Фалшив Python пакет компрометирал стотици криптопортфейли
Неизвестна страна е разгласила в централното Python вместилище PyPI злотворен пакет, който откраднал стотици частни ключове за криптопортфейли. Той пресичал процеса по основаването им и крадял ключове за Ethereum портфейли. След това, тези ключове били качвани към блокчейна Polygon.
От компанията за киберсигурност и разработка Socket оповестяват, че името на пакета e set-utils. Името му е основано за да заблуди свалящите го, че става въпрос за известния пакет python-utils, както и utils. Оригиналните пакети имат 712 милиона и 23.5 милиона сваляния, надлежно. Фалшивият пакет от своя страна е бил свален над 1000 пъти преди от Socket да уведомят администриращите PyPI и той да бъде отстранен. Пакетът е качен в хранилището в края на януари. Основен обект на офанзивите са били хора, употребяващи библиотеки за ръководство на портфейли, като eth-account, допълват Socket. А също по този начин, работещи по Python основани DeFi планове, над Web3 приложения с поддръжка на Ethereum, както и персонални портфейли, употребяващи Python автоматизация.
Socket приканват свалилите зловредния пакет да го деинсталират незабавно. Всеки един портфейл, основан с негова помощ би трябвало да се смята за злепоставен. Ако в него има финансови активи, те би трябвало да бъдат преместени в различен портфейл.
