2025-12-21 03:44:37

Baru-baru ini, komunitas keamanan menemukan sebuah kerentanan serius: kode dari robot trading copy di sebuah platform prediksi terkenal menyimpan kode jahat di GitHub.

Keadaannya adalah seperti ini—setelah pengguna menjalankan program ini, ia akan secara otomatis membaca file ".env" di komputer. Terlihat tidak berbahaya, bukan? Masalahnya adalah, banyak pengembang menyimpan kunci pribadi dompet di file ini. Begitu dibaca, kunci pribadi segera dikirim ke server peretas, dan dana Anda akan hilang.

Lebih menyedihkan lagi, penulis program ini terus-menerus mengubah kode dan mengunggahnya ke GitHub, seolah-olah terus mengoptimalkan fitur. Sebenarnya? Setiap pembaruan justru meningkatkan metode pencurian kunci pribadi, seperti "mengasah alat".

Serangan jenis ini sangat tersembunyi—kodenya terlihat normal, fungsinya juga berjalan, tetapi secara diam-diam telah menjual aset inti Anda. Ini terutama mudah menipu bagi pemula yang baru masuk ke dalam lingkaran.

**Saran Perlindungan:** Sebelum mengunduh bot perdagangan, sebaiknya minta seseorang yang mengerti kode untuk meninjau sumber kode GitHub; jangan pernah menyimpan kunci pribadi di file konfigurasi seperti .env; menggunakan dompet multisig dan dompet perangkat keras dapat secara signifikan mengurangi risiko. Di dunia Web3, kesadaran keamanan adalah firewall terbaik.

Lihat Asli

Halaman ini mungkin berisi konten pihak ketiga, yang disediakan untuk tujuan informasi saja (bukan pernyataan/jaminan) dan tidak boleh dianggap sebagai dukungan terhadap pandangannya oleh Gate, atau sebagai nasihat keuangan atau profesional. Lihat Penafian untuk detailnya.

12 Suka

Hadiah
12
6
Posting ulang
Bagikan

Komentar

0/400

PuzzledScholar

· 23jam yang lalu

Wah, ini terlalu kejam, GitHub sekarang menjadi alat saja Teman-teman yang menyimpan Kunci Pribadi di .env pasti akan menangis Sekali lagi, dengan mengganti identitas dan mengunggah berulang kali, memang bisa menipu banyak pemula Dompet hardware memang harus dipopulerkan, kalau tidak, akan segera di jebak Sepertinya harus mencari coder yang dapat dipercaya untuk mereview kode sebelum berani menggunakannya Tidak heran jika Web3 adalah permainan kepercayaan, ini sangat sulit untuk dihindari

Lihat AsliBalas0

LiquidityWitch

· 23jam yang lalu

Wah, ini lagi jebakan ini, kunci pribadi telanjang benar-benar keterlaluan Inilah alasan mengapa saya tidak pernah menjalankan bot orang lain, lebih enak menulis skrip sendiri Pemula, bangunlah, tidak mereview kode sumber tetapi berani menjalankannya itu benar-benar sudah bosan hidup Setiap kali seperti ini, kata-kata indah diucapkan dengan lancar tetapi sebenarnya diam-diam mencuri uang Dompet hardware benar-benar menjadi standar, bagaimana masih ada orang yang tidak menggunakannya Repo di GitHub harus dibiasakan untuk diperiksa, jika tidak, akan menjadi uang yang hilang.

Lihat AsliBalas0

MEVHunterWang

· 23jam yang lalu

Wah, datang lagi jebakan ini, orang yang menyimpan kunci pribadi di env benar-benar harus merenungkan hal ini. Inilah alasan mengapa saya menyarankan orang-orang di sekitar saya untuk menggunakan dompet hardware, benar-benar jangan pelit untuk uang yang satu ini. Hal review kode tidak bisa diabaikan, barang di GitHub belum tentu semuanya dapat dipercaya. Pemula paling mudah terkena jebakan seperti ini, masih mengira ini adalah iterasi fungsi yang normal. Dompet Multi Tanda Tangan benar-benar menarik, bahkan jika diretas, tidak akan habis semua uangmu. Jenis serangan yang tersembunyi seperti ini benar-benar menjijikkan, terlihat normal tetapi diam-diam menguras uangmu. Harus lebih waspada, biaya kepercayaan di Web3 terlalu tinggi.

Lihat AsliBalas0

SchrodingerAirdrop

· 23jam yang lalu

Wah, ini lagi triknya? Kode-nya terlihat tidak ada masalah, tapi tiba-tiba mencuri dompetmu. Kunci Pribadi dalam Plaintext yang diletakkan di env, benar-benar pantas. Di GitHub, jenis ekor rubah yang terlihat seperti ini pasti akan tertangkap, yang ditakuti adalah yang disembunyikan dengan baik. Pemula lebih baik tidak sembarangan, dompet hardware sebenarnya tidak mahal. Di zaman sekarang, setiap barang baru harus dicari orang untuk direview dulu baru berani digunakan. Ini adalah Trojan klasik, fungsinya sempurna tapi kunci pribadinya hilang. Aku jadi ingat tentang honeypot kontrak tahun lalu, triknya sama saja meski tampaknya berbeda.

Lihat AsliBalas0

BrokenRugs

· 23jam yang lalu

Wah, datang lagi jebakan ini, di GitHub benar-benar banyak sekali lubang. Orang yang menyimpan Kunci Pribadi di .env pasti sangat berani. Inilah alasan mengapa saya hanya menggunakan dompet hardware, benar-benar membuat lelah. Review kode benar-benar tidak bisa diabaikan, Pemula harus lebih berhati-hati. Hacker zaman ini terlalu canggih, cara-cara mereka benar-benar beragam.

Lihat AsliBalas0

FalseProfitProphet

· 23jam yang lalu

Lagi-lagi dia menggali barang yang menjengkelkan, GitHub benar-benar jadi sarang pencuri Kunci Pribadi yang diletakkan di .env seharusnya dipikirkan kembali, ini bukan hal yang sulit dipahami Orang ini mengubah kode dengan sangat cepat, jelas dia profesional Dompet hardware tidak lebih baik? Kenapa harus bermain api seperti ini Menggunakan cara seperti ini untuk cepat kaya, cepat atau lambat akan masuk penjara Pemula benar-benar mudah terjebak, tidak heran lingkungannya kacau

Lihat AsliBalas0

Topik TrendingLihat Lebih Banyak
#Gate2025AnnualReportComing
34.33K Popularitas
#JoinGrowthPointsDrawToWinGoldenBar
36.34K Popularitas
#ETHTrendWatch
156.09K Popularitas
#FedRateCutPrediction
79.05K Popularitas
#ShowMyAlphaPoints
171.7K Popularitas

Hot Gate FunLihat Lebih Banyak

1
07860786
MC:$3.55KHolder:0
0.00%
2
wlwife less
MC:$3.54KHolder:1
0.00%
3
oxSunoxSun
MC:$3.56KHolder:1
0.00%
4
GSNOWGate Snow
MC:$3.56KHolder:1
0.00%
5
ReveillonFeliz Ano Novo
MC:$3.64KHolder:3
0.25%

Sematkan

peta situs