Polymarket 跟单交易者警告存在恶意私钥窃取代码

安全导向的研究人员和公司已警告称，GitHub 上托管的一个流行的开源 Polymarket 跟单交易机器人存在风险。 

该机器人由代号为“Trust412”的开发者创建，据报道在多个提交记录和依赖项中包含隐藏的恶意代码。 

SlowMist 发出 Polymarket 交易机器人警告 

今天早些时候，12 月 21 日，SlowMist 的首席信息安全官 23pds， 转发 a 警告 了社区用户关于 GitHub 上 Polymarket 跟单交易机器人中存在恶意代码的帖子，指出其存在安全风险。 

这一事件提醒许多人，加密机器人市场仍存在许多漏洞，因此仔细审查 GitHub 存储库 以查找隐藏威胁现在已成为不可妥协的要求。 

根据 23pds 互动的帖子，这段代码是故意放置的，但其恶意性质在作者反复修订过程中被伪装，以确保其能逃避检测。 

这发生在“polymarket-copy-trading-bot”存储库的多个提交中，可能使用户面临资金被盗的风险。

机器人程序中的隐藏代码使其能够自动扫描和读取配置文件，提取私钥，并将其传输到由黑客控制的远程服务器。  

建议用户对任何未经审计的代码存储库保持谨慎。在 23pds 的帖子中，他声称这不是第一次使用这种方法针对 GitHub 及其用户，此类事件也不会是最后一次。 

如何避免私钥漏洞利用 

这种漏洞利用形式最关键的一点是，它依赖于个人来启动过程，这意味着额外的谨慎可以防止重复案例的发生。 

该漏洞利用是对开源工具的经典供应链攻击。它要求用户首先安装机器人，许多人为了复制 Polymarket 上的成功交易者而这样做。这些用户输入他们的私钥以签署交易，从而不知不觉地暴露了私钥。

建议任何陷入这种困境的人立即删除已下载的存储库，假设与之关联的任何钱包都已被入侵，并尽快将所有资金转移到新钱包中。 

类似的问题在其他 Polymarket 机器人存储库中也出现过，这使得情况更加严峻。因此，仔细审查第三方交易脚本以确保安全变得至关重要。 

需要注意的是，Polymarket 平台并未被黑客攻击；造成这种混乱的机器人是非官方的，由于它们需要直接访问用户的私钥，因此风险很高。