Polymarket 的跟单交易者被警告提防恶意窃取私钥的代码

安全研究人员和公司已发出警告，提醒人们注意 GitHub 上托管的一款流行的开源 Polymarket 跟单交易机器人。 

该机器人由名为“Trust412”的开发者创建，据报道，其多个提交和依赖项中都包含隐藏的恶意代码。 

SlowMist发出Polymarket交易机器人警告 

今天早些时候，12 月 21 日，SlowMist 的首席信息安全官 23pds 转发了 警告 警告 称 GitHub 上的 Polymarket 跟单交易机器人中存在恶意代码，构成安全风险。 

此次dent 提醒了许多人，加密机器人市场仍然存在许多漏洞，因此，仔细审查 GitHub 代码库中 隐藏的威胁已成为必不可少的环节。 

根据 23pds 互动过的帖子，这段代码是故意放置在那里的，但其恶意性质被掩盖了，作者反复修改代码以确保它能逃避检测。 

“polymarket-copy-trading-bot”存储库中的多个提交都出现了这种情况，这可能会使用户面临资金被盗的风险。

机器人程序中的隐藏代码使其能够matic扫描和读取配置文件，trac私钥，并将其传输到黑客控制的远程服务器。  

用户务必谨慎对待任何未经审核的代码库。23pds 在帖子中声称，这并非首次有人使用这种方法攻击 GitHub 及其用户，而且也不会是最后一次此类dent。 

如何避免私钥漏洞利用 

这种攻击方式最关键的一点是，它依赖于个人来启动攻击过程，这意味着格外谨慎对于防止此类事件再次发生大有裨益。 

该漏洞利用是一种针对开源工具的 classic 供应链攻击。它要求用户先安装机器人程序，许多用户为了复制 Polymarket 上成功的交易者而安装该程序。这些用户在签署交易时输入了私钥，从而在不知不觉中暴露了他们的私钥。

如果遇到这种情况，建议立即删除已下载的存储库，假设与其关联的任何钱包都已被盗用，并尽快将所有资金转移到新的钱包。 

更糟糕的是，其他 Polymarket 机器人代码库。因此，为了安全起见，仔细审查第三方交易脚本至关重要。 

需要注意的是，Polymarket 平台并未遭到黑客攻击；造成这种破坏的机器人是非官方的，它们风险很高，因为它们需要直接访问用户的私钥。