🚨 يا من تشغّلون سكربتات التداول الكمي وروبوتات التداول بالذكاء الاصطناعي، تحقّقوا من هذه الحزمة في Python الليلة
حدثت مشكلة جديدة في LiteLLM، مكتبة Python الشائعة لتطوير تطبيقات الذكاء الاصطناعي، وهذه ثاني مرة تتعرض فيها لهجوم على سلسلة التوريد هذا العام.
🔹 المشكلة في الإصدار 1.107.0 على PyPI، إذ اختُبئت الشيفرة الخبيثة داخل حزمة التثبيت المُجمّعة
🔹 تسرق مفاتيح SSH وبيانات اعتماد السحابة لدى AWS/Azure/GCP وكلمات المرور المحفوظة في المتصفح، فضلًا عن إعدادات أدوات الذكاء الاصطناعي
🔹 تُفعَّل عبر ملف مخفي عند كل بدء لعملية Python، حتى لو لم تستوردوا هذه الحزمة
🔹 الأنظمة المتأثرة: macOS وLinux وWindows
🔹 أصدرت فرق الأمن، مثل JFrog وSocket وSafeDep، تحذيرات، وأزالت PyPI هذا الإصدار
يتجاوز عدد التنزيلات الشهرية لهذه المكتبة 92 مليونًا، لذا فإن نطاق التأثير واسع.
لماذا ينبغي لمجتمع العملات الرقمية أن يهتم؟ تعمل روبوتات التداول واستراتيجيات التداول الكمي وسكربتات مراقبة البلوك تشين لدى كثيرين ضمن بيئة Python. وغالبًا ما تُخزَّن على الجهاز نفسه مفاتيح API لمنصات التداول ومفاتيح تسجيل الدخول إلى الخوادم، إلى جانب كلمات مرور متنوعة في المتصفح. هذا النوع من الهجمات يسرق «المفاتيح»، ولا يحتاج إلى أن تنقروا على أي رابط تصيّد.
توصية المطوّرين واضحة: ثبّتوا الإصدار الآمن 1.106.2، وبدّلوا جميع بيانات الاعتماد، ونظّفوا الملفات المصابة بعناية.
وأضيف ثلاث نصائح من عادتي الشخصية:
1️⃣ امنحوا مفاتيح API لمنصات التداول صلاحية التداول فقط، من دون صلاحية السحب، واربطوها بقائمة عناوين IP مسموح بها
2️⃣ افصلوا الجهاز الذي يشغّل السكربتات عن الجهاز الذي تحفظون عليه المحافظ
3️⃣ ثبّتوا إصدارات الحزم التي تعتمدون عليها، ولا تحدّثوها عشوائيًا إلى أحدث إصدار بضغطة زر
بصراحة، أحيانًا لا يكمن أكبر خطر في سوق العملات الرقمية في الرسم البياني، بل فيما تثبّتونه على حواسيبكم.
هل تتحققون بانتظام من الحزم التي تعتمد عليها سكربتاتكم؟ أم تثبّتونها ثم لا تعودون للاهتمام بها؟ شاركونا في التعليقات👇
#供应链攻击 #API安全 #量化交易 #أمن_التشفير
حدثت مشكلة جديدة في LiteLLM، مكتبة Python الشائعة لتطوير تطبيقات الذكاء الاصطناعي، وهذه ثاني مرة تتعرض فيها لهجوم على سلسلة التوريد هذا العام.
🔹 المشكلة في الإصدار 1.107.0 على PyPI، إذ اختُبئت الشيفرة الخبيثة داخل حزمة التثبيت المُجمّعة
🔹 تسرق مفاتيح SSH وبيانات اعتماد السحابة لدى AWS/Azure/GCP وكلمات المرور المحفوظة في المتصفح، فضلًا عن إعدادات أدوات الذكاء الاصطناعي
🔹 تُفعَّل عبر ملف مخفي عند كل بدء لعملية Python، حتى لو لم تستوردوا هذه الحزمة
🔹 الأنظمة المتأثرة: macOS وLinux وWindows
🔹 أصدرت فرق الأمن، مثل JFrog وSocket وSafeDep، تحذيرات، وأزالت PyPI هذا الإصدار
يتجاوز عدد التنزيلات الشهرية لهذه المكتبة 92 مليونًا، لذا فإن نطاق التأثير واسع.
لماذا ينبغي لمجتمع العملات الرقمية أن يهتم؟ تعمل روبوتات التداول واستراتيجيات التداول الكمي وسكربتات مراقبة البلوك تشين لدى كثيرين ضمن بيئة Python. وغالبًا ما تُخزَّن على الجهاز نفسه مفاتيح API لمنصات التداول ومفاتيح تسجيل الدخول إلى الخوادم، إلى جانب كلمات مرور متنوعة في المتصفح. هذا النوع من الهجمات يسرق «المفاتيح»، ولا يحتاج إلى أن تنقروا على أي رابط تصيّد.
توصية المطوّرين واضحة: ثبّتوا الإصدار الآمن 1.106.2، وبدّلوا جميع بيانات الاعتماد، ونظّفوا الملفات المصابة بعناية.
وأضيف ثلاث نصائح من عادتي الشخصية:
1️⃣ امنحوا مفاتيح API لمنصات التداول صلاحية التداول فقط، من دون صلاحية السحب، واربطوها بقائمة عناوين IP مسموح بها
2️⃣ افصلوا الجهاز الذي يشغّل السكربتات عن الجهاز الذي تحفظون عليه المحافظ
3️⃣ ثبّتوا إصدارات الحزم التي تعتمدون عليها، ولا تحدّثوها عشوائيًا إلى أحدث إصدار بضغطة زر
بصراحة، أحيانًا لا يكمن أكبر خطر في سوق العملات الرقمية في الرسم البياني، بل فيما تثبّتونه على حواسيبكم.
هل تتحققون بانتظام من الحزم التي تعتمد عليها سكربتاتكم؟ أم تثبّتونها ثم لا تعودون للاهتمام بها؟ شاركونا في التعليقات👇
#供应链攻击 #API安全 #量化交易 #أمن_التشفير