Только что обнаружил ужасный факт.



Всё содержимое файла конфигурации окружения исчезло. API-ключи? Пропали. Приватные ключи кошелька? Тоже пропали. Даже тестовые ключи испарились вместе с ними.

Что это значит? Это означает, что кто-то, возможно, уже получил доступ к этой чувствительной информации. Теперь, оглядываясь назад, понимаю, что то безобидное на первый взгляд обновление зависимостей на прошлой неделе, возможно, и стало спусковым крючком. Кто бы мог подумать, что обычная операция может прорвать всю линию обороны безопасности.

Всем разработчикам на заметку: регулярно проверяйте права доступа к .env-файлу, не добавляйте его в репозиторий с кодом. А самое главное — такие вещи, как приватные ключи, лучше хранить на аппаратных кошельках или в сервисах управления ключами. Не повторяйте моих ошибок — не ждите, пока что-то случится, чтобы осознать всю серьёзность проблемы.
Посмотреть Оригинал
На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .
  • Награда
  • 4
  • Репост
  • Поделиться
комментарий
0/400
SerRugResistantvip
· 12-08 22:05
Ого, вот это та самая легендарная атака на цепочку поставок, слишком страшно. Боже, даже обновление зависимостей может быть такой глубокой ловушкой? Хорошо, что обнаружили рано. У этого парня, наверное, сейчас полный шок, срочно нужно менять кошелек. Я уже давно говорил, что .env ни в коем случае нельзя выкладывать в репозиторий, а столько людей все еще на этом обжигаются. Аппаратный кошелек — это действительно не опция, а необходимость, понятно?
Посмотреть ОригиналОтветить0
GasFeeCrybabyvip
· 12-08 21:51
Ох, вот это парень реально попал в беду. Чёрт, даже обновление зависимостей может привести к фейлу? Теперь я вообще боюсь просто так делать upgrade. Вот почему я предпочитаю вручную всё поддерживать и не трогаю эти навороченные штуки. Аппаратный кошелёк реально спасает, так и надо было давно делать. Страшно даже подумать о таком, кажется, весь экосистема стала небезопасной.
Посмотреть ОригиналОтветить0
LiquidityHuntervip
· 12-08 21:51
Чёрт, это же атака на цепочку поставок, слишком страшно --- Обновление зависимостей — это реально ящик Пандоры, чуть оступился — и всё пропало --- Хорошо, что не захардкодил приватный ключ, а то уже бы всё давно обнулили --- К доступу к .env надо подходить строже, gitignore тоже нужно дважды проверить --- Погоди, все ключи испарились? А средства в безопасности? Надо срочно переносить --- Вот почему я никогда не храню приватные ключи локально, аппаратный кошелёк реально спасает --- Ещё один кровавый урок, сколько разработчиков благодаря этому посту смогут избежать беды
Посмотреть ОригиналОтветить0
BlockTalkvip
· 12-08 21:48
Вот почему я никогда не доверяю автоматическим обновлениям...
Посмотреть ОригиналОтветить0
  • Закрепить