الاختراق الأمني في منصة شعبية يثير إجراءات عاجلة من مطوري العملات المشفرة لتأمين بيانات اعتماد الوصول الحساسة
أدى الاختراق في Vercel، موفر البنية التحتية للويب، إلى إجبار فرق العملات المشفرة على تدوير مفاتيح واجهة برمجة التطبيقات (API) وإجراء فحص عميق للتعليمات البرمجية الأساسية الخاصة بها.
وفي نشرة، قال Vercel إن المتسلل كان قادرًا على الاستيلاء على إعدادات خلف الكواليس التي لم يتم قفلها، مما قد يؤدي إلى كشف مفاتيح واجهة برمجة التطبيقات – وهي تطبيقات بيانات الاعتماد الرقمية التي تستخدمها للاتصال بخدمات أخرى. تعمل بيانات الاعتماد هذه مثل كلمات المرور الرقمية، مما يسمح للبرامج بالاتصال بقواعد البيانات ومحافظ العملات المشفرة والخدمات الخارجية. وإذا وقعت في الأيدي الخطأ، فيمكن استخدامها لانتحال صفة أحد التطبيقات، أو تجاوز حدود الاستخدام، أو التلاعب بطريقة تشغيله.
ادعى منشور على منتدى الجرائم الإلكترونية BreachForums أنه يبيع بيانات Vercel مقابل 2 مليون دولار، بما في ذلك مفاتيح الوصول وشفرة المصدر، على الرغم من أنه لم يتم التحقق من هذه الادعاءات بشكل مستقل. وقالت شركة Vercel إنها أشركت شركات الاستجابة للحوادث وجهات إنفاذ القانون، وتواصل التحقيق فيما إذا تم تسريب أي بيانات.
تتبعت الشركة الاختراق إلى context.ai، وهي أداة ذكاء اصطناعي تابعة لجهة خارجية يستخدمها أحد الموظفين، حسبما قال الرئيس التنفيذي للشركة في منشور X، حيث سمح اتصال Google Workspace المخترق للمهاجمين بتصعيد الوصول إلى البيئات الداخلية لشركة Vercel. وقال فيرسيل إن متغيرات البيئة التي تم تصنيفها على أنها "حساسة" يتم تخزينها بطريقة تمنع قراءتها، وأنه لا يوجد دليل على أنه تم الوصول إليها.
يثير هذا الحادث تدقيقًا لأن شركة Vercel تدعم البنية التحتية للواجهة الأمامية للعديد من تطبيقات العملات المشفرة وهي المشرف الأساسي على Next.js، وهو أحد أطر عمل تطوير الويب الأكثر استخدامًا. تستضيف العديد من فرق Web3 واجهات المحفظة ولوحات معلومات التطبيقات اللامركزية على Vercel، وتعتمد على متغيرات البيئة لتخزين بيانات الاعتماد التي تربط واجهاتها الأمامية بموفري بيانات blockchain وخدمات الواجهة الخلفية.
قالت بورصة Orca اللامركزية ومقرها سولانا إن الواجهة الأمامية الخاصة بها مستضافة على Vercel وأنها قامت بتدوير جميع بيانات اعتماد النشر كإجراء احترازي. وأضاف المشروع أن البروتوكول الموجود على السلسلة وأموال المستخدمين لم تتأثر.