Бот Double Counter слил IP и город 27 млн Discord. Вход через забытый Metabase

Double Counter - бот французской компании Tellter SAS, который на сотнях тысяч Discord-серверов проверяет новичков и ловит мультиаккаунты. 4 октября 2026 хакеры почти шесть часов сидели в его облаке, скопировали около 12 гигабайт таблиц и успели разослать свои приглашения от имени бота примерно на 50 крупных серверах. По отчёту компании, как частично скопированные и потому «считаются слитыми» обрабатываются Discord ID и ники примерно 28 миллионов аккаунтов, IP-адреса и грубая геолокация (страна, регион, город, индекс, провайдер) примерно 27 миллионов. Полностью уехала почта примерно миллиона человек. Это касается любого, кто хоть раз проходил капчу или кнопку Verify у Double Counter: игроки, стримеры, модераторы русскоязычных гильдий и рабочих чатов.

Сервис восстановили в тот же вечер. Discord-пароли бот никогда не хранил. Но IP плюс город плюс ник - готовый набор для фишинга и «мы знаем, откуда ты заходишь».

Что именно украли и что уже выложили

Копирование шло фиксированным порядком таблиц, поэтому Tellter смогла оценить объём. Таблица ловли альтов (около 5,4 млн записей с IP) уехала целиком. Таблицу верифицированных пользователей (около 21,7 млн) резали на ходу: по объёму трафика ушло примерно 20 процентов строк, но какие именно - неизвестно, поэтому всю пачку считают раскрытой. Хеши user-agent (отпечаток браузера плюс город и страна) скопировали примерно у 25 млн. Почта: около 840 тысяч из связанного продукта Doogle плюс около 240 тысяч с дашборда, контактов админов и рекламодателей - в сумме около 1 млн уникальных адресов.

7 октября сервис Have I Been Pwned (сайт, который показывает, в каких утечках светится ваша почта) добавил набор из примерно 274 900 адресов и ников Discord, которые уже выложили публично. У части платящих клиентов в этом куске есть имя, страна и почтовый индекс. Отдельная «холодная» база ещё на 58 млн пользователей, по заявлению компании, не задевалась. Карты и пароли Discord в украденных таблицах не лежали.

Как вошли: не «взлом Discord», а пыльный сервер

Точка входа - старый сервер у хостера OVH, который уже не обслуживал живой бот, но так и остался в интернете. На нём крутился самохостный Metabase (популярная открытая аналитика для графиков из баз). Уязвимость в Metabase позволила подделать сессию администратора. С 3 октября с VPN крутили логины вроде root, nathan, debian, metabase. 4 октября в 00:47 UTC зашли. На сервере лежали ключ сервисного аккаунта облака с правами админа и сохранённая сессия живого администратора.

С 12:03 ключ уже работал в облаке: добавили свой SSH-ключ, начали выгрузку. В 12:26 открыли оболочку в контейнере бота и сняли Discord-токен (секрет, которым бот пишет в чаты от своего имени). Дальше классика забытой инфраструктуры: легальные ключи, никаких новых учёток, активность сначала выглядит как своя.

Шесть часов погони за токеном

С украденным токеном бот сам раздал атакующему права администратора на саппорт-сервере Double Counter, потом разослал инвайты на сервер хакеров примерно по 50 крупным сообществам. Сообщения выглядели как официальные от Double Counter. Среди целей в отчёте назван сервер «Steal a brainrot». Компания сменила токен - через две минуты его снова прочитали из контейнера. Потом сменили пароль базы, чтобы запереть своих, и 25 минут (15:09-15:34) качали таблицы, пока сессию не убили. Когда отозвали сервисный ключ, переключились на сохранённую админскую сессию с того же OVH и ещё два часа цеплялись, пока в 17:55 не отозвали все сессии.

Параллельно ключом Stripe другого продукта Tellter, Atis, прогнали тестовые списания 1, 10, 100 и 1000 долларов со своей же корпоративной карты - всего 7316 долларов - и два мелких чарджа клиентам Atis на 3 и 15 долларов (их вернули). Карты подписчиков Double Counter, по отчёту, не трогали.

Почему охранник Discord сам стал дырой

Double Counter как раз и собирает IP: иначе не отличить «новый человек» от второго аккаунта с того же роутера. Чем лучше бот ловит рейды, тем жирнее база. Забытый Metabase на выведенном сервере - не экзотика, а типичный хвост миграции в облако: аналитика «ещё пригодится», порт наружу «временно». Сервисный ключ с правами бога в проекте и токен бота в контейнере, а не в секретнице, превратили одну дыру в полный захват.

Для обычного человека мораль простая: любой «verify this server» - это не только защита админов, это ещё одна компания, у которой лежит ваш IP, город и ник. Discord сам в этом инциденте не взломан, но экосистема ботов давно стала вторым контуром идентичности.

Что делать, если вы жали Verify

По совету Double Counter рядовому участнику сервера не нужно менять пароль Discord только из-за этой утечки: пароля у них не было. Имеет смысл проверить почту на Have I Been Pwned и включить уведомления о новых брешах. Если вдруг придёт «мы из Double Counter, подтвердите аккаунт» - это фишинг. Не переходить по инвайтам, которые бот слал 4 октября между примерно 12:00 и 16:30 UTC.

Админам серверов: снести сообщения Double Counter за это окно, проверить журнал аудита Discord на выдачу ролей ботом. Если вы платили за дашборд - смотреть, не всплыли ли имя и индекс в публичном куске. Сменить пароль почты, которая светилась в верификации, если она же для банков и Steam. Двухфакторку на Discord лучше держать на приложении, не на SMS: IP и город как раз помогают обходить слабые схемы.

Чем это грозит в русскоязычных серверах

Связка ник + IP + город удобна не для «взлома аккаунта сходу», а для целевого развода. Сообщение «ты с такого-то провайдера в таком-то городе, мы модерация, аккаунт под угрозой» выглядит правдоподобно. Для тех, кто сидит в закрытых гильдиях, рабочих Discord и серверах с донатами, слив почты админов - отдельный риск: дальше уже не бот, а социальная инженерия к владельцу сообщества.

Tellter уведомила французский регулятор CNIL 5 октября. Сервис подняли в 19:19 UTC с новыми секретами, базу закрыли от интернета, кэш утащили во внутреннюю сеть. Это не отменяет того, что скопированное уже нельзя вернуть. Если ваш сервер когда-то ставил Double Counter «потому что все ставят» - стоит спросить себя, какие ещё боты с тем же аппетитом к IP висят рядом.

Как не повторить чужой хвост

Для тех, кто сам крутит ботов или маленький SaaS: выключенный сервер с публичным Metabase, Grafana или phpMyAdmin - это не «архив», это открытая дверь. Сервисные ключи с admin на весь проект и токены мессенджеров в переменных контейнера переживают любую «мы уже на Google Cloud». Ротация секретов после инцидента у Double Counter заняла весь вечер 4 октября; дешевле было выключить OVH в день миграции.

Обычному пользователю достаточно короткого правила: чем меньше сервисов видят ваш IP при входе в чат, тем меньше таких отчётов придётся читать. И не кликать «официальные» инвайты от охранных ботов в день, когда у них в блоге появляется слово incident.

Источники

Первичный разбор - отчёт Tellter от 5 октября. Публичная порция почт подтверждена Have I Been Pwned 7 октября. Цифры 28 млн / 27 млн / 1 млн и 12 ГБ - из таблиц самого инцидент-репорта, их же пересказывают The Verge, GamesIndustry.biz и Rock Paper Shotgun.