لم أعد أستنسخ مستودعًا للعملات المشفرة من دون قراءة إعداداته أولًا، وتحذير SlowMist اليوم يوضح السبب تمامًا.
رصدت SlowMist اليوم مستودعات خبيثة على GitHub — أحدها يُدعى sol-live، ويتخفّى في هيئة أداة للتدرّب على مقابلات Solidity — تُخفي أوامر في ملف .vscode/settings.json الخاص بالمشروع. وما إن تُفعَّل، حتى تتمكن تلك الشيفرة المخفية من مراقبة الحافظة، وتشغيل أوامر عن بُعد، ورفع الملفات، واستهداف بيانات تسجيل الدخول إلى المتصفح وبيانات سلسلة مفاتيح macOS وبيانات إضافات المحافظ. تستهدف هذه البرمجية مستخدمي macOS وLinux، وتركّز مباشرة على المطورين، لا على المتداولين العشوائيين.
إليك وجهة نظري: هذا جانب من أمن العملات المشفرة لا يحظى بما يكفي من الحديث. ننشغل بعبارات الاسترداد وروابط التصيّد، ثم نستنسخ بكل أريحية مستودعًا لشخص غريب ونسمح لإعدادات مساحة العمل فيه بالعمل على أجهزتنا. استنساخ مستودع يعني تنفيذ شيفرة، بلا شك — وخصوصًا إذا طُلب منك تشغيل خطوة إعداد في الطرفية. إذا كنت تطوّر في مجال العملات المشفرة، فعليك أن تتوجس من ملف الإعدادات هذا بقدر توجسك من طلب ربط المحفظة.
قاعدتي الآن: أقرأ .vscode/settings.json قبل أن أثق بأي مستودع، ولا أشغّل إعداداته على جهاز يحتوي على محافظ حقيقية، وأفصل بين أجهزة التطوير والتداول متى استطعت. وما يجعل هذه الحيلة خبيثة هو تنكّرها في هيئة تدريب على المقابلات — فهي تستهدف من يحاولون التعلّم، لا من يسعون إلى الثراء.
هل تتحقق فعلًا من ملفات إعدادات المستودع قبل استنساخه، أم أنني المفرط في الارتياب هنا؟
رصدت SlowMist اليوم مستودعات خبيثة على GitHub — أحدها يُدعى sol-live، ويتخفّى في هيئة أداة للتدرّب على مقابلات Solidity — تُخفي أوامر في ملف .vscode/settings.json الخاص بالمشروع. وما إن تُفعَّل، حتى تتمكن تلك الشيفرة المخفية من مراقبة الحافظة، وتشغيل أوامر عن بُعد، ورفع الملفات، واستهداف بيانات تسجيل الدخول إلى المتصفح وبيانات سلسلة مفاتيح macOS وبيانات إضافات المحافظ. تستهدف هذه البرمجية مستخدمي macOS وLinux، وتركّز مباشرة على المطورين، لا على المتداولين العشوائيين.
إليك وجهة نظري: هذا جانب من أمن العملات المشفرة لا يحظى بما يكفي من الحديث. ننشغل بعبارات الاسترداد وروابط التصيّد، ثم نستنسخ بكل أريحية مستودعًا لشخص غريب ونسمح لإعدادات مساحة العمل فيه بالعمل على أجهزتنا. استنساخ مستودع يعني تنفيذ شيفرة، بلا شك — وخصوصًا إذا طُلب منك تشغيل خطوة إعداد في الطرفية. إذا كنت تطوّر في مجال العملات المشفرة، فعليك أن تتوجس من ملف الإعدادات هذا بقدر توجسك من طلب ربط المحفظة.
قاعدتي الآن: أقرأ .vscode/settings.json قبل أن أثق بأي مستودع، ولا أشغّل إعداداته على جهاز يحتوي على محافظ حقيقية، وأفصل بين أجهزة التطوير والتداول متى استطعت. وما يجعل هذه الحيلة خبيثة هو تنكّرها في هيئة تدريب على المقابلات — فهي تستهدف من يحاولون التعلّم، لا من يسعون إلى الثراء.
هل تتحقق فعلًا من ملفات إعدادات المستودع قبل استنساخه، أم أنني المفرط في الارتياب هنا؟