Nền tảng phát triển đám mây Vercel hôm Chủ nhật cho biết những kẻ tấn công đã giành quyền truy cập trái phép vào một phần cơ sở hạ tầng nội bộ của họ, một sự cố có thể gây ra những tác động dây chuyền đối với nhiều dự án crypto đang lưu trữ giao diện người dùng (frontend) trên dịch vụ này.

Trong một bản tin bảo mật, công ty cho biết họ đã thuê các chuyên gia ứng phó sự cố bên ngoài và thông báo cho cơ quan thực thi pháp luật. Vercel nói rằng một nhóm nhỏ khách hàng đã bị ảnh hưởng và đang được liên hệ trực tiếp, đồng thời các dịch vụ của họ vẫn hoạt động.

Vercel tuyên bố: "Cuộc điều tra của chúng tôi đã tiết lộ rằng sự cố bắt nguồn từ một công cụ AI của bên thứ ba, mà ứng dụng Google Workspace OAuth của nó đã trở thành đối tượng của một sự cố lộ lọt dữ liệu rộng hơn, có khả năng ảnh hưởng đến hàng trăm người dùng của nó trên nhiều tổ chức." 

Thông tin tiết lộ được đưa ra sau một bài đăng trên chợ đen tội phạm mạng BreachForums, trong đó một người bán có tên ShinyHunters đã rao bán thứ mà họ cho là dữ liệu nội bộ của Vercel với giá 2 triệu đô la, theo BleepingComputer. Người đăng bài đã liệt kê các khóa truy cập, mã nguồn, hồ sơ cơ sở dữ liệu và thông tin xác thực triển khai nội bộ bao gồm token NPM và GitHub. Tính xác thực của những tuyên bố này chưa được xác minh độc lập. 

Một mẫu được chia sẻ làm bằng chứng được cho là chứa khoảng 580 hồ sơ nhân viên, với tên, địa chỉ email công ty, trạng thái tài khoản và dấu thời gian hoạt động, cùng với ảnh chụp màn hình từ một bảng điều khiển nội bộ.

Việc quy kết vẫn chưa được xác định rõ ràng. BleepingComputer đưa tin rằng các thành viên có liên hệ với nhóm tống tiền cốt lõi ShinyHunters đã phủ nhận bất kỳ vai trò nào trong sự cố Vercel. Kẻ tấn công cũng nói với tờ báo rằng họ đã liên hệ với Vercel về khoản tiền chuộc 2 triệu đô la, mặc dù công ty chưa công khai xác nhận bất kỳ cuộc đàm phán nào.

Nhà phát triển Theo Browne, người có các bài viết được cộng đồng phát triển phần mềm theo dõi rộng rãi, đã viết trên X rằng các nguồn tin của anh ấy chỉ ra rằng các tích hợp Linear và GitHub nội bộ của Vercel là những hệ thống bị ảnh hưởng nặng nề nhất. Anh ấy nói thêm rằng các biến môi trường được đánh dấu là nhạy cảm trong Vercel được bảo vệ, nhưng những biến không được đánh dấu nên được xoay vòng như một biện pháp phòng ngừa.

Hướng dẫn đó phù hợp với khuyến nghị của chính Vercel rằng khách hàng nên xem xét các biến môi trường và sử dụng tính năng biến nhạy cảm của nó.

Mức độ tiếp xúc của Crypto

Mức độ tiếp xúc này rất đáng kể đối với crypto. Các nhóm Web3 thường xuyên triển khai giao diện ví, frontend của sàn DEX và bảng điều khiển dapp trên Vercel, và bất kỳ dự án nào đã lưu trữ các điểm cuối RPC riêng tư, khóa API của bên thứ ba hoặc bí mật liên quan đến ví trong các biến môi trường không được mã hóa đều có thể cần phải coi những bí mật đó đã bị lộ.

Các sự cố liên quan đến frontend đã là một vấn đề tái diễn trong lĩnh vực này. Nền tảng tổng hợp DEX CoW Swap đã tạm dừng giao dịch vào tuần trước trong một vụ chiếm quyền miền (domain hijacking), và Aerodrome và Velodrome đều bị tấn công bởi một vụ chiếm quyền DNS (DNS hijack) vào tháng 11. EasyDNS mới hôm qua đã thừa nhận trách nhiệm về vụ chiếm quyền DNS của dự án eth.limo. Những cuộc tấn công đó thường hoạt động bằng cách chuyển hướng khách truy cập đến các bản sao giả mạo rút cạn ví ở lớp nhà đăng ký tên miền hoặc DNS.

Một sự cố ở lớp lưu trữ và triển khai sẽ mở ra một bề mặt tấn công khác, một bề mặt bỏ qua hoàn toàn việc giám sát DNS và, trong trường hợp xấu nhất, có thể cho phép can thiệp vào đầu ra bản dựng thực tế của một dự án thay vì chỉ nơi tên miền của nó trỏ đến.

Vẫn chưa rõ làm thế nào kẻ tấn công xâm nhập được vào Vercel hoặc liệu có bất kỳ triển khai nào hướng tới khách hàng đã bị thay đổi hay không. Vercel cho biết cuộc điều tra đang diễn ra và họ sẽ cập nhật bản tin khi có thêm thông tin. Tính đến thời điểm xuất bản, chưa có dự án crypto nổi bật nào công khai thừa nhận đã được Vercel liên hệ về lỗ hổng này.