📢 門廣場｜4/17 熱議：#山寨币强势反弹
隨著 BTC 企穩回升，壓抑已久的山寨幣市場迎來報復性反彈！
領漲先鋒： $ORDI 24H 飆升 190% 領跑賽道。
普漲行情： $SATS、$NEIRO、$AXL 漲幅均超 40%，高波動資產流動性顯著回暖。
這究竟是“深坑反彈”的起點，還是主升浪前的最後誘多？你會果斷滿倉，還是保持空倉觀望？
🎁 行情研判，抽 5 位幸運兒瓜分 $1,000 仓位體驗券！
💬 本期討論：
1️⃣ 這波反彈你上車了嗎？亮出你的操作策略或收益截圖！
2️⃣ 還有哪些幣種值得重點關注？
2️⃣ 後續行情如何？留下你的精準預測。
分享您的觀點 👉 https://www.gate.com/post
📅 4/17 12:00 - 4/19 18:00 (UTC+8)
OpenAI 在 Axios 供應鏈攻擊後，旋轉 macOS 證書
艾瑞斯·科爾曼
2026年4月15日 02:02
OpenAI回應與朝鮮相關的Axios npm被破壞事件，透過輪換簽名證書來應對。macOS用戶必須在5月8日前更新ChatGPT、Codex應用程式。
OpenAI正強制所有macOS用戶更新桌面應用程式，因為公司應用簽名流程遭到Axios供應鏈攻擊曝光——此攻擊歸因於朝鮮威脅行為者，於2026年3月31日攻擊了流行的JavaScript函式庫。
這家AI巨頭表示未發現用戶資料被存取或軟體被篡改的證據。但公司不敢冒險：將其macOS簽名證書視為已被破壞，並於2026年5月8日全面吊銷。
事情的經過
當被破壞的Axios版本1.14.1於3月31日上傳至npm時，OpenAI用於macOS應用簽名的GitHub Actions工作流程下載並執行了惡意程式碼。該工作流程擁有用於簽署ChatGPT桌面版、Codex、Codex CLI和Atlas的證書——這些憑證告訴macOS“是的，這個軟體確實來自OpenAI”。
根本原因？配置錯誤。OpenAI的工作流程使用浮動標籤來引用Axios，而非固定提交哈希，且未設定新套件的最小發布年齡（minimumReleaseAge）。這是典型的供應鏈漏洞。
OpenAI的內部分析指出，簽名證書可能未成功被竊取，原因是時間和執行序列的問題。但“可能”並不足夠，畢竟這是用來簽署在數百萬台機器上運行的軟體。
更廣泛的攻擊
Axios的破壞事件並非專門針對OpenAI。安全研究人員，包括Google的威脅情報團隊，已將此攻擊與一個與朝鮮有關的行動者聯繫起來——可能是Sapphire Sleet或UNC1069。攻擊者入侵了一個npm維護者帳號，注入一個名為‘plain-crypto-js’的惡意依賴，該依賴部署了一個跨平台的遠控木馬（RAT），能進行偵察、持久化和自我銷毀以躲避偵測。
此次攻擊波及全球商業服務、金融服務和科技行業的組織。
用戶需要採取的措施
如果你運行任何OpenAI的macOS應用，立即更新。5月8日後，較舊版本將完全停止運作。最低版本要求：
僅從官方來源或透過應用內更新下載。OpenAI明確警告不要從電子郵件、廣告或第三方網站安裝任何東西——這是合理的建議，因為持有舊證書的惡意行為者理論上可以簽署偽造的應用程式，使其看起來合法。
Windows、iOS、Android和Linux用戶不受影響，網頁版也未受影響。密碼和API金鑰仍然安全。
為何只有30天的期限？
OpenAI本可立即吊銷證書，但選擇了延遲。使用被破壞證書的新認證已被阻擋，意味著任何用該證書簽署的偽造應用若未經手動繞過，將無法通過macOS的預設安全檢查。
這段時間讓用戶有機會透過正常渠道更新，而不是醒來時發現軟體壞掉。OpenAI表示，正監控任何證書濫用的跡象，若出現惡意活動，將加快吊銷速度。
此事件凸顯供應鏈攻擊如何持續在軟體生態系中擴散。一個被破壞的npm套件，便讓OpenAI不得不在整個macOS產品線中輪換證書。對開發者來說，教訓很明確：將依賴鎖定到特定提交，而非浮動標籤。
圖片來源：Shutterstock