A Coinbase állt a legújabb GitHub-hackertámadás célkeresztjében
Nemrégiben egy GitHub Actions ellátási láncot érintő támadás középpontjában a Coinbase állt, amely során több száz titkos adat került veszélybe. A támadás a `reviewdog/action-setup@v1` GitHub Action megfertőzésével kezdődött. A hackerek módosították az akciót, hogy CI/CD-titkokat és hitelesítési tokeneket szivárogtasson a GitHub Actions naplókba.
A támadás részletei
Az első szakaszban a `reviewdog/action-setup@v1` GitHub Action kompromittálódott. Amikor a `tj-actions/eslint-changed-files` GitHub Action használta a reviewdog akciót, annak titkos adatai a munkafolyamat-naplókba kerültek.
Ez lehetővé tette a támadók számára egy személyes hozzáférési token ellopását, amelyet aztán a `tj-actions/changed-files` GitHub Action módosítására használtak, hogy az ismét CI/CD-titkokat szivárogtasson a naplókba.
Célzott támadás a Coinbase ellen
Az első rosszindulatú commit kifejezetten a Coinbase projektjeit és egy “mmvojwip” nevű felhasználói fiókot célzott, ami a támadókhoz tartozott. A `changed-files` akciót több mint 20 000 projekt használta, köztük a Coinbase `coinbase/agentkit` keretrendszere, amely MI-ügynökök és blokkláncok közötti interakciót tesz lehetővé.
A Unit 42 szerint a Coinbase agentkit munkafolyamata végrehajtotta a `changed-files` akciókat, lehetővé téve a támadóknak olyan tokenek ellopását, amelyek írási hozzáférést biztosítottak a tárolóhoz. A támadó 2025. március 14-én, 15:10 UTC-kor szerezte meg a GitHub tokent, kevesebb mint két órával a nagyobb támadás megkezdése előtt.
A Coinbase később közölte a Unit 42-vel, hogy a támadás sikertelen volt, és nem érintette az eszközeiket.
🧠 A nap kezdetén a melbourne-i Cortical Labs adatközpontjában nem a kávé és a szerverek zaja jelenti a rutint: a technikusok először egy agy-gerincvelői folyadékra emlékeztető oldatot töltenek a számítógépekbe...
A Bigme B251 egy szemet gyönyörködtető újdonságként próbál berobbanni a monitorpiacra, hiszen 25,3 colos színes E Ink kijelzővel várja a felhasználókat...
💎 Egy új kínai kutatás meggyőző bizonyítékokkal támasztja alá, hogy sikerült előállítani a régóta vitatott hatszögletű gyémántot, amely minden eddigi anyagnál keményebb lehet...
Az elmúlt egy évben az amerikaiak 25 százaléka tapasztalt deepfake hanghívást: ismerősnek tűnő, ám mesterségesen klónozott hanggal próbáltak pénzt vagy adatokat kicsalni tőlük...
🚢 A modern tengerhajózás ma már elképzelhetetlen GPS-navigáció nélkül. Olajszállító óriások, kutatóhajók és rakományt szállító hajók mind-mind a műholdas helymeghatározásra támaszkodnak...
🌑 Régészeti felfedezések sora kavarta fel a tudományos világot: egy cseh kerti pajta alapkövéről derült ki, hogy valójában egy 3300 éves bronzkori öntőforma, amellyel sarlókardokat készítettek...
⚡ Fontos kérdés, hogy a legújabb Snapdragon 8 Elite Gen 5 csúcstelefonokat egy komoly sebezhetőség érinti, amelyet a Xiaomi ShadowBlade Security Lab kutatói fedeztek fel...
💪 Évtizedek óta abban a hitben élünk, hogy hajunkat a gyökérben osztódó sejtek tolják kifelé a fejbőrből, a legfrissebb kutatások viszont egészen új, meglepő magyarázatot tártak fel...
💻 Az okostelefonok asztali üzemmódban immár tényleg kihívók a számítógépek világában, legalábbis ha a Samsung DeX-re vagy a Google vadonatúj Pixel Desktopjára nézünk...
🚀 Elon Musk, miután összeolvasztotta a SpaceX-et az xAI-jal egy közel 455 milliárd forintos (1,25 milliárd dolláros) üzletben, újabb elbocsátási hullámot rendelt el az xAI mesterségesintelligencia-céget irányítva...
📈 A brazil pénzügyi és fintech szektor kulcsszereplői élesen tiltakoznak a kormány legújabb adóterve ellen, amely a stabilcoin-tranzakciókra is kiterjesztené az IOF nevű pénzügyi műveleti adót...
💡 Egy váratlan laborhiba hozta meg azt a forradalmi áttörést, amelynek köszönhetően fény segítségével lehet jelentősen egyszerűsíteni a gyógyszermolekulák átalakítását a fejlesztés késői szakaszában...
Szevasztok, szórajongók! Vége a Wordle-monopóliumnak, mert Josh Wardle, aki világszerte megbabonázott minket a kis színes négyzetekkel, most megint szintet lépett...
🚗 Régi Ford pickup, új élet: belül már nem zakatol a klasszikus V8-as motor, helyette egy Tesla-alapú akkumulátorcsomag tölti meg energiával a veterán platós járgányt...
A vállalatok hosszú távú sikerét ma már nem pusztán az határozza meg, milyen tehetségeket tudnak magukhoz vonzani, vagy mennyi pénzzel rendelkeznek, hanem hogy hol helyezik el működésüket, hogyan választják meg beszállítói láncaikat, illetve mely területeken ruháznak be...
