他睡了一覺,早上睜眼,賬單上多出四百美元。
一行代碼沒敲。電腦沒開。那四百美元是他睡着的時候,別人拿他的賬戶跑出來的。
十月十七號深夜,那家做開源編程工具的公司開始給用過它的人發郵件。標題很短。要求立即處理。說第三方服務商的密鑰可能已經泄露。
第二封凌晨到,寫明是哪幾家,OpenAI、Anthropic、谷歌。
受影響的人佔它在線面板賬號的百分之一點四。數字不大。攤到這些人頭上,就是全部。
壞在一個地方。攻擊者進去的是一套正在下線的舊系統。最早能追到十六號深夜,這些人在二十二個小時之後才收到第一封信。二十二個小時,夠跑多少條調用,夠把額度刷到底,夠讓對方趕在你睜眼之前把整套動作做完。
問題出在哪。出在一個所有人都以爲已經關掉的角落。憑什麼?就憑它不在任何人的清單上,出了事也沒人第一時間想起它。
很多人以爲密鑰是被猜出來、撞出來的。不是。絕大多數泄露壓根不用破解。東西就放在一個沒人再看的地方,偏偏門還開着。你把它從主力系統搬走,標了個待淘汰,然後忘了它還在跑。
誰把這套舊系統晾了這麼久沒人察覺,公司那邊沒個準話。
一個開發者說,他先收到 Anthropic 的額度預警,後收到工具方通知。順序反了。發錢那頭比收錢那頭先發現。有人谷歌雲被刷了兩百歐元,項目因爲濫用被暫停。還有人說當月二十美元額度見了底。
錢能不能退,公司只說在跟三家談。反正這話聽着不像承諾。有沒有被拿去訓練別的模型,也說不清。他們管這叫大規模蒸餾攻擊,這說法站不站得住,得等調查。
這事的形狀,幣圈其實熟。
你的錢包裏掛着一堆授權。二零二一年某個網站擺着那個無限額度,當時是爲了搶一個白名單,點完還覺得自己手快,第二天就忘了那家叫什麼,那個合約地址卻一直躺在你的地址底下,等人來敲。那會兒壓根沒想過要撤。
項目方早跑了。授權還在。你不記得。鏈上記着。
這跟你把密鑰存在一個已經下線的後臺,是同一件事。
去年有個很常用的網頁連接組件被人換掉一版,前後幾個小時,一批人的錢包被清空,連報警都來不及。沒人去破解它。它就是被換了一版。你壓根不會發現。你簽字的時候,界面跟你說的話還是原來那句。
這事我琢磨了挺久。安全這筆賬,不該按新不新來算。新東西有人天天盯着,老東西沒人看,其實就這麼回事。淘汰流程走到一半的系統最危險,它既不在維護清單上,也還沒死透,所有人都以爲它會自己消失。
那怎麼辦。給個具體的。打開錢包,把授權列表翻到最早那一頁,看見不認識的,撤掉。三年前註冊過、現在連密碼都忘了的交易所,乾脆去把接口密鑰刪乾淨,尤其是帶提幣權限的那種。助記詞手寫,別拍進手機相冊。
花不了十分鐘。
十分鐘換掉一個你可能早就忘了的入口。
真挺值。
$BTC $ETH $BNB #OpenCode #API密钥 #账户安全 #加密