اكتشف مجتمع الأمان مؤخرًا ثغرة خطيرة: تحتوي الشفرة الخاصة بروبوت التداول التابع لمنصة توقعات معروفة على GitHub على شيفرة خبيثة.

الوضع هو كما يلي - بمجرد أن يقوم المستخدم بتشغيل هذا البرنامج، فإنه سيقوم تلقائيًا بقراءة ملف ".env" الموجود على الكمبيوتر. يبدو أنه غير ضار، أليس كذلك؟ المشكلة هي أن العديد من المطورين يحتفظون بمفاتيح محافظهم في هذا الملف. بمجرد أن يتم قراءته، يتم إرسال المفتاح على الفور إلى سيرفرات القراصنة، وستفقد أموالك.

الأكثر إيلامًا هو أن مؤلف هذا البرنامج لا يزال يعدل الشيفرة بشكل متكرر، ويقوم بتحميلها عدة مرات على GitHub، مما يبدو وكأنه يقوم بتحسين الوظائف باستمرار. ولكن في الواقع؟ كل تحديث يتم تحسين أساليب سرقة المفاتيح الخاصة، كما لو كان "يُصقل الأدوات".

هذا النوع من الهجمات يتميز بشدة الخفاء - يبدو أن الشيفرة طبيعية وتعمل بشكل صحيح، ولكنها في الخفاء قد باعت أصولك الأساسية. خاصة بالنسبة لأولئك الذين دخلوا المجال حديثًا، من السهل جدًا أن يقعوا في الفخ.

**نصائح للحماية:** قبل تحميل أي روبوت تداول، من الأفضل أن تجد شخصًا يفهم البرمجة لمساعدتك في مراجعة كود GitHub؛ لا تضع المفتاح الخاص بك أبدًا في ملفات التكوين مثل .env؛ استخدام محفظة متعددة التوقيعات أو محفظة الأجهزة يمكن أن يقلل بشكل كبير من المخاطر. في عالم Web3، الوعي بالأمان هو أفضل جدار ناري.