🚨 Für alle, die Quant-Trading-Skripte oder KI-Trading-Bots nutzen: Prüft heute Abend zuerst dieses Python-Paket
Die bei der KI-Entwicklung häufig verwendete Python-Bibliothek LiteLLM hat erneut Probleme. Damit ist sie dieses Jahr bereits zum zweiten Mal Opfer eines Supply-Chain-Angriffs geworden.
🔹 Betroffen ist Version 1.107.0 auf PyPI. Der Schadcode versteckt sich im fertig kompilierten Installationspaket.
🔹 Er kann SSH-Schlüssel, Cloud-Zugangsdaten für AWS/Azure/GCP, im Browser gespeicherte Passwörter und Konfigurationen von KI-Tools stehlen.
🔹 Über eine versteckte Datei wird der Code bei jedem Start eines Python-Prozesses ausgeführt – selbst wenn du das Paket gar nicht importiert hast.
🔹 Betroffen sind macOS, Linux und Windows.
🔹 Sicherheitsteams wie JFrog, Socket und SafeDep haben bereits gewarnt. PyPI hat die Version inzwischen entfernt.
Die Bibliothek wird monatlich über 92 Millionen Mal heruntergeladen – der potenzielle Schaden ist also erheblich.
Warum sollte die Krypto-Community darauf achten? Viele Trading-Bots, Quant-Strategien und On-Chain-Monitoring-Skripte laufen in Python-Umgebungen. Auf demselben Rechner liegen oft auch API-Schlüssel von Börsen und Server-SSH-Schlüssel; im Browser sind außerdem diverse Passwörter gespeichert. Solche Angriffe stehlen deine „Schlüssel“ – du musst dafür auf keinen Phishing-Link klicken.
Die offizielle Empfehlung ist eindeutig: Auf die saubere Version 1.106.2 festlegen, alle Zugangsdaten austauschen und infizierte Dateien sorgfältig bereinigen.
Drei zusätzliche Gewohnheiten von mir:
1️⃣ API-Schlüssel für Börsen nur für den Handel freischalten, nicht für Auszahlungen, und eine IP-Whitelist einrichten.
2️⃣ Den Rechner für Skripte vom Rechner trennen, auf dem du deine Wallets aufbewahrst.
3️⃣ Abhängigkeiten auf bestimmte Versionen festlegen und nicht blind mit einem Klick auf die neueste Version aktualisieren.
Ganz ehrlich: Das größte Risiko in der Krypto-Welt liegt manchmal nicht im Chart, sondern darin, was auf deinem eigenen Computer installiert ist.
Prüfen deine Skripte regelmäßig ihre Abhängigkeiten? Oder hast du sie installiert und dich danach nie wieder darum gekümmert? Diskutiert in den Kommentaren 👇
#供应链攻击 #API安全 #量化交易 #KryptoSicherheit
Die bei der KI-Entwicklung häufig verwendete Python-Bibliothek LiteLLM hat erneut Probleme. Damit ist sie dieses Jahr bereits zum zweiten Mal Opfer eines Supply-Chain-Angriffs geworden.
🔹 Betroffen ist Version 1.107.0 auf PyPI. Der Schadcode versteckt sich im fertig kompilierten Installationspaket.
🔹 Er kann SSH-Schlüssel, Cloud-Zugangsdaten für AWS/Azure/GCP, im Browser gespeicherte Passwörter und Konfigurationen von KI-Tools stehlen.
🔹 Über eine versteckte Datei wird der Code bei jedem Start eines Python-Prozesses ausgeführt – selbst wenn du das Paket gar nicht importiert hast.
🔹 Betroffen sind macOS, Linux und Windows.
🔹 Sicherheitsteams wie JFrog, Socket und SafeDep haben bereits gewarnt. PyPI hat die Version inzwischen entfernt.
Die Bibliothek wird monatlich über 92 Millionen Mal heruntergeladen – der potenzielle Schaden ist also erheblich.
Warum sollte die Krypto-Community darauf achten? Viele Trading-Bots, Quant-Strategien und On-Chain-Monitoring-Skripte laufen in Python-Umgebungen. Auf demselben Rechner liegen oft auch API-Schlüssel von Börsen und Server-SSH-Schlüssel; im Browser sind außerdem diverse Passwörter gespeichert. Solche Angriffe stehlen deine „Schlüssel“ – du musst dafür auf keinen Phishing-Link klicken.
Die offizielle Empfehlung ist eindeutig: Auf die saubere Version 1.106.2 festlegen, alle Zugangsdaten austauschen und infizierte Dateien sorgfältig bereinigen.
Drei zusätzliche Gewohnheiten von mir:
1️⃣ API-Schlüssel für Börsen nur für den Handel freischalten, nicht für Auszahlungen, und eine IP-Whitelist einrichten.
2️⃣ Den Rechner für Skripte vom Rechner trennen, auf dem du deine Wallets aufbewahrst.
3️⃣ Abhängigkeiten auf bestimmte Versionen festlegen und nicht blind mit einem Klick auf die neueste Version aktualisieren.
Ganz ehrlich: Das größte Risiko in der Krypto-Welt liegt manchmal nicht im Chart, sondern darin, was auf deinem eigenen Computer installiert ist.
Prüfen deine Skripte regelmäßig ihre Abhängigkeiten? Oder hast du sie installiert und dich danach nie wieder darum gekümmert? Diskutiert in den Kommentaren 👇
#供应链攻击 #API安全 #量化交易 #KryptoSicherheit