Platforma de dezvoltare cloud Vercel a declarat duminică că atacatorii au obținut acces neautorizat la părți ale infrastructurii sale interne, un incident cu potențiale efecte în lanț pentru numeroasele proiecte crypto care își găzduiesc frontends-urile pe acest serviciu.

Într-un buletin de securitate, compania a declarat că a angajat specialiști externi în răspuns la incidente și a notificat organele de drept. Vercel a precizat că un subgrup limitat de clienți a fost afectat și este contactat direct, iar serviciile sale rămân operaționale.

"Investigația noastră a relevat că incidentul a provenit de la un instrument AI terț a cărui aplicație Google Workspace OAuth a fost subiectul unei compromiteri mai ample, afectând potențial sute de utilizatori ai săi din numeroase organizații", a declarat Vercel. 

Dezvăluirea a urmat unei postări pe piața de criminalitate cibernetică BreachForums, în care un vânzător sub pseudonimul ShinyHunters a oferit, ceea ce ei susțineau că erau, date interne ale Vercel pentru 2 milioane de dolari, potrivit BleepingComputer. Posterul a enumerat chei de acces, cod sursă, înregistrări din baze de date și credențiale interne de implementare, inclusiv token-uri NPM și GitHub. Veridicitatea afirmațiilor posterului nu a fost verificată independent. 

O mostră partajată ca dovadă ar fi conținut aproximativ 580 de înregistrări ale angajaților, cu nume, adrese de e-mail ale companiei, stări ale conturilor și marcaje temporale ale activității, împreună cu o captură de ecran dintr-un tablou de bord intern.

Atribuirea rămâne nerezolvată. BleepingComputer a raportat că membri legați de grupul central de extorcare ShinyHunters au negat orice rol în incidentul Vercel. Atacatorul a declarat, de asemenea, publicației că a fost în contact cu Vercel cu privire la răscumpărarea de 2 milioane de dolari, deși compania nu a confirmat public nicio negociere.

Dezvoltatorul Theo Browne, a cărui acoperire este larg urmărită în comunitatea de dezvoltare software, a scris pe X că sursele sale indică faptul că integrările interne Linear și GitHub ale Vercel au fost sistemele cele mai grav afectate. El a adăugat că variabilele de mediu marcate ca sensibile în Vercel sunt protejate, dar cele nemarcate ar trebui rotite ca măsură de precauție.

Această recomandare se aliniază cu propria recomandare a Vercel ca clienții să revizuiască variabilele de mediu și să utilizeze funcția sa de variabile sensibile.

Expunerea Crypto

Expunerea este semnificativă pentru crypto. Echipele Web3 implementează în mod regulat interfețe de portofel, frontends de DEX-uri și tablouri de bord dApp pe Vercel, iar orice proiect care a stocat puncte finale RPC private, chei API terțe sau secrete legate de portofel în variabile de mediu necriptate ar putea acum să considere acele secrete ca fiind compromise.

Compromiterile de frontend sunt deja o problemă recurentă în acest sector. Agregatorul DEX CoW Swap a întrerupt tranzacționarea săptămâna trecută în timpul unui deturnări de domeniu, iar Aerodrome și Velodrome au fost ambele lovite de o deturnare DNS în noiembrie. EasyDNS a recunoscut chiar ieri culpabilitatea pentru deturnarea DNS a proiectului eth.limo. Aceste atacuri funcționează de obicei prin redirecționarea vizitatorilor către clone care golește portofelele la nivel de registrator sau DNS.

O compromitere la nivelul de găzduire și implementare ar deschide o altă suprafață de atac, una care ocolește complet monitorizarea DNS și ar putea, într-un scenariu cel mai rău, permite modificarea rezultatului real de construire al unui proiect, nu doar a locului unde indică domeniul său.

Nu este încă clar cum atacatorii au pătruns în Vercel sau dacă implementările orientate către clienți au fost modificate. Vercel a declarat că investigația sa este în curs și că va actualiza buletinul pe măsură ce vor fi disponibile mai multe informații. Niciun proiect crypto de mare anvergură nu a recunoscut public că a fost contactat de Vercel cu privire la vulnerabilitate la momentul publicării.