- SlowMist敦促进行紧急安全审计和修复，并警告在问题修复前，NOFX AI部署仍属高风险。
- Binance和OKX与SlowMist合作，识别受影响用户并撤销已泄露的密钥。
- Aster和Hyperliquid等去中心化交易所上的用户难以联系，促使发布公开风险警示。
区块链安全公司SlowMist领导了一项调查，发现了NOFX AI中的关键漏洞，NOFX AI是一个基于DeepSeek和Qwen的大语言模型架构构建的开源加密货币期货交易系统。
根据发表在 Web3Caff上的调查结果，该系统的多个版本存在缺陷，使一些用户面临凭证泄露的风险，攻击者在某些情况下能够获取钱包私钥以及集中式和去中心化交易所的API凭证。
在做出这些发现后，SlowMist团队联系了Binance和OKX的安全团队，他们与团队合作确定了受影响的用户并撤销了受损的密钥。
多个版本中暴露的认证缺陷
SlowMist的调查始于团队收到来自社区研究人员@Endlessss20的情报，该研究人员怀疑NOFX AI可能会泄露交易所API密钥。
Cos， SlowMist的创始人，使用X平台账号@evilcos，最初对NOFX AI的开源努力表示赞赏，称其值得称赞。
然而，他随后表示，他们“披露的风险已经导致真正的盗窃事件，一些用户的钱包私钥和CEX/DEX API密钥因此泄露。”
Cos补充说，SlowMist的初步披露工作特意与交易所安全团队协调，以确保在公开释放细节之前通知受影响的用户。
SlowMist随后的分析确定了影响开源仓库不同提交生成的两个核心认证问题。
据报道，这个问题存在于开源平台的旧版本和新版本中；该系统据报道在“需要授权”的状态下运行，但仍然缺乏实际的访问控制，导致敏感的管理员（admin）功能在没有认证的情况下开放。
因此，攻击者可以在不需要凭证的情况下与管理员API交互。
加剧这些认证弱点的是，系统的一个API端点默认返回敏感的连接数据，包括API密钥以及与Binance、Hyperliquid和 市场经理.
Coordinated security response with exchanges
在确认问题的严重性后，SlowMist联系了Binance和OKX的安全部门。
据报道，他们建立了一个联合安全运营室，SlowMist提供情报和影响评估，而交易所团队独立分析和验证受损的API数据。
然后，这些团体从暴露的密钥反向工作，以识别其平台上处于风险中的账户。
交易所启动了反制措施，通知每个受影响的用户并立即撤销他们的API密钥、秘密密钥以及任何关联的自动化凭证。“截至11月17日，所有受影响的CEX用户都已收到通知，他们的相关密钥已被撤销，资产安全，”SlowMist在报告中表示。
然而，它承认，联系去中心化交易所的用户相对更加困难。SlowMist表示，他们和Binance团队试图直接联系少量Aster和 Hyperliquid 用户，但由于“去中心化钱包地址”而无法做到。
“如果您在Aster或Hyperliquid上使用自动化交易系统，请立即检查并解决任何相关风险，”该安全公司警告用户。
对AI交易生态系统的警告
SlowMist还指出，大规模AI模型量化项目正在增加；然而，大多数开源实现仍处于早期阶段。
因此，建议部署此类新兴开源系统的用户“进行彻底的代码安全审计并加强风险控制措施，以避免财务损失。”
该安全公司还对NOFX AI团队和用户提出了建议，建议他们如果检测到模板密钥则拒绝运行程序，除非明确配置并用强密码和OTP认证保护，否则禁用管理员模式，并重新设计敏感端点以仅返回非关键元数据，同时要求对私钥或API密钥访问进行二次验证，等等。
该公司警告说，“在开发团队完成这些修复之前，任何部署到公共互联网的行为都应被视为高风险。”
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Hannah Collymore
汉娜是一位作家兼编辑，在加密货币领域拥有近十年的博客写作和活动报道经验。在Cryptopolitan，汉娜负责新闻板块，报道和分析DeFi、RWA、加密货币监管、AI和前沿科技行业的最新发展。她毕业于阿卡迪亚大学，获得工商管理学位。
