Неизвестные угнали подсеть 162.55.80.0/24 через AS62390 (NexonHost), получили валидный TLS-сертификат от Let's Encrypt и подменили обновления Virtualizor. Атака длилась 33 часа в две волны. Получали обновления «несколько серверов», точный список неизвестен.
Ars разбирает атаку на Virtualizor: Hetzner не настроил RPKI, Softaculous не подписывал обновления, а провайдер Zet.net не мониторил маршруты. Эксперт Бен Картрайт-Кокс назвал это «глупыми, предотвратимыми ошибками». Атака длилась 33 часа, вторая волна — 10 часов без реакции Hetzner.
Cloudflare исследовала атрибут ORIGIN в BGP и обнаружила, что ~70% наблюдаемых путей имеют изменённое значение относительно установленного исходной AS. Операторы молчаливо переписывают ORIGIN на IGP, чтобы привлечь больше трафика и дохода. RFC4271 прямо запрещает менять ORIGIN, но это стало стандартной практикой. 3.5% маршрутов всё ещё используют устаревшее значение EGP, 6.7% — INCOMPLETE.