🚨 Si vous faites tourner des scripts de trading quantitatif ou des bots de trading IA, vérifiez ce paquet Python dès ce soir

LiteLLM, une bibliothèque Python couramment utilisée dans le développement IA, est à nouveau touchée. C’est la deuxième attaque de la chaîne d’approvisionnement dont elle est victime cette année.

🔹 La version concernée est la 1.107.0 sur PyPI ; le code malveillant est dissimulé dans le paquet d’installation compilé
🔹 Il peut dérober des clés SSH, des identifiants cloud AWS/Azure/GCP, des mots de passe enregistrés dans le navigateur ainsi que la configuration d’outils IA
🔹 Il se déclenche à chaque démarrage d’un processus Python via un fichier caché, même si vous n’avez pas importé ce paquet
🔹 macOS, Linux et Windows sont concernés
🔹 Des équipes de sécurité comme JFrog, Socket et SafeDep ont déjà donné l’alerte ; PyPI a retiré cette version

Cette bibliothèque totalise plus de 92 millions de téléchargements par mois : l’impact est considérable.

Pourquoi le monde de la crypto devrait-il s’en préoccuper ? Les bots de trading, les stratégies quantitatives et les scripts de surveillance on-chain de nombreuses personnes tournent dans un environnement Python. La même machine contient souvent aussi des clés API de plateformes d’échange, des clés d’accès aux serveurs, et toutes sortes de mots de passe enregistrés dans le navigateur. Ce type d’attaque vole les « clés » : vous n’avez même pas besoin de cliquer sur un lien de phishing.

La recommandation officielle est sans équivoque : verrouillez la version sur la 1.106.2, qui est saine, renouvelez tous vos identifiants et nettoyez soigneusement les fichiers infectés.

J’ajouterais trois habitudes personnelles :
1️⃣ N’accordez à vos clés API de plateforme d’échange que les droits de trading, jamais de retrait, et associez-les à une liste blanche d’adresses IP
2️⃣ Utilisez des machines distinctes pour exécuter vos scripts et stocker vos portefeuilles
3️⃣ Verrouillez les versions des dépendances ; ne faites pas aveuglément une mise à jour vers la dernière version en un clic

Pour être honnête, le plus grand risque dans la crypto ne vient parfois pas des courbes de prix, mais de ce que vous avez installé sur votre propre ordinateur.

Vérifiez-vous régulièrement les dépendances de vos scripts, ou les avez-vous installées sans jamais vous en soucier depuis ? Parlons-en dans les commentaires 👇

#供应链攻击 #API安全 #量化交易 #SécuritéCrypto