关键要点
针对一个包含恶意代码的 Polymarket 跟单交易机器人发出了安全警告,该恶意代码旨在窃取用户资金。安全专家的发现凸显了在加密货币市场中使用未经审计的第三方软件所带来的重大风险。
- 一个托管在 GitHub 上的 Polymarket 跟单交易机器人被发现包含恶意代码。
- 该代码通过读取本地
.env配置文件来窃取用户的钱包私钥。 - 此次事件凸显了在加密生态系统中使用未经审计的第三方工具的安全风险。
针对一个包含恶意代码的 Polymarket 跟单交易机器人发出了安全警告,该恶意代码旨在窃取用户资金。安全专家的发现凸显了在加密货币市场中使用未经审计的第三方软件所带来的重大风险。
.env 配置文件来窃取用户的钱包私钥。
慢雾科技首席信息安全官(CISO)23pds 披露了一项涉及 Polymarket 平台跟单交易机器人的重大安全威胁。在 X 平台的一篇帖子中,CISO 透露,一名开发者故意将恶意代码隐藏在一个机器人的 GitHub 存储库中。该代码旨在访问用户的本地 .env 文件,这是一种存储敏感凭据的常用方法。一旦读取该文件,它就会提取钱包的私钥并将其传输到攻击者控制的服务器,从而实现用户资金的彻底盗窃。
这一漏洞提醒人们,使用未经审计的第三方应用程序与去中心化金融平台交互存在固有危险。尽管此类工具提供了便利和高级功能(如跟单交易),但它们也可能成为复杂攻击的特洛伊木马。预计此次事件将削弱用户对 Polymarket 等平台生态系统工具的信心,促使交易者采取更严格的安全措施。它重申了基本的安全原则:永远不要将私钥暴露给任何未经验证的软件或个人。