GitHub хакер қызметкердің компьютері арқылы зиянды плагин орнатып, ішкі репозиторийлерінің шамамен 3 800-ден код ұрлап кеткенін хабарлады, осы оқиға код ішінде сақталған API кілттері қауіпсіздігіне қатысты крипто индустриясында дабыл тудырды.
Binance негізін қалаушы Чанпэн Чжао әзірлеушілерге жасырын кілттердің бар-жоғын тексеріп, басқаларымен ауыстыруды ұсынды, деп ескертті – енді жеке репозиторийлердің өзіне де жарияланғандай қарау қажет.
Компания нені жария етті
GitHub бұзылу оқиғасы қызметкер миллиондаған әзірлеуші қолданатын код редакторы үшін әзірленген VS Code кеңейтімінің зиянды нұсқасын орнатқан кезде басталды деп мәлімдеді.
Компания шабуылға ұшыраған компьютерді оқшаулап, зиянды кеңейтімді өшіріп, түні бойы маңызды құпиясөздерді ауыстыра бастады. Ең тәуекелі жоғары деректер бірінші болып жаңартылды.
Тергеу жұмыстарының осы сәтке дейінгі нәтижесі бойынша, хакер тек GitHub-тың ішкі репозиторийлерінен ғана код жүктеген. Клиент жобаларында, ұйымдарда және аккаунттарда шабуыл іздері байқалмады.
GitHub хакердің шамамен 3 800 репозиторийді ұрлады деген мәлімдемесі өз командасы анықтаған деректерге сәйкес келетінін айтты. Тергеу толық аяқталған соң кеңейтілген есеп жарияланады.
Неліктен крипто әзірлеушілер дабыл қағуда
Крипто саласында жарияланған API кілті бірнеше минут ішінде трейдинг шотынан қаражат жоғалтуға әкеледі. Көптеген кілттер әмияндарға, кастодиан құралдарға немесе биржалық боттарға жол ашады. Сол себепті CZ өз оқырмандарына жедел ескерту жасады.
Сектор бұған дейін де зардап шеккен. Осы жылы инфрақұрылым жеткізушісі Vercel-де болған бұзылу топтарды кілттерді қайта ауыстыруға итермеледі. 3Commas-тағы 2022 жылғы ақау шамамен 100 000 қолданушы кілтін жария етті.
Bitwarden құпиясөз менеджеріндегі жабдықтау тізбегіне жасалған бөлек шабуыл әмиян сидтері мен әзірлеуші токендерін ұрлаған. Ұрланған деректер кейін GitHub репозиторийлерінде жасырулы сақталған.
Әзірлеушілер көбіне жеке кілтілерін код ішінде, құрастыру скрипттерінде немесе жасырын конфигурациялық файлдарда қалдырып кетеді, себебі компаниядан тыс адам ешқашан оларды көрмейді деп ойлайды. GitHub оқиғасы ішкі жүйелердің де жалпыға ортақ жүйелер секілді бұзыла алатынын көрсетті.
GitHub командасы әлі де логтарды зерттеп жатыр. ұрланған репозиторийлердің қандай да бірінде крипто инфрақұрылымына қатысты код немесе құпия ақпарат бар ма, оны бірнеше күн ішінде анықтау жоспарлануда.
