Платформа для хмарної розробки Vercel повідомила в неділю, що зловмисники отримали несанкціонований доступ до частин її внутрішньої інфраструктури, що може мати значні наслідки для багатьох криптопроєктів, які розміщують свої фронтенди на цьому сервісі.

У бюлетені з безпеки компанія зазначила, що залучила зовнішніх спеціалістів з реагування на інциденти та повідомила правоохоронні органи. Vercel заявила, що постраждала обмежена кількість клієнтів, з якими зв'язуються безпосередньо, і що її послуги залишаються операційними.

"Наше розслідування виявило, що інцидент стався через сторонній інструмент ШІ, чий додаток Google Workspace OAuth став об'єктом ширшого компромісу, що потенційно зачепило сотні його користувачів у багатьох організаціях", – заявила Vercel. 

Розкриття інформації відбулося після допису на кіберзлочинному маркетплейсі BreachForums, де продавець під ніком ShinyHunters запропонував, за їхніми словами, внутрішні дані Vercel за $2 мільйони, згідно з BleepingComputer. Дописувач перерахував ключі доступу, вихідний код, записи баз даних та внутрішні облікові дані для розгортання, включаючи токени NPM та GitHub. Достовірність заяв дописувача не була незалежно перевірена. 

Зразок, наданий як доказ, за повідомленнями, містив близько 580 записів співробітників з іменами, корпоративними електронними адресами, статусами облікових записів та часовими мітками активності, а також скріншот з внутрішньої панелі керування.

Приналежність залишається невизначеною. BleepingComputer повідомив, що члени, пов'язані з основною групою вимагачів ShinyHunters, заперечували будь-яку причетність до інциденту з Vercel. Зловмисник також заявив виданню, що він контактував з Vercel щодо викупу в розмірі $2 мільйонів, хоча компанія публічно не підтвердила жодних переговорів.

Розробник Тео Браун, чиї публікації широко обговорюються в спільноті розробників програмного забезпечення, написав у X, що його джерела вказують на те, що внутрішні інтеграції Linear і GitHub Vercel були найбільш постраждалими системами. Він додав, що змінні середовища, позначені як конфіденційні у Vercel, захищені, але ті, що не позначені, слід оновити як запобіжний захід.

Ця порада відповідає власній рекомендації Vercel щодо того, щоб клієнти перевіряли змінні середовища та використовували функцію конфіденційних змінних.

Вразливість криптопроєктів

Ця вразливість є суттєвою для криптосфери. Команди Web3 регулярно розгортають інтерфейси гаманців, фронтенди DEX та панелі керування децентралізованих додатків (dapp) на Vercel, і будь-який проєкт, який зберігав приватні RPC-ендпоїнти, API-ключі сторонніх розробників або секрети, пов'язані з гаманцями, у звичайних змінних середовища, тепер, можливо, повинен вважати ці секрети скомпрометованими.

Компрометація фронтендів вже є постійною проблемою в цьому секторі. DEX-агрегатор CoW Swap призупинив торгівлю минулого тижня через захоплення домену, а Aerodrome та Velodrome постраждали від DNS-атаки у листопаді. EasyDNS лише вчора визнала свою провину за DNS-захоплення проєкту eth.limo. Такі атаки зазвичай працюють шляхом перенаправлення відвідувачів на клони, що виснажують гаманці, на рівні реєстратора або DNS.

Компрометація на рівні хостингу та розгортання відкрила б іншу поверхню атаки, яка повністю обходить моніторинг DNS і могла б, у найгіршому випадку, дозволити втручання у фактичний вивід збірки проєкту, а не просто зміну того, куди вказує його домен.

Наразі незрозуміло, як саме зловмисники зламали Vercel і чи були змінені будь-які розгортання, доступні для клієнтів. Vercel заявила, що її розслідування триває, і вона оновить бюлетень, коли з'явиться більше інформації. Жоден високопрофільний криптопроєкт публічно не підтвердив, що Vercel зв'язувалася з ними щодо цієї вразливості на момент публікації.