Gate News 消息，3 月 31 日，区块链安全公司 Fuzzland 实习研究员 Chaofan Shou 在 X 上指出，Anthropic 旗下 AI 编程工具 Claude Code 的 npm 包中包含完整的 source map 文件（cli.js.map，约 60MB），可从中还原出全部 TypeScript 源代码。经验证，今天发布的最新版 v2.1.88 仍然包含该文件，内含 1,906 个 Claude Code 自有源文件的完整代码，涵盖内部 API 设计、分析遥测系统、加密工具、进程间通信协议等实现细节。Source map 是 JavaScript 开发中用于将压缩代码映射回原始源代码的调试文件，不应出现在生产发布包中。2025 年 2 月，Claude Code 早期版本就曾因同一问题被曝光，Anthropic 当时从 npm 移除了旧版本并删除了 source map，但该问题后来再次出现。GitHub 上已有多个公开仓库提取并整理了还原后的源代码，其中 ghuntley/claude-code-source-code-deobfuscation 获得近千颗星。泄露的是 Claude Code CLI 工具的客户端实现代码，不涉及模型权重或用户数据，对普通用户没有直接安全风险，但完整源码的持续暴露意味着内部架构、安全机制和遥测逻辑对外完全透明。
免责声明：本页面信息可能来自第三方，不代表 Gate 的观点或意见。页面显示的内容仅供参考，不构成任何财务、投资或法律建议。Gate 对信息的准确性、完整性不作保证，对因使用本信息而产生的任何损失不承担责任。虚拟资产投资属高风险行为，价格波动剧烈，您可能损失全部投资本金。请充分了解相关风险，并根据自身财务状况和风险承受能力谨慎决策。具体内容详见
声明。
相关文章
在黑客声称 300K+ 记录遭入侵后，Polymarket 否认数据泄露指控
根据 Polymarket 的官方声明，预测市场平台已否认近期有关其遭遇数据泄露的指控，称目前流传的信息涉及公开的 API 端点以及链上区块链数据。使用化名 "xorcat" 的一名黑客声称其已
GateNews45 分钟前
HKMA Warns of Fraudulent Tokens Impersonating Licensed Stablecoin Issuers on April 28
The Hong Kong Monetary Authority (HKMA) issued a public warning on April 28 regarding fraudulent digital tokens circulating under the names of two newly licensed stablecoin issuers. Tokens carrying the tickers "HKDAP" and "HSBC" have appeared in the market without authorization from Anchorpoint
GateNews3小时前
Zondacrypto Customer Data Offered for Sale on Darknet for 550 Euros and 0.6 BTC
据 Bitcoin.pl 称，已倒闭的波兰交易所 Zondacrypto 的客户数据已在暗网上被提供出售，共有两种套餐可选。较小的套餐包含电子邮件地址和基本身份识别数据，售价约为 550 欧元；而较大的数据集——包括身份证件扫描件、验证自拍照、登录历史记录以及钱包地址——费用约为 0.6 BTC。
此次数据泄露发生在 Zondacrypto 本月因流动性问题和储备耗尽而停止提现之后。安全专家警告称，这份完整的数据集可被网络犯罪分子用来实施身份欺诈、开设未获授权的银行账户，或申请贷款。受影响用户被建议更改密码，并启用双重身份验证。
GateNews6小时前
Aftermath Finance 被黑：在 Sui Network 上 36 分钟内盗走 110 万 USDC
据 Blockaid 称，Aftermath Finance 在 Sui Network 上的永续合约协议遭遇了持续攻击，约 110 万 USDC 通过 11 笔交易在 36 分钟内被盗走。该漏洞源自永续合约清算系统中的费用核算缺陷，该缺陷使攻击者能够夸大合成抵押品并从协议的金库中提取资金。
GateNews7小时前
伪装为 AI 工具的 30 个恶意插件在 ClawHub 上被下载超过 9,800 次
据 Manifold 研究员 Ax Sharma 称，ClawHub 上共有 30 个以合法 AI 工具为幌子的插件已被下载超过 9,800 次，同时在暗中将用户的 AI 助手转换为加密货币劳工。这些插件由账号 imaflytok 发布，看起来像常规的任务调度器和监控工具，但其中包含会执行未经授权操作的隐藏指令。
一旦安装，这些插件会自动将用户的 AI 助手注册到第三方服务器，生成加密货币钱包，并在未经用户同意或告知的情况下提取私钥。随后，这些助手每 4 小时“报到”一次，等待任务分配。Sharma 指出，这些插件不包含安全扫描器可检测到的恶意代码，仅使用标准接口和合法工具，因此很难通过常规安全审查识别出来。
GateNews7小时前
