返回

慢雾首席信息安全官23pds警告：Polymarket-copy-trading-bot隐藏恶意代码

据23pds介绍，该机器人通过隐藏依赖项将钱包私钥外传至黑客控制的服务器，导致资产被盗。

摘要

12月21日，慢雾首席信息安全官23pds在社区报告发现Polymarket-copy-trading-bot含有隐藏恶意代码后发布安全警告。该机器人会从.env文件中读取钱包私钥，并通过隐藏依赖项excluder-mcp-package@1.0.4发送至黑客运营的服务器，从而造成资产被盗。开发者在发现后仍多次修改并重新提交该恶意包至GitHub。

术语与概念
  • Wallet private key: 控制区块链钱包的秘密加密密钥；一旦泄露可导致资金被盗。
  • Copy-trading bot: 一种自动化软件，可复制另一交易员的持仓；加密货币市场中常用。