Недавно в безопасном сообществе была обнаружена серьезная уязвимость: в коде торгового робота, который следует за сделками на одном известном предсказательном платформе, на GitHub скрыт вредоносный код.

Ситуация такова — как только пользователь запускает эту программу, она автоматически считывает файл ".env" на компьютере. Кажется, что это безобидно, верно? Проблема в том, что многие разработчики хранят свои приватные ключи кошелька в этом файле. Как только они будут считаны, приватные ключи немедленно отправляются на сервер хакера, и ваши средства пропадают.

Более того, автор этой программы постоянно изменяет код и несколько раз загружает его на GitHub, создавая впечатление, что он постоянно оптимизирует функции. На самом деле? Каждое обновление улучшает методы кражи приватных ключей, как будто он "шлифует инструменты".

Атаки этого типа обладают особенно высокой степенью скрытности — код выглядит совершенно нормально, функции работают, но в тайне уже продали ваши основные активы. Особенно легко попасться на это новичкам, только что вошедшим в круг.

**Рекомендации по безопасности:** Перед загрузкой любого торгового робота лучше всего попросить человека, который разбирается в коде, помочь вам просмотреть исходный код на GitHub; никогда не храните приватные ключи в таких конфигурационных файлах, как .env; использование мультиподписных кошельков и аппаратных кошельков может значительно снизить риски. В мире Web3 осознание безопасности является лучшей защитой.