IF YOUR BIDA ACCOUNT WAS DISABLED: your posts, followers and data are intact. Contact us at info@bida.im and we'll restore your access.

WHAT EVERYONE SHOULD DO, ON EVERY INSTANCE: use a unique password per service (password manager!), and enable 2FA (Settings > Account > Two-factor Authentication) — it's the one thing that makes stolen passwords useless. Check https://haveibeenpwned.com to see if your email is in known leaks.

FELLOW ADMINS: since the campaign is still ongoing, check your login_activities now, even if you haven't seen spam yet — the bot collects access silently before using it. The user agent may differ on your instance: look for unusual patterns (automated UAs like Go/python libraries, rapid logins across many accounts). Reach out if you want to compare notes.

Bida Collective
:antifa:

BOOSTARE PLEASE!!!

SECURITY INCIDENT ON MASTODON.BIDA.IM — ONGOING CREDENTIAL STUFFING CAMPAIGN ACROSS THE FEDIVERSE

An ongoing credential stuffing campaign is targeting Mastodon instances across the fediverse: compromised accounts are being used to post telegram spam links. You've probably seen the spam in your timeline, coming from various instances.

Our instance was hit too: starting around Aug 24, 2026, a bot logged into ~68 accounts on bida and later used some of them to spam. We've contained it locally, but the campaign is still active elsewhere — so this post is both an incident report for our users and a heads-up for other admins, with the commands we used.

No server was hacked. The attacker uses email+password combos leaked from OTHER websites (credential stuffing): if a user reused the same password on their fediverse account, the bot logs in with valid credentials on the first try. No bruteforce, no password reset emails, nothing suspicious in the HTTP logs — just clean logins.

HOW WE FOUND THE COMPROMISED ACCOUNTS

Every malicious login on our instance shared the same signature: user agent "Go-http-client/1.1". Mastodon 4.x records all authentication events in the login_activities table, so from the rails console (docker exec -it mastodon-web-1 bin/rails c):

check a single account's login history

u = Account.find_local('username').user
LoginActivity.where(user: u).order(created_at: :desc).limit(10).map { |l| [l.created_at, l.authentication_method, l.success, l.user_agent] }

Doorkeeper::AccessToken.where(resource_owner_id: user.id).update_all(revoked_at: Time.now.utc)
end

The attacker's own spam accounts were then suspended from the admin panel.

SPAM CLEANUP

Via RemovalWorker, so deletions federate to remote instances (a plain destroy_all would only delete locally):

Status.where("text LIKE ?", "%SPAM_STRING%").find_each do |s|
RemovalWorker.perform_async(s.id, { 'immediate' => true })
end

RESTORING REAL USERS

Each one gets a fresh random password (killing the leaked one) before re-enabling, and a reset email to get back in:

def restore_account(username)
user = Account.find_local(username).user
user.update!(password: SecureRandom.hex(24))
user.enable!
user.send_reset_password_instructions
end

list ALL accounts the bot logged into, including ones that hadn't spammed yet

compromised = LoginActivity.where(user_agent: "Go-http-client/1.1", success: true).includes(user: :account).map { |l| l.user }.uniq
puts compromised.map { |u| u.account.username }.sort.join("\n")

Note: the list contains two populations — real users whose passwords were leaked, and spam accounts registered by the attacker. Creation dates tell them apart:

compromised.sort_by(&:created_at).each { |u| puts "#{u.created_at.to_date} #{u.account.username}" }

HOW WE LOCKED THEM DOWN

We chose to disable accounts (reversible) rather than mass-reset passwords — plus killing active sessions and oauth tokens so the bot gets kicked out immediately:

compromised.each do |user|
user.disable!
user.session_activations.destroy_all

Attenzione, abbiamo aggiornato Bastodon.

Alcune nuove killer feature:
- Agenda degli eventi che pesca da Balotta e Rete Appenninica, con possibilita' di crearsi la propria agenda (come richiesto da piu' assemblee)
- Radio di istanza e ovviamente abbiamo scelto Radio Spore
- Autothread come richiesto dalla assemblea d'istanza

:antifa: :antifa:

magari tanta roba non funzionera'! Segnalate pure!

Aggiornamenti dal collettivo Bida: nuovi servizi e progetti 2026

Buon anno carə,

È passato un po’ di tempo dall’ultima volta che ci siamo sentiti! Da quest’anno abbiamo deciso di aggiornarvi sulla nostra situazione con un’unica mail annuale. Durante i mercoledì sera dell’Hacklabbo, sempre ricchi di confronto, riflessioni e attività, abbiamo conosciuto nuovə compagnə che hanno arricchito il collettivo, dato nuova energia alle attività e supporto nel lavoro di cura delle nostre infrastrutture… quindi inevitabilemente sono nati nuovi progetti.

Continua qui

https://bida.im/news/comunicato_01_01_2026/

#Bida #mastodon #2026 #progetti

Il 2 agosto 1980, alle 10.25 di mattina, una bomba scoppia alla stazione di Bologna. Il suo risultato: 85 morti e 200 feriti. 45 anni dopo, la verità è cristallina nonostante decenni di depistaggi e menzogne: si tratta di una bomba ordinata dallo Stato e messa dai fascisti.

La recente conferma definitiva da parte della Cassazione dell'ergastolo per Paolo Bellini, ex esponente di Avanguardia Nazionale, ha sigillato una volta per tutte la matrice neofascista della strage. Ma soprattutto ha messo nero su bianco il ruolo di primo piano di apparati dello Stato e della loggia P2 per finanziare fascisti e depistatori.

Continua qui
https://balotta.org/event/la-strage-di-stato-non-e-storia-passata

Abbiamo già forkato Mastodon [3] e siamo sempre pront* a nuove sperimentazioni.
Crediamo nel fediverso. Invitiamo tuttə a bloccare Threads [4].
Questa è il miglior messaggio che possiamo dare a chi vuole distruggere quello che stiamo costruendo assieme

#fedipact #meta #threads

[0] https://mastodon.bida.im/about/more
[1] https://mastodon.help/#Critique
[2] https://poliverso.org/display/0477a01e-1964-abfd-552f-aef477916660
[3] https://git.lattuga.net/bida/bastodon
[4] https://fedipact.online/ cc: @FediPact

Dall'apertura dell'istanza ormai sono passati diversi anni. Il motivo che ci ha spinti è stato quello di criticare con una proposta reale e tangibile il mondo dei social network commerciali.
Mastodon è stata la nostra scelta per vari motivi [0].
Tuttavia non condividiamo la deriva che il software sta prendendo [1] e la collaborazione con Facebook [2].
Come alcun* già si sono accortə abbiamo defederato Threads.
Crediamo sempre nei social network autogestiti e sappiamo l'importanza che ha offrire un'alternativa.

#fedipact #meta #threads

>>