19/05/2026
Co wydarzyło się między 16 a 18 maja: noc 13 tysięcy „ghost nodes”
Przez około 42 godziny, między 16 maja 08:00 UTC a 18 maja 03:30 UTC, MeshRelay było po cichu spamowane.
Mniej więcej co 12 sekund na mapie pojawiał się nowy „węzeł” z domyślną nazwą firmware typu 'Meshtastic-######', losowym modelem sprzętu i losową lokalizacją. Zanim aktywność ustała, zarejestrowano 13 097 fałszywych węzłów.
Meshtastic MQTT nie pozwala brokerowi zweryfikować, która bramka rzeczywiście opublikowała pakiet - publikujący po prostu deklaruje źródło. W tym przypadku atakujący podszył się pod dwie bramki w okolicach Kielc.
Pojedyncza transakcja SQL wykryła wszystkie 13 097 fałszywych węzłów bez ani jednego fałszywego trafienia, wykorzystując fingerprint okna czasowego ataku oraz wzorzec domyślnych nazw urządzeń.
W ramach czyszczenia usunięto:
* 13 097 spamowych węzłów
* 40 403 pakiety rzekomo przez nie „nadane”
* 45 950 rekordów odbioru
* 3 725 wyliczonych obserwacji pokrycia
Dwie prawdziwe podszyte bramki zostały pozostawione bez zmian.
Na ten moment pozostawiamy ingest bez modyfikacji i obserwujemy, czy wzorzec się powtórzy.
Więc jeśli w ostatni weekend Twoja okolica nagle „zaroiła się” od obcych węzłów, a teraz znowu wygląda normalnie - właśnie dlatego.
English:
What happened on May 16–18:
The night of the 13,000 ghost nodes
For roughly 42 hours between May 16 08:00 UTC and May 18 03:30 UTC, MeshRelay was quietly being spammed.
Every ~12 seconds, a new “node” appeared on the map using a firmware-default name like `Meshtastic-######`, a random hardware model, and a random location. By the time the activity stopped, 13,097 fake nodes had been registered.
Meshtastic MQTT does not allow the broker to verify which gateway originally published a packet - the publisher simply declares it. In this case, the attacker spoofed two gateways near Kielce.
A single SQL transaction identified all 13,097 fake nodes with zero false positives by fingerprinting the burst window together with the default-name pattern.
The cleanup removed:
* 13,097 spam nodes
* 40,403 packets they had “originated”
* 45,950 reception records
* 3,725 derived coverage observations
The two real spoofed gateways themselves were left untouched.
For now, ingestion remains unchanged while we monitor whether the pattern returns.
So if your area suddenly appeared crowded with strangers last weekend and looks quiet again now - that is why.
