Ф'ючерси
Сотні безстрокових контрактів
TradFi
Золото
Одна платформа для світових активів
Опціони
Hot
Торгівля ванільними опціонами європейського зразка
Єдиний рахунок
Максимізуйте ефективність вашого капіталу
Демо торгівля
Вступ до ф'ючерсної торгівлі
Підготуйтеся до ф’ючерсної торгівлі
Ф'ючерсні події
Заробляйте, беручи участь в подіях
Демо торгівля
Використовуйте віртуальні кошти для безризикової торгівлі
Запуск
CandyDrop
Збирайте цукерки, щоб заробити аірдропи
Launchpool
Швидкий стейкінг, заробляйте нові токени
HODLer Airdrop
Утримуйте GT і отримуйте масові аірдропи безкоштовно
Pre-IPOs
Отримайте повний доступ до глобальних IPO акцій.
Alpha Поінти
Ончейн-торгівля та аірдропи
Ф'ючерсні бали
Заробляйте фʼючерсні бали та отримуйте аірдроп-винагороди
Інвестиції
Simple Earn
Заробляйте відсотки за допомогою неактивних токенів
Автоінвестування
Автоматичне інвестування на регулярній основі
Подвійні інвестиції
Прибуток від волатильності ринку
Soft Staking
Earn rewards with flexible staking
Криптопозика
0 Fees
Заставте одну криптовалюту, щоб позичити іншу
Центр кредитування
Єдиний центр кредитування
Центр багатства VIP
Преміальні плани зростання капіталу
Управління приватним капіталом
Розподіл преміальних активів
Квантовий фонд
Квантові стратегії найвищого рівня
Стейкінг
Стейкайте криптовалюту, щоб заробляти на продуктах PoS
Розумне кредитне плече
Кредитне плече без ліквідації
Випуск GUSD
Мінтинг GUSD для прибутку RWA
OpenAI оновлює сертифікати macOS після атаки на ланцюг поставок Axios
Ірис Коулмен
15 квітня 2026 02:02
OpenAI реагує на компрометацію npm-бібліотеки Axios, пов’язану з Північною Кореєю, шляхом оновлення сертифікатів підпису коду. Користувачам macOS потрібно оновити додатки ChatGPT, Codex до 8 травня.
OpenAI змушує всіх користувачів macOS оновити свої настільні додатки після того, як робочий процес підписання додатків компанії був викритий у результаті атаки на ланцюг постачання Axios — компрометація, яку приписують північнокорейським зловмисникам, що вразили популярну бібліотеку JavaScript 31 березня 2026 року.
Гігант штучного інтелекту заявляє, що не виявлено жодних доказів доступу до даних користувачів або підробки його програмного забезпечення. Але компанія не ризикує: вона вважає свій сертифікат підпису коду для macOS скомпрометованим і анулює його цілком 8 травня 2026 року.
Що насправді сталося
Коли скомпрометована версія Axios 1.14.1 з’явилася на npm 31 березня, робочий процес GitHub Actions, який OpenAI використовує для підписання додатків для macOS, завантажив і виконав зловмисний код. Цей робочий процес мав доступ до сертифікатів, що використовуються для підписання ChatGPT Desktop, Codex, Codex CLI та Atlas — облікових даних, які говорять macOS «так, це справді від OpenAI».
Основна причина? Налаштування. Робочий процес OpenAI посилався на Axios за допомогою плаваючої позначки (floating tag), а не зафіксованого хеша коміту, і не мав налаштованого мінімального віку релізу (minimumReleaseAge) для нових пакетів. Класична вразливість ланцюга постачання.
Внутрішній аналіз OpenAI припускає, що сертифікат підпису, ймовірно, не був успішно викраден через час і послідовність виконання. Але слово «ймовірно» недостатньо, коли ви підписуєте програмне забезпечення, яке працює на мільйонах машин.
Ширша атака
Компрометація Axios не була спрямована безпосередньо проти OpenAI. Дослідники з безпеки, включаючи команду з розвідки загроз Google, пов’язали цю атаку з актором, що має зв’язки з Північною Кореєю — можливо, Sapphire Sleet або UNC1069. Зловмисники зламали обліковий запис npm-менеджера і вставили шкідливу залежність під назвою ‘plain-crypto-js’, яка розгорнула крос-платформену RAT, здатну до розвідки, збереження та самознищення для уникнення виявлення.
Атака торкнулася організацій у сферах бізнес-послуг, фінансових послуг і технологій по всьому світу.
Що потрібно робити користувачам
Якщо ви використовуєте будь-які додатки OpenAI для macOS, оновіть їх зараз. Після 8 травня старі версії перестануть працювати повністю. Мінімальні необхідні версії:
Завантажуйте лише з офіційних джерел або через оновлення у додатку. OpenAI чітко попереджає не встановлювати нічого з електронних листів, реклами або сторонніх сайтів — це розумна порада, оскільки зловмисник із старим сертифікатом теоретично міг підписати фальшиві додатки, що виглядають легітимно.
Користувачі Windows, iOS, Android і Linux не постраждали. Так само — веб-версії. Паролі та API-ключі залишаються безпечними.
Чому вікно у 30 днів?
OpenAI міг анулювати сертифікат одразу, але вирішив цього не робити. Нове нотаризація з компрометованим сертифікатом вже заблокована, тобто будь-який шахрайський додаток, підписаний ним, не пройде стандартні перевірки безпеки macOS, якщо користувачі не перевищать їх вручну.
Затримка дає користувачам час оновити через звичайні канали, а не прокидатися з пошкодженим програмним забезпеченням. OpenAI стежить за ознаками зловживання сертифікатом і прискорить його анулювання, якщо з’являться ознаки зловмисної активності.
Інцидент підкреслює, що атаки через ланцюг постачання продовжують поширюватися у екосистемі програмного забезпечення. Одна скомпрометована npm-пакет, і раптом OpenAI оновлює сертифікати для всього свого продуктового ряду для macOS. Для розробників урок очевидний: фіксуйте залежності до конкретних комітів, а не до плаваючих тегів.
Джерело зображення: Shutterstock