A Coinbase állt a legújabb GitHub-hackertámadás célkeresztjében
Nemrégiben egy GitHub Actions ellátási láncot érintő támadás középpontjában a Coinbase állt, amely során több száz titkos adat került veszélybe. A támadás a `reviewdog/action-setup@v1` GitHub Action megfertőzésével kezdődött. A hackerek módosították az akciót, hogy CI/CD-titkokat és hitelesítési tokeneket szivárogtasson a GitHub Actions naplókba.
A támadás részletei
Az első szakaszban a `reviewdog/action-setup@v1` GitHub Action kompromittálódott. Amikor a `tj-actions/eslint-changed-files` GitHub Action használta a reviewdog akciót, annak titkos adatai a munkafolyamat-naplókba kerültek.
Ez lehetővé tette a támadók számára egy személyes hozzáférési token ellopását, amelyet aztán a `tj-actions/changed-files` GitHub Action módosítására használtak, hogy az ismét CI/CD-titkokat szivárogtasson a naplókba.
Célzott támadás a Coinbase ellen
Az első rosszindulatú commit kifejezetten a Coinbase projektjeit és egy “mmvojwip” nevű felhasználói fiókot célzott, ami a támadókhoz tartozott. A `changed-files` akciót több mint 20 000 projekt használta, köztük a Coinbase `coinbase/agentkit` keretrendszere, amely MI-ügynökök és blokkláncok közötti interakciót tesz lehetővé.
A Unit 42 szerint a Coinbase agentkit munkafolyamata végrehajtotta a `changed-files` akciókat, lehetővé téve a támadóknak olyan tokenek ellopását, amelyek írási hozzáférést biztosítottak a tárolóhoz. A támadó 2025. március 14-én, 15:10 UTC-kor szerezte meg a GitHub tokent, kevesebb mint két órával a nagyobb támadás megkezdése előtt.
A Coinbase később közölte a Unit 42-vel, hogy a támadás sikertelen volt, és nem érintette az eszközeiket.
💫 Új elméleti kutatás támasztja alá azt a feltételezést, hogy a téridőben kialakuló, matematikailag szabályos hullámminták – úgynevezett téridőkristályok – lehetnek a forrásai azoknak a titokzatos jelenségeknek, mint például a meztelen szingularitások vagy a mikroszkopikus fekete lyukak...
🤔 Celeste Rivas családját sorra megkeresik különböző produkciós cégek, amelyek a lánynak és az énekes d4vd-nek tulajdonított kapcsolatáról szeretnének forgatni...
💰 Abra hamarosan tőzsdére lép, miközben alapítója, Bill Barhydt hisz abban, hogy a kripto következő nagy dobása már nem a bitcoin árfolyamában, hanem az eszközök tokenizációjában rejlik...
Az Egyesült Államokban egyre nagyobb a társadalmi ellenállás a gigantikus adatközpontok építése ellen, New York pedig történelmi lépésre készül: a képviselők megszavazták, hogy egy évre felfüggesszék minden olyan adatközpont építését, amely csúcsterheléskor legalább 20 megawattot fogyaszt...
Morgan Wallen countryénekes határozottan cáfolja a találgatásokat, hogy saját viselkedése állt volna a pittsburghi koncertje hirtelen lemondása mögött...
Ez a jelenség jól illusztrálható azzal, hogy a fejlesztői csapatok soha nem írtak ilyen gyorsan kódot, mint most, az új generációs MI-rendszerek megjelenésével...
Van egy eszköz, ami mostanában egyre több figyelmet kap a hajformázás világában: a Dreame AirStyle Era nyolc különböző fejjel érkezik, amelyek a legtöbb frizurához tökéletes alternatívát kínálnak...
Erwin Schrödinger régóta fennálló elmélete végre kulcsfontosságú kiegészítést kapott, amelyet új kutatások tettek lehetővé arra vonatkozóan, hogyan érzékeljük a színek közötti eltéréseket...
A 48 csapatos, 104 meccses futball-világbajnokság néhány nap múlva veszi kezdetét az Egyesült Államokban, Kanadában és Mexikóban, és ezúttal elképesztő méreteket ölt: az óriási tömegeken, a több országon és a rengeteg találkozón túl soha nem látott biztonsági együttműködést igényel...
A férfi francia nyílt teniszbajnokság 2026-os döntője már most sporttörténelmi pillanatnak ígérkezik, hiszen se Carlos Alcaraz, se Jannik Sinner nem jutott el idáig, így mind Flavio Cobolli, mind Alexander Zverev előtt hatalmas esély kínálkozik arra, hogy első Grand Slam-győzelmét ünnepelje...
