🚨 Si ejecutas scripts de trading cuantitativo o bots de trading con IA, revisa este paquete de Python esta noche
LiteLLM, una biblioteca de Python muy utilizada en el desarrollo de IA, ha vuelto a tener problemas: este es ya su segundo ataque a la cadena de suministro este año.
🔹 La versión afectada es la 1.107.0 de PyPI; el código malicioso estaba oculto en el paquete de instalación compilado
🔹 Puede robar claves SSH, credenciales de servicios en la nube de AWS/Azure/GCP, contraseñas guardadas en el navegador y configuraciones de herramientas de IA
🔹 Se activa cada vez que se inicia un proceso de Python mediante un archivo oculto, incluso si no importas este paquete
🔹 Afecta a macOS, Linux y Windows
🔹 Equipos de seguridad como JFrog, Socket y SafeDep ya han emitido alertas, y PyPI ha retirado esta versión
Esta biblioteca supera los 92 millones de descargas mensuales, así que el alcance del problema no es menor.
¿Por qué debería importarle al mundo cripto? Muchos bots de trading, estrategias cuantitativas y scripts de monitorización on-chain funcionan en entornos de Python. A menudo, en ese mismo equipo también se guardan claves API de exchanges, claves de acceso a servidores y todo tipo de contraseñas en el navegador. Este tipo de ataque roba «llaves»; no hace falta que hagas clic en ningún enlace de phishing.
La recomendación oficial es clara: fijar la versión en la 1.106.2, que no está comprometida; rotar todas las credenciales y limpiar con cuidado los archivos infectados.
Añadiría tres hábitos personales:
1️⃣ Dar a las claves API de los exchanges solo permisos de trading, nunca de retiro, y restringirlas mediante una lista blanca de IP
2️⃣ Mantener separados el equipo donde ejecutas scripts y el que usas para guardar tus wallets
3️⃣ Fijar las versiones de los paquetes de dependencias; no actualizar a ciegas a la última versión con un solo clic
La verdad es que, a veces, el mayor riesgo del mundo cripto no está en el gráfico de velas, sino en lo que tienes instalado en tu propio ordenador.
¿Compruebas periódicamente las dependencias de los scripts que ejecutas o las instalas y luego te olvidas de ellas? Cuéntamelo en los comentarios 👇
#供应链攻击 #API安全 #量化交易 #SeguridadCripto
LiteLLM, una biblioteca de Python muy utilizada en el desarrollo de IA, ha vuelto a tener problemas: este es ya su segundo ataque a la cadena de suministro este año.
🔹 La versión afectada es la 1.107.0 de PyPI; el código malicioso estaba oculto en el paquete de instalación compilado
🔹 Puede robar claves SSH, credenciales de servicios en la nube de AWS/Azure/GCP, contraseñas guardadas en el navegador y configuraciones de herramientas de IA
🔹 Se activa cada vez que se inicia un proceso de Python mediante un archivo oculto, incluso si no importas este paquete
🔹 Afecta a macOS, Linux y Windows
🔹 Equipos de seguridad como JFrog, Socket y SafeDep ya han emitido alertas, y PyPI ha retirado esta versión
Esta biblioteca supera los 92 millones de descargas mensuales, así que el alcance del problema no es menor.
¿Por qué debería importarle al mundo cripto? Muchos bots de trading, estrategias cuantitativas y scripts de monitorización on-chain funcionan en entornos de Python. A menudo, en ese mismo equipo también se guardan claves API de exchanges, claves de acceso a servidores y todo tipo de contraseñas en el navegador. Este tipo de ataque roba «llaves»; no hace falta que hagas clic en ningún enlace de phishing.
La recomendación oficial es clara: fijar la versión en la 1.106.2, que no está comprometida; rotar todas las credenciales y limpiar con cuidado los archivos infectados.
Añadiría tres hábitos personales:
1️⃣ Dar a las claves API de los exchanges solo permisos de trading, nunca de retiro, y restringirlas mediante una lista blanca de IP
2️⃣ Mantener separados el equipo donde ejecutas scripts y el que usas para guardar tus wallets
3️⃣ Fijar las versiones de los paquetes de dependencias; no actualizar a ciegas a la última versión con un solo clic
La verdad es que, a veces, el mayor riesgo del mundo cripto no está en el gráfico de velas, sino en lo que tienes instalado en tu propio ordenador.
¿Compruebas periódicamente las dependencias de los scripts que ejecutas o las instalas y luego te olvidas de ellas? Cuéntamelo en los comentarios 👇
#供应链攻击 #API安全 #量化交易 #SeguridadCripto