Slow Fog afirma que el sistema de comercio automático NOFX AI presenta una grave vulnerabilidad que necesita ser actualizado lo antes posible.

Según informes de Mars Finance, el equipo de Slow Mist ha analizado recientemente el sistema de comercio automatizado de futuros de código abierto NOFX AI, basado en DeepSeek/Qwen, y ha descubierto múltiples vulnerabilidades graves de verificación. Señalan que, en la configuración predeterminada, el sistema presenta un modo de “cero verificación”, donde el modo de administrador se activa directamente, permitiendo que todas las solicitudes pasen sin autenticación, lo que permite a los atacantes acceder a /api/exchanges y obtener la Llave secreta y la Llave privada completas. Aunque se ha añadido JWT en el modo “se requiere autorización”, el jwt_secret predeterminado todavía existe, y si no se configura una variable de entorno, retrocederá a la Llave secreta predeterminada. Además, en este modo, los campos sensibles todavía se devuelven en formato JSON original, lo que significa que si el token es falsificado o robado, también puede llevar a la filtración de la Llave secreta. Slow Mist indica que hasta la fecha se han identificado más de k instancias de despliegue público que utilizan configuraciones vulnerables y ya han coordinado con los equipos de seguridad de Binance y OKX para completar el reemplazo de credenciales relacionadas. El equipo advierte a todos los usuarios que actualicen su sistema de inmediato, especialmente aquellos que ejecutan Bots en Aster o Hyperliquid, deben verificar sus configuraciones lo antes posible.