A Coinbase állt a legújabb GitHub-hackertámadás célkeresztjében
Nemrégiben egy GitHub Actions ellátási láncot érintő támadás középpontjában a Coinbase állt, amely során több száz titkos adat került veszélybe. A támadás a `reviewdog/action-setup@v1` GitHub Action megfertőzésével kezdődött. A hackerek módosították az akciót, hogy CI/CD-titkokat és hitelesítési tokeneket szivárogtasson a GitHub Actions naplókba.
A támadás részletei
Az első szakaszban a `reviewdog/action-setup@v1` GitHub Action kompromittálódott. Amikor a `tj-actions/eslint-changed-files` GitHub Action használta a reviewdog akciót, annak titkos adatai a munkafolyamat-naplókba kerültek.
Ez lehetővé tette a támadók számára egy személyes hozzáférési token ellopását, amelyet aztán a `tj-actions/changed-files` GitHub Action módosítására használtak, hogy az ismét CI/CD-titkokat szivárogtasson a naplókba.
Célzott támadás a Coinbase ellen
Az első rosszindulatú commit kifejezetten a Coinbase projektjeit és egy “mmvojwip” nevű felhasználói fiókot célzott, ami a támadókhoz tartozott. A `changed-files` akciót több mint 20 000 projekt használta, köztük a Coinbase `coinbase/agentkit` keretrendszere, amely MI-ügynökök és blokkláncok közötti interakciót tesz lehetővé.
A Unit 42 szerint a Coinbase agentkit munkafolyamata végrehajtotta a `changed-files` akciókat, lehetővé téve a támadóknak olyan tokenek ellopását, amelyek írási hozzáférést biztosítottak a tárolóhoz. A támadó 2025. március 14-én, 15:10 UTC-kor szerezte meg a GitHub tokent, kevesebb mint két órával a nagyobb támadás megkezdése előtt.
A Coinbase később közölte a Unit 42-vel, hogy a támadás sikertelen volt, és nem érintette az eszközeiket.
💰 Az elmúlt fél évben a kriptovilág szokatlanul csendes. Az igazi tűzijátékok elmaradnak, különösen az alternatív coinok piacán, ahol a medvés trend az úr...
📈 A Hut 8 részvényei közel 30%-kal ugrottak meg, amikor a cég bejelentette, hogy 15 évre szóló, 3 570 milliárd forintos (9,8 milliárd USD) bérleti szerződést kötött egy nagyszabású MI-adatközpont létesítésére Texasban, a Beacon Point nevű bérelt területén...
🚀 Az ExpressVPN legfrissebb, 14.1.0-s verziója jelentősen kényelmesebbé és gördülékenyebbé teszi a mindennapi használatot mind Macen, mind Windowson, mind Linuxon...
A Google új szintre emelte a hibavadászatot: akár 1,5 millió dollárt (több mint 540 millió forintot) is hajlandó kifizetni annak, aki igazán komoly biztonsági rést fedez fel az Androidban vagy a Chrome böngészőben...
⚡ Világszerte forradalomra készülhetünk az energiatárolás terén: ausztrál kutatók sikeresen létrehozták az első működő kvantumakkumulátort, amely lézersugárral egy billiárdod másodperc alatt teljesen feltölthető...
Manfred, egy MI-alapú ügynök, történelmet írt: saját maga alapította meg első vállalkozását, önállóan kérte az amerikai adóhivataltól a cégalapításhoz szükséges regisztrációs kódot, amellyel legálisan működhet, alkalmazottakat vehet fel és engedélyeket szerezhet...
💪 A Hoover HF3 DynamicClean vezeték nélküli porszívóval nem kell kompromisszumot kötnöd, ha limitált a költségvetésed, viszont ragaszkodsz a hatékony takarításhoz...
🚀 Az ikonikus EVE Online fejlesztője jelentős változásokat jelentett be: a korábban CCP Games néven ismert stúdió mostantól Fenris Creations néven működik tovább, miután függetlenedett a Pearl Abysstől, és hosszú távú, izgalmas együttműködést kötött a Google DeepMind csapatával...
🔒 A digitális pénzpiacokon újra fókuszba került az adatvédelem: a Multicoin Capital látványos pozíciót épített a Zcash (ZEC) tokenben, arra számítva, hogy a privát értéktárolás egyre fontosabb lesz, ahogy a pénzügyek tömegesen a blokkláncra költöznek...
⚠ Morrowind nemcsak legendás hangulata, hanem nehézsége miatt is kultjáték: annak különös világának rideg szabályait mindenkinek egyedül kell feltérképeznie...
💰 A kriptopiac mostanában főként a bitcoin árfolyam-emelkedésével foglalkozik, ám a decentralizált pénzügyek terén is lezajlott egy jelentős válság, amely végül csendben, látványos veszteségek nélkül ért véget...
🔒 A DAEMON Tools, amelyet százezrek használnak virtuális meghajtók létrehozására, áldozatul esett egy kifinomult támadásnak: hackerek megfertőzték az eredeti weboldalról letölthető telepítőt...
A pénzügyi szektor egyre határozottabban fordul a blokklánc-technológia felé, a nagy szereplők már nemcsak ismerkednek az új eszközökkel, hanem aktívan fejlesztik is azokat...
Az HBO Max hamarosan több millió régebbi Amazon Fire TV eszközről eltűnik, mivel a platform már csak a Fire OS 6-ot vagy újabb operációs rendszert támogatja...
A mexikóvárosi Japan nevű éjszakai klub hatalmas port kavart az interneten: az amerikaiaknak csaknem 110 ezer forintos (300 dolláros) belépőt kell fizetniük, miközben más külföldieknek mindössze 7 400 forintot (20 dollár), a mexikóiaknak és latin-amerikaiaknak pedig csupán 5 100 forintot (14 dollár) számítanak fel...
💸 A kriptotőzsdék új, vad hulláma indul, ahogy az OKX bejelentette: örökös határidős ügyleteket vezet be olyan magáncégekhez kapcsolódóan, mint az OpenAI, a SpaceX és az Anthropic...
