I copy trader di Polymarket avvisati di codice malevolo per il furto di chiavi private
- È stato emesso un avviso di sicurezza riguardante codice malevolo trovato in un bot di copy trading di Polymarket su GitHub.
- Il codice infetto consente l'accesso potenziale alle chiavi private dei portafogli degli utenti, il che potrebbe portare al furto di fondi.
- I portafogli interessati potrebbero dover essere eliminati, poiché non sembrano esserci misure di mitigazione attualmente disponibili.
Ricercatori e aziende orientati alla sicurezza hanno avvisato di un popolare bot di copy trading open-source di Polymarket ospitato su GitHub.
Il bot è stato creato da uno sviluppatore con lo pseudonimo “Trust412” e, secondo quanto riportato, contiene codice malevolo nascosto in più commit e dipendenze.
SlowMist lancia l'avviso sul bot di trading di Polymarket
Iniziato oggi, 21 dicembre, alle 23:00, il Chief Information Security Officer di SlowMist, ha retweetato un avvertendo da un utente della comunità riguardo a un codice malevolo in un bot di copy trading di Polymarket su GitHub, che rappresenta rischi per la sicurezza.
L'incidente ha ricordato a molti che il mercato dei bot crypto ha ancora molte vulnerabilità, motivo per cui scrutinare i repository GitHub per minacce nascoste è ora non negoziabile.
Secondo il post con cui 23pds ha interagito, questo codice è stato inserito deliberatamente, ma la sua natura malevola è stata mascherata mentre l'autore lo revisionava ripetutamente per assicurarsi che eludesse il rilevamento.
Questo è accaduto in più sottomissioni nel repository “polymarket-copy-trading-bot”, potenzialmente esponendo gli utenti al furto di fondi.
Il codice nascosto nel programma del bot lo ha fatto scansionare e leggere automaticamente i file di configurazione, estrarre le chiavi private e trasferirle a un server remoto controllato dagli hacker.
Si invita gli utenti a fare attenzione con qualsiasi repository di codice non auditato. Nel post di 23pds, ha affermato che questa non è la prima volta che il metodo viene utilizzato per colpire GitHub e i suoi utenti e che non sarà l'ultimo di tali incidenti.
Come evitare gli exploit delle chiavi private
La cosa più cruciale di questa forma di exploit è che dipende dall'individuo per avviare il processo, il che significa che un'ulteriore cautela può fare molto per prevenire casi ripetuti.
L'exploit è un classico attacco alla catena di approvvigionamento sugli strumenti open-source. Richiede agli utenti di installare prima il bot, cosa che molti fanno nel tentativo di copiare i trader di successo su Polymarket. Questi utenti inseriscono le loro chiavi private per firmare le transazioni, esponendole involontariamente.
Chiunque si trovi in una tale situazione è consigliato di eliminare immediatamente il repository se è stato scaricato, assumere che qualsiasi portafoglio collegato sia stato compromesso e spostare tutti i fondi su uno nuovo il più rapidamente possibile.
Non aiuta nemmeno il fatto che problemi simili si siano verificati in altri repository di bot Polymarket. Quindi è diventato cruciale scrutinare gli script di trading di terze parti per stare dalla parte della sicurezza.
Va notato che la piattaforma Polymarket non è stata hackerata; i bot che hanno causato questo caos sono non ufficiali, che presentano rischi elevati poiché richiedono l'accesso diretto alle chiavi private degli utenti.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
