Radicle 协议漏洞：私库数据全泄露
Radicle: Disclosure of Vulnerability in the Network Protocol
Radicle 刚刚披露了其网络协议中存在两个严重安全漏洞，影响所有已发布版本。核心问题在于节点间的网络流量既未加密也未认证，导致任何处于网络路径上的攻击者都能直接读取传输中的数据，甚至伪装成授权节点窃取私有仓库。官方建议用户立即停止使用私有仓库，直到修复版本发布。由于修复方案涉及底层协议替换为 iroh，这将是一次破坏性更新。此次事件警示我们，在去中心化协作中，传输层的安全防护同样至关重要。
我们发布此公告时，安全更新尚未就绪，因为没有任何后续修复能撤销已经发生的暴露。
HN 评论区
58- Aurornis
问题出在哪？
节点之间的网络流量既未加密也未认证。
哦。
他们在使用加密身份和去中心化技巧上投入了这么多精力，怎么会忘了处理网络流量呢？
是不是以为稍后处理，结果这事就从 TODO 列表里掉下去了？
- john_strinlai
这是 Konstantinos Maninakis 于 2026-06-24 向我们报告的。
考虑到当前的建议是“在安全更新发布前，停止通过网络使用私有仓库”，三个月后才发公告，这实在不算好。
- sondr3
这件事三个月前就被报告了，而“临时解决方案”竟然是停止使用私有仓库并假设它们全已被攻破，这简直有点离谱。开发这种东西时，难道注意不到跨节点流量未加密吗？
- jscd
Radicle 一直是那种看起来挺有意思，但总让我觉得哪里不对劲的项目。（它好像有一段时间跟加密货币运动绑得很紧？Cyphernet GitHub 组织似乎也是从一个 DAO 改头换面而来的？）
不幸的是，这件事基本判了它死刑——至少我不会用它来存放任何我想保密的东西。这跟某个协议有 XYZ 这种“脚雷”导致操作不熟练没关系：他们压根就没检查过负载是否加密。荒谬至极。
- skullone
整个项目读起来就像业余选手的作品。还在用 curl 管道接 shell 安装，诸如此类。再加上这种草率的安全披露，以及一个愚蠢到令人发指的安全漏洞。恶心。