🚨 跑量化腳本、AI交易機器人的朋友，今晚先查一下這個Python包
AI開發常用的Python庫 LiteLLM 又出事了，這已經是它今年第二次遭遇供應鏈攻擊。
🔹 出問題的是 PyPI 上的 1.107.0 版本，惡意代碼藏在編譯好的安裝包裏
🔹 會偷 SSH 密鑰、AWS/Azure/GCP 雲憑證、瀏覽器保存的密碼，還有AI工具的配置
🔹 通過隱藏文件在每次啓動Python進程時觸發，哪怕你沒 import 這個包也一樣
🔹 macOS、Linux、Windows 都受影響
🔹 JFrog、Socket、SafeDep 等安全團隊已經預警，PyPI 已下架該版本
這個庫月下載量超過9200萬，波及面不小。
爲什麼幣圈要在意？很多人的交易機器人、量化策略、鏈上監控腳本都跑在Python環境裏，同一臺機器上往往還放着交易所API Key、服務器登錄密鑰，瀏覽器裏也存着各種密碼。這類攻擊偷的是"鑰匙"，不需要你點任何釣魚鏈接。
官方建議很明確：版本鎖定在乾淨的 1.106.2，輪換所有憑證，仔細清理被感染的文件。
我自己的習慣補充三條：
1️⃣ 交易所API Key 只開交易權限，不開提現，並綁定IP白名單
2️⃣ 跑腳本的機器和存錢包的機器分開
3️⃣ 依賴包鎖版本，別一鍵無腦升級到最新
說實話，幣圈最大的風險有時候不在K線，而在你自己電腦裏裝了什麼。
你跑的腳本會定期檢查依賴包嗎？還是裝完就再沒管過？評論區聊聊👇
#供应链攻击 #API安全 #量化交易 #加密安全
AI開發常用的Python庫 LiteLLM 又出事了，這已經是它今年第二次遭遇供應鏈攻擊。
🔹 出問題的是 PyPI 上的 1.107.0 版本，惡意代碼藏在編譯好的安裝包裏
🔹 會偷 SSH 密鑰、AWS/Azure/GCP 雲憑證、瀏覽器保存的密碼，還有AI工具的配置
🔹 通過隱藏文件在每次啓動Python進程時觸發，哪怕你沒 import 這個包也一樣
🔹 macOS、Linux、Windows 都受影響
🔹 JFrog、Socket、SafeDep 等安全團隊已經預警，PyPI 已下架該版本
這個庫月下載量超過9200萬，波及面不小。
爲什麼幣圈要在意？很多人的交易機器人、量化策略、鏈上監控腳本都跑在Python環境裏，同一臺機器上往往還放着交易所API Key、服務器登錄密鑰，瀏覽器裏也存着各種密碼。這類攻擊偷的是"鑰匙"，不需要你點任何釣魚鏈接。
官方建議很明確：版本鎖定在乾淨的 1.106.2，輪換所有憑證，仔細清理被感染的文件。
我自己的習慣補充三條：
1️⃣ 交易所API Key 只開交易權限，不開提現，並綁定IP白名單
2️⃣ 跑腳本的機器和存錢包的機器分開
3️⃣ 依賴包鎖版本，別一鍵無腦升級到最新
說實話，幣圈最大的風險有時候不在K線，而在你自己電腦裏裝了什麼。
你跑的腳本會定期檢查依賴包嗎？還是裝完就再沒管過？評論區聊聊👇
#供应链攻击 #API安全 #量化交易 #加密安全