API 文档也是供应链。照着文档写交易脚本的人，这次可能就是从文档这扇门出的事。 事实部分（据 http://Predict.fun 官方公告和链上分析者的… · @0xwolverines · TwKit

@0xwolverines

API 文档也是供应链。照着文档写交易脚本的人，这次可能就是从文档这扇门出的事。 事实部分（据 http://Predict.fun 官方公告和链上分析者的公开帖，事故复盘还没出）：BNB Chain 上的预测市场 http://Predict.fun 10 月 27 日确认，少数用户钱包被未授权转走约 40 万 USDT。官方初步判断是第三方托管的 API 文档站可能被入侵，文档站已下线，承诺全额赔付。链上分析者 @AndrewSeb555 统计 10 月 22 日和 27 日两波共至少 39 万美元，每笔都是用账户自己的私钥签的，但不是从 App 发出的；一位受害者说自己上周一直在照着文档写策略脚本。 我的判断：文档具体被改了什么、私钥怎么泄露的，官方还没说，我不下结论。但方向很清楚：以前我们只审依赖包，现在复制的示例代码、让 AI 读的文档页，同样会直接变成你脚本里的代码。 我会这么做： 1. 写自动交易脚本用单独的小额钱包或子账户，主资金不放在脚本能碰到的地方。 2. 私钥只从本地环境变量或密钥管理读取，文档示例里要求填私钥、贴助记词、改 RPC 或请求地址的，一律先核对。 3. 让 AI 照文档写代码时，看一眼它生成的网络请求都发往哪些域名。 你们写交易脚本时，私钥放在哪？ #Web3安全 #AI安全 #API

曝光 10 · 评论 0 · 点赞 0 · 书签 0