Нещодавно в безпечному середовищі було виявлено серйозну уразливість: у коді торгового робота для копіювання на відомій платформі прогнозування, що знаходиться на GitHub, прихований шкідливий код.

情况是这样的——用户一旦运行这个程序,它就会自动读取电脑里的".env"文件。 Схоже, 来 дуже 无害对, чи не так? 问题在于,很多开发者都把钱包私钥存在这个文件里。 Як тільки він буде прийнятий судом, 私钥立马 буде відправлено на службу хакеру, а ваше золото буде втрачено.

Ще більш болісно, що автор програми постійно змінює код і багаторазово завантажує його на GitHub, виглядаючи так, наче він постійно оптимізує функції. Насправді ж? Кожне оновлення покращує методи крадіжки приватних ключів, як "шліфування інструменту".

Цей тип атаки має особливу прихованість — код виглядає цілком нормальним, функціональність також працює, але таємно вже продав ваші основні активи. Особливо для новачків, які тільки починають, дуже легко потрапити в пастку.

**Рекомендації щодо захисту:** Перед завантаженням будь-якого торгового робота краще знайти людину, яка розуміється на коді, щоб вона перевірила вихідний код на GitHub; ніколи не зберігайте приватні ключі в конфігураційних файлах типу .env; використання мультипідписних гаманців та апаратних гаманців може значно знизити ризики. У світі Web3 обізнаність про безпеку є найкращим брандмауером.