Nouvelles de la Gate News, le 31 mars, le stagiaire chercheur en sécurité blockchain Chaofan Shou de la société Fuzzland a indiqué sur X que le package npm de l’outil de programmation IA Claude Code de l’entreprise Anthropic contient un fichier de source map complet (cli.js.map, environ 60 Mo), à partir duquel il est possible de reconstituer l’intégralité du code source TypeScript. Après vérification, la dernière version publiée aujourd’hui, la v2.1.88, contient encore ce fichier : il renferme le code complet des 1 906 fichiers de source appartenant à Claude Code, incluant des détails d’implémentation tels que la conception des API internes, le système de télémétrie d’analyse, les outils de chiffrement, les protocoles de communication interprocessus, etc. Une source map est un fichier de débogage utilisé en développement JavaScript pour faire correspondre le code compressé au code source original ; elle ne devrait pas apparaître dans les paquets de déploiement en production. En février 2025, une version précoce de Claude Code a déjà été exposée pour le même problème : à l’époque, Anthropic avait retiré l’ancienne version de npm et supprimé la source map, mais ce problème est ensuite réapparu. Sur GitHub, plusieurs dépôts publics ont déjà extrait et organisé les codes sources reconstitués ; parmi eux, le dépôt ghuntley/claude-code-source-code-deobfuscation a obtenu près de mille étoiles. La fuite concerne le code côté client de l’outil CLI de Claude Code : elle ne porte pas sur les poids du modèle ni sur les données des utilisateurs, et ne présente donc pas de risque de sécurité direct pour les utilisateurs ordinaires. Toutefois, la exposition continue du code source complet signifie que l’architecture interne, les mécanismes de sécurité et la logique de télémétrie sont entièrement transparents pour le public.
Avertissement : Les informations contenues dans cette page peuvent provenir de tiers et ne représentent pas les points de vue ou les opinions de Gate. Le contenu de cette page est fourni à titre de référence uniquement et ne constitue pas un conseil financier, d'investissement ou juridique. Gate ne garantit pas l'exactitude ou l'exhaustivité des informations et n'est pas responsable des pertes résultant de l'utilisation de ces informations. Les investissements en actifs virtuels comportent des risques élevés et sont soumis à une forte volatilité des prix. Vous pouvez perdre la totalité du capital investi. Veuillez comprendre pleinement les risques pertinents et prendre des décisions prudentes en fonction de votre propre situation financière et de votre tolérance au risque. Pour plus de détails, veuillez consulter l'
avertissement.
Articles similaires
Kelp DAO réfute les critiques de LayerZero, les créances douteuses d’Aave atteignent jusqu’à 230 millions de dollars
Kelp DAO a publié une déclaration le 21 avril pour réfuter les critiques de LayerZero concernant sa configuration de 1/1 DVN, en attribuant la responsabilité fondamentale de cette faille de 292 millions de dollars à l’infrastructure de LayerZero. Aave publie un rapport d’évaluation de l’impact de l’événement : dans un scénario de pertes réparties de manière uniforme, environ 124 millions de dollars, tandis que dans un scénario où les pertes sont concentrées sur le L2, elles peuvent atteindre jusqu’à 230 millions de dollars.
MarketWhisperIl y a 17m
DefiLlama dément les indicateurs exagérés, affirmant que les données d’Aave ont été exclues du calcul de la liquidité en circulation
KelpDAO provoque une vulnérabilité qui fait chuter la valeur totale verrouillée (TVL) d’Aave : après être passée de 26,4 milliards de dollars au 18 avril 2026 à environ 17 milliards de dollars le 21 avril, le fondateur de DefiLlama, 0xngmi, a répondu officiellement sur la plateforme X aux accusations selon lesquelles ses données de TVL d’Aave auraient été exagérées via la liquidité en boucle. Il a déclaré que le montant des jetons prêtés a déjà été déduit de la TVL.
MarketWhisperIl y a 1h
Analyse Dune : 47% des LayerZero OApps utilisent la configuration de sécurité DVN minimale 1-of-1
L’analyse des LayerZero OApps après le piratage de KelpDAO révèle des problèmes de sécurité importants, 47% utilisant le niveau DVN 1-of-1 le moins sécurisé. Le jeton rsETH de KelpDAO fonctionne également à ce niveau vulnérable, exposant les risques des architectures à validateur unique.
GateNewsIl y a 2h
Le rapport d’installation de Claude Desktop indique apparemment qu’elle écrit un fichier dérobé dans des navigateurs basés sur Chromium
L’application Claude Desktop d’Anthropic installe un fichier dérobé (backdoor) dans des navigateurs basés sur Chromium sans le consentement de l’utilisateur, ce qui pose de sérieux risques de sécurité et de confidentialité en permettant potentiellement aux attaquants de contrôler les navigateurs des utilisateurs.
GateNewsIl y a 3h
Ressortissant chinois arrêté à l’aéroport de Buenos Aires pour un schéma de fraude crypto de 49,4 M$
Un ressortissant chinois a été arrêté en Argentine pour avoir transporté un passeport paraguayen falsifié. Il est recherché pour avoir orchestré une fraude en crypto-monnaies de 49,4 millions de dollars au Nigeria, et des procédures d’extradition sont en cours de lancement.
GateNewsIl y a 3h
Le coffre Lido EarnETH exposé à 21,6 M$ en rsETH après l’exploitation du pont Kelp, le DAO fixe une protection contre les pertes à $3M
Le 18 avril, une faille d’exploitation sur un pont inter-chaînes Kelp a conduit au vol de $292 millions en rsETH. Lido a indiqué une exposition de 21,6 millions de dollars via son coffre EarnETH, ce qui a poussé Aave à geler les marchés concernés. EarnETH a suspendu les transactions et procède à une réduction de levier, tandis que la trésorerie du DAO de Lido a mis en place un mécanisme de protection de $3 millions afin de couvrir les pertes potentielles. Le protocole de staking de base reste inchangé.
GateNewsIl y a 4h
