Giờ tôi không còn sao chép repo tiền mã hóa nào mà chưa đọc cấu hình trước, và cảnh báo hôm nay của SlowMist chính là lý do.
Hôm nay, SlowMist cảnh báo về các repo GitHub độc hại — trong đó có một repo tên sol-live, giả dạng công cụ luyện phỏng vấn Solidity — giấu lệnh trong tệp .vscode/settings.json của dự án. Khi được kích hoạt, đoạn mã ẩn đó có thể theo dõi khay nhớ tạm, chạy lệnh từ xa, tải tệp lên và nhắm vào thông tin đăng nhập trình duyệt, dữ liệu Keychain trên macOS cũng như dữ liệu của tiện ích ví. Mã độc nhắm đến người dùng macOS và Linux, đặc biệt là các nhà phát triển chứ không phải những nhà giao dịch ngẫu nhiên.
Đây là nhận định của tôi: đây là khía cạnh của bảo mật tiền mã hóa mà chưa ai nói đến đủ nhiều. Chúng ta ám ảnh với cụm từ khôi phục và liên kết lừa đảo, nhưng lại vui vẻ sao chép repo của người lạ rồi để các thiết lập không gian làm việc của repo chạy trên máy mình. Repo đồng nghĩa với việc thực thi mã, chấm hết — nhất là khi repo yêu cầu bạn chạy bước thiết lập trong terminal. Nếu bạn phát triển ứng dụng trong lĩnh vực tiền mã hóa, hãy nghi ngờ tệp cài đặt đó như cách bạn nghi ngờ lời nhắc kết nối ví.
Quy tắc của tôi giờ là: đọc .vscode/settings.json trước khi tin tưởng một repo, không bao giờ chạy bước thiết lập của repo trên máy có chứa ví thật, và nếu có thể thì dùng máy riêng cho công việc phát triển và giao dịch. Cái mác công cụ luyện phỏng vấn mới là điều khiến vụ này nguy hiểm — nó nhắm vào những người đang cố gắng học hỏi, chứ không phải những kẻ tham lam.
Bạn có thực sự kiểm tra các tệp cấu hình của repo trước khi sao chép không, hay chỉ mình tôi là người đa nghi vậy?
Hôm nay, SlowMist cảnh báo về các repo GitHub độc hại — trong đó có một repo tên sol-live, giả dạng công cụ luyện phỏng vấn Solidity — giấu lệnh trong tệp .vscode/settings.json của dự án. Khi được kích hoạt, đoạn mã ẩn đó có thể theo dõi khay nhớ tạm, chạy lệnh từ xa, tải tệp lên và nhắm vào thông tin đăng nhập trình duyệt, dữ liệu Keychain trên macOS cũng như dữ liệu của tiện ích ví. Mã độc nhắm đến người dùng macOS và Linux, đặc biệt là các nhà phát triển chứ không phải những nhà giao dịch ngẫu nhiên.
Đây là nhận định của tôi: đây là khía cạnh của bảo mật tiền mã hóa mà chưa ai nói đến đủ nhiều. Chúng ta ám ảnh với cụm từ khôi phục và liên kết lừa đảo, nhưng lại vui vẻ sao chép repo của người lạ rồi để các thiết lập không gian làm việc của repo chạy trên máy mình. Repo đồng nghĩa với việc thực thi mã, chấm hết — nhất là khi repo yêu cầu bạn chạy bước thiết lập trong terminal. Nếu bạn phát triển ứng dụng trong lĩnh vực tiền mã hóa, hãy nghi ngờ tệp cài đặt đó như cách bạn nghi ngờ lời nhắc kết nối ví.
Quy tắc của tôi giờ là: đọc .vscode/settings.json trước khi tin tưởng một repo, không bao giờ chạy bước thiết lập của repo trên máy có chứa ví thật, và nếu có thể thì dùng máy riêng cho công việc phát triển và giao dịch. Cái mác công cụ luyện phỏng vấn mới là điều khiến vụ này nguy hiểm — nó nhắm vào những người đang cố gắng học hỏi, chứ không phải những kẻ tham lam.
Bạn có thực sự kiểm tra các tệp cấu hình của repo trước khi sao chép không, hay chỉ mình tôi là người đa nghi vậy?