Les copy traders de Polymarket misent sur un code malveillant de vol de clés privées
- Une alerte de sécurité a été émise concernant un code malveillant trouvé dans un bot de copieur de trading Polymarket sur GitHub.
- Le code infecté permet un accès potentiel aux clés privées des portefeuilles des utilisateurs, ce qui pourrait entraîner le vol de fonds.
- Les portefeuilles affectés devront peut-être être abandonnés, car aucune mesure d'atténuation n'est actuellement disponible.
Des chercheurs et des entreprises axés sur la sécurité ont mis en garde contre un bot de copy trading open-source populaire de Polymarket hébergé sur GitHub.
Le bot a été créé par un développeur sous le pseudonyme « Trust412 » et contiendrait du code malveillant caché à travers plusieurs commits et dépendances.
SlowMist émet un avertissement sur le bot de trading Polymarket
Plus tôt aujourd'hui, le 21 décembre, 23pds, le directeur de la sécurité de l'information de SlowMist, a retweeté une mettant en garde d'un utilisateur de la communauté concernant un code malveillant dans un bot de copy trading Polymarket sur GitHub, présentant des risques de sécurité.
L'incident a rappelé à beaucoup que le marché des bots crypto comporte encore de nombreuses vulnérabilités, ce qui rend l'examen des dépôts GitHub impératoire pour détecter les menaces cachées.
Selon le post avec lequel 23pds a interagi, ce code a été délibérément placé là, mais sa nature malveillante a été déguisée tandis que l'auteur le révisait à plusieurs reprises pour s'assurer qu'il échappait à la détection.
Cela s'est produit à travers plusieurs soumissions dans le dépôt « polymarket-copy-trading-bot », exposant potentiellement les utilisateurs au vol de fonds.
Le code caché dans le programme du bot lui permettait de scanner et de lire automatiquement les fichiers de configuration, d'extraire les clés privées et de les transférer vers un serveur distant contrôlé par les pirates.
Les utilisateurs sont exhortés à faire preuve de prudence avec tout dépôt de code non audité. Dans le post de 23pds, il a allégué que ce n'est pas la première fois que cette méthode est utilisée pour cibler GitHub et ses utilisateurs, et que ce ne sera pas le dernier incident de ce type.
Comment éviter les exploits de clés privées
Le point crucial de cette forme d'exploit est qu'il dépend de l'individu pour amorcer le processus, ce qui signifie qu'une prudence accrue peut beaucoup faire pour prévenir les cas répétés.
L'exploit est une attaque classique de la chaîne d'approvisionnement sur les outils open-source. Il nécessite que les utilisateurs installent d'abord le bot, ce que beaucoup font dans l'effort de copier les traders réussis sur Polymarket. Ces utilisateurs saisissent leurs clés privées pour signer les transactions, s'exposant ainsi involontairement.
Toute personne se retrouvant dans une telle situation est conseillée de supprimer immédiatement le dépôt s'il a été téléchargé, de supposer que tout portefeuille lié a été compromis, et de transférer tous les fonds vers un nouveau aussi rapidement que possible.
Cela n'arrange pas les choses que des problèmes similaires soient survenus dans d'autres dépôts de bots Polymarket. Il est donc crucial d'examiner les scripts de trading tiers pour être en sécurité.
Il convient de noter que la plateforme Polymarket n'a pas été piratée ; les bots qui causent ces dégâts sont non officiels, ce qui présente des risques élevés car ils nécessitent un accès direct aux clés privées des utilisateurs.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
