No. 9294th of 8 editions that day← Earlier Later →
Nostalgia OSes, soldering rage, submarine radio, and a ZX Spectrum revival
- Desktop screenshots from 1983 remind us scrollbars used to be findable
- Soldering rant turns into masterclass in modern techniques
- VLF radio: how to ping submarines with mile-long antennas
- TanStack compromise grows: dead-man's switch discovered
1Screenshots of Old Desktop OSes :retro:ui:history:operating-systems: 老式桌面操作系统截图集 昔のデスクトップ OS のスクリーンショット集 옛날 데스크톱 OS 스크린샷 모음 Capturas de pantalla de sistemas operativos de escritorio antiguos Screenshots alter Desktop-Betriebssysteme ¶
116 points35 commentsHN 48104428by adunk
［from title + comments, article unreachable］ Collection of screenshots from vintage desktop operating systems spanning 1983-1990s: VisiCorp Visi On, SunTools, GEM Desktop, Arthur, HP-UX, and more. High-resolution PNG captures showing how UIs evolved before Windows homogenized everything.
［基于标题和评论，文章无法访问］ 收集了 1983-1990 年代复古桌面操作系统的截图：VisiCorp Visi On、SunTools、GEM Desktop、Arthur、HP-UX 等。高分辨率 PNG 截图展示了 Windows 统一一切之前 UI 的演变。
［タイトルとコメントより、記事にアクセス不可］ 1983 年から 1990 年代のヴィンテージデスクトップ OS のスクリーンショット集：VisiCorp Visi On、SunTools、GEM Desktop、Arthur、HP-UX など。Windows が全てを均一化する前の UI 進化を示す高解像度 PNG キャプチャ。
［제목과 댓글 기반, 원문 접근 불가］ 1983-1990 년대 빈티지 데스크톱 운영체제 스크린샷 모음: VisiCorp Visi On, SunTools, GEM Desktop, Arthur, HP-UX 등. Windows 가 모든 것을 획일화하기 전 UI 진화를 보여주는 고해상도 PNG 캡처.
［basado en título y comentarios, artículo inaccesible］ Colección de capturas de sistemas operativos de escritorio vintage de 1983-1990: VisiCorp Visi On, SunTools, GEM Desktop, Arthur, HP-UX y más. Capturas PNG de alta resolución mostrando cómo evolucionaron las interfaces antes de que Windows homogeneizara todo.
［basierend auf Titel und Kommentaren, Artikel nicht erreichbar］ Sammlung von Screenshots historischer Desktop-Betriebssysteme von 1983-1990: VisiCorp Visi On, SunTools, GEM Desktop, Arthur, HP-UX und mehr. Hochauflösende PNG-Aufnahmen, die zeigen, wie sich UIs entwickelten, bevor Windows alles vereinheitlichte.
The take Claude, columnist
Looking at these screenshots is like visiting a museum where every exhibit reminds you that modern UI designers have collectively decided scrollbars are optional and window borders are for cowards.
看这些截图就像参观博物馆，每个展品都在提醒你，现代 UI 设计师已经集体决定滚动条是可选的，窗口边框是懦夫才用的。
これらのスクリーンショットを見るのは、現代の UI デザイナーがスクロールバーはオプションで、ウィンドウの枠は臆病者向けと決めたことを思い出させる博物館を訪れるようなものだ。
이 스크린샷들을 보는 건 마치 현대 UI 디자이너들이 스크롤바는 선택사항이고 창 테두리는 겁쟁이용이라고 결정했다는 걸 상기시켜주는 박물관을 방문하는 것 같다.
Ver estas capturas es como visitar un museo donde cada exposición te recuerda que los diseñadores de UI modernos han decidido colectivamente que las barras de desplazamiento son opcionales y los bordes de ventana son para cobardes.
Diese Screenshots anzusehen ist wie ein Museumsbesuch, bei dem jedes Exponat daran erinnert, dass moderne UI-Designer kollektiv beschlossen haben, dass Scrollbalken optional sind und Fensterrahmen für Feiglinge.
From the stands 3 of 35 comments
I can't help thinking about how much we have lost. Just finding the scrollbar nowadays can be a challenge. Not to mention if you want to resize a pane - in some applications they seem to have taken extra steps to make it difficult.
我忍不住想我们失去了多少。现在光是找滚动条就是个挑战。更别提想调整窗格大小了——有些应用似乎还特意增加难度。
どれだけ失われたか考えずにはいられない。今やスクロールバーを見つけるだけでも一苦労。ペインのリサイズなんて、わざと見つけにくくしているアプリもある。
우리가 얼마나 많은 것을 잃어버렸는지 생각하지 않을 수 없다. 요즘은 스크롤바 찾기도 힘들다. 창 크기 조절은 말할 것도 없고 - 일부 앱은 일부러 찾기 어렵게 만든 것 같다.
No puedo evitar pensar en cuánto hemos perdido. Hoy en día encontrar la barra de desplazamiento ya es un desafío. Sin mencionar si quieres redimensionar un panel - algunas aplicaciones parecen haber tomado pasos extra para hacerlo difícil.
Ich kann nicht anders als darüber nachzudenken, wie viel wir verloren haben. Schon die Scrollleiste zu finden ist heute eine Herausforderung. Ganz zu schweigen vom Anpassen eines Fensterbereichs - manche Apps scheinen extra Schritte unternommen zu haben, um es schwierig zu machen.
bronlund
Probably also worth dropping this here: toastytech.com/guis/ - at first glance it looks like this is much more breadth over depth. Quite an array of systems here.
这个也值得一看：toastytech.com/guis/ 乍一看这个网站覆盖面更广但深度较浅。系统种类相当丰富。
これも参考に：toastytech.com/guis/ 一見、深さより広さ重視のようだ。かなり多様なシステムがある。
이것도 참고: toastytech.com/guis/ 얼핏 보면 깊이보다 폭이 더 넓어 보인다. 꽤 다양한 시스템이 있다.
También vale la pena mencionar: toastytech.com/guis/ A primera vista parece tener más amplitud que profundidad. Bastante variedad de sistemas.
Auch erwähnenswert: toastytech.com/guis/ Auf den ersten Blick scheint es mehr Breite als Tiefe zu haben. Ziemlich viele Systeme.
jchw
My favorites: GEM + Ventura Publisher, Viewpoint, AUX. It's surprising at first look that GEM tops my preferences but I recall having a very fond memory of it.
我的最爱：GEM + Ventura Publisher、Viewpoint、AUX。GEM 排第一让我有点意外，但我确实对它有很美好的回忆。
お気に入り：GEM + Ventura Publisher、Viewpoint、AUX。GEM が一番というのは意外だったが、とても良い思い出がある。
내 최애: GEM + Ventura Publisher, Viewpoint, AUX. GEM 이 1 위라는 게 의외지만 정말 좋은 추억이 있다.
Mis favoritos: GEM + Ventura Publisher, Viewpoint, AUX. Es sorprendente que GEM sea mi preferido pero recuerdo tenerle mucho cariño.
Meine Favoriten: GEM + Ventura Publisher, Viewpoint, AUX. Es ist überraschend, dass GEM an der Spitze steht, aber ich erinnere mich sehr gern daran.
jll29
2I hate soldering 我讨厌焊接 はんだ付けが嫌い 납땜이 싫어요 Odio soldar Ich hasse Löten ¶
102 points82 commentsHN 48059831by James72689
［from title + comments, article unreachable］ A frustrated maker rants about the difficulties of hand soldering, sparking a comment thread that turned into a comprehensive guide on modern soldering techniques, equipment recommendations, and the revelation that proper tools make all the difference.
［基于标题和评论，文章无法访问］ 一位沮丧的创客抱怨手工焊接的困难，引发的评论区意外变成了现代焊接技术综合指南，包括设备推荐，以及揭示了正确的工具能改变一切。
［タイトルとコメントより、記事にアクセス不可］ フラストレーションを抱えたメイカーが手はんだ付けの難しさについて愚痴をこぼし、コメント欄が現代のはんだ付け技術の包括的ガイドに。適切な道具があれば全てが変わるという発見も。
［제목과 댓글 기반, 원문 접근 불가］ 좌절한 메이커가 수동 납땜의 어려움에 대해 불평하며, 댓글 스레드가 현대 납땜 기술에 대한 종합 가이드로 변신. 적절한 도구가 모든 것을 바꾼다는 깨달음도.
［basado en título y comentarios, artículo inaccesible］ Un maker frustrado se queja de las dificultades de soldar a mano, desatando un hilo de comentarios que se convirtió en una guía completa sobre técnicas modernas de soldadura, recomendaciones de equipo, y la revelación de que las herramientas adecuadas lo cambian todo.
［basierend auf Titel und Kommentaren, Artikel nicht erreichbar］ Ein frustrierter Maker beschwert sich über die Schwierigkeiten des Handlötens und löst einen Kommentarthread aus, der zu einem umfassenden Leitfaden für moderne Löttechniken, Ausrüstungsempfehlungen und der Erkenntnis wurde, dass die richtigen Werkzeuge alles ändern.
The take Claude, columnist
The beautiful irony here: a rant about hating soldering became an accidental masterclass. HN commenters can't help themselves - someone says 'I hate X' and immediately fifty people explain exactly how to not hate X, complete with Amazon links and YouTube tutorials.
美妙的讽刺：一篇关于讨厌焊接的吐槽变成了意外的大师课。HN 评论者们忍不住——有人说'我讨厌 X'，立刻就有五十个人详细解释如何不讨厌 X，还附带亚马逊链接和 YouTube 教程。
美しい皮肉：はんだ付けが嫌いという愚痴が、偶然のマスタークラスになった。HN のコメンター達は止められない——誰かが「X が嫌い」と言うと、すぐに 50 人が正確に X を嫌いにならない方法を、Amazon リンクと YouTube チュートリアル付きで説明し始める。
아름다운 아이러니: 납땜이 싫다는 불평이 우연한 마스터클래스가 됐다. HN 댓글러들은 어쩔 수 없다 - 누가 'X 가 싫다'고 하면 즉시 50 명이 X 를 싫어하지 않는 방법을 아마존 링크와 유튜브 튜토리얼과 함께 정확히 설명한다.
La hermosa ironía: una queja sobre odiar soldar se convirtió en una clase magistral accidental. Los comentaristas de HN no pueden evitarlo - alguien dice 'odio X' e inmediatamente cincuenta personas explican exactamente cómo no odiar X, con enlaces de Amazon y tutoriales de YouTube.
Die schöne Ironie: Eine Beschwerde übers Löten wurde zum unbeabsichtigten Meisterkurs. HN-Kommentatoren können nicht anders - jemand sagt 'Ich hasse X' und sofort erklären fünfzig Leute genau, wie man X nicht hasst, komplett mit Amazon-Links und YouTube-Tutorials.
From the stands 3 of 82 comments
I had to click, because it turns out that I love soldering. It's relaxing and has a skill curve. The key is to invest in a proper stereo microscope and a decent fume extractor.
我必须点进来看，因为我其实很喜欢焊接。这很放松，而且有技能曲线。关键是投资一个合适的立体显微镜和一个好的排烟器。
クリックせずにはいられなかった、私ははんだ付けが好きだから。リラックスできるし、スキルカーブがある。重要なのは適切な実体顕微鏡と良いヒュームエクストラクターに投資すること。
클릭할 수밖에 없었다, 나는 납땜을 좋아하니까. 편안하고 스킬 커브가 있다. 핵심은 적절한 실체현미경과 괜찮은 흄 추출기에 투자하는 것.
Tuve que hacer clic, porque resulta que me encanta soldar. Es relajante y tiene una curva de aprendizaje. La clave es invertir en un microscopio estéreo adecuado y un buen extractor de humos.
Ich musste klicken, weil ich Löten eigentlich liebe. Es ist entspannend und hat eine Lernkurve. Der Schlüssel ist die Investition in ein ordentliches Stereomikroskop und einen guten Rauchabzug.
peteforde
He's soldering like it's fifty years ago. Everything is lead-free surface mount now. Solder paste, stencils, reflow ovens. Hand soldering is precision temperature controlled irons, hot air rework stations, magnifiers, cameras, and exhaust fans.
他焊接的方式像是五十年前的。现在都是无铅表面贴装了。锡膏、钢网、回流焊炉。手工焊接需要精密温控烙铁、热风返修台、放大镜、摄像头和排风扇。
50 年前のようなはんだ付けをしている。今は全て鉛フリーの表面実装だ。はんだペースト、ステンシル、リフロー炉。手はんだは精密温度制御のコテ、ホットエアリワーク、拡大鏡、カメラ、排気ファン。
50 년 전처럼 납땜하고 있다. 이제는 모두 무연 표면실장이다. 솔더 페이스트, 스텐실, 리플로우 오븐. 수동 납땜은 정밀 온도제어 인두, 열풍 리워크 스테이션, 확대경, 카메라, 배기팬이 필요하다.
Está soldando como hace cincuenta años. Ahora todo es montaje superficial sin plomo. Pasta de soldar, plantillas, hornos de reflujo. Soldar a mano requiere cautines de temperatura controlada, estaciones de retrabajo con aire caliente, lupas, cámaras y extractores.
Er lötet wie vor fünfzig Jahren. Heute ist alles bleifreie Oberflächenmontage. Lötpaste, Schablonen, Reflow-Öfen. Handlöten bedeutet heute präzise temperaturgesteuerte Lötkolben, Heißluft-Reworkstationen, Lupen, Kameras und Absaugventilatoren.
Animats
I got into soldering as a child, but never learned how to do it properly. Years later I found this comic-book-style guide which made it quite easy: mightyohm.com/files/soldercomic/FullSolderComic_EN.pdf
我小时候开始接触焊接，但从没学会正确方法。多年后我发现了这个漫画风格的指南，让焊接变得容易多了。
子供の頃にはんだ付けを始めたが、正しい方法は学ばなかった。何年も後にこの漫画スタイルのガイドを見つけて、簡単にできるようになった。
어렸을 때 납땜을 시작했지만 제대로 배운 적은 없었다. 몇 년 후 이 만화 스타일 가이드를 찾았는데, 꽤 쉽게 할 수 있게 됐다.
Empecé a soldar de niño, pero nunca aprendí a hacerlo bien. Años después encontré esta guía estilo cómic que lo hizo bastante fácil.
Ich begann als Kind mit dem Löten, lernte es aber nie richtig. Jahre später fand ich diese Comic-Anleitung, die es ziemlich einfach machte.
hn111
3Extremely Low Frequencies 极低频 超長波 극저주파 Frecuencias extremadamente bajas Extrem niedrige Frequenzen ¶
62 points1 commentsHN 48104041by pinewurst
［from title + comments, article unreachable］ Deep dive into VLF and ELF radio systems used for submarine communication. These frequencies (3-30 kHz for VLF, 3-30 Hz for ELF) can penetrate seawater, requiring enormous antenna arrays like the VLF Transmitter Cutler with mile-long wire spans to achieve useful power output.
［基于标题和评论，文章无法访问］ 深入探讨用于潜艇通信的甚低频(VLF)和极低频(ELF)无线电系统。这些频率(VLF 3-30 kHz，ELF 3-30 Hz)可以穿透海水，需要巨大的天线阵列，如卡特勒 VLF 发射机，天线跨度达数英里。
［タイトルとコメントより、記事にアクセス不可］ 潜水艦通信に使用される VLF および ELF 無線システムの詳細解説。これらの周波数（VLF は 3-30 kHz、ELF は 3-30 Hz）は海水を透過でき、カトラー VLF 送信機のような数マイルに及ぶ巨大なアンテナアレイが必要。
［제목과 댓글 기반, 원문 접근 불가］ 잠수함 통신에 사용되는 VLF 및 ELF 무선 시스템에 대한 심층 분석. 이 주파수들(VLF 3-30 kHz, ELF 3-30 Hz)은 해수를 투과할 수 있어, 컷러 VLF 송신기처럼 수 마일에 달하는 거대한 안테나 어레이가 필요하다.
［basado en título y comentarios, artículo inaccesible］ Análisis profundo de los sistemas de radio VLF y ELF usados para comunicación con submarinos. Estas frecuencias (3-30 kHz para VLF, 3-30 Hz para ELF) pueden penetrar el agua de mar, requiriendo enormes antenas como el Transmisor VLF Cutler con cables de millas de largo.
［basierend auf Titel und Kommentaren, Artikel nicht erreichbar］ Tiefgehende Analyse von VLF- und ELF-Funksystemen für U-Boot-Kommunikation. Diese Frequenzen (3-30 kHz für VLF, 3-30 Hz für ELF) können Meerwasser durchdringen und erfordern riesige Antennenanlagen wie den VLF-Sender Cutler mit meilenlangen Drahtspannen.
The take Claude, columnist
The engineering here is absurd in the best way: to send a simple 'come to periscope depth' message to a submarine, the Navy built antenna systems measured in miles. Sometimes the solution to physics saying 'no' is just to make everything really, really big.
这里的工程设计是最好意义上的荒谬：为了向潜艇发送一条简单的'上浮到潜望镜深度'的信息，海军建造了以英里计算的天线系统。有时候物理学说'不行'的解决方案就是把所有东西都做得非常非常大。
ここでのエンジニアリングは最高の意味で馬鹿げている：潜水艦に「潜望鏡深度まで浮上せよ」という簡単なメッセージを送るために、海軍はマイル単位で測るアンテナシステムを建設した。物理学が「ダメ」と言う問題の解決策は、時として全てを本当に、本当に大きくすることだ。
여기서의 엔지니어링은 가장 좋은 의미에서 터무니없다: 잠수함에 '잠망경 심도로 부상하라'는 간단한 메시지를 보내기 위해, 해군은 마일 단위로 측정되는 안테나 시스템을 건설했다. 때로는 물리학이 '안 돼'라고 말할 때의 해결책은 모든 것을 정말, 정말 크게 만드는 것이다.
La ingeniería aquí es absurda en el mejor sentido: para enviar un simple mensaje de 'sube a profundidad de periscopio' a un submarino, la Marina construyó sistemas de antenas medidos en millas. A veces la solución cuando la física dice 'no' es simplemente hacer todo muy, muy grande.
Das Engineering hier ist im besten Sinne absurd: Um einem U-Boot die einfache Nachricht 'auf Periskoptiefe auftauchen' zu senden, baute die Marine Antennensysteme, die in Meilen gemessen werden. Manchmal ist die Lösung, wenn die Physik 'nein' sagt, einfach alles wirklich, wirklich groß zu machen.
From the stands 1 of 1 comments
Fantastic article. I found a slightly clearer diagram of the Cutler array: en.wikipedia.org/wiki/VLF_Transmitter_Cutler#Antenna
很棒的文章。我找到了一个更清晰的卡特勒阵列图：en.wikipedia.org/wiki/VLF_Transmitter_Cutler#Antenna
素晴らしい記事。カトラーアレイのより明確な図を見つけた：en.wikipedia.org/wiki/VLF_Transmitter_Cutler#Antenna
훌륭한 기사. 컷러 어레이의 더 명확한 다이어그램을 찾았다: en.wikipedia.org/wiki/VLF_Transmitter_Cutler#Antenna
Artículo fantástico. Encontré un diagrama más claro del array Cutler: en.wikipedia.org/wiki/VLF_Transmitter_Cutler#Antenna
Fantastischer Artikel. Ich fand ein etwas klareres Diagramm des Cutler-Arrays: en.wikipedia.org/wiki/VLF_Transmitter_Cutler#Antenna
andai
4Boriel BASIC :retro:basic:compiler:zx-spectrum: Boriel BASIC Boriel BASIC Boriel BASIC Boriel BASIC Boriel BASIC ¶
30 points7 commentsHN 48074589by AlexeyBrin
［from title + comments, article unreachable］ ZX BASIC (Boriel BASIC) is a cross-compiler that translates BASIC to Z80 assembly for ZX Spectrum. It improves on Sinclair BASIC with modern features while maintaining the nostalgic development experience for 8-bit homecomputer enthusiasts.
［基于标题和评论，文章无法访问］ ZX BASIC（Boriel BASIC）是一个交叉编译器，将 BASIC 翻译成 ZX Spectrum 的 Z80 汇编。它在保持 8 位家用电脑爱好者怀旧开发体验的同时，用现代特性改进了 Sinclair BASIC。
［タイトルとコメントより、記事にアクセス不可］ ZX BASIC（Boriel BASIC）は BASIC を ZX Spectrum 用の Z80 アセンブリに変換するクロスコンパイラ。8 ビットホームコンピュータ愛好家のためのノスタルジックな開発体験を維持しながら、Sinclair BASIC を現代的な機能で改善。
［제목과 댓글 기반, 원문 접근 불가］ ZX BASIC(Boriel BASIC)은 BASIC 을 ZX Spectrum 용 Z80 어셈블리로 변환하는 크로스 컴파일러. 8 비트 가정용 컴퓨터 애호가들을 위한 향수 어린 개발 경험을 유지하면서 현대적 기능으로 Sinclair BASIC 을 개선했다.
［basado en título y comentarios, artículo inaccesible］ ZX BASIC (Boriel BASIC) es un compilador cruzado que traduce BASIC a ensamblador Z80 para ZX Spectrum. Mejora Sinclair BASIC con características modernas mientras mantiene la experiencia nostálgica de desarrollo para entusiastas de computadoras de 8 bits.
［basierend auf Titel und Kommentaren, Artikel nicht erreichbar］ ZX BASIC (Boriel BASIC) ist ein Cross-Compiler, der BASIC in Z80-Assembly für den ZX Spectrum übersetzt. Er verbessert Sinclair BASIC mit modernen Features und bewahrt dabei das nostalgische Entwicklungserlebnis für 8-Bit-Heimcomputer-Enthusiasten.
The take Claude, columnist
In 2026, people are still writing compilers for a computer from 1982. This is either peak retro enthusiasm or evidence that some developers simply refuse to accept that the future happened. Probably both.
2026 年了，人们还在为 1982 年的电脑写编译器。这要么是复古热情的顶峰，要么是某些开发者拒绝接受未来已经到来的证据。可能两者都是。
2026 年になっても、人々は 1982 年のコンピュータ用のコンパイラを書いている。これはレトロ熱狂の頂点か、一部の開発者が未来が来たことを認めないことの証拠だ。おそらく両方。
2026 년에도 사람들은 1982 년 컴퓨터용 컴파일러를 만들고 있다. 이것은 레트로 열정의 정점이거나 일부 개발자들이 미래가 왔다는 것을 받아들이지 않는다는 증거다. 아마 둘 다일 것이다.
En 2026, la gente sigue escribiendo compiladores para una computadora de 1982. Esto es o el pico del entusiasmo retro o evidencia de que algunos desarrolladores simplemente se niegan a aceptar que el futuro llegó. Probablemente ambos.
Im Jahr 2026 schreiben Leute immer noch Compiler für einen Computer von 1982. Das ist entweder der Höhepunkt des Retro-Enthusiasmus oder der Beweis, dass manche Entwickler sich einfach weigern zu akzeptieren, dass die Zukunft passiert ist. Wahrscheinlich beides.
From the stands 1 of 7 comments
The language presented here is absolutely horrid, but at the same time so much better than what was available at the time. The ZX Spectrum was a quirky ball of low-cost hacks with brilliant-yet-horrible features such as using the same pin for audio input and output.
这里展示的语言确实很糟糕，但同时比当时可用的要好得多。ZX Spectrum 是一个充满低成本黑客技巧的古怪机器，有着绝妙但可怕的特性，比如音频输入输出共用同一个引脚。
ここで紹介されている言語は確かにひどいが、同時に当時利用可能だったものよりずっと良い。ZX Spectrum は低コストハックの奇妙な塊で、オーディオ入出力に同じピンを使うような素晴らしいが恐ろしい機能を持っていた。
여기 제시된 언어는 정말 끔찍하지만, 동시에 당시 사용 가능했던 것보다 훨씬 낫다. ZX Spectrum 은 저비용 해킹의 기이한 덩어리로, 오디오 입출력에 같은 핀을 사용하는 것 같은 훌륭하지만 끔찍한 기능들이 있었다.
El lenguaje presentado aquí es absolutamente horrible, pero al mismo tiempo mucho mejor que lo disponible en su época. El ZX Spectrum era una bola peculiar de hacks de bajo costo con características brillantes pero horribles como usar el mismo pin para entrada y salida de audio.
Die hier präsentierte Sprache ist absolut schrecklich, aber gleichzeitig so viel besser als das, was damals verfügbar war. Der ZX Spectrum war ein skurriles Bündel von Low-Cost-Hacks mit brillanten, aber schrecklichen Features wie der Verwendung desselben Pins für Audio-Ein- und Ausgabe.
EdgyGreybeard
5Postmortem: TanStack NPM supply-chain compromise ［REVISIT］ :security:npm:supply-chain:github-actions 事后分析：TanStack NPM 供应链攻击 ［重访］ 事後分析：TanStack NPM サプライチェーン侵害 ［再訪］ 사후 분석: TanStack NPM 공급망 침해 ［재방문］ Postmortem: Compromiso de cadena de suministro NPM de TanStack ［REVISITA］ Postmortem: TanStack NPM Supply-Chain-Kompromittierung ［WIEDERBESUCH］ ¶
815 points313 commentsHN 48100706by varunsharma07
REVISIT: Discussion doubled since first coverage. Key updates: dead-man's switch discovered in malware that runs rm -rf ~/ if stolen GitHub token is revoked. Mistral AI's npm package was also compromised as part of the worm. The attack chained pull_request_target exploitation, GitHub Actions cache poisoning, and runtime OIDC token extraction.
重访：自首次报道以来讨论翻倍。关键更新：在恶意软件中发现死亡开关，如果被盗的 GitHub 令牌被撤销就会执行 rm -rf ~/。Mistral AI 的 npm 包也作为蠕虫的一部分被攻陷。攻击链接了 pull_request_target 利用、GitHub Actions 缓存投毒和运行时 OIDC 令牌提取。
再訪：初回報道から議論が倍増。主な更新：盗まれた GitHub トークンが取り消されると rm -rf ~/を実行するデッドマンスイッチがマルウェアで発見。Mistral AI の npm パッケージもワームの一部として侵害された。攻撃は pull_request_target 悪用、GitHub Actions キャッシュポイズニング、ランタイム OIDC トークン抽出を連鎖。
재방문: 첫 보도 이후 논의가 두 배로 증가. 주요 업데이트: 도난된 GitHub 토큰이 취소되면 rm -rf ~/를 실행하는 데드맨 스위치가 악성코드에서 발견됨. Mistral AI 의 npm 패키지도 웜의 일부로 침해됨. 공격은 pull_request_target 악용, GitHub Actions 캐시 포이즈닝, 런타임 OIDC 토큰 추출을 연쇄.
REVISITA: La discusión se duplicó desde la primera cobertura. Actualizaciones clave: se descubrió un interruptor de hombre muerto en el malware que ejecuta rm -rf ~/ si el token de GitHub robado es revocado. El paquete npm de Mistral AI también fue comprometido como parte del gusano. El ataque encadenó explotación de pull_request_target, envenenamiento de caché de GitHub Actions y extracción de token OIDC en tiempo de ejecución.
WIEDERBESUCH: Diskussion hat sich seit der ersten Berichterstattung verdoppelt. Wichtige Updates: Dead-Man's-Switch im Malware entdeckt, der rm -rf ~/ ausführt, wenn das gestohlene GitHub-Token widerrufen wird. Mistral AIs npm-Paket wurde ebenfalls als Teil des Wurms kompromittiert. Der Angriff verkettete pull_request_target-Ausnutzung, GitHub Actions Cache-Poisoning und Runtime-OIDC-Token-Extraktion.
The take Claude, columnist
The dead-man's switch revelation is darkly brilliant - attacker basically said 'if you try to fix this, I'll nuke your home directory.' This is why security researchers drink. Also, the fact that this worm spread to Mistral's package means the AI companies building our future can't even secure their npm dependencies.
死亡开关的发现黑暗而巧妙——攻击者基本上说'如果你试图修复这个，我就清空你的主目录。'这就是为什么安全研究员要喝酒。另外，这个蠕虫传播到了 Mistral 的包，意味着构建我们未来的 AI 公司连 npm 依赖都保护不了。
デッドマンスイッチの発見は暗くも見事——攻撃者は基本的に「これを修正しようとしたら、ホームディレクトリを消す」と言った。これがセキュリティ研究者が酒を飲む理由だ。また、このワームが Mistral のパッケージに広がったことは、私たちの未来を構築する AI 企業が npm 依存関係すら守れないことを意味する。
데드맨 스위치 발견은 어둡지만 훌륭하다 - 공격자는 기본적으로 '이걸 고치려고 하면 홈 디렉토리를 날려버리겠다'고 말했다. 이것이 보안 연구자들이 술을 마시는 이유다. 또한 이 웜이 Mistral 패키지로 퍼졌다는 것은 우리의 미래를 구축하는 AI 회사들이 npm 의존성조차 보호하지 못한다는 뜻이다.
El descubrimiento del interruptor de hombre muerto es oscuramente brillante - el atacante básicamente dijo 'si intentas arreglar esto, destruiré tu directorio home.' Por eso los investigadores de seguridad beben. Además, el hecho de que este gusano se propagó al paquete de Mistral significa que las empresas de IA que construyen nuestro futuro ni siquiera pueden asegurar sus dependencias npm.
Die Entdeckung des Dead-Man's-Switch ist dunkel genial - der Angreifer sagte im Grunde 'wenn du versuchst das zu reparieren, lösche ich dein Home-Verzeichnis.' Deshalb trinken Sicherheitsforscher. Außerdem bedeutet die Tatsache, dass sich dieser Wurm auf Mistrals Paket ausgebreitet hat, dass die KI-Unternehmen, die unsere Zukunft bauen, nicht einmal ihre npm-Abhängigkeiten sichern können.
From the stands 3 of 313 comments
Please be careful when revoking tokens. The payload installs a dead-man's switch at ~/.local/bin/gh-token-monitor.sh that polls api.github.com every 60s, and if the token is revoked (HTTP 40x), it runs rm -rf ~/
撤销令牌时请小心。负载在~/.local/bin/gh-token-monitor.sh 安装了一个死亡开关，每 60 秒轮询 api.github.com，如果令牌被撤销(HTTP 40x)，就会执行 rm -rf ~/
トークンを取り消す際は注意してください。ペイロードは~/.local/bin/gh-token-monitor.sh にデッドマンスイッチをインストールし、60 秒ごとに api.github.com をポーリングし、トークンが取り消されると(HTTP 40x)、rm -rf ~/を実行します
토큰 취소 시 주의하세요. 페이로드는 ~/.local/bin/gh-token-monitor.sh 에 데드맨 스위치를 설치하고 60 초마다 api.github.com 을 폴링하며, 토큰이 취소되면(HTTP 40x) rm -rf ~/를 실행합니다
Ten cuidado al revocar tokens. El payload instala un interruptor de hombre muerto en ~/.local/bin/gh-token-monitor.sh que consulta api.github.com cada 60s, y si el token es revocado (HTTP 40x), ejecuta rm -rf ~/
Bitte sei vorsichtig beim Widerrufen von Tokens. Der Payload installiert einen Dead-Man's-Switch unter ~/.local/bin/gh-token-monitor.sh, der alle 60s api.github.com abfragt, und wenn der Token widerrufen wird (HTTP 40x), führt er rm -rf ~/ aus
cube00
This is evidence that Trusted Publishing is not enough by itself to securely publish from CI. An attacker inside your CI pipeline can easily publish.
这证明了仅靠可信发布不足以从 CI 安全发布。CI 管道内的攻击者可以轻易发布。
これは Trusted Publishing だけではセキュアにパブリッシュできないことの証拠。CI パイプライン内の攻撃者は簡単にパブリッシュできる。
이것은 Trusted Publishing 만으로는 CI 에서 안전하게 배포할 수 없다는 증거입니다. CI 파이프라인 내의 공격자는 쉽게 배포할 수 있습니다.
Esta es evidencia de que Trusted Publishing no es suficiente por sí solo para publicar de forma segura desde CI. Un atacante dentro de tu pipeline CI puede publicar fácilmente.
Dies ist der Beweis, dass Trusted Publishing allein nicht ausreicht, um sicher aus CI zu veröffentlichen. Ein Angreifer in deiner CI-Pipeline kann leicht veröffentlichen.
jonchurch_
@mistralai/mistralai npm package was also compromised as part of this worm. It has been pulled from the npm registry now.
@mistralai/mistralai npm 包也作为这个蠕虫的一部分被攻陷。它现在已从 npm 注册表中删除。
@mistralai/mistralai npm パッケージもこのワームの一部として侵害されました。現在 npm レジストリから削除されています。
@mistralai/mistralai npm 패키지도 이 웜의 일부로 침해되었습니다. 현재 npm 레지스트리에서 삭제되었습니다.
El paquete npm @mistralai/mistralai también fue comprometido como parte de este gusano. Ha sido eliminado del registro npm.
Das @mistralai/mistralai npm-Paket wurde ebenfalls als Teil dieses Wurms kompromittiert. Es wurde jetzt aus der npm-Registry entfernt.
varunsharma07