クラウド基盤バーセルに不正アクセス、仮想通貨プロジェクトも警戒
Несанкционированный доступ к инфраструктуре Vercel, проекты криптовалют в состоянии повышенной готовности
Основные моменты статьи:
- Компания Vercel зафиксировала несанкционированный доступ через инструменты искусственного интеллекта.
- Риск утечки ключей API и учетных данных для фронтенда DeFi.
Взлом OAuth сторонних AI-инструментов стал отправной точкой
Компания Vercel, платформа для разработки облачных приложений, 19 числа объявила на своей официальной странице о факте несанкционированного доступа к ее внутренним системам.
Vercel широко используется в качестве хостинг-платформы для легкой публикации веб-сервисов и приложений, и многие проекты в области криптовалют и DeFi (децентрализованных финансов), в частности, пользовательские интерфейсы, работают на этой платформе. В связи с этим инцидент вызывает опасения по поводу возможной утечки учетных данных таких проектов.
Статья по теме: Исследователь в области безопасности обнаружил утечку данных из 140 миллионов баз данных, затронуто несколько сервисов
Исследователь в области кибербезопасности обнаружил, что база данных, содержащая более 140 миллионов учетных записей, была опубликована без защиты. В нее входят такие крупные сервисы, как Gmail и Facebook.
В ходе расследования было установлено, что точкой входа для злоумышленников стал небольшой сторонний AI-инструмент, используемый внутри компании Vercel. Этот инструмент использовал механизм "OAuth" (открытая аутентификация), связанный с учетными записями Google, но само приложение подверглось атаке со стороны внешних источников.
OAuth - это функция "входа с использованием учетной записи другого сервиса", типичным примером которой является кнопка "Войти через Google". Этот инструмент использовался сотнями организаций, и существует вероятность, что ущерб может быть нанесен и другим компаниям, помимо Vercel.
Появилась информация о том, что на хакерском форуме "BreachForums" пользователь, представившийся "ShinyHunters", заявляет о продаже внутренних баз данных Vercel, учетных записей сотрудников, исходного кода, ключей API и токенов GitHub за 2 миллиона долларов (около 300 миллионов иен).
API-ключи и GitHub-токены – это своего рода "цифровые ключи", используемые для интеграции между системами и в процессе разработки. Утечка этих ключей может привести к тому, что третьи лица получат несанкционированный доступ к системам или смогут изменить код. Компания Slow Fog, специализирующаяся на безопасности блокчейна, подтвердила эту информацию и полагает, что основными целями атаки стали внутренний инструмент управления Vercel под названием "Linear" и функции интеграции с GitHub.
Опасения по поводу влияния на проекты в области криптовалют
Существуют опасения по поводу влияния на проекты в области криптовалют и Web3. Vercel является платформой, на которой размещается множество фронтендов DeFi-приложений, то есть тех экранов, с которыми пользователи взаимодействуют, подключая свои кошельки и совершая транзакции. Многие из этих приложений хранят API-ключи и информацию о подключении к блокчейну в переменных окружения на этой платформе.
В случае, если злоумышленники получат доступ к этим данным, теоретически они могут подменить интерфейс, отображая пользователям поддельные экраны, или получить несанкционированный доступ к внешним сервисам.
Сумма ущерба от хакерской атаки на HyperBridge увеличилась до 25 миллионов долларов США (около 4 миллиардов иен). Часть этих средств отслеживается на Binance, и в случае недостаточной компенсации планируется использовать токены BRIDGE.
Некоторые проекты уже заявили о принятии мер. Протокол ликвидности Solana "Orca" официально заявил в X (ранее Twitter), что использует Vercel для размещения своего фронтенда, и что "в качестве меры предосторожности были обновлены все потенциально скомпрометированные учетные данные". Компания заявила, что это не повлияет на активы и средства пользователей, хранящиеся в протоколе.
В то же время, эксперты в области безопасности указывают на более широкий риск "атаки на цепочку поставок". Это метод, при котором вредоносный код внедряется в широко используемое программное обеспечение, что позволяет заразить множество систем, использующих его.
Vercel также является разработчиком популярного во всем мире фреймворка JavaScript "Next.js". Если учетные данные, используемые для разработки (например, GitHub-токены и NPM-токены), будут скомпрометированы, это может привести к цепной реакции и нанести ущерб средам разработки по всему миру.
Однако генеральный директор компании, Гильерме Рауч (Guillermo Rauch), заявил: "Мы официально подтверждаем, что это не оказывает никакого влияния на Next.js и связанные с ним инструменты разработки (Turbopack), а также не оказывает прямого влияния на блокчейн или смарт-контракты. В настоящее время нет никаких подтвержденных доказательств, подтверждающих этот сценарий, но рекомендуется немедленно обновить переменные окружения, которые не имеют настройки "конфиденциально" (sensitive).
Этот инцидент еще раз подчеркивает, что в условиях быстрого внедрения инструментов искусственного интеллекта в разработку, пути их взаимодействия могут стать отправной точкой для новых атак. Стала очевидной структурная проблема, когда каждый подключенный инструмент, ради "удобства", может представлять собой риск для безопасности. Компания Vercel продолжает расследование и будет обновлять официальную страницу по мере поступления новой информации.
CoinPost: Специальные статьи.
📊Руководство по инвестициям: Управление активами в экосистеме SBI | Комплексное руководство по криптовалютам, акциям и NISA→ 📈Руководство по акциям: Как начать инвестировать в акции | Базовые знания, технический анализ, акции, связанные с криптовалютами→ 🔰Руководство по криптовалютам: Что такое криптовалюта? Как начать, налоги, инвестиции | Полное руководство для начинающих→ ₿Руководство по Bitcoin: Что такое Bitcoin? | Подробное объяснение принципов работы, истории и перспектив→ 📚Руководство по Ethereum: Что такое Ethereum? | Подробное объяснение принципов работы, истории и перспектив→ 📝Руководство по XRP: Что такое XRP? | Подробное объяснение принципов работы, истории и перспектив→ 💰Что такое стейблкоины? | Подробное объяснение принципов работы, типов, рисков и перспектив→ 💊3 лучших добавки для здоровья, которые интересуют инвесторов: Поддержка при усталости, стрессе, недостатке сна и контроле уровня сахара в крови→ 💡Вакансии: Крупнейшее в Японии медиа о криптовалютах CoinPost ищет новых сотрудников→