Ya no clono un repositorio de criptomonedas sin leer antes su configuración, y la advertencia de SlowMist de hoy explica exactamente por qué.
SlowMist señaló hoy repositorios maliciosos en GitHub —uno llamado sol-live, disfrazado de herramienta para practicar entrevistas de Solidity— que ocultan comandos en el archivo .vscode/settings.json del proyecto. Al activarse, ese código oculto puede vigilar el portapapeles, ejecutar comandos remotos, subir archivos y buscar credenciales de inicio de sesión del navegador, datos del Llavero de macOS y datos de extensiones de monederos. Apunta a usuarios de macOS y Linux, y está dirigido claramente a desarrolladores, no a operadores cualquiera.
Esta es mi opinión: esta es la parte de la seguridad cripto de la que nadie habla lo suficiente. Nos obsesionamos con las frases semilla y los enlaces de phishing, y luego clonamos tranquilamente el repositorio de un desconocido y dejamos que su configuración del espacio de trabajo se ejecute en nuestra máquina. Un repositorio implica ejecución de código, sin más; sobre todo si te pide que ejecutes un paso de configuración en la terminal. Si desarrollas en el sector cripto, ese archivo de configuración merece tanta desconfianza como una solicitud para conectar un monedero.
Mi regla ahora es leer .vscode/settings.json antes de confiar en un repositorio, nunca ejecutar su configuración en una máquina que tenga monederos con fondos reales y, siempre que pueda, mantener el trabajo de desarrollo y las operaciones de trading en máquinas separadas. Lo que hace que este caso sea especialmente desagradable es el disfraz de herramienta para practicar entrevistas: apunta a quienes intentan aprender, no a quienes actúan por codicia.
¿De verdad revisas los archivos de configuración de un repositorio antes de clonarlo, o soy yo quien se está poniendo paranoico?
SlowMist señaló hoy repositorios maliciosos en GitHub —uno llamado sol-live, disfrazado de herramienta para practicar entrevistas de Solidity— que ocultan comandos en el archivo .vscode/settings.json del proyecto. Al activarse, ese código oculto puede vigilar el portapapeles, ejecutar comandos remotos, subir archivos y buscar credenciales de inicio de sesión del navegador, datos del Llavero de macOS y datos de extensiones de monederos. Apunta a usuarios de macOS y Linux, y está dirigido claramente a desarrolladores, no a operadores cualquiera.
Esta es mi opinión: esta es la parte de la seguridad cripto de la que nadie habla lo suficiente. Nos obsesionamos con las frases semilla y los enlaces de phishing, y luego clonamos tranquilamente el repositorio de un desconocido y dejamos que su configuración del espacio de trabajo se ejecute en nuestra máquina. Un repositorio implica ejecución de código, sin más; sobre todo si te pide que ejecutes un paso de configuración en la terminal. Si desarrollas en el sector cripto, ese archivo de configuración merece tanta desconfianza como una solicitud para conectar un monedero.
Mi regla ahora es leer .vscode/settings.json antes de confiar en un repositorio, nunca ejecutar su configuración en una máquina que tenga monederos con fondos reales y, siempre que pueda, mantener el trabajo de desarrollo y las operaciones de trading en máquinas separadas. Lo que hace que este caso sea especialmente desagradable es el disfraz de herramienta para practicar entrevistas: apunta a quienes intentan aprender, no a quienes actúan por codicia.
¿De verdad revisas los archivos de configuración de un repositorio antes de clonarlo, o soy yo quien se está poniendo paranoico?