A Coinbase állt a legújabb GitHub-hackertámadás célkeresztjében
Nemrégiben egy GitHub Actions ellátási láncot érintő támadás középpontjában a Coinbase állt, amely során több száz titkos adat került veszélybe. A támadás a `reviewdog/action-setup@v1` GitHub Action megfertőzésével kezdődött. A hackerek módosították az akciót, hogy CI/CD-titkokat és hitelesítési tokeneket szivárogtasson a GitHub Actions naplókba.
A támadás részletei
Az első szakaszban a `reviewdog/action-setup@v1` GitHub Action kompromittálódott. Amikor a `tj-actions/eslint-changed-files` GitHub Action használta a reviewdog akciót, annak titkos adatai a munkafolyamat-naplókba kerültek.
Ez lehetővé tette a támadók számára egy személyes hozzáférési token ellopását, amelyet aztán a `tj-actions/changed-files` GitHub Action módosítására használtak, hogy az ismét CI/CD-titkokat szivárogtasson a naplókba.
Célzott támadás a Coinbase ellen
Az első rosszindulatú commit kifejezetten a Coinbase projektjeit és egy “mmvojwip” nevű felhasználói fiókot célzott, ami a támadókhoz tartozott. A `changed-files` akciót több mint 20 000 projekt használta, köztük a Coinbase `coinbase/agentkit` keretrendszere, amely MI-ügynökök és blokkláncok közötti interakciót tesz lehetővé.
A Unit 42 szerint a Coinbase agentkit munkafolyamata végrehajtotta a `changed-files` akciókat, lehetővé téve a támadóknak olyan tokenek ellopását, amelyek írási hozzáférést biztosítottak a tárolóhoz. A támadó 2025. március 14-én, 15:10 UTC-kor szerezte meg a GitHub tokent, kevesebb mint két órával a nagyobb támadás megkezdése előtt.
A Coinbase később közölte a Unit 42-vel, hogy a támadás sikertelen volt, és nem érintette az eszközeiket.
A dróntechnológia új korszakába lépett, amikor a BRINC bemutatta legújabb fejlesztését, a Guardian nevű, kifejezetten rendőrségi célokra szánt drónt...
😴 Éjszaka nemcsak testünk pihen, agyunk is különös utakat jár be. Egy friss kutatás szerint ugyanis a színes, élénk álmok nem csupán szórakoztatnak, hanem hozzájárulhatnak ahhoz is, hogy reggel valóban kipihentnek érezzük magunkat — sőt, az intenzív álmodás azoknak az éjszakáknak a titka, amikor a legmélyebbnek érezzük az alvást, függetlenül attól, mennyire aktív maradt közben az...
Az Apple évek óta kivár a mobilkamerák terén, de most végre felrázhatja a piacot: tesztelés alatt áll egy 200 megapixeles főkamera, amely nagyobb lehet, mint a Samsung Galaxy S26 Ultra 200 megapixeles érzékelője...
💬 Fontos kérdés, hogy mi történik akkor, amikor a tudományos élet válságba kerül, és azok is távoznak, akik egyszer a kutatás iránti elkötelezettséget mindennél előbbre valónak tartották...
Ilyen eset például, amikor a csalók nem valódi telefonokat, hanem virtuális okostelefonokat használnak, hogy teljesen hiteles felhasználónak tűnjenek...
Egy új, folyamatosan fejlődő kártevő, a Torg Grabber már 850 böngészőbővítményből képes érzékeny adatokat ellopni, ebből 728 kifejezetten kriptopénztárcákhoz kapcsolódik...
🔬 Az elmúlt évtizedekben a tömegspektrometria alapvető eszközzé vált a tudományos kutatásban, ám a technika egyik legnagyobb korlátja, hogy a legtöbb jelenleg használt műszer egyszerre csak néhány molekulát képes elemezni...
🛑 A szoftverellátási lánc sebezhetőségei eddig főként kártevők és zsarolóvírusok révén kerültek be a köztudatba, azonban most egy lényegesen egyszerűbb módszer is elérhetővé vált a támadóknak: rosszindulatú vagy hamisított API-dokumentációval is megvezethetők az MI-alapú kódoló ügynökök...
A bűnözők legújabb trükkje, hogy a Bubble nevű, no-code, MI-alapú alkalmazáskészítő platformot használják Microsoft-fiókok elleni adathalász támadásokhoz...
👤 A Reddit új lépést tett a gyanús aktivitás kiszűrésére: hamarosan arra kötelezi azokat a fiókokat, amelyek automatizált vagy egyébként gépies viselkedést mutatnak, hogy igazolják, valóban ember kezeli őket...
🗿 Egy váratlanul gazdag lelet került elő egy észak-új-zélandi barlang mélyéből: mintegy egymillió éves fosszíliák, amelyek között tucatnyi madárfaj és négy különböző béka is szerepel...
A nagy nyelvi modellek fejlődése hatalmas dokumentumok és összetett beszélgetések feldolgozására teszi képessé az MI-t, de ezzel együtt egy komoly hardveres akadály, a kulcs–érték (KV) gyorsítótár szűk keresztmetszete is egyre nyilvánvalóbbá válik...
🎵 Zenei ötletekből mostantól kész dalok születhetnek mindössze néhány pillanat alatt. A Gemini alkalmazás fizetős előfizetői számára most elérhető a Lyria 3 Pro, amely már háromperces zeneszámok generálására is képes...
💻 Képzeld el az Apple II-t, amelyben valaki nem törődött bele az idő vasfogának munkájába, és összebarkácsolta a lehetetlent: új életet lehelt az AD8088 koprocesszor-kártyába, így az öreg gép MS-DOS 2...
Nincs még egy olyan szabad szemmel is látható csillag, mint a Cassiopeia csillagképben ragyogó Gamma Cassiopeiae, amely csaknem ötven éve zavarba ejti a kutatókat...
A Pinterest vezére, Bill Ready most nekiment annak a mélyen gyökerező hisztériának, amelyet a legtöbb közösségi oldal szinte az anyatejjel szívja magába...
