Кибератака на GMO в Японии: торговые счета разрушены, GMO Coin сообщает, что не пострадал

Торговые роботы обернуты против своих владельцев. В Японии компания GMO Internet подтвердила кражу клиентских данных на << Onamae.com Desktop Cloud >>, своем сервисе виртуальных серверов, арендуемом тысячами трейдеров на форекс для работы с MT4 и MT5. Криптобиржа GMO Coin заявила, что не обнаружила никаких мошеннических операций на своих счетах.

Ключевые моменты этой статьи:

• GMO Internet подтвердила кражу клиентских данных на своем сервисе << Onamae.com Desktop Cloud >>, используемом тысячами трейдеров на форекс.
• GMO Coin, криптобиржа группы, была защищена от мошеннических операций, но посоветовала своим пользователям принять дополнительные меры безопасности.
• После обнаружения вредоносных программ на некоторых серверах, GMO отказалась платить выкуп и обратилась за помощью к государству для активной киберзащиты.

GMO Coin защищен, но на чеку

GMO Coin, криптобиржа группы, выпустила предупреждение 23 октября. В нем уточняется, что на данный момент не было подтверждено никаких несанкционированных операций на счетах клиентов.

Тем не менее, биржа призывает своих пользователей проверить свою историю ордеров и балансы, активировать ключ доступа и уведомления о входе. В первую очередь, она советует удалить неиспользуемые или неизвестные API-ключи. API-ключ — это ключ, который позволяет стороннему программному обеспечению, например боту, размещать заказы от вашего имени.

Стейблкоины группы не упоминаются ни в одном из пяти отчетов, опубликованных GMO Internet. GYEN и ZUSD, выпущенные GMO Trust в Нью-Йорке, в любом случае находятся в процессе ликвидации. Их держатели могут выкупить их по номиналу до 11 ноября 2026 года, без известной связи с атакой.

Что произошло на серверах GMO

Все началось с сообщения клиента 19 октября. На следующий день GMO Internet обнаружила вредоносные программы, установленные на некоторых серверах. 21 октября в 4 часа хостинг-провайдер отключил все предложения.

Число 26 739 серверов активно обсуждается в X. Оно верно, но обозначает потенциально подверженные риску машины. GMO уточняет, что это не количество фактически скомпрометированных серверов.

Проблема заключается в том, что эти машины содержали. Трейдеры оставляли свои программы MT4 и MT5, постоянно подключенные к своим брокерам, включая идентификаторы. Некоторые клиенты затем увидели ордера, которые они никогда не размещали. Японская пресса цитирует частное лицо из Канагава, которое, по сообщениям, потеряло около 4 миллионов иен за две секунды.

OANDA Japan, XMTrading, Titan FX, AXIORY и IronFX попросили своих клиентов изменить пароли. Уже 22 октября Агентство финансовых услуг (FSA) попросило форекс-брокеров через их профессиональную ассоциацию следить за аномальными транзакциями.

Выкуп отклонен и обращение к государству

Четвертый отчет GMO, датированный 24 октября, подтверждает, что клиентские данные действительно были эксфильтрованы. Компания не сообщает, какие именно. Она также раскрывает, что получила запрос на выкуп, сумма которого не раскрыта.

Угрозы подробно изложены в официальном сообщении GMO. Нападающий обещает продолжить размещать разрушительные ордера на счетах, открытых у более чем 70 японских и иностранных брокеров, опубликовать данные клиентов и запустить программное обеспечение-вымогатель. Эта цифра 70 исходит от самого хакера. Ни один официальный отчет это не подтверждает.

GMO отказывается платить и передала свои переписки в полицию. Группа возместит убытки, понесенные по мошенническим ордерам, и выплатит 5000 иен каждому клиенту, пострадавшему или нет. Сервис не будет восстановлен.

【Важно】Извинения и уведомление о несанкционированном доступе к «Onamae.com Desktop Cloud» (4-й отчет)

Мы искренне приносим извинения за причиненные неудобства и беспокойство нашим клиентам

Мы сообщаем о следующих мерах
① Всем нашим клиентам будет выплачено 5000 иен в качестве компенсации...
--- Группа GMO Internet (@GMOGroup) 24 октября 2026 года

Что более необычно, GMO попросила правительство применить активную киберзащиту, вступившую в силу 1 октября. Этот закон позволяет полиции или силам самообороны нейтрализовать удаленно серверы нападающего. На вопрос прессы генеральный секретарь правительства Минору Кихара отказался комментировать конкретный случай. По его словам, государство решит, целесообразно ли нейтрализовать с запросом или без него.

По данным Nikkei, правительство собирает в понедельник вечером заинтересованных министров, чтобы справиться с серией кибератак.

Криптоботы и VPS: одна и та же ахиллесова пята

Замените MT5 на бот для сетевой торговли, а брокера форекс на Binance. Схема остается прежней. Многие криптотрейдеры арендуют VPS для работы своих скриптов круглосуточно, с API-ключами, хранящимися в открытом виде на машине.

Япония знает цену этих уязвимостей. В мае 2024 года DMM Bitcoin потерял 4 502,9 BTC, что составляет около 305 миллионов долларов. ФБР и японская полиция приписали кражу северокорейской группе TraderTraitor, ветви Lazarus. Биржа объявила о закрытии в декабре 2024 года.

Для GMO ничего не позволяет в настоящее время идентифицировать автора. Метод также отличается. Никто не опустошил кошелек. Хакер использовал доступ жертв, чтобы уничтожить их капитал с помощью убыточных ордеров.

Если бот работает на арендованном сервере, его API-ключи никогда не должны иметь права на вывод и должны быть ограничены IP-адресом этого сервера. Клиенты GMO получат условия возмещения до 6 ноября.