🚨 Se você roda scripts de trading quantitativo ou bots de negociação com IA, confira este pacote Python ainda hoje à noite
O LiteLLM, uma biblioteca Python muito usada no desenvolvimento de IA, voltou a ser alvo de um ataque à cadeia de suprimentos. Esta já é a segunda vez que isso acontece neste ano.
🔹 A versão afetada é a 1.107.0, disponível no PyPI; o código malicioso estava escondido no pacote de instalação compilado
🔹 Ele pode roubar chaves SSH, credenciais de serviços de nuvem da AWS/Azure/GCP, senhas salvas no navegador e configurações de ferramentas de IA
🔹 O ataque é acionado por arquivos ocultos sempre que um processo Python é iniciado — mesmo que você não tenha importado esse pacote
🔹 macOS, Linux e Windows foram afetados
🔹 Equipes de segurança como JFrog, Socket e SafeDep já emitiram alertas, e o PyPI removeu essa versão
Essa biblioteca tem mais de 92 milhões de downloads por mês, então o impacto é considerável.
Por que o pessoal do mundo cripto deveria se importar? Muitos bots de negociação, estratégias quantitativas e scripts de monitoramento on-chain rodam em ambientes Python. Muitas vezes, a mesma máquina também guarda chaves de API de exchanges, chaves de acesso a servidores e várias senhas salvas no navegador. Esse tipo de ataque rouba as “chaves”; não é preciso clicar em nenhum link de phishing.
A recomendação oficial é clara: fixe a versão na 1.106.2, que é segura, troque todas as credenciais e limpe cuidadosamente os arquivos infectados.
Acrescento três hábitos meus:
1️⃣ Nas chaves de API das exchanges, habilite apenas permissões de negociação, nunca de saque, e configure uma lista de permissões de IP
2️⃣ Use máquinas separadas para rodar scripts e armazenar carteiras
3️⃣ Fixe as versões dos pacotes de dependências; não atualize às cegas para a versão mais recente com um clique
Sinceramente, às vezes o maior risco no mundo cripto não está no gráfico de candles, mas no que você instalou no seu próprio computador.
Você verifica regularmente as dependências dos scripts que executa? Ou instala e nunca mais se preocupa com isso? Vamos conversar nos comentários 👇
#供应链攻击 #API安全 #量化交易 #SegurançaCripto
O LiteLLM, uma biblioteca Python muito usada no desenvolvimento de IA, voltou a ser alvo de um ataque à cadeia de suprimentos. Esta já é a segunda vez que isso acontece neste ano.
🔹 A versão afetada é a 1.107.0, disponível no PyPI; o código malicioso estava escondido no pacote de instalação compilado
🔹 Ele pode roubar chaves SSH, credenciais de serviços de nuvem da AWS/Azure/GCP, senhas salvas no navegador e configurações de ferramentas de IA
🔹 O ataque é acionado por arquivos ocultos sempre que um processo Python é iniciado — mesmo que você não tenha importado esse pacote
🔹 macOS, Linux e Windows foram afetados
🔹 Equipes de segurança como JFrog, Socket e SafeDep já emitiram alertas, e o PyPI removeu essa versão
Essa biblioteca tem mais de 92 milhões de downloads por mês, então o impacto é considerável.
Por que o pessoal do mundo cripto deveria se importar? Muitos bots de negociação, estratégias quantitativas e scripts de monitoramento on-chain rodam em ambientes Python. Muitas vezes, a mesma máquina também guarda chaves de API de exchanges, chaves de acesso a servidores e várias senhas salvas no navegador. Esse tipo de ataque rouba as “chaves”; não é preciso clicar em nenhum link de phishing.
A recomendação oficial é clara: fixe a versão na 1.106.2, que é segura, troque todas as credenciais e limpe cuidadosamente os arquivos infectados.
Acrescento três hábitos meus:
1️⃣ Nas chaves de API das exchanges, habilite apenas permissões de negociação, nunca de saque, e configure uma lista de permissões de IP
2️⃣ Use máquinas separadas para rodar scripts e armazenar carteiras
3️⃣ Fixe as versões dos pacotes de dependências; não atualize às cegas para a versão mais recente com um clique
Sinceramente, às vezes o maior risco no mundo cripto não está no gráfico de candles, mas no que você instalou no seu próprio computador.
Você verifica regularmente as dependências dos scripts que executa? Ou instala e nunca mais se preocupa com isso? Vamos conversar nos comentários 👇
#供应链攻击 #API安全 #量化交易 #SegurançaCripto