Держите торговых ботов, ноды или API бирж на VPS? На днях появился наглядный кейс, почему в один прекрасный день вы можете проснуться с абсолютно пустыми счетами.
Один из старейших и крупнейших хостинг-провайдеров в СНГ — FirstVDS — официально подтвердил критический взлом инфраструктуры. 17 октября 2026 года неизвестные злоумышленники десять часов подряд беспрепятственно выкачивали сырые образы дисков клиентских серверов прямо с уровня гипервизора.
Это не рядовая DDoS-атака и не взлом отдельного неаккуратного сайта. Атакующие получили доступ к узлам виртуализации, на которых работают тысячи виртуальных машин пользователей.
Что искали: кошельки, сид-фразы и биржевые API
В официальной рассылке клиентам хостер открыто признал приоритеты взломщиков: в первую очередь скрипты атакующих искали криптовалютные кошельки, seed-фразы для восстановления, приватные ключи валидаторов блокчейн-нод и API-ключи от криптобирж с правами на торговлю и вывод средств.
Если вы запускали на виртуальном сервере торгового робота, держали ноду с ключами или просто хранили скрипты автоматизации с переменными окружения .env, ваши данные с высокой вероятностью уже находятся в руках нападавших. Взломщикам даже не требовалось подбирать пароли от вашей операционной системы — гипервизор позволяет вычитать содержимое виртуального диска целиком, минуя любые барьеры внутри ОС.
1. Сервер ваш. Запасной ключ — у хостера
В нашем случае чужой доступ обнаружился вполне буквально. При проверке собственного сервера у FirstVDS мы нашли в /root/.ssh/authorized_keys ключ с пометкой supportAccessKey. Этот файл определяет, по каким ключам можно войти с полными правами администратора. И ключ поддержки не просто лежал для красоты: в сохранившемся журнале за 8 октября 2026 года есть успешный вход с ним с адреса хостера.
У ключа поддержки было ограничение по двум IP-адресам. Рядом находился ещё один ключ, root@gujegvdywx, уже без такого ограничения. Он не совпадал с нашим ключом; кто им владел и зачем он там находился, мы пока не установили.
То есть сменить пароль и решить «теперь сюда захожу только я» недостаточно: отдельный вход по ключу от этого никуда не исчезает. Вы платите за сервер, а потом выясняете, у кого ещё есть от него ключи. Прекрасное упражнение на доверие. Хотелось бы только получать список допущенных заранее, а не собирать его после сообщения о взломе.
2. Дыра в гипервизоре, которую даже не смогли закрыть
Злоумышленникам не понадобилось взламывать SSH-порты отдельных клиентов. Они читали виртуальные накопители снаружи: файлы конфигураций, локальные базы данных, незашифрованные секреты ботов с ключами Binance, Bybit и OKX. Всё, что когда-либо записывалось на диск сервера, стало достоянием третьих лиц.
И главная вишенка на торте: в уведомлении для пострадавших клиентов хостер признаёт, что «уязвимость до конца не устранена, а предоставленный вендором патч не решил проблему полностью». Проще говоря: серверы продолжают обслуживать клиентов, пока критическая уязвимость в гипервизоре остаётся незакрытой.
3. Завскладом работает давно. Пропажи тоже не вчера начались
У клиентов FirstVDS вопросы к безопасности возникли задолго до октября 2026-го. И сохранились не только успокоительные объяснения компании, но и рассказы людей, которым пришлось разбирать последствия.
2016 год. В разборе от 21 сентября на Хабре пострадавший описал вредоносные файлы, владельцем которых был root. По его проверке журналов, в момент изменения файлов открытых SSH-соединений не было. Автор нашёл около 1600 заражённых сайтов на 540 IP-адресах и сообщил хостеру о массовости проблемы. По его словам, поддержка предложила разбираться самостоятельно. Точную причину он не установил: среди версий были уязвимость привилегированного ПО и доступ со стороны хостинга; позднее он также описал проверку уязвимости ISPmanager.
2018 год. В обсуждении на Searchengines от 6 января клиент писал о взломе после обращения в поддержку. Он утверждал, что первоначальные пароли менял, в заявках их не передавал, а сотрудники всё равно заходили на сервер. Там же он оспаривал предположение, что сам оставил включённым разрешение доступа через панель. Другие участники предлагали иные объяснения и советовали проверить журналы. Вопрос о том, кто ещё может входить в клиентские системы, звучал уже тогда.
Теперь, в 2026-м, мы на собственном сервере видим ключ поддержки и зафиксированный вход с ним. Совет придумать пароль посложнее здесь особенно трогателен: у хостера был отдельный вход, не зависящий от этого пароля. Можно хоть каждое утро сочинять новый — чужой ключ из файла от этого не исчезнет.
Представьте завскладом, чей склад уже не впервые обчищают. После каждой пропажи у него находится объяснение, а запасной ключ всё это время лежит у него в кармане. В какой-то момент владельцу товара хочется увидеть журнал выдачи ключей и результаты проверки. Особенно если вместо них предлагают ещё раз оценить, насколько завскладом невыгодно воровать.
Повторение инцидентов само по себе не доказывает сговор. Но и ответ заинтересованной стороны «мы тут ни при чём» ничего не проверяет. Кто имел доступ, кто им воспользовался, что показывают журналы и кто проверил эти выводы — вот содержательный разговор. А доверие к человеку с запасным ключом после очередной пропажи как-нибудь подождёт.
4. Крипты нет? Терять всё равно есть что
Читатель без биткоинов уже может выдохнуть: у него на сервере обычный сайт, почта и какая-нибудь автоматизация. Только в официальном сообщении FirstVDS среди скопированных данных перечислены также пароли, ключи доступа к другим серверам и облачным сервисам, настройки и пользовательские файлы. Хостер сообщает о взломе части инфраструктуры и отдельно уведомляет затронутых клиентов. Для них отсутствие криптокошелька — довольно слабое утешение.
Например, на VPS мог храниться пароль приложения для Gmail или iCloud — чтобы скрипт отправлял письма или разбирал входящую почту. Google и Apple позволяют выдавать приложениям такие отдельные пароли. Это не главный пароль от всего аккаунта, но доступ к подключённой почте уже подарок: чужая переписка, вложения, возможность отправлять письма от вашего имени. Что именно сможет злоумышленник, зависит от сервиса и выданных разрешений.
А рядом могут лежать база покупателей, заказы, договоры и резервные копии. После их утечки объясняться придётся уже со своими клиентами. Фишинговое письмо с настоящим номером заказа и вашим адресом доставки выглядит убедительнее обычного «здравствуйте, я принц». Для шантажа и мошенничества сид-фраза совершенно не обязательна.
С ключами облачных сервисов история ещё веселее. Если права позволяют, ими можно открыть хранилище с документами, удалить резервные копии или запустить платные ресурсы за ваш счёт. А ключ, которым этот VPS подключался к другому серверу, может открыть дорогу и туда. Утечка на одной машине — проблемы сразу в нескольких местах. Очень удобный пакет услуг, жаль, клиент его не заказывал.
Сайт работает. Это ещё не значит, что всё хорошо
FirstVDS отдельно поясняет: диски подключали для чтения, поэтому клиентские серверы могли продолжать работать как обычно. Страница открывается, бот отвечает, заказы поступают — а копии доступов уже могут быть у посторонних. Украденный пароль не обязан сломать сайт, чтобы начать приносить убытки.
Поэтому возможные последствия такого взлома не заканчиваются на пустом криптокошельке. Это ещё и мошеннические письма от вашего имени, утёкшие данные клиентов, счета за чужие облачные ресурсы и дни восстановления работы. Патч у хостера не отзывает скопированные ключи. Эту часть «надёжного хостинга» клиенту предлагают обеспечить самостоятельно.