Sicherheitsverstoß auf beliebter Plattform führt zu dringenden Maßnahmen von Kryptowährungsentwicklern zur Sicherung sensibler Zugangsdaten
Ein Verstoß beim Web-Infrastrukturanbieter Vercel zwingt Krypto-Teams dazu, API-Schlüssel zu rotieren und eine gründliche Prüfung des zugrunde liegenden Codes durchzuführen.
In einem Bulletin sagte Vercel, der Hacker sei in der Lage gewesen, sich hinter den Kulissen Einstellungen anzueignen, die nicht gesperrt waren, und möglicherweise API-Schlüssel offenzulegen – die digitalen Anmeldeinformationen, die Apps verwenden, um sich mit anderen Diensten zu verbinden. Diese Anmeldeinformationen fungieren wie digitale Passwörter und ermöglichen der Software die Verbindung zu Datenbanken, Krypto-Wallets und externen Diensten. In den falschen Händen können sie dazu verwendet werden, sich als eine App auszugeben, Nutzungsbeschränkungen zu durchbrechen oder deren Ausführung zu manipulieren.
In einem Beitrag im Internetkriminalitätsforum BreachForums wurde behauptet, dass Vercel-Daten einschließlich Zugangsschlüsseln und Quellcode für 2 Millionen US-Dollar verkauft würden, obwohl diese Behauptungen nicht unabhängig überprüft wurden. Vercel sagte, es habe Incident-Response-Firmen und Strafverfolgungsbehörden eingeschaltet und untersuche weiterhin, ob Daten exfiltriert wurden.
Das Unternehmen habe den Einbruch auf Context.ai zurückgeführt, ein KI-Tool eines Drittanbieters, das von einem Mitarbeiter verwendet wurde, sagte sein CEO in einem X-Beitrag, wo eine kompromittierte Google Workspace-Verbindung es Angreifern ermöglichte, den Zugriff auf die internen Umgebungen von Vercel zu erweitern. Vercel sagte, dass als „sensibel“ gekennzeichnete Umgebungsvariablen so gespeichert werden, dass sie nicht gelesen werden können, und dass es keine Beweise dafür gibt, dass auf sie zugegriffen wurde.
Der Vorfall zieht die Aufmerksamkeit auf sich, da Vercel die Frontend-Infrastruktur für viele Kryptoanwendungen unterstützt und der Hauptverwalter von Next.js ist, einem der am weitesten verbreiteten Webentwicklungs-Frameworks. Viele Web3-Teams hosten Wallet-Schnittstellen und dezentrale App-Dashboards auf Vercel und verlassen sich dabei auf Umgebungsvariablen zum Speichern von Anmeldeinformationen, die ihre Frontends mit Blockchain-Datenanbietern und Backend-Diensten verbinden.
Die in Solana ansässige dezentrale Börse Orca sagte, ihr Frontend sei auf Vercel gehostet und sie habe vorsorglich alle Anmeldeinformationen für die Bereitstellung rotiert. Das Projekt fügte hinzu, dass sein On-Chain-Protokoll und seine Benutzergelder nicht betroffen seien.