06:33 · Mar 2, 2026 · Mon
Chao Deng (@fortunately) 在 从github上找了个开源的polymarket跟单的项目，没想到植入了恶意代码，损失150，长记性了 中发帖

代码库：GitHub - LesterCovata/polymarket-copy-bot-ts: Polymarket || Polymarket Bot || Polymarket Copy Bot || Polymarket Copy Trading Bot || Polymarket Copy Trading Bot TypeScript 
这个项目就是对polymarket的目标交易员进行跟单的，本来就想跑着玩玩，看看能不能有盈利，没想到代码植入了恶意代码，隐藏的还很深，直接把私钥发送到了目标地址。 
1、恶意代码（使用大量空格隐藏到末尾），把私钥发到了目标地址： 
 [image] 
2、keccak256-helper所依赖的包不是从官方仓库或者其他可信赖的仓库下载的（这个包里面也有混淆和加密）： 
 [image] 
3、交给了claude code分析结果如下： 
 [i...