PyPI叕被发现窃取开发者账号密码的恶意包

PyPI叕被发现窃取开发者账号密码的恶意包




安全研究员近日再次发现PyPI中的恶意包，分析后发现依然是用来窃取开发者账号密码的。

这次同样采用了近似名的钓鱼方式，有一些则用了“同义”命名法，比如art——ascii2text，非常标准的名字很容易就会取得开发者的信任。向官方报告后，大部分包已被删除，但已下载的就只能自己删了。

安全研究员提醒，PyPI从不保障软件包的安全性，所以对于有高安全需求的项目，一定要多多检查。

Cloudflare表示Twilio遭到的攻击看起来有点眼熟

看到Twilio遭网络攻击后，Cloudflare也沉不住气了，赶紧出来组团发声，表示这事我熟。

如Twilio事件一样，Cloudflare最开始也是员工遭到SMS钓鱼攻击，接着通过员工账号拿到用户敏感信息。不过Cloudflare事件中有一点不同，那就是黑客在登录员工账号时，被安全防护阻断，他们也没真正泄露数据，这也是他们如今才站出来说的原因。

不明人士向名人发送0.1 ETH 疑似抗议美国制裁混币器Tornado

本周一（8 月 8 日），美国财政部外国资产控制办公室 (OFAC) 对混币协议 Tornado.cash 实施制裁，禁止美国个人和实体通过隐私工具进行交互或交易。不过在周二，有不明人士通过 Tornado 协议向多位名人发送了 0.1 个 ETH，疑似对制裁 Tornado 做出抗议。

根据 NFT 借贷平台 Astaria 技术官 Joseph Delong 揭露，这位不明人士正从受制裁的Tornado Cash钱包向大批钱包地址发送0.1ETH，主要是ENS域名和知名公众人物的钱包。Terra研究员FatMan举出其中数位收到ETH的名人或单位：

Jimmy Fallon(知名脱口秀主持人吉米法隆)

Shaquille O’Neal(前NBA球员奥尼尔)

PUMA(运动品牌PUMA)

Randi Zuckerberg(Facebook执行长扎克伯格的妹妹)

Logan Paul(Youtube网红罗根·保罗)

Brian Armstrong(Coinbase执行长布莱恩·阿姆斯特朗)

Steve Aoki(知名音乐制作人史帝夫‧青木)

Ukraine Crypto Donation(乌克兰募款钱包)

Dave Chappelle(知名喜剧演员戴夫‧查普尔)

Beeple(知名NFT艺术家)

Tornado Cash 是一种混币器（Coin Shuffle）， 是一个去中心化的隐私功能，它可以让用户快速高效地与其他用户的资金进行混合，在现有的用户账户和混币后的新账户之间创建随机的映射关系，从而实现完全匿名。 。美国官员称，流经混币器的大量资金与犯罪活动有关，例如朝鲜从黑客入侵各种加密货币交易所和服务中获得的收益。

这位名叫 Depression2019 的不明用户在本周一发布推文，分享了链上交易的屏幕截图。此举表明调侃美国政府的制裁是无效的。加密货币的开放性旨在消除中介机构，这与传统金融部门使用银行和其他金融机构充当此类交易的看门人不同。

由于 Tornado Cash 是受制裁的实体，美国人可能有法律义务阻止其钱包中的传入交易。 OFAC 规则要求美国人冻结从 Tornado Cash 发送的任何交易或资金。