coindesk.com
Ein Sicherheitsverstoß beim Web-Infrastruktur-Anbieter Vercel zwingt Krypto-Teams dazu, API-Schlüssel zu rotieren und eine gründliche Überprüfung ihres zugrunde liegenden Codes durchzuführen.
In a Bulletin, Vercel erklärte, dass der Hacker in der Lage war, hinter den Kulissen liegende Einstellungen zu erlangen, die nicht gesichert waren, wodurch möglicherweise API-Schlüssel offengelegt wurden — die digitalen Zugangsdaten, die Apps zur Verbindung mit anderen Diensten verwenden. Diese Zugangsdaten fungieren wie digitale Passwörter und ermöglichen es der Software, sich mit Datenbanken, Krypto-Wallets und externen Diensten zu verbinden. In den falschen Händen können sie verwendet werden, um eine App zu imitieren, Nutzungslimits zu überschreiten oder deren Funktionsweise zu manipulieren.
Ein Beitrag im Cybercrime-Forum BreachForums behauptete, Vercel-Daten für 2 Millionen Dollar zu verkaufen, einschließlich Zugangsschlüsseln und Quellcode, wobei diese Behauptungen jedoch nicht unabhängig überprüft wurden. Vercel teilte mit, dass man Incident-Response-Firmen und Strafverfolgungsbehörden eingeschaltet habe und weiterhin untersuche, ob Daten exfiltriert wurden.
Das Unternehmen führte den Eindringversuch auf Context.ai zurück, ein von einem Mitarbeiter genutztes KI-Tool eines Drittanbieters, sein CEO sagte in einem X-Beitrag, bei dem eine kompromittierte Google Workspace-Verbindung es Angreifern ermöglichte, den Zugriff auf die internen Umgebungen von Vercel zu eskalieren. Vercel erklärte, dass Umgebungsvariablen, die als „sensibel“ markiert sind, auf eine Weise gespeichert werden, die ein Auslesen verhindert, und dass keine Hinweise darauf vorliegen, dass sie eingesehen wurden.
Der Vorfall zieht Aufmerksamkeit auf sich, da Vercel die Frontend-Infrastruktur für viele Krypto-Anwendungen unterstützt und der Hauptverwalter von Next.js ist, einem der am weitesten verbreiteten Webentwicklungs-Frameworks. Viele Web3-Teams hosten Wallet-Oberflächen und Dashboards für dezentrale Anwendungen auf Vercel und verlassen sich dabei auf Umgebungsvariablen zur Speicherung von Zugangsdaten, die ihre Frontends mit Blockchain-Datenanbietern und Backend-Diensten verbinden.
Solana-basierte dezentrale Börse Orca gab an, dass sein Frontend auf Vercel gehostet wird und dass alle Bereitstellungsanmeldeinformationen vorsorglich ausgetauscht wurden. Das Projekt fügte hinzu, dass das On-Chain-Protokoll und die Benutzerfonds nicht betroffen waren.