Всё содержимое файла конфигурации окружения исчезло. API-ключи? Пропали. Приватные ключи кошелька? Тоже пропали. Даже тестовые ключи испарились вместе с ними.
Что это значит? Это означает, что кто-то, возможно, уже получил доступ к этой чувствительной информации. Теперь, оглядываясь назад, понимаю, что то безобидное на первый взгляд обновление зависимостей на прошлой неделе, возможно, и стало спусковым крючком. Кто бы мог подумать, что обычная операция может прорвать всю линию обороны безопасности.
Всем разработчикам на заметку: регулярно проверяйте права доступа к .env-файлу, не добавляйте его в репозиторий с кодом. А самое главное — такие вещи, как приватные ключи, лучше хранить на аппаратных кошельках или в сервисах управления ключами. Не повторяйте моих ошибок — не ждите, пока что-то случится, чтобы осознать всю серьёзность проблемы.
Посмотреть Оригинал
На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .
17 Лайков
Награда
17
4
Репост
Поделиться
комментарий
0/400
SerRugResistant
· 12-08 22:05
Ого, вот это та самая легендарная атака на цепочку поставок, слишком страшно.
Боже, даже обновление зависимостей может быть такой глубокой ловушкой? Хорошо, что обнаружили рано.
У этого парня, наверное, сейчас полный шок, срочно нужно менять кошелек.
Я уже давно говорил, что .env ни в коем случае нельзя выкладывать в репозиторий, а столько людей все еще на этом обжигаются.
Аппаратный кошелек — это действительно не опция, а необходимость, понятно?
Посмотреть ОригиналОтветить0
GasFeeCrybaby
· 12-08 21:51
Ох, вот это парень реально попал в беду.
Чёрт, даже обновление зависимостей может привести к фейлу? Теперь я вообще боюсь просто так делать upgrade.
Вот почему я предпочитаю вручную всё поддерживать и не трогаю эти навороченные штуки.
Аппаратный кошелёк реально спасает, так и надо было давно делать.
Страшно даже подумать о таком, кажется, весь экосистема стала небезопасной.
Посмотреть ОригиналОтветить0
LiquidityHunter
· 12-08 21:51
Чёрт, это же атака на цепочку поставок, слишком страшно
---
Обновление зависимостей — это реально ящик Пандоры, чуть оступился — и всё пропало
---
Хорошо, что не захардкодил приватный ключ, а то уже бы всё давно обнулили
---
К доступу к .env надо подходить строже, gitignore тоже нужно дважды проверить
---
Погоди, все ключи испарились? А средства в безопасности? Надо срочно переносить
---
Вот почему я никогда не храню приватные ключи локально, аппаратный кошелёк реально спасает
---
Ещё один кровавый урок, сколько разработчиков благодаря этому посту смогут избежать беды
Посмотреть ОригиналОтветить0
BlockTalk
· 12-08 21:48
Вот почему я никогда не доверяю автоматическим обновлениям...
Только что обнаружил ужасный факт.
Всё содержимое файла конфигурации окружения исчезло. API-ключи? Пропали. Приватные ключи кошелька? Тоже пропали. Даже тестовые ключи испарились вместе с ними.
Что это значит? Это означает, что кто-то, возможно, уже получил доступ к этой чувствительной информации. Теперь, оглядываясь назад, понимаю, что то безобидное на первый взгляд обновление зависимостей на прошлой неделе, возможно, и стало спусковым крючком. Кто бы мог подумать, что обычная операция может прорвать всю линию обороны безопасности.
Всем разработчикам на заметку: регулярно проверяйте права доступа к .env-файлу, не добавляйте его в репозиторий с кодом. А самое главное — такие вещи, как приватные ключи, лучше хранить на аппаратных кошельках или в сервисах управления ключами. Не повторяйте моих ошибок — не ждите, пока что-то случится, чтобы осознать всю серьёзность проблемы.