crates.io перестал писать пост в блоге на каждый вредоносный крейт

Команда crates.io изменила правило: больше не будет публиковаться пост в блоге на каждый обнаруженный или полученный по сообщению вредоносный крейт. Вместо этого всегда будет выходить сообщение о безопасности в базе RustSec.

Почему так

Объяснение прямое: в подавляющем большинстве случаев эти сообщения касались крейтов без каких-либо признаков реального использования. Такие публикации давали шум вместо сигнала.

Пост в блоге останется только для крейтов, которые реально используются или эксплуатируются. Сообщение в базе RustSec будет выходить всегда.

Что делать тем, кто следил за блогом

Подписаться на ленту сообщений RustSec. Иначе новости об удалении вредоносных крейтов просто перестанут приходить, а полагаться на блог было удобно именно потому, что он выходил регулярно.

Полезно также проверять сообщения в непрерывной сборке — это даёт реакцию без чтения новостей.

Сводка по недавним случаям

Вместе с решением приведён обзор:

• finch_cli_rust, finch-rst и sha-rst — имитация существующей библиотеки finch, направленная на кражу учётных данных, сообщения RUSTSEC-2025-0150, -0151 и -0152;
• polymarket-clients-sdk и polymarket-client-sdks — та же схема, RUSTSEC-2026-0010 и -0011.

Во всех случаях крейты удалены, учётные записи авторов отключены.

Оригинал

crates.io: an update to the malicious crate notification policy от 13 февраля 2026 года