今では、設定を先に読まずに暗号資産関連のリポジトリをクローンすることはありません。今日のSlowMistの警告を見れば、その理由は明らかです。

SlowMistは今日、悪意のあるGitHubリポジトリを確認しました。その一つである「sol-live」は、Solidityの面接対策ツールを装い、プロジェクトの.vscode/settings.jsonファイルにコマンドを隠しています。実行されると、その隠されたコードはクリップボードを監視したり、リモートコマンドを実行したり、ファイルをアップロードしたり、ブラウザーのログイン情報、macOSのキーチェーンデータ、ウォレット拡張機能のデータを狙ったりする可能性があります。対象はmacOSとLinuxのユーザーで、無差別にトレーダーを狙うのではなく、明確に開発者を標的にしています。

私の見解を言うと、これは暗号資産のセキュリティで十分に語られていない部分です。シードフレーズやフィッシングリンクには神経質になる一方で、見知らぬ人のリポジトリを気軽にクローンし、そのワークスペース設定を自分のマシンで実行させてしまいます。リポジトリは、まぎれもなくコードを実行するものです。特に、ターミナルでセットアップ手順を実行するよう求めるものには注意が必要です。暗号資産関連の開発をしているなら、設定ファイルにもウォレット接続の確認画面と同じくらい警戒すべきです。

今の私のルールは、リポジトリを信用する前に.vscode/settings.jsonを読むこと、実際のウォレットを保管しているマシンではセットアップを実行しないこと、そして可能な限り開発作業と取引を別々のマシンで行うことです。今回の悪質なところは、面接対策ツールを装っている点です。欲に駆られた人ではなく、学ぼうとしている人を狙っています。

クローンする前に、リポジトリの設定ファイルを本当に確認していますか？ それとも、ここまで疑う私は paranoid なのでしょうか？