2025-12-21 03:44:37

Recentemente, o círculo de segurança descobriu uma grave vulnerabilidade: o robô de negociação de cópia de uma plataforma de previsão conhecida contém código malicioso no GitHub.

A situação é a seguinte - assim que o usuário executa este programa, ele automaticamente lê o arquivo ".env" no computador. Parece inofensivo, certo? O problema é que muitos desenvolvedores armazenam a chave privada da carteira neste arquivo. Assim que for lida, a chave privada é imediatamente enviada para o servidor do hacker e os seus fundos desaparecem.

O que dói ainda mais é que o autor deste programa continua a modificar o código repetidamente e a fazer múltiplos uploads no GitHub, parecendo estar constantemente a otimizar as funcionalidades. Na realidade? Cada atualização melhora as técnicas de roubo de chaves privadas, como se estivesse "polindo ferramentas".

A natureza oculta deste tipo de ataque é particularmente forte - o código parece normal, as funcionalidades funcionam, mas secretamente já vendeu os seus ativos principais. Especialmente para os novatos que acabaram de entrar no círculo, é muito fácil cair na armadilha.

**Sugestões de proteção:** Antes de baixar qualquer robô de negociação, é melhor pedir a alguém que entenda de código para revisar o código-fonte do GitHub; nunca coloque suas chaves privadas em arquivos de configuração como .env; usar carteiras multi-assinatura e carteiras de hardware pode reduzir significativamente o risco. No mundo Web3, a consciência de segurança é o melhor firewall.

Ver original

Esta página pode conter conteúdos de terceiros, que são fornecidos apenas para fins informativos (sem representações/garantias) e não devem ser considerados como uma aprovação dos seus pontos de vista pela Gate, nem como aconselhamento financeiro ou profissional. Consulte a Declaração de exoneração de responsabilidade para obter mais informações.

18 gostos

Recompensa
18
9
Republicar
Partilhar

Comentar

0/400

TokenTherapist

· 2025-12-24 03:08

Caramba, essa coisa de mudar código de forma tão descarada, é hilário Realmente, quem coloca a chave privada no env deveria refletir bem Mais uma história de "negociação de cópias para ficar rico" que se despedaça É por isso que eu nunca toco em coisas de estranhos no GitHub Sempre dizem que vão revisar o código, mas quantas pessoas realmente vão olhar? Carteira fria realmente é eterna, esse tipo de coisa acaba de vez Novatos são muito facilmente enganados, a consciência de segurança precisa ser construída do zero

Ver originalResponder0

tx_or_didn't_happen

· 2025-12-22 20:58

Uau, este hacker realmente sabe o que faz, alterando o código enquanto rouba chaves, discretamente polindo as ferramentas de crime.

Ver originalResponder0

NullWhisperer

· 2025-12-22 13:23

para ser sincero, o truque .env é quase demasiado previsível neste momento... tenho visto variantes disto há anos, para ser honesto. o que me incomoda é a questão dos commits repetidos, tipo, amigo, se estás a exfiltrar chaves, pelo menos tenta esconder isso.

Ver originalResponder0

PuzzledScholar

· 2025-12-21 04:12

Caramba, isso é muito duro, o GitHub agora se tornou uma ferramenta! Os irmãos que colocam a chave privada no .env vão chorar agora. É mais uma vez aquela tática de trocar de identidade e fazer upload repetidamente, realmente consegue enganar muitos novatos. A carteira de hardware realmente deveria ser mais difundida, caso contrário, vai acabar sendo cortada. Parece que preciso encontrar um coder confiável para revisar o código antes de usar. Não é à toa que dizem que Web3 é um jogo de confiança, é difícil de proteger.

Ver originalResponder0

LiquidityWitch

· 2025-12-21 04:12

Caramba, lá vem essa armadilha de novo, a Chave privada exposta é realmente absurda É por isso que eu nunca uso os Bots de outras pessoas, escrever meus próprios scripts é melhor Novato, acorda, é realmente arriscado rodar sem revisar o código-fonte Sempre é assim, falam palavras bonitas, mas na verdade estão roubando de forma traiçoeira A carteira de hardware é realmente padrão, como ainda há pessoas que não a usam É preciso criar o hábito de dar uma olhada nos repositórios do GitHub, caso contrário é dinheiro perdido.

Ver originalResponder0

MEVHunterWang

· 2025-12-21 04:10

Caramba, lá vem essa armadilha de novo, quem coloca a chave privada no env realmente deveria refletir sobre isso É por isso que eu aconselho as pessoas ao meu redor a usarem carteira de hardware, realmente não vale a pena economizar esse dinheiro Revisão de código não pode ser economizada, as coisas no GitHub nem sempre são confiáveis Novatos são os que mais caem nesse tipo de armadilha, achando que é uma iteração de funcionalidade normal Carteira com várias assinaturas é realmente ótima, mesmo sendo hackeada, não conseguem roubar todo o seu dinheiro Esse tipo de ataque oculto é realmente nojento, parece normal, mas secretamente te esvazia É preciso estar mais atento, o custo de confiança no Web3 é muito alto.

Ver originalResponder0

SchrodingerAirdrop

· 2025-12-21 04:03

Caramba, é esse o truque de novo? O código parece bom, mas assim que você vira, eles roubam sua Carteira. A Chave privada em Plaintext no env, realmente merece isso. Esses tipos expostos no GitHub serão pegos eventualmente, só tenho medo daqueles que estão escondidos direitinho. Novato, é melhor não ficar brincando, a carteira de hardware realmente não é cara. Nos dias de hoje, tudo deve ser revisado por alguém antes de ser usado. Um típico trojan, com funcionalidade perfeita, mas a Chave privada se foi. Lembro daquela onda de honeypots de contratos de dois anos atrás, o truque é o mesmo, só muda a apresentação.

Ver originalResponder0

BrokenRugs

· 2025-12-21 03:58

Caramba, lá vem essa armadilha de novo, realmente há muitos buracos no GitHub Quem coloca a Chave privada no .env deve ser muito imprudente É por isso que eu só uso carteira de hardware, realmente cansa A revisão de código realmente não pode ser economizada, novatos, tenham mais cuidado, pessoal Esses hackers estão muito competitivos, as técnicas são realmente variadas

Ver originalResponder0

FalseProfitProphet

· 2025-12-21 03:55

Mais uma vez, descobriram coisas ruins, o GitHub realmente se tornou um ninho de ladrões. Quem coloca a chave privada no .env deve refletir, isso não é um conhecimento básico? Esse rapaz modifica o código com habilidade, dá para ver que é de nível profissional. A carteira de hardware não seria uma boa opção? Por que brincar com fogo assim? Quem ganha dinheiro rápido com esse tipo de tática, mais cedo ou mais tarde, acaba na prisão. Os novatos realmente são fáceis de serem enganados, não é à toa que o meio é caótico.

Ver originalResponder0

Ver mais