SlowMist выявила критические уязвимости в автоматизированной торговой системе NOFX AI

244

2 мин

17.11.2025

Binance
безопасность
OKX
API
Slowmist
Интернет
рекомендации

Команда SlowMist провела углубленный анализ безопасности NOFX AI после получения сигнала от Endlessss20. Речь идет об открытой автоматизированной системе для фьючерсной торговли, построенной на базе DeepSeek/Qwen. В ходе проверки специалисты изучили разные коммиты репозитория проекта. Анализ показал, что в системе присутствуют серьезные проблемы с аутентификацией. Они затрагивают доступ к конфиденциальной информации пользователей.

Исследователи выявили две ключевые уязвимости в разных версиях. Эти настройки создают риск несанкционированного доступа к важным данным пользователей. В совокупности такие конфигурации делают систему уязвимой при публичном размещении. Во время интернет-сканирования SlowMist обнаружила более 1 тыс. публично доступных развертываний NOFX AI. Многие из них использовали параметры по умолчанию или уязвимые конфигурации. В результате пользователи могли неосознанно раскрывать свои учетные данные, включая API-ключи от централизованных бирж. Команда отмечает, что такая открытая доступность несет прямую угрозу активам. Это требовало немедленных мер реагирования.

После выявления угрозы SlowMist связалась с командами безопасности Binance и OKX. Специалисты передали все необходимые данные, после чего биржи провели независимую проверку. На основании полученных API-ключей они выявили пострадавших пользователей, уведомили их и инициировали ротацию ключей. Это помогло предотвратить потенциальные атаки, связанные с манипуляциями торговой активности, и защитило средства пользователей. Такие действия позволили минимизировать возможные последствия уязвимостей.

По состоянию на 17 ноября все пользователи централизованных бирж с утекшими ключами были уведомлены, а их данные — отозваны. Пользователей Aster и Hyperliquid сложнее предупредить из-за особенностей децентрализованных кошельков. SlowMist рекомендует всем, кто использует ботов на этих платформах, проверить свои настройки. Команда также планирует передать детальное описание проблемы разработчикам NOFX AI. Они намерены предоставить рекомендации по устранению уязвимостей.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Токен MORPHO на короткое время вырос на 10% на фоне партнерства с Apollo

На фоне новости о партнерстве с Apollo токен MORPHO ненадолго подорожал примерно на 10% и сейчас торгуется по $1,25, следует из данных HTX. Morpho договорилась с Apollo Global Management, которая управляет активами на $900 млрд: компания планирует купить до 90 млн токенов MORPHO в течение 48 месяцев и вместе с проектом поддерживать рынок кредитования в сети протокола.

Morpho заключила партнерство с Apollo: компания может купить 90 миллионов MORPHO за 4 года

Morpho объявила о партнерстве с Apollo Global Management, под управлением которой находятся активы на $900 миллиардов. По соглашению Apollo или ее аффилированные структуры могут приобрести до 90 миллионов токенов MORPHO в течение 48 месяцев через открытый рынок, OTC-сделки и другие форматы с учетом ограничений на передачу и торговлю. Компании намерены совместно поддерживать рынок кредитования Morpho On-Chain, а Galaxy Digital UK Limited станет эксклюзивным финансовым консультантом Morpho.

Grayscale подала в SEC заявку на запуск спотового AAVE-ETF на NYSE Arca

Grayscale направила в SEC заявку на преобразование своего закрытого AAVE Trust в спотовый ETF и планирует разместить его на NYSE Arca. Фонд будет взимать спонсорскую комиссию 2,5% от чистой стоимости активов с оплатой в AAVE, а хранение и основное брокерское обслуживание обеспечит Coinbase.

Глава Coinbase: запрет доходности по стейблкоинам повысит прибыль компании, но ослабит позиции крипторынка США

Генеральный директор Coinbase Брайан Армстронг заявил, что возможный запрет выплат доходности по стейблкоинам увеличит прибыль Coinbase, поскольку сейчас компания платит высокие вознаграждения держателям USDC. При этом он подчеркнул, что не поддерживает такую меру, так как выплаты выгоднее для потребителей и помогают регулируемым стейблкоинам оставаться конкурентоспособными в мире, что важно для США. Комментарий прозвучал на фоне спора вокруг CLARITY Act, где обсуждают запрет или ограничения для платформ на вознаграждения пользователям в стейблкоинах.

Партнёр Benchmark назвал фейком новости о «присоединении к закону о льготах»

Партнёр Benchmark Билл Гурли в соцсетях опроверг сообщения о «присоединении Грейс Лей». По его словам, он пошутил, а распространённая информация оказалась фейком.