A Coinbase állt a legújabb GitHub-hackertámadás célkeresztjében
Nemrégiben egy GitHub Actions ellátási láncot érintő támadás középpontjában a Coinbase állt, amely során több száz titkos adat került veszélybe. A támadás a `reviewdog/action-setup@v1` GitHub Action megfertőzésével kezdődött. A hackerek módosították az akciót, hogy CI/CD-titkokat és hitelesítési tokeneket szivárogtasson a GitHub Actions naplókba.
A támadás részletei
Az első szakaszban a `reviewdog/action-setup@v1` GitHub Action kompromittálódott. Amikor a `tj-actions/eslint-changed-files` GitHub Action használta a reviewdog akciót, annak titkos adatai a munkafolyamat-naplókba kerültek.
Ez lehetővé tette a támadók számára egy személyes hozzáférési token ellopását, amelyet aztán a `tj-actions/changed-files` GitHub Action módosítására használtak, hogy az ismét CI/CD-titkokat szivárogtasson a naplókba.
Célzott támadás a Coinbase ellen
Az első rosszindulatú commit kifejezetten a Coinbase projektjeit és egy “mmvojwip” nevű felhasználói fiókot célzott, ami a támadókhoz tartozott. A `changed-files` akciót több mint 20 000 projekt használta, köztük a Coinbase `coinbase/agentkit` keretrendszere, amely MI-ügynökök és blokkláncok közötti interakciót tesz lehetővé.
A Unit 42 szerint a Coinbase agentkit munkafolyamata végrehajtotta a `changed-files` akciókat, lehetővé téve a támadóknak olyan tokenek ellopását, amelyek írási hozzáférést biztosítottak a tárolóhoz. A támadó 2025. március 14-én, 15:10 UTC-kor szerezte meg a GitHub tokent, kevesebb mint két órával a nagyobb támadás megkezdése előtt.
A Coinbase később közölte a Unit 42-vel, hogy a támadás sikertelen volt, és nem érintette az eszközeiket.
🤧 A különféle allergiákkal világszerte egyre több ember kénytelen együtt élni. Az Egyesült Államok lakosságának több mint 30%-át érinti valamilyen allergiás tünet, és ez a szám folyamatosan növekszik...
Egy idő után minden eszköz elavul, de most az Apple egy ritka lépésre szánta el magát: olyan iPhone-okra is kiadott frissítést, amelyek már nem támogatják a legújabb, iOS 26-os rendszert...
A HarperCollins menő, többéves együttműködésbe vágott bele a Toonstar nevű, AI-vezérelt animációs stúdióval, hogy saját YouTube-sorozatokat gyártsanak HarperCollins-könyvek alapján...
🤖 A digitális térben már szinte magától értetődő, hogy minden személyes adatunk ismert: az arcfelismerés, az automatizált fizetés, az ajánlások mind gördülékennyé tették az online élményt...
Amikor az ember először kézbe veszi a Sivga Robin SV021 Pro fejhallgatót, rögtön feltűnik a különleges, fából készült dizájn és a kifejezetten kényelmes viselet...
Erre utal többek között az, hogy tudósok először alkottak teljes, nagy felbontású idegtérképet a csiklóról, amely az emberi test egyik legkevésbé kutatott szerve...
A Charles Schwab, amely közel 12 billió dollár (kb. 4 260 000 milliárd forint) ügyfélvagyont kezel, 2026 első felében bevezeti a valós idejű bitcoin- és etherkereskedést...
🎬 Áprilisban ismét frissül az Apple TV és az Apple Arcade kínálata, számos izgalmas új sorozattal és játékkal, amelyek minden korosztály számára tartogatnak meglepetéseket...
💰 Az elmúlt években sorra kerülnek napvilágra azok a hírek, amelyek szerint a hírességek és milliárdosok jelentős veszteségekkel, elsőre hihetetlennek tűnő áron kénytelenek megválni luxusingatlanaiktól...
🚀 Négy űrhajós, Reid Wiseman, Victor Glover, Jeremy Hansen és Christina Koch vágott neki a NASA Artemis II küldetésének, amely új fejezetet nyit az emberes űrutazás történetében...
🤔 A mesterséges általános intelligencia (AGI) kapcsán legtöbben attól tartanak, hogy a robotok minden munkát elvesznek tőlünk, és csak a legkreatívabb, legemberibb munkakörök maradnak meg...
Tízmilliárd dolláros, vagyis mintegy 3700 milliárd forintos gigaberuházást jelentett be a Microsoft Japánban, amellyel jelentősen bővíti a helyi MI-infrastruktúrát és felhőszolgáltatásokat...
Évek óta húzza le a Netflix az olasz nézőket, most viszont nagyot koppant: a római bíróság úgy döntött, hogy a korábbi, jogtalan áremeléseket vissza kell fizetnie az előfizetőknek...
📝 Érdemes megvizsgálni, mit jelent egyre több online egészségügyi vállalat számára az adatbiztonság: már néhány nap is elegendő volt ahhoz, hogy ismeretlen hackerek a Hims & Hers Health ügyfélszolgálati rendszeréből több millió támogatási jegyet ellopjanak...
🤔 A Microsoft Copilot nevű mesterséges intelligenciáját óriási marketingkampány kíséri, a cég pedig lelkesen mutatja be, hogyan segíthet a szoftver üzleti stratégiaalkotásban, a munkahelyi hatékonyság növelésében, kreatív feladatokban és még sok minden másban...
