Polymarket-Nachahmungshändler warnten vor bösartigem Code zum Diebstahl privater Schlüssel
- Es wurde eine Sicherheitswarnung bezüglich schädlichen Codes in einem Polymarket-Copy-Trading-Bot auf GitHub ausgegeben.
- Der infizierte Code ermöglicht potenziellen Zugriff auf die privaten Schlüssel der Wallets der Nutzer, was zu Diebstahl von Geldern führen könnte.
- Betroffene Wallets müssen möglicherweise entsorgt werden, da derzeit keine Minderungsmaßnahmen verfügbar sind.
Sicherheitsorientierte Forscher und Unternehmen haben vor einem beliebten, quelloffenen Polymarket-Copy-Trading-Bot gewarnt, der auf GitHub gehostet wird.
Der Bot wurde von einem Entwickler unter dem Pseudonym „Trust412“ erstellt und enthält Berichten zufolge versteckten schädlichen Code über mehrere Commits und Abhängigkeiten hinweg.
SlowMist warnt vor Polymarket-Trading-Bot
Heute Vormittag, am 21. Dezember, retweetete 23pds, Chief Information Security Officer bei SlowMist, einen Beitrag a warnen eines Community-Nutzers über schädlichen Code in einem Polymarket-Copy-Trading-Bot auf GitHub, der Sicherheitsrisiken darstellt.
Der Vorfall hat viele daran erinnert, dass der Krypto-Bot-Markt immer noch viele Schwachstellen aufweist, weshalb die sorgfältige Prüfung GitHub-Repositories auf versteckte Bedrohungen heute unverzichtbar ist.
Laut dem Beitrag, mit dem 23pds interagiert hat, wurde dieser Code absichtlich eingefügt, aber seine schädliche Natur wurde verschleiert, während der Autor ihn wiederholt überarbeitete, um sicherzustellen, dass er der Entdeckung entging.
Dies geschah über mehrere Einreichungen im Repository „polymarket-copy-trading-bot“ hinweg und könnte Benutzer potenziell dem Diebstahl von Mitteln aussetzen.
Der versteckte Code im Programm des Bots scannte und las automatisch Konfigurationsdateien, extrahierte private Schlüssel und übertrug sie auf einen von Hackern kontrollierten Remote-Server.
Benutzern wird geraten, mit allen nicht überprüften Code-Repositories vorsichtig umzugehen. In 23pds’ Beitrag behauptete er, dies sei nicht das erste Mal, dass diese Methode verwendet wird, um GitHub und seine Benutzer zu zielen, und dass es nicht das letzte Mal sein wird.
So vermeiden Sie private Schlüssel-Exploits
Das Wichtigste an dieser Art von Exploit ist, dass er von der Person abhängt, den Prozess in Gang zu setzen, was bedeutet, dass zusätzliche Vorsicht viel dazu beitragen kann, wiederholte Fälle zu verhindern.
Der Exploit ist ein klassischer Supply-Chain-Angriff auf quelloffene Tools. Er erfordert, dass Benutzer zuerst den Bot installieren, was viele tun, um erfolgreiche Händler auf Polymarket zu kopieren. Diese Benutzer geben ihre privaten Schlüssel zur Unterzeichnung von Trades ein und setzen sie dabei unbewusst frei.
Jedem, der sich in einer solchen Situation befindet, wird geraten, das Repository sofort zu löschen, wenn es heruntergeladen wurde, davon auszugehen, dass jede damit verknüpfte Wallet kompromittiert ist, und alle Mittel so schnell wie möglich auf eine neue zu verschieben.
Es hilft auch nicht, dass ähnliche Probleme in anderen Polymarket-Bot-Repositoriesaufgetreten sind. Daher ist es entscheidend, Drittanbieter-Handelsskripte sorgfältig zu prüfen, um auf der sicheren Seite zu sein.
Es sei darauf hingewiesen, dass die Polymarket-Plattform nicht gehackt wurde; die Bots, die hier Verwüstung anrichten, sind inoffizielle, die hohe Risiken darstellen, da sie direkten Zugriff auf die privaten Schlüssel der Benutzer erfordern.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
