他睡了一觉,早上睁眼,账单上多出四百美元。
一行代码没敲。电脑没开。那四百美元是他睡着的时候,别人拿他的账户跑出来的。
十月十七号深夜,那家做开源编程工具的公司开始给用过它的人发邮件。标题很短。要求立即处理。说第三方服务商的密钥可能已经泄露。
第二封凌晨到,写明是哪几家,OpenAI、Anthropic、谷歌。
受影响的人占它在线面板账号的百分之一点四。数字不大。摊到这些人头上,就是全部。
坏在一个地方。攻击者进去的是一套正在下线的旧系统。最早能追到十六号深夜,这些人在二十二个小时之后才收到第一封信。二十二个小时,够跑多少条调用,够把额度刷到底,够让对方赶在你睁眼之前把整套动作做完。
问题出在哪。出在一个所有人都以为已经关掉的角落。凭什么?就凭它不在任何人的清单上,出了事也没人第一时间想起它。
很多人以为密钥是被猜出来、撞出来的。不是。绝大多数泄露压根不用破解。东西就放在一个没人再看的地方,偏偏门还开着。你把它从主力系统搬走,标了个待淘汰,然后忘了它还在跑。
谁把这套旧系统晾了这么久没人察觉,公司那边没个准话。
一个开发者说,他先收到 Anthropic 的额度预警,后收到工具方通知。顺序反了。发钱那头比收钱那头先发现。有人谷歌云被刷了两百欧元,项目因为滥用被暂停。还有人说当月二十美元额度见了底。
钱能不能退,公司只说在跟三家谈。反正这话听着不像承诺。有没有被拿去训练别的模型,也说不清。他们管这叫大规模蒸馏攻击,这说法站不站得住,得等调查。
这事的形状,币圈其实熟。
你的钱包里挂着一堆授权。二零二一年某个网站摆着那个无限额度,当时是为了抢一个白名单,点完还觉得自己手快,第二天就忘了那家叫什么,那个合约地址却一直躺在你的地址底下,等人来敲。那会儿压根没想过要撤。
项目方早跑了。授权还在。你不记得。链上记着。
这跟你把密钥存在一个已经下线的后台,是同一件事。
去年有个很常用的网页连接组件被人换掉一版,前后几个小时,一批人的钱包被清空,连报警都来不及。没人去破解它。它就是被换了一版。你压根不会发现。你签字的时候,界面跟你说的话还是原来那句。
这事我琢磨了挺久。安全这笔账,不该按新不新来算。新东西有人天天盯着,老东西没人看,其实就这么回事。淘汰流程走到一半的系统最危险,它既不在维护清单上,也还没死透,所有人都以为它会自己消失。
那怎么办。给个具体的。打开钱包,把授权列表翻到最早那一页,看见不认识的,撤掉。三年前注册过、现在连密码都忘了的交易所,干脆去把接口密钥删干净,尤其是带提币权限的那种。助记词手写,别拍进手机相册。
花不了十分钟。
十分钟换掉一个你可能早就忘了的入口。
真挺值。
$BTC $ETH $BNB #OpenCode #API密钥 #账户安全 #加密