Platform pengembangan cloud Vercel pada hari Minggu mengatakan bahwa para penyerang mendapatkan akses tidak sah ke bagian-bagian infrastruktur internalnya, sebuah insiden dengan potensi efek berantai bagi banyak proyek kripto yang meng-host frontend di layanan tersebut.

Dalam buletin keamanan, perusahaan tersebut mengatakan telah melibatkan penanggap insiden eksternal dan memberitahu penegak hukum. Vercel mengatakan bahwa sebagian kecil pelanggan terkena dampak dan sedang dihubungi secara langsung, dan layanan mereka tetap beroperasi.

"Penyelidikan kami mengungkapkan bahwa insiden ini berasal dari alat AI pihak ketiga yang aplikasi Google Workspace OAuth-nya menjadi subjek kompromi yang lebih luas, berpotensi memengaruhi ratusan penggunanya di berbagai organisasi," kata Vercel. 

Pengungkapan ini menyusul sebuah postingan di pasar kejahatan siber BreachForums di mana seorang penjual dengan nama ShinyHunters menawarkan apa yang mereka katakan sebagai data internal Vercel seharga $2 juta, menurut BleepingComputer. Poster tersebut mencantumkan kunci akses, kode sumber, catatan basis data, dan kredensial deployment internal termasuk token NPM dan GitHub. Kebenaran klaim poster tersebut belum diverifikasi secara independen. 

Sampel yang dibagikan sebagai bukti dilaporkan berisi sekitar 580 catatan karyawan, dengan nama, alamat email perusahaan, status akun, dan stempel waktu aktivitas, bersama dengan tangkapan layar dari dasbor internal.

Atribusi tetap belum jelas. BleepingComputer melaporkan bahwa anggota yang terkait dengan kelompok pemerasan inti ShinyHunters menyangkal peran apa pun dalam insiden Vercel. Penyerang juga mengatakan kepada outlet tersebut bahwa mereka telah berkomunikasi dengan Vercel mengenai tebusan $2 juta, meskipun perusahaan belum secara publik mengkonfirmasi negosiasi apa pun.

Pengembang Theo Browne, yang liputannya diikuti secara luas dalam komunitas pengembangan perangkat lunak, menulis di X bahwa sumbernya mengindikasikan integrasi internal Linear dan GitHub milik Vercel adalah sistem yang paling terdampak. Ia menambahkan bahwa variabel lingkungan yang ditandai sebagai sensitif di Vercel dilindungi, namun yang tidak ditandai harus dirotasi sebagai tindakan pencegahan.

Panduan tersebut selaras dengan rekomendasi Vercel sendiri agar pelanggan meninjau variabel lingkungan dan menggunakan fitur variabel sensitifnya.

Eksposur Kripto

Eksposur ini penting bagi kripto. Tim Web3 secara teratur men-deploy antarmuka dompet, frontend DEX, dan dasbor dapp di Vercel, dan setiap proyek yang menyimpan endpoint RPC pribadi, kunci API pihak ketiga, atau rahasia terkait dompet dalam variabel lingkungan biasa mungkin sekarang perlu memperlakukan rahasia tersebut sebagai telah disusupi.

Kompromi frontend sudah menjadi masalah berulang di sektor ini. Agregator DEX CoW Swap menghentikan perdagangan minggu lalu selama pembajakan domain, dan Aerodrome serta Velodrome keduanya terkena pembajakan DNS pada bulan November. EasyDNS baru kemarin mengakui kesalahan atas pembajakan DNS proyek eth.limo. Serangan-serangan tersebut biasanya bekerja dengan mengarahkan pengunjung ke klon yang menguras dompet di tingkat registrar atau DNS.

Kompromi pada lapisan hosting dan deployment akan membuka permukaan serangan yang berbeda, yang sepenuhnya melewati pemantauan DNS dan, dalam skenario terburuk, dapat memungkinkan perusakan output build aktual proyek daripada hanya ke mana domainnya mengarah.

Belum jelas bagaimana penyerang membobol Vercel atau apakah ada deployment yang menghadap pelanggan yang diubah. Vercel mengatakan penyelidikannya sedang berlangsung dan akan memperbarui buletin seiring tersedianya informasi lebih lanjut. Belum ada proyek kripto profil tinggi yang secara terbuka mengakui bahwa mereka dihubungi oleh Vercel terkait kerentanan tersebut pada waktu publikasi.