🚨 Teman-teman yang menjalankan skrip trading kuantitatif dan bot trading AI, malam ini coba periksa paket Python ini
LiteLLM, salah satu pustaka Python yang umum digunakan dalam pengembangan AI, kembali bermasalah. Ini sudah kedua kalinya tahun ini paket tersebut mengalami serangan rantai pasokan.
🔹 Versi yang bermasalah adalah 1.107.0 di PyPI. Kode berbahaya disembunyikan dalam paket instalasi yang sudah dikompilasi
🔹 Bisa mencuri kunci SSH, kredensial cloud AWS/Azure/GCP, kata sandi yang tersimpan di browser, serta konfigurasi alat AI
🔹 Dipicu setiap kali proses Python dimulai melalui file tersembunyi—bahkan jika kamu tidak mengimpor paket ini
🔹 macOS, Linux, dan Windows semuanya terdampak
🔹 Tim keamanan seperti JFrog, Socket, dan SafeDep telah mengeluarkan peringatan. PyPI sudah menghapus versi tersebut
Pustaka ini diunduh lebih dari 92 juta kali per bulan, jadi dampaknya cukup luas.
Mengapa dunia kripto perlu peduli? Bot trading, strategi kuantitatif, dan skrip pemantauan on-chain milik banyak orang berjalan di lingkungan Python. Sering kali, kunci API bursa dan kunci untuk masuk ke server juga tersimpan di mesin yang sama, sementara beragam kata sandi tersimpan di browser. Serangan semacam ini mencuri “kunci”—kamu tidak perlu mengeklik tautan phishing apa pun.
Rekomendasi resminya jelas: kunci versi ke 1.106.2 yang aman, ganti semua kredensial, dan bersihkan file yang terinfeksi dengan saksama.
Tambahan tiga kebiasaan dari saya:
1️⃣ Kunci API bursa cukup diberi izin trading, jangan izinkan penarikan, dan ikat ke daftar putih IP
2️⃣ Pisahkan mesin untuk menjalankan skrip dari mesin untuk menyimpan dompet
3️⃣ Kunci versi paket dependensi; jangan asal memperbarui semuanya ke versi terbaru dengan sekali klik
Sejujurnya, risiko terbesar di dunia kripto terkadang bukan ada di grafik harga, melainkan pada apa yang terpasang di komputer kita sendiri.
Apakah skrip yang kamu jalankan rutin memeriksa paket dependensinya? Atau setelah dipasang, tidak pernah diperiksa lagi? Yuk, ngobrol di kolom komentar 👇
#供应链攻击 #API安全 #量化交易 #KeamananKripto
LiteLLM, salah satu pustaka Python yang umum digunakan dalam pengembangan AI, kembali bermasalah. Ini sudah kedua kalinya tahun ini paket tersebut mengalami serangan rantai pasokan.
🔹 Versi yang bermasalah adalah 1.107.0 di PyPI. Kode berbahaya disembunyikan dalam paket instalasi yang sudah dikompilasi
🔹 Bisa mencuri kunci SSH, kredensial cloud AWS/Azure/GCP, kata sandi yang tersimpan di browser, serta konfigurasi alat AI
🔹 Dipicu setiap kali proses Python dimulai melalui file tersembunyi—bahkan jika kamu tidak mengimpor paket ini
🔹 macOS, Linux, dan Windows semuanya terdampak
🔹 Tim keamanan seperti JFrog, Socket, dan SafeDep telah mengeluarkan peringatan. PyPI sudah menghapus versi tersebut
Pustaka ini diunduh lebih dari 92 juta kali per bulan, jadi dampaknya cukup luas.
Mengapa dunia kripto perlu peduli? Bot trading, strategi kuantitatif, dan skrip pemantauan on-chain milik banyak orang berjalan di lingkungan Python. Sering kali, kunci API bursa dan kunci untuk masuk ke server juga tersimpan di mesin yang sama, sementara beragam kata sandi tersimpan di browser. Serangan semacam ini mencuri “kunci”—kamu tidak perlu mengeklik tautan phishing apa pun.
Rekomendasi resminya jelas: kunci versi ke 1.106.2 yang aman, ganti semua kredensial, dan bersihkan file yang terinfeksi dengan saksama.
Tambahan tiga kebiasaan dari saya:
1️⃣ Kunci API bursa cukup diberi izin trading, jangan izinkan penarikan, dan ikat ke daftar putih IP
2️⃣ Pisahkan mesin untuk menjalankan skrip dari mesin untuk menyimpan dompet
3️⃣ Kunci versi paket dependensi; jangan asal memperbarui semuanya ke versi terbaru dengan sekali klik
Sejujurnya, risiko terbesar di dunia kripto terkadang bukan ada di grafik harga, melainkan pada apa yang terpasang di komputer kita sendiri.
Apakah skrip yang kamu jalankan rutin memeriksa paket dependensinya? Atau setelah dipasang, tidak pernah diperiksa lagi? Yuk, ngobrol di kolom komentar 👇
#供应链攻击 #API安全 #量化交易 #KeamananKripto