nofx

ChainCatcher 消息，开源 AI 交易系统 NoFx 开发者 Tinkle 昨日就项目早期参与者 Zack 引发的社区争议发布说明表示，Zack 于 2025 年 10 月 29 日在项目开源后加入，仅参与约 14 天并贡献少量代码，随后提出以引荐 Amber 参与商业化为条件索要 50% 股权，遭拒后扣留项目推特账号，并通过律师函索要 50 万枚 USDT，同时在多个渠道发布不实信息。Tinkle 表示相关记录均可查证，团队将不再回应个人争议，专注产品研发。 对此，Zack 发表声明反驳，称相关指控严重失实并损害其个人声誉，律师函由律师事务所发出，证据已完成律师保全，相关主张合法合规，若争议无法通过法律渠道解决，将公开完整视频、音频、聊天记录及时间线等证据。 NoFx 官方 X 账号随后发布公开信称，近期关于社区成员、代码使用边界及知识产权的讨论已交由专业律师团队统一处理，否认涉及融资、利益输送等传言，并强调 NoFx 是由社区驱动的开源项目而非商业公司。团队同时重申项目采用 AGPL-3.0 许可，将依法维护开源规范与贡献者权益，未来将回归工程本身，专注打造支持自托管和多交易平台接入的 AI Trading OS。 此外，Amber Group 旗下生态加速器 amber.ac 亦发布声明，明确表示截至目前与 NoFx 项目不存在任何正式孵化、投资或商业合作关系，双方仅进行过开放性的行业交流，呼吁各方回归技术与理性沟通，推动生态健康发展。

ChainCatcher 消息，开源 AI 交易操作系统 NOFX 核心贡献者 Tinkle 在 X 平台发文称，发现由 ChainOpera AI 基金会运营的测试网络直接部署了其一个月前发布的代码版本。 Tinkle 表示，对方仅修改了 UI 中的 Logo 与位置，但代码中仍保留 “Nofx” 品牌标识，首页文案也几乎相同，且从未进行过任何事前沟通。 Tinkle 透露，其系统在过去一个月已快速迭代，并接入了币安、OKX 等 7 家交易所。在公开声明前，团队已尝试通过私下渠道联系对方，若未获回应将保留证据并可能采取进一步行动。 Tinkle 强调，其遵循 AGPL 开源协议精神，倡导使用、部署与改进应保持透明与署名。其团队共 12 人，产品旨在让用户通过自然语言生成量化策略。

ChainCatcher 消息，慢雾安全团队近日对基于 DeepSeek/Qwen 的开源自动化期货交易系统 NOFX AI 进行分析，发现多个严重认证漏洞。其指出，系统在默认配置下存在“零认证”模式，管理员模式被直接启用，使得所有请求无需验证即可通过，攻击者可访问 /api/exchanges 并获取完整 API 密钥与私钥。在“需授权”模式下虽加入 JWT，但默认 jwt_secret 依然存在，若未设置环境变量将回退为默认密钥。此外，该模式下敏感字段仍以原始 JSON 输出，令牌一旦被伪造或窃取，同样会导致密钥泄露。 慢雾表示，截至目前已识别超过千个公开部署实例使用脆弱配置，并已与币安及 OKX 安全团队协调，完成相关凭证替换。团队提醒所有用户立即升级系统，尤其是在 Aster 或 Hyperliquid 上运行机器人的用户应尽快检查设置。

ChainCatcher 消息，慢雾创始人余弦发推表示，“用 NoFx 这个开源自动交易系统的朋友留意下，我们披露的风险已经出现真实的盗币事件，有些使用者的钱包私钥、CEX/DEX API Key 因此泄露。为了使风险最小化，我们联合相关安全团队尽可能对受影响使用者通知到位，之后才发此文披露细节。”