nofx

ChainCatcher 消息，開源 AI 交易系統 NoFx 開發者 Tinkle 昨日就項目早期參與者 Zack 引發的社區爭議發布說明表示，Zack 於 2025 年 10 月 29 日在項目開源後加入，僅參與約 14 天並貢獻少量代碼，隨後提出以引薦 Amber 參與商業化為條件索要 50% 股權，遭拒後扣留項目推特帳號，並通過律師函索要 50 萬枚 USDT，同時在多個渠道發布不實信息。Tinkle 表示相關記錄均可查證，團隊將不再回應個人爭議，專注產品研發。對此，Zack 發表聲明反駁，稱相關指控嚴重失實並損害其個人聲譽，律師函由律師事務所發出，證據已完成律師保全，相關主張合法合規，若爭議無法通過法律渠道解決，將公開完整視頻、音頻、聊天記錄及時間線等證據。NoFx 官方 X 帳號隨後發布公開信稱，近期關於社區成員、代碼使用邊界及知識產權的討論已交由專業律師團隊統一處理，否認涉及融資、利益輸送等傳言，並強調 NoFx 是由社區驅動的開源項目而非商業公司。團隊同時重申項目採用 AGPL-3.0 許可，將依法維護開源規範與貢獻者權益，未來將回歸工程本身，專注打造支持自托管和多交易平台接入的 AI Trading OS。此外，Amber Group 旗下生態加速器 amber.ac 亦發布聲明，明確表示截至目前與 NoFx 項目不存在任何正式孵化、投資或商業合作關係，雙方僅進行過開放性的行業交流，呼籲各方回歸技術與理性溝通，推動生態健康發展。

ChainCatcher 消息，開源 AI 交易操作系統 NOFX 核心貢獻者 Tinkle 在 X 平台發文稱，發現由 ChainOpera AI 基金會運營的測試網絡直接部署了其一個月前發布的代碼版本。Tinkle 表示，對方僅修改了 UI 中的 Logo 與位置，但代碼中仍保留 "Nofx" 品牌標識，首頁文案也幾乎相同，且從未進行過任何事前溝通。Tinkle 透露，其系統在過去一個月已快速迭代，並接入了幣安、OKX 等 7 家交易所。在公開聲明前，團隊已嘗試通過私下渠道聯繫對方，若未獲回應將保留證據並可能採取進一步行動。Tinkle 強調，其遵循 AGPL 開源協議精神，倡導使用、部署與改進應保持透明與署名。其團隊共 12 人，產品旨在讓用戶通過自然語言生成量化策略。

ChainCatcher 消息，慢霧安全團隊近日對基於 DeepSeek/Qwen 的開源自動化期貨交易系統 NOFX AI 進行分析，發現多個嚴重認證漏洞。其指出，系統在默認配置下存在"零認證"模式，管理員模式被直接啟用，使得所有請求無需驗證即可通過，攻擊者可訪問 /api/exchanges 並獲取完整 API 密鑰與私鑰。在"需授權"模式下雖加入 JWT，但默認 jwt_secret 依然存在，若未設置環境變量將回退為默認密鑰。此外，該模式下敏感字段仍以原始 JSON 輸出，令牌一旦被偽造或竊取，同樣會導致密鑰泄露。慢霧表示，截至目前已識別超過千個公開部署實例使用脆弱配置，並已與幣安及 OKX 安全團隊協調，完成相關憑證替換。團隊提醒所有用戶立即升級系統，尤其是在 Aster 或 Hyperliquid 上運行機器人的用戶應儘快檢查設置。

ChainCatcher 消息，慢霧創始人余弦發推表示，"用 NoFx 這個開源自動交易系統的朋友留意下，我們披露的風險已經出現真實的盜幣事件，有些使用者的錢包私鑰、CEX/DEX API Key 因此洩露。為了使風險最小化，我們聯合相關安全團隊儘可能對受影響使用者通知到位，之後才發此文披露細節。"