2025-12-21 03:44:37

Recientemente, el círculo de seguridad ha descubierto una grave vulnerabilidad: un robot de trading de seguimiento de una conocida plataforma de predicciones tenía código malicioso oculto en su código en GitHub.

La situación es la siguiente: una vez que el usuario ejecuta este programa, automáticamente leerá el archivo ".env" en la computadora. Parece inofensivo, ¿verdad? El problema es que muchos desarrolladores almacenan las claves privadas de sus billeteras en este archivo. Una vez que se lee, la clave privada se envía inmediatamente al servidor del hacker, y tus fondos desaparecen.

Lo que duele aún más es que el autor de este programa sigue modificando el código repetidamente y subiéndolo a GitHub, dando la impresión de que está optimizando las funciones. ¿Pero en realidad? Cada actualización mejora las técnicas para robar claves privadas, como si estuviera "afinando herramientas".

Este tipo de ataque es especialmente encubierto: el código parece normal, la funcionalidad también funciona, pero en secreto ya ha vendido tus activos centrales. Esto es especialmente fácil de caer en la trampa para los nuevos en el círculo.

**Sugerencias de protección:** Antes de descargar cualquier robot de trading, es mejor que alguien que entienda de código te ayude a revisar el código fuente en GitHub; nunca debes poner tus claves privadas en archivos de configuración como .env; usar billeteras multisig y billeteras hardware puede reducir significativamente el riesgo. En el mundo de Web3, la conciencia de seguridad es el mejor cortafuegos.

Ver originales

Esta página puede contener contenido de terceros, que se proporciona únicamente con fines informativos (sin garantías ni declaraciones) y no debe considerarse como un respaldo por parte de Gate a las opiniones expresadas ni como asesoramiento financiero o profesional. Consulte el Descargo de responsabilidad para obtener más detalles.

18 me gusta

Recompensa
18
9
Republicar
Compartir

Comentar

0/400

TokenTherapist

· 2025-12-24 03:08

¡Cielo! Este tipo de cosas aún se atreve a modificar el código a cara descubierta, es gracioso. Realmente, las personas que ponen la Llave privada en env deberían reflexionar bien. Otra historia de un sueño roto de "copy trading para hacerse rico". Esta es la razón por la que nunca toco cosas de extraños en GitHub. Siempre dicen que hay que revisar el código, pero ¿cuántas personas realmente lo ven? Las billeteras frías realmente son la solución eterna, este tipo de cosas están completamente terminadas. Los novatos son demasiado fáciles de tomar a la gente por tonta, la conciencia de seguridad tiene que comenzar desde cero.

Ver originalesResponder0

tx_or_didn't_happen

· 2025-12-22 20:58

¡Vaya, este hacker sabe jugar! Está cambiando el código mientras roba llaves, y secretamente afilando sus herramientas de crimen.

Ver originalesResponder0

NullWhisperer

· 2025-12-22 13:23

la verdad es que el truco de .env es casi demasiado predecible en este punto... he visto variantes de esto durante años, para ser honesto. lo que me sorprende es lo de los commits repetidos, como amigo, si estás extrayendo claves al menos intenta esconderlo.

Ver originalesResponder0

PuzzledScholar

· 2025-12-21 04:12

¡Vaya, esto es demasiado severo! GitHub se ha convertido en una herramienta ahora. Los hermanos que guardan la Llave privada en .env deben estar llorando. Es otra vez el mismo truco de cambiar de nombre y subir repetidamente, realmente puede engañar a muchos novatos. El monedero de hardware realmente debería hacerse más común, de lo contrario, tarde o temprano serán tomados por tontos. Parece que hay que encontrar un coder confiable para revisar el código antes de atreverme a usarlo. No es de extrañar que digan que Web3 es un juego de confianza, es difícil de prevenir.

Ver originalesResponder0

LiquidityWitch

· 2025-12-21 04:12

¡Vaya, otra vez esta trampa! Correr la llave privada al aire es realmente absurdo. Por eso nunca utilizo los Bots de otros, escribir mis propios scripts es mejor. Novato, despierta, es realmente absurdo correr sin revisar el código fuente. Siempre es así, dicen cosas bonitas pero en realidad roban dinero a escondidas. El monedero de hardware es realmente un estándar, ¿cómo hay gente que aún no lo usa? Hay que acostumbrarse a revisar esos repos en GitHub, de lo contrario, es dinero perdido.

Ver originalesResponder0

MEVHunterWang

· 2025-12-21 04:10

¡Vaya, otra vez con esta trampa! Las personas que ponen su llave privada en env realmente deberían reflexionar. Esta es la razón por la que aconsejo a las personas cercanas que usen un monedero de hardware, realmente no ahorren en esto. No se puede escatimar en la revisión de código; lo que hay en GitHub no siempre es fiable. Los novatos son los que más caen en esto, pensando que es una iteración de función normal. El monedero multifirma realmente es atractivo; incluso si te hackean, no pueden vaciarte por completo. Este tipo de ataque encubierto es realmente asqueroso; parece normal pero en secreto te vacían. Hay que estar más alerta; el costo de confianza en Web3 es demasiado alto.

Ver originalesResponder0

SchrodingerAirdrop

· 2025-12-21 04:03

¡Vaya, otra vez este truco! El código parece correcto, pero al girar te roban la Billetera. La Llave privada en Texto sin formato en env, realmente se lo merece. En GitHub, esos que muestran la cola de zorro tarde o temprano serán atrapados, lo que temo son aquellos que están bien escondidos. Los Novatos mejor no experimenten sin sentido, un monedero de hardware no es caro. En estos tiempos, hay que buscar a alguien que revise todo antes de atrevernos a usarlo. Un típico troyano, funcionalidad perfecta y la Llave privada se perdió. Me recuerda a aquella ola de honeypot de contratos de hace dos años, el truco cambia pero el medicamento no.

Ver originalesResponder0

BrokenRugs

· 2025-12-21 03:58

¡Vaya, otra vez esta trampa! En GitHub realmente hay trampas por todas partes. Las personas que guardan la llave privada en .env deben ser muy propensas a arruinarse. Por eso solo uso un monedero de hardware, realmente me siento cansado de esto. La revisión de código realmente no se puede omitir, novatos, presten atención. Esta generación de hackers es demasiado competitiva, las técnicas son realmente variadas.

Ver originalesResponder0

FalseProfitProphet

· 2025-12-21 03:55

Ya han encontrado otra cosa de mierda, GitHub se ha convertido en un nido de ladrones. Los que ponen la llave privada en .env deberían reflexionar, ¿no es de sentido común? Este tipo modifica el código de manera impresionante, se nota que es de nivel profesional. ¿No es mejor un monedero de hardware? ¿Por qué jugar con fuego así? Los que ganan dinero rápido con estos métodos, tarde o temprano acabarán en prisión. Los novatos realmente son fáciles de engañar, no es de extrañar que el círculo esté desordenado.

Ver originalesResponder0