Я больше не клонирую крипторепозитории, не прочитав сначала их конфигурацию, и сегодняшнее предупреждение SlowMist — как раз причина.
Сегодня SlowMist обнаружила вредоносные репозитории на GitHub — один из них, под названием sol-live, маскировался под инструмент для подготовки к собеседованиям по Solidity. В файле проекта .vscode/settings.json были спрятаны команды. После запуска этот скрытый код может следить за буфером обмена, выполнять удалённые команды, загружать файлы, а также охотиться за данными для входа в браузер, сведениями из Связки ключей macOS и данными расширений криптокошельков. Цель — пользователи macOS и Linux, причём прицельно разработчики, а не случайные трейдеры.
Вот что я думаю: это та сторона безопасности криптовалют, о которой говорят недостаточно. Мы помешаны на сид-фразах и фишинговых ссылках, а потом спокойно клонируем чужой репозиторий и позволяем его настройкам рабочей среды выполняться на нашем компьютере. Репозиторий — это запуск кода, и точка, особенно если он просит выполнить команду настройки в терминале. Если вы занимаетесь разработкой в криптосфере, к этому файлу настроек нужно относиться с тем же подозрением, что и к запросу на подключение кошелька.
Теперь моё правило такое: читать .vscode/settings.json, прежде чем доверять репозиторию; никогда не запускать его настройку на компьютере, где хранятся настоящие кошельки; и по возможности держать разработку и торговлю на разных устройствах. Маскировка под инструмент для подготовки к собеседованиям делает эту атаку особенно мерзкой: она нацелена на тех, кто хочет учиться, а не на жадных людей.
Вы действительно проверяете конфигурационные файлы репозитория перед клонированием или это я тут такой параноик?
Сегодня SlowMist обнаружила вредоносные репозитории на GitHub — один из них, под названием sol-live, маскировался под инструмент для подготовки к собеседованиям по Solidity. В файле проекта .vscode/settings.json были спрятаны команды. После запуска этот скрытый код может следить за буфером обмена, выполнять удалённые команды, загружать файлы, а также охотиться за данными для входа в браузер, сведениями из Связки ключей macOS и данными расширений криптокошельков. Цель — пользователи macOS и Linux, причём прицельно разработчики, а не случайные трейдеры.
Вот что я думаю: это та сторона безопасности криптовалют, о которой говорят недостаточно. Мы помешаны на сид-фразах и фишинговых ссылках, а потом спокойно клонируем чужой репозиторий и позволяем его настройкам рабочей среды выполняться на нашем компьютере. Репозиторий — это запуск кода, и точка, особенно если он просит выполнить команду настройки в терминале. Если вы занимаетесь разработкой в криптосфере, к этому файлу настроек нужно относиться с тем же подозрением, что и к запросу на подключение кошелька.
Теперь моё правило такое: читать .vscode/settings.json, прежде чем доверять репозиторию; никогда не запускать его настройку на компьютере, где хранятся настоящие кошельки; и по возможности держать разработку и торговлю на разных устройствах. Маскировка под инструмент для подготовки к собеседованиям делает эту атаку особенно мерзкой: она нацелена на тех, кто хочет учиться, а не на жадных людей.
Вы действительно проверяете конфигурационные файлы репозитория перед клонированием или это я тут такой параноик?