A Coinbase állt a legújabb GitHub-hackertámadás célkeresztjében
Nemrégiben egy GitHub Actions ellátási láncot érintő támadás középpontjában a Coinbase állt, amely során több száz titkos adat került veszélybe. A támadás a `reviewdog/action-setup@v1` GitHub Action megfertőzésével kezdődött. A hackerek módosították az akciót, hogy CI/CD-titkokat és hitelesítési tokeneket szivárogtasson a GitHub Actions naplókba.
A támadás részletei
Az első szakaszban a `reviewdog/action-setup@v1` GitHub Action kompromittálódott. Amikor a `tj-actions/eslint-changed-files` GitHub Action használta a reviewdog akciót, annak titkos adatai a munkafolyamat-naplókba kerültek.
Ez lehetővé tette a támadók számára egy személyes hozzáférési token ellopását, amelyet aztán a `tj-actions/changed-files` GitHub Action módosítására használtak, hogy az ismét CI/CD-titkokat szivárogtasson a naplókba.
Célzott támadás a Coinbase ellen
Az első rosszindulatú commit kifejezetten a Coinbase projektjeit és egy “mmvojwip” nevű felhasználói fiókot célzott, ami a támadókhoz tartozott. A `changed-files` akciót több mint 20 000 projekt használta, köztük a Coinbase `coinbase/agentkit` keretrendszere, amely MI-ügynökök és blokkláncok közötti interakciót tesz lehetővé.
A Unit 42 szerint a Coinbase agentkit munkafolyamata végrehajtotta a `changed-files` akciókat, lehetővé téve a támadóknak olyan tokenek ellopását, amelyek írási hozzáférést biztosítottak a tárolóhoz. A támadó 2025. március 14-én, 15:10 UTC-kor szerezte meg a GitHub tokent, kevesebb mint két órával a nagyobb támadás megkezdése előtt.
A Coinbase később közölte a Unit 42-vel, hogy a támadás sikertelen volt, és nem érintette az eszközeiket.
Például a seattle-i édesanyáktól vett anyatejmintákban riasztó mennyiségben találtak veszélyes, hormonrendszert zavaró vegyszereket, amelyek között ott van a BPA, a BPS, a melamin, a cianursav és a triklozán is...
🚀 Ebből következően érdemes megérteni, hogy a SpaceX friss tőzsdére lépése nemcsak az irdatlan, mintegy 27 ezer milliárd forintos (75 milliárd USD) tőkebevonásáról szól, hanem arról is, hogy az eddigi legnagyobb, nyilvánosan bejelentett bitcoin-vagyonnal rendelkező cég került a tőzsdére...
🎮 Egy eredeti, gyári zárású Super Mario Bros. példány rekordáron, közel 1,1 milliárd forintért (3 millió USD) talált gazdára a június 12-i Heritage Auctions árverésen...
A papagájokat mindenki beszédutánzó képességükről ismeri, de most úgy tűnik, valójában nemcsak szavakat ismételgetnek, hanem a neveket is az emberekhez hasonlóan használhatják...
A NASA Artemis II küldetésének négy űrhajósa különleges pillanatot örökített meg, amikor az Orion űrhajóval elhagyták a Földet, és a Hold felé indultak...
😢 A Sony meglepő visszalépése a PC-s játékkiadások terén nemcsak a PC-s játékosokat érinti, hanem Kínát is, ahol óriási kereslet mutatkozott az olyan címek iránt, mint a Halálháló 2 (Death Stranding 2)...
Az Egyesült Államok több államában csecsemőbotulizmus-fertőzés után visszahívták a Nara Organics organikus babatápszerét, amelyet országosan a Target üzleteiben és online árusítottak...
Elon Musk és Larry Page egykor elválaszthatatlan barátok voltak, mostanra azonban kapcsolatuk inkább szoros üzleti versengéssé és érdekvezérelt együttműködéssé változott...
Bűnügyi vizsgálat indult az Egyesült Királyságban, miután egy rendőrt azzal gyanúsítanak, hogy mesterséges intelligencia segítségével hamisított bizonyítékokat több ügyben is...
♘ A sakktáblák automatizálása már nem újdonság, hiszen eddig is akadtak olyan megoldások, ahol a bábuk alatt mágnes segítségével vagy kívülről, egy robotkarral mozgatták a figurákat...
💉 A brit egészségügy szemmel láthatóan komoly digitális fordulat elé néz: több mint félmillió orvos, nővér és háttérdolgozó kap hozzáférést a Microsoft 365 Copilot nevű MI-eszközhöz...
👽 Hihetetlen, de mégis igaz, hogy a tudatosság kérdése egyre fontosabbá válik, ahogy az univerzum határait kutatjuk, és a mesterséges intelligencia fejlődése is egyre gyorsul...
Az Amazon vezérigazgatója, Andy Jassy személyesen számolt be amerikai tisztviselőknek arról, hogy kutatóik az Anthropic egyik legújabb MI-modelljét, a Fable 5-öt olyan információk előállítására vették rá, amelyeket elvileg nem lett volna szabad...
Érdekes felvetés, hogy az angliai egészségügyi ellátásban részt vevő páciensek nem dönthetnek arról, hogy adataikat feldolgozzák-e a Palantir által fejlesztett NHS Federated Data Platformon (FDP), miközben kórházaik elutasíthatják a rendszer használatát...
🚫 Jellemző példa erre, hogy váratlanul szűnik meg egy népszerű technológia elérhetősége: a legújabb exportkorlátozási döntés értelmében minden felhasználó számára világszerte, azonnali hatállyal lekapcsolták a Fable 5 és Mythos 5 modellek hozzáférését...
