Une faille de sécurité sur une plate-forme populaire déclenche une action urgente de la part des développeurs de crypto-monnaie pour sécuriser les informations d'identification d'accès sensibles
Une faille chez le fournisseur d'infrastructure Web Vercel oblige les équipes de cryptographie à alterner les clés API et à effectuer une inspection approfondie de leur code sous-jacent.
Dans un bulletin, Vercel a déclaré que le pirate informatique était capable de récupérer des paramètres en coulisses qui n'étaient pas verrouillés, exposant potentiellement les clés API – les informations d'identification numériques utilisées par les applications pour se connecter à d'autres services. Ces informations d'identification agissent comme des mots de passe numériques, permettant aux logiciels de se connecter aux bases de données, aux portefeuilles cryptographiques et aux services externes. Entre de mauvaises mains, ils peuvent être utilisés pour usurper l’identité d’une application, dépasser les limites d’utilisation ou manipuler son fonctionnement.
Un article sur le forum sur la cybercriminalité BreachForums prétendait vendre des données Vercel pour 2 millions de dollars, y compris les clés d'accès et le code source, bien que ces affirmations n'aient pas été vérifiées de manière indépendante. Vercel a déclaré avoir engagé des sociétés de réponse aux incidents et des forces de l'ordre et qu'il continue d'enquêter pour savoir si des données ont été exfiltrées.
L'entreprise a retracé l'intrusion jusqu'à Context.ai, un outil d'IA tiers utilisé par un employé, a déclaré son PDG dans un article X, où une connexion Google Workspace compromise a permis aux attaquants d'accéder aux environnements internes de Vercel. Vercel a déclaré que les variables d'environnement marquées comme « sensibles » sont stockées d'une manière qui empêche leur lecture et qu'il n'y a aucune preuve qu'elles ont été consultées.
L'incident fait l'objet d'un examen minutieux car Vercel sous-tend l'infrastructure frontale de nombreuses applications de cryptographie et est le principal gestionnaire de Next.js, l'un des frameworks de développement Web les plus largement utilisés. De nombreuses équipes Web3 hébergent des interfaces de portefeuille et des tableaux de bord d'applications décentralisés sur Vercel, en s'appuyant sur des variables d'environnement pour stocker les informations d'identification qui connectent leurs frontends aux fournisseurs de données blockchain et aux services backend.
L'échange décentralisé basé à Solana, Orca, a déclaré que son interface était hébergée sur Vercel et qu'il avait alterné toutes les informations d'identification de déploiement par mesure de précaution. Le projet a ajouté que son protocole en chaîne et les fonds des utilisateurs n'étaient pas affectés.