жовтня. Цей закон дозволяє поліції або Силам самооборони дистанційно нейтралізувати сервери атакуючого. На запитання преси генеральний секретар уряду Мінору Кіхара відмовився коментувати конкретний випадок. За його словами, держава вирішить, чи доцільно нейтралізувати з чи без запиту компанії.

За даними Nikkei, уряд у понеділок ввечері збирає відповідних міністрів для реагування на серію кібер атак.

Криптоботи та VPS: одна й та ж ахіллесова пята

Замініть MT5 на бот для торгівлі в сітці, а брокера форекс на Binance. Схема залишається такою ж. Багато криптотрейдерів орендують VPS для роботи своїх скриптів вдень і вночі, з API-ключами, збереженими у відкритому вигляді на машині.

Японія знає ціну цих вразливостей. У травні 2024 року DMM Bitcoin втратив 4 502,9 BTC, що становить приблизно 305 мільйонів доларів. ФБР та японська поліція приписали крадіжку північнокорейській групі TraderTraitor, яка є відділом Lazarus. Біржа оголосила про своє закриття в грудні 2024 року.

Для GMO наразі немає нічого, що дозволяє ідентифікувати автора. Метод також відрізняється. Ніхто не спустошив гаманця. Хакер використав доступ жертв, щоб знищити їхній капітал за допомогою збиткових замовлень.

Якщо бот працює на орендованому сервері, його API-ключі ніколи не повинні мати права на зняття коштів і повинні бути обмежені IP-адресою цього сервера. Клієнти GMO отримають умови відшкодування до 6 листопада.