❗️ АНТИСКАМ.РФ

⚫️ Недавно Ethereum-разработчик Зак Коул написал о том, как похитили криптовалюту с одного из его кошельков. Он уже 10 лет в криптомире и много внимания уделяет безопасности, но всё равно упустил угрозу. Опишем случай в рубрике #антискам: в первую очередь он актуален для разработчиков, но последний пункт применим не только к ним. ⚫️ Один из кошельков Зака внезапно оказался опустошённым. Он стал разбираться и обнаружил следующее. При разработке смарт-контрактов он использовал этот кошелёк. И в своём проекте рядом с кодом поместил конфигурационный .env-файл с данными для доступа к нему. Но не делился ни с кем этим файлом. ⚫️ За три дня до кражи он установил в своём редакторе кода Cursor расширение «contractshark.solidity-lang». Оно не внушало подозрений: например, у него было уже более 50 000 установок. Но на практике оказалось злонамеренным. Поскольку у редактора кода (и расширений к нему) есть доступ к файлам проекта, оно взяло данные из .env-файла Зака и отправило их своим создателям. ⚫️ Зак хранит основные средства на хардверном кошельке, так что кража затронула только его вспомогательный кошелёк для разработки, но и на нём лежали сотни долларов. Теперь он сделал вывод, что вообще никогда нельзя хранить напрямую в проекте приватные ключи никаких кошельков. ⚫️ А также сделал вывод, что у расширений вместо количества скачиваний надо смотреть на дату публикации. Потому что скачивания легко накрутить, а дату нет. Здесь расширение было опубликовано всего несколько дней назад. ⚫️ Позиция «не хранить в проекте данные никаких кошельков» может звучать слишком категорично: например, если на кошельке для тестирования всего пара тонкоинов, стоит ли сильно переживать? Но в любом случае стоит учитывать: 💡 Если приватный ключ кошелька хранится в проекте, это потенциальный источник утечки. Даже если это временно («потестируем и удалим»), даже если злонамеренных расширений нет: бывают и случаи, когда начинающий разработчик сам случайно публикует свой проект в открытом репозитории, забыв, что кроме кода, там его сид-фраза. 💡 Расширения для популярных программ бывают злонамеренными. Сами по себе Google Chrome или Visual Studio Code — проекты с репутацией, которые вряд ли решат вас грабить. Но вот расширения к ним может написать кто угодно, и не всегда проблему заметят сразу же. Относитесь к ним с осторожностью. @thedailytonrus