🚨 Nếu bạn chạy script giao dịch định lượng hoặc bot giao dịch AI, tối nay hãy kiểm tra gói Python này
LiteLLM, thư viện Python thường dùng trong phát triển AI, lại gặp sự cố. Đây đã là lần thứ hai trong năm nay thư viện này bị tấn công chuỗi cung ứng.
🔹 Phiên bản gặp sự cố là 1.107.0 trên PyPI; mã độc được giấu trong gói cài đặt đã biên dịch
🔹 Có thể đánh cắp khóa SSH, thông tin xác thực đám mây AWS/Azure/GCP, mật khẩu trình duyệt đã lưu và cả cấu hình của công cụ AI
🔹 Kích hoạt mỗi khi khởi chạy tiến trình Python thông qua một tệp ẩn, kể cả khi bạn không import gói này
🔹 Ảnh hưởng đến macOS, Linux và Windows
🔹 Các nhóm bảo mật như JFrog, Socket và SafeDep đã phát cảnh báo; PyPI đã gỡ phiên bản này
Thư viện này có hơn 92 triệu lượt tải mỗi tháng, nên phạm vi ảnh hưởng không hề nhỏ.
Vì sao giới crypto cần quan tâm? Bot giao dịch, chiến lược định lượng và script giám sát on-chain của nhiều người chạy trong môi trường Python. Trên cùng một máy thường còn có API Key của sàn, khóa đăng nhập máy chủ, cùng đủ loại mật khẩu được lưu trong trình duyệt. Kiểu tấn công này đánh cắp “chìa khóa”, chứ không cần bạn nhấp vào bất kỳ liên kết lừa đảo nào.
Khuyến nghị chính thức rất rõ ràng: cố định phiên bản sạch 1.106.2, thay mới tất cả thông tin xác thực và cẩn thận dọn sạch các tệp bị nhiễm.
Tôi xin bổ sung ba thói quen của mình:
1️⃣ API Key của sàn chỉ bật quyền giao dịch, không bật quyền rút tiền và phải gắn với danh sách IP cho phép
2️⃣ Tách riêng máy chạy script và máy lưu ví
3️⃣ Cố định phiên bản các gói phụ thuộc, đừng nâng cấp mù quáng lên bản mới nhất chỉ bằng một cú nhấp
Nói thật, rủi ro lớn nhất trong giới crypto đôi khi không nằm ở biểu đồ nến, mà ở những thứ bạn cài trên máy tính của mình.
Bạn có thường xuyên kiểm tra các gói phụ thuộc mà script đang dùng không? Hay cài xong rồi chẳng bao giờ ngó ngàng nữa? Cùng thảo luận ở phần bình luận nhé 👇
#供应链攻击 #API安全 #量化交易 #BảoMậtCrypto
LiteLLM, thư viện Python thường dùng trong phát triển AI, lại gặp sự cố. Đây đã là lần thứ hai trong năm nay thư viện này bị tấn công chuỗi cung ứng.
🔹 Phiên bản gặp sự cố là 1.107.0 trên PyPI; mã độc được giấu trong gói cài đặt đã biên dịch
🔹 Có thể đánh cắp khóa SSH, thông tin xác thực đám mây AWS/Azure/GCP, mật khẩu trình duyệt đã lưu và cả cấu hình của công cụ AI
🔹 Kích hoạt mỗi khi khởi chạy tiến trình Python thông qua một tệp ẩn, kể cả khi bạn không import gói này
🔹 Ảnh hưởng đến macOS, Linux và Windows
🔹 Các nhóm bảo mật như JFrog, Socket và SafeDep đã phát cảnh báo; PyPI đã gỡ phiên bản này
Thư viện này có hơn 92 triệu lượt tải mỗi tháng, nên phạm vi ảnh hưởng không hề nhỏ.
Vì sao giới crypto cần quan tâm? Bot giao dịch, chiến lược định lượng và script giám sát on-chain của nhiều người chạy trong môi trường Python. Trên cùng một máy thường còn có API Key của sàn, khóa đăng nhập máy chủ, cùng đủ loại mật khẩu được lưu trong trình duyệt. Kiểu tấn công này đánh cắp “chìa khóa”, chứ không cần bạn nhấp vào bất kỳ liên kết lừa đảo nào.
Khuyến nghị chính thức rất rõ ràng: cố định phiên bản sạch 1.106.2, thay mới tất cả thông tin xác thực và cẩn thận dọn sạch các tệp bị nhiễm.
Tôi xin bổ sung ba thói quen của mình:
1️⃣ API Key của sàn chỉ bật quyền giao dịch, không bật quyền rút tiền và phải gắn với danh sách IP cho phép
2️⃣ Tách riêng máy chạy script và máy lưu ví
3️⃣ Cố định phiên bản các gói phụ thuộc, đừng nâng cấp mù quáng lên bản mới nhất chỉ bằng một cú nhấp
Nói thật, rủi ro lớn nhất trong giới crypto đôi khi không nằm ở biểu đồ nến, mà ở những thứ bạn cài trên máy tính của mình.
Bạn có thường xuyên kiểm tra các gói phụ thuộc mà script đang dùng không? Hay cài xong rồi chẳng bao giờ ngó ngàng nữa? Cùng thảo luận ở phần bình luận nhé 👇
#供应链攻击 #API安全 #量化交易 #BảoMậtCrypto