tus archivos .env están siendo ENVIADOS a un dominio falso y probablemente escribiste cargo add tú mismo

socket security acaba de encontrar 5 crates maliciosos de rust en io desde febrero de 2026 - chrono_anchor, dnp3times, time_calibrator, time_calibrators, time-sync
todos pretenden ser utilidades de tiempo. todos suplantan io. todos se comunican con timeapis[.]io - una letra de diferencia
todo el payload hace una cosa. lee tu archivo .env. captura cada secreto en él. lo envía a un dominio controlado por el atacante
no es un día cero. no es un exploit del kernel. solo es un crate que parece algo que agregarías con cargo add a la 1am sin pensar
> "mis dependencias son todas populares y verificadas"
estos crates IMITAN los patrones de nomenclatura de librerías confiables. chrono_anchor se sienta justo al lado de chrono en tu autocompletado. ese es todo el truco.