مقبول پلیٹ فارم پر سیکیورٹی کی خلاف ورزی حساس رسائی کی اسناد کو محفوظ بنانے کے لیے کرپٹو کرنسی ڈیولپرز کی جانب سے فوری کارروائی کو جنم دیتی ہے۔

ویب انفراسٹرکچر فراہم کرنے والے Vercel کی خلاف ورزی کرپٹو ٹیموں کو API کیز کو گھمانے اور ان کے بنیادی کوڈ کا گہرا معائنہ کرنے پر مجبور کر رہی ہے۔

ایک بلیٹن میں، ورسل نے کہا کہ ہیکر پردے کے پیچھے کی ترتیبات پر قبضہ کرنے میں کامیاب تھا جو کہ لاک ڈاؤن نہیں تھیں، ممکنہ طور پر API کیز کو بے نقاب کرتی ہیں — ڈیجیٹل اسناد ایپس دوسری سروسز سے منسلک ہونے کے لیے استعمال کرتی ہیں۔ وہ اسناد ڈیجیٹل پاس ورڈز کی طرح کام کرتی ہیں، جو سافٹ ویئر کو ڈیٹا بیس، کرپٹو والٹس اور بیرونی خدمات سے مربوط ہونے کی اجازت دیتی ہیں۔ غلط ہاتھوں میں، ان کا استعمال کسی ایپ کی نقالی کرنے، استعمال کی حدود کے ذریعے جلانے، یا اس کے چلنے کے طریقے سے ہیرا پھیری کے لیے کیا جا سکتا ہے۔

سائبر کرائم فورم BreachForums پر ایک پوسٹ نے دعوی کیا ہے کہ وہ Vercel ڈیٹا $2 ملین میں فروخت کر رہا ہے، بشمول ایکسیس کیز اور سورس کوڈ، حالانکہ ان دعووں کی آزادانہ طور پر تصدیق نہیں ہوئی ہے۔ ورسل نے کہا کہ اس نے واقعے کے ردعمل کی فرموں اور قانون نافذ کرنے والے اداروں کو شامل کیا ہے اور وہ اس بات کی تحقیقات جاری رکھے ہوئے ہے کہ آیا کوئی ڈیٹا نکالا گیا تھا۔

کمپنی نے Context.ai میں دخل اندازی کا سراغ لگایا، ایک تیسری پارٹی کے AI ٹول جو ایک ملازم استعمال کرتا ہے، اس کے سی ای او نے ایک X پوسٹ میں کہا، جہاں Google Workspace کے سمجھوتہ کرنے والے کنکشن نے حملہ آوروں کو Vercel کے اندرونی ماحول تک رسائی حاصل کرنے کی اجازت دی۔ ورسل نے کہا کہ "حساس" کے طور پر نشان زد ماحولیاتی متغیرات کو اس طرح سے ذخیرہ کیا جاتا ہے جو انہیں پڑھنے سے روکتا ہے، اور اس بات کا کوئی ثبوت نہیں ہے کہ ان تک رسائی حاصل کی گئی تھی۔

اس واقعے کی جانچ پڑتال کی جا رہی ہے کیونکہ Vercel بہت سے کرپٹو ایپلی کیشنز کے لیے فرنٹ اینڈ انفراسٹرکچر کو زیر کرتا ہے اور Next.js کا بنیادی اسٹیورڈ ہے، جو ویب ڈویلپمنٹ کے سب سے زیادہ استعمال ہونے والے فریم ورک میں سے ایک ہے۔ بہت سی Web3 ٹیمیں Vercel پر والیٹ انٹرفیس اور وکندریقرت ایپ ڈیش بورڈز کی میزبانی کرتی ہیں، اسناد کو ذخیرہ کرنے کے لیے ماحولیاتی متغیرات پر انحصار کرتی ہیں جو ان کے فرنٹ اینڈ کو بلاکچین ڈیٹا فراہم کرنے والوں اور بیک اینڈ سروسز سے جوڑتی ہیں۔

سولانا پر مبنی وکندریقرت ایکسچینج اورکا نے کہا کہ اس کا فرنٹ اینڈ ورسل پر ہوسٹ کیا گیا ہے اور اس نے احتیاط کے طور پر تمام تعیناتی اسناد کو گھمایا ہے۔ پروجیکٹ نے مزید کہا کہ اس کا آن چین پروٹوکول اور صارف کے فنڈز متاثر نہیں ہوئے۔