Ich klone kein Krypto-Repo mehr, ohne vorher seine Konfiguration zu lesen – und genau deshalb ist die heutige Warnung von SlowMist so wichtig.
SlowMist hat heute vor bösartigen GitHub-Repos gewarnt – darunter eines namens sol-live, das sich als Tool zum Üben von Solidity-Bewerbungsgesprächen tarnt. Diese Repos verstecken Befehle in der Datei .vscode/settings.json des Projekts. Sobald sie ausgelöst werden, kann der versteckte Code deine Zwischenablage überwachen, Remote-Befehle ausführen, Dateien hochladen und es auf Browser-Logins, Daten aus dem macOS-Schlüsselbund sowie Daten von Wallet-Erweiterungen absehen. Das Ganze zielt auf Nutzer von macOS und Linux ab – und ganz klar auf Entwickler, nicht auf irgendwelche Trader.
Meine Einschätzung: Das ist der Aspekt der Krypto-Sicherheit, über den viel zu wenig gesprochen wird. Wir machen uns ständig Gedanken über Seed-Phrasen und Phishing-Links und klonen dann ganz selbstverständlich das Repo eines Fremden, dessen Workspace-Einstellungen wir auf unserem Rechner ausführen lassen. Ein Repo auszuführen bedeutet, Code auszuführen – Punkt. Besonders dann, wenn du aufgefordert wirst, einen Setup-Schritt im Terminal auszuführen. Wenn du im Kryptobereich entwickelst, verdient diese Einstellungsdatei genauso viel Misstrauen wie eine Aufforderung, eine Wallet zu verbinden.
Meine Regel lautet jetzt: Ich lese .vscode/settings.json, bevor ich einem Repo vertraue, führe dessen Setup niemals auf einem Rechner mit echten Wallets aus und trenne, wenn möglich, Entwicklungsarbeit und Trading auf verschiedenen Rechnern. Die Tarnung als Tool zum Üben von Bewerbungsgesprächen macht das Ganze besonders perfide – es zielt auf Leute ab, die etwas lernen wollen, nicht auf Leute, die gierig sind.
Prüfst du vor dem Klonen wirklich die Konfigurationsdateien eines Repos, oder bin ich hier einfach paranoid?
SlowMist hat heute vor bösartigen GitHub-Repos gewarnt – darunter eines namens sol-live, das sich als Tool zum Üben von Solidity-Bewerbungsgesprächen tarnt. Diese Repos verstecken Befehle in der Datei .vscode/settings.json des Projekts. Sobald sie ausgelöst werden, kann der versteckte Code deine Zwischenablage überwachen, Remote-Befehle ausführen, Dateien hochladen und es auf Browser-Logins, Daten aus dem macOS-Schlüsselbund sowie Daten von Wallet-Erweiterungen absehen. Das Ganze zielt auf Nutzer von macOS und Linux ab – und ganz klar auf Entwickler, nicht auf irgendwelche Trader.
Meine Einschätzung: Das ist der Aspekt der Krypto-Sicherheit, über den viel zu wenig gesprochen wird. Wir machen uns ständig Gedanken über Seed-Phrasen und Phishing-Links und klonen dann ganz selbstverständlich das Repo eines Fremden, dessen Workspace-Einstellungen wir auf unserem Rechner ausführen lassen. Ein Repo auszuführen bedeutet, Code auszuführen – Punkt. Besonders dann, wenn du aufgefordert wirst, einen Setup-Schritt im Terminal auszuführen. Wenn du im Kryptobereich entwickelst, verdient diese Einstellungsdatei genauso viel Misstrauen wie eine Aufforderung, eine Wallet zu verbinden.
Meine Regel lautet jetzt: Ich lese .vscode/settings.json, bevor ich einem Repo vertraue, führe dessen Setup niemals auf einem Rechner mit echten Wallets aus und trenne, wenn möglich, Entwicklungsarbeit und Trading auf verschiedenen Rechnern. Die Tarnung als Tool zum Üben von Bewerbungsgesprächen macht das Ganze besonders perfide – es zielt auf Leute ab, die etwas lernen wollen, nicht auf Leute, die gierig sind.
Prüfst du vor dem Klonen wirklich die Konfigurationsdateien eines Repos, oder bin ich hier einfach paranoid?