🚨 跑量化脚本、AI交易机器人的朋友，今晚先查一下这个Python包

AI开发常用的Python库 LiteLLM 又出事了，这已经是它今年第二次遭遇供应链攻击。

🔹 出问题的是 PyPI 上的 1.107.0 版本，恶意代码藏在编译好的安装包里
🔹 会偷 SSH 密钥、AWS/Azure/GCP 云凭证、浏览器保存的密码，还有AI工具的配置
🔹 通过隐藏文件在每次启动Python进程时触发，哪怕你没 import 这个包也一样
🔹 macOS、Linux、Windows 都受影响
🔹 JFrog、Socket、SafeDep 等安全团队已经预警，PyPI 已下架该版本

这个库月下载量超过9200万，波及面不小。

为什么币圈要在意？很多人的交易机器人、量化策略、链上监控脚本都跑在Python环境里，同一台机器上往往还放着交易所API Key、服务器登录密钥，浏览器里也存着各种密码。这类攻击偷的是"钥匙"，不需要你点任何钓鱼链接。

官方建议很明确：版本锁定在干净的 1.106.2，轮换所有凭证，仔细清理被感染的文件。

我自己的习惯补充三条：
1️⃣ 交易所API Key 只开交易权限，不开提现，并绑定IP白名单
2️⃣ 跑脚本的机器和存钱包的机器分开
3️⃣ 依赖包锁版本，别一键无脑升级到最新

说实话，币圈最大的风险有时候不在K线，而在你自己电脑里装了什么。

你跑的脚本会定期检查依赖包吗？还是装完就再没管过？评论区聊聊👇

#供应链攻击 #API安全 #量化交易 #加密安全