雲端開發平台 Vercel 週日表示，攻擊者未經授權存取了其部分內部基礎設施，此事件可能對許多在其服務上託管前端的加密貨幣項目產生連鎖反應。

該公司在安全公告中表示，已聘請外部事件應變人員並通知執法部門。Vercel 表示，一小部分客戶受到影響，目前正直接聯繫這些客戶，並稱其服務仍正常運作。

Vercel 表示：「我們的調查顯示，此事件源於一個第三方 AI 工具，其 Google Workspace OAuth 應用程式遭到更廣泛的入侵，可能影響許多組織中的數百名用戶。」 

據 BleepingComputer 報導，此次披露之前，網路犯罪市場 BreachForums 上有一位名叫 ShinyHunters 的賣家，聲稱以 200 萬美元出售 Vercel 的內部資料。該發文者列出了存取金鑰、原始碼、資料庫記錄以及包括 NPM 和 GitHub 憑證在內的內部部署憑證。該發文者聲稱的真實性尚未獲得獨立驗證。 

據報導，作為證據分享的樣本包含大約 580 筆員工記錄，其中包括姓名、公司電子郵件地址、帳戶狀態和活動時間戳，以及一張內部儀表板的截圖。

歸因仍懸而未決。BleepingComputer 報導稱，與 ShinyHunters 核心勒索團體相關的成員否認與 Vercel 事件有任何關聯。攻擊者也告訴該媒體，他們曾就 200 萬美元的贖金與 Vercel 聯繫，儘管該公司尚未公開證實任何談判。

開發者 Theo Browne 在 X 上寫道，他的消息來源指出 Vercel 的內部 Linear 和 GitHub 整合是受影響最嚴重的系統。他在軟體開發社群的報導廣受關注。他補充說，Vercel 中被標記為敏感的環境變數受到保護，但那些未被標記的變數應作為預防措施進行輪換。

這項建議與 Vercel 自身關於客戶應審查環境變數並使用其敏感變數功能的建議一致。

加密貨幣的風險暴露

這種風險暴露對加密貨幣領域至關重要。Web3 團隊經常在 Vercel 上部署錢包介面、DEX 前端和 dapp 儀表板，任何將私有 RPC 端點、第三方 API 金鑰或錢包相關密鑰儲存在普通環境變數中的項目，現在可能需要將這些密鑰視為已洩露。

前端洩露已是該領域的常見問題。DEX 聚合器 CoW Swap 上週在網域劫持期間暫停交易，而 Aerodrome 和 Velodrome 兩者都在 11 月遭遇了 DNS 劫持。EasyDNS 昨天才承認對 eth.limo 項目 DNS 劫持事件的責任。這些攻擊通常透過在註冊商或 DNS 層將訪客重新導向到耗盡錢包的克隆網站來運作。

主機託管和部署層的洩露將開啟一個不同的攻擊面，它可以完全繞過 DNS 監控，並且在最壞的情況下，可能允許篡改項目的實際建構輸出，而不僅僅是其網域指向的位置。

目前尚不清楚攻擊者是如何入侵 Vercel 的，也無法確定是否有任何面向客戶的部署被更改。Vercel 表示其調查仍在進行中，並將在獲得更多資訊後更新公告。截至發稿時，尚無任何知名加密貨幣項目公開承認曾就此漏洞被 Vercel 聯繫。