10,000 USDT 悬赏，寻找Gate广场跟单金牌星探！🕵️♀️
挖掘顶级带单员，赢取高额跟单体验金！
立即参与：https://www.gate.com/campaigns/4624
🎁 三大活动，奖金叠满：
1️⃣ 慧眼识英：发帖推荐带单员，分享跟单体验，抽 100 位送 30 USDT！
2️⃣ 强力应援：晒出你的跟单截图，为大神打 Call，抽 120 位送 50 USDT！
3️⃣ 社交达人：同步至 X/Twitter，凭流量赢取 100 USDT！
📍 标签： #跟单金牌星探 #GateCopyTrading
⏰ 限时： 4/22 16:00 - 5/10 16:00 （UTC+8）
详情：https://www.gate.com/announcements/article/50848
Axios供应链攻击后遗症：明天起OpenAI旧版Mac应用全部失效
据动察 Beating 监测，OpenAI 的 macOS 签名证书将于明天（5 月 8 日）正式吊销。届时未更新的 ChatGPT Desktop、Codex、Codex CLI 和 Atlas 旧版将无法启动，也不再收到更新。用 Mac 版的现在就该更新，通过应用内更新或去 OpenAI 官网下载即可。
事情源于 3 月 31 日的一次 npm 供应链攻击。Axios，一个每周下载量超 7000 万的 JavaScript HTTP 库，被攻击者用窃取的维护者账号发布了两个恶意版本（1.14.1 和 0.30.4）。恶意版本注入了一个名为 plain-crypto-js 的假依赖，安装时自动下载远程访问木马（RAT），覆盖 macOS、Windows 和 Linux 三个平台。微软将这次攻击归因于朝鲜黑客组织 Sapphire Sleet。
OpenAI 的 GitHub Actions 工作流在构建 macOS 应用时自动拉取了恶意版本，而这个工作流能访问应用签名证书。OpenAI 分析认为证书大概率没被成功窃取，但按泄露处理，已轮换证书并与 Apple 合作封堵旧证书的公证通道。目前没有发现用户数据泄露、系统入侵或软件被篡改的证据，密码和 API key 也不受影响。
根因是工作流配置问题：引用依赖时用了浮动版本标签而非固定 commit hash，也没设 minimumReleaseAge（新包发布后的冷却期），导致恶意版本一上线就被自动拉入构建。