Sinabi ng cloud development platform na Vercel nitong Linggo na nagkaroon ng hindi awtorisadong pag-access ang mga umaatake sa ilang bahagi ng panloob na imprastraktura nito, isang insidente na may posibleng epekto sa maraming proyekto ng crypto na nagho-host ng mga frontend sa serbisyo.

Sa isang bulletin ng seguridad, sinabi ng kumpanya na nakipag-ugnayan ito sa mga panlabas na tagatugon sa insidente at ipinagbigay-alam sa mga awtoridad. Sinabi ng Vercel na isang limitado lamang na subset ng mga customer ang naapektuhan at direktang kinokontak, at ang mga serbisyo nito ay nananatiling gumagana.

"Ipinapakita ng aming imbestigasyon na ang insidente ay nagmula sa isang third-party AI tool kung saan ang Google Workspace OAuth app nito ay naging paksa ng mas malawak na kompromiso, na posibleng makaapekto sa daan-daang user nito sa maraming organisasyon," pahayag ng Vercel. 

Ang pagbubunyag ay kasunod ng isang post sa cybercrime marketplace na BreachForums kung saan isang nagtitinda na may pangalang ShinyHunters ang nag-alok ng sinasabi nilang panloob na data ng Vercel sa halagang $2 milyon, ayon sa BleepingComputer. Inilista ng nag-post ang mga access key, source code, database record, at panloob na deployment credentials kabilang ang mga NPM at GitHub token. Ang katotohanan ng mga pahayag ng nag-post ay hindi pa independyenteng nabeberipika. 

Ang isang sample na ibinahagi bilang patunay ay iniulat na naglalaman ng humigit-kumulang 580 record ng empleyado, na may mga pangalan, email address ng kumpanya, status ng account at timestamps ng aktibidad, kasama ang isang screenshot mula sa isang internal na dashboard.

Hindi pa rin natutukoy ang pagpapatungkol. Iniulat ng BleepingComputer na ang mga miyembrong nauugnay sa pangunahing extortion group ng ShinyHunters ay itinanggi ang anumang papel sa insidente ng Vercel. Sinabi rin ng umaatake sa outlet na nakipag-ugnayan sila sa Vercel tungkol sa $2 milyong ransom, bagama't hindi pa pampublikong kinukumpirma ng kumpanya ang anumang negosasyon.

Isinulat ng developer na si Theo Browne, na ang coverage ay malawakang sinusundan sa komunidad ng software development, sa X na ipinahiwatig ng kanyang mga source na ang panloob na Linear at GitHub integration ng Vercel ang pinaka-apektadong system. Idinagdag niya na ang mga environment variable na itinalaga bilang sensitive sa Vercel ay protektado, ngunit ang mga hindi itinalaga ay dapat palitan bilang pag-iingat.

Ang gabay na iyon ay naaayon sa sariling rekomendasyon ng Vercel na suriin ng mga customer ang mga environment variable at gamitin ang feature nitong sensitive variable.

Ang pagkalantad ng Crypto

Ang pagkalantad ay mahalaga para sa crypto. Regular na inilalabas ng mga Web3 team ang mga wallet interface, DEX frontend at dapp dashboard sa Vercel, at anumang proyekto na nag-imbak ng mga pribadong RPC endpoint, third-party API key, o mga sikreto na may kaugnayan sa wallet sa mga simpleng environment variable ay maaaring kailanganin ngayong ituring ang mga sikretong iyon bilang nakompromiso.

Ang mga kompromiso sa frontend ay isa nang paulit-ulit na problema sa sektor. Itinigil ng DEX aggregator CoW Swap ang trading noong nakaraang linggo sa panahon ng isang domain hijacking, at ang Aerodrome at Velodrome ay parehong tinamaan ng isang DNS hijack noong Nobyembre. Inamin ng EasyDNS kahapon ang pananagutan sa DNS hijacking ng proyektong eth.limo. Ang mga pag-atakeng iyon ay karaniwang gumagana sa pamamagitan ng pag-redirect ng mga bisita sa mga wallet-draining clone sa registrar o DNS layer.

Ang isang kompromiso sa hosting at deployment layer ay magbubukas ng ibang surface ng pag-atake, na lumalampas sa pagsubaybay ng DNS nang buo at, sa pinakamalalang sitwasyon, ay maaaring magpahintulot sa pagmamanipula sa aktwal na output ng build ng isang proyekto sa halip na kung saan lang nakaturo ang domain nito.

Hindi pa malinaw kung paano nilabag ng mga umaatake ang Vercel o kung may anumang deployment na nakaharap sa customer ang nabago. Sinabi ng Vercel na nagpapatuloy ang imbestigasyon nito at ia-update nito ang bulletin kapag may karagdagang impormasyon na naging available. Wala pang mga high-profile na proyekto ng crypto ang pampublikong umamin na kinontak sila ng Vercel hinggil sa vulnerability hanggang sa oras ng paglathala.