A Coinbase állt a legújabb GitHub-hackertámadás célkeresztjében
Nemrégiben egy GitHub Actions ellátási láncot érintő támadás középpontjában a Coinbase állt, amely során több száz titkos adat került veszélybe. A támadás a `reviewdog/action-setup@v1` GitHub Action megfertőzésével kezdődött. A hackerek módosították az akciót, hogy CI/CD-titkokat és hitelesítési tokeneket szivárogtasson a GitHub Actions naplókba.
A támadás részletei
Az első szakaszban a `reviewdog/action-setup@v1` GitHub Action kompromittálódott. Amikor a `tj-actions/eslint-changed-files` GitHub Action használta a reviewdog akciót, annak titkos adatai a munkafolyamat-naplókba kerültek.
Ez lehetővé tette a támadók számára egy személyes hozzáférési token ellopását, amelyet aztán a `tj-actions/changed-files` GitHub Action módosítására használtak, hogy az ismét CI/CD-titkokat szivárogtasson a naplókba.
Célzott támadás a Coinbase ellen
Az első rosszindulatú commit kifejezetten a Coinbase projektjeit és egy “mmvojwip” nevű felhasználói fiókot célzott, ami a támadókhoz tartozott. A `changed-files` akciót több mint 20 000 projekt használta, köztük a Coinbase `coinbase/agentkit` keretrendszere, amely MI-ügynökök és blokkláncok közötti interakciót tesz lehetővé.
A Unit 42 szerint a Coinbase agentkit munkafolyamata végrehajtotta a `changed-files` akciókat, lehetővé téve a támadóknak olyan tokenek ellopását, amelyek írási hozzáférést biztosítottak a tárolóhoz. A támadó 2025. március 14-én, 15:10 UTC-kor szerezte meg a GitHub tokent, kevesebb mint két órával a nagyobb támadás megkezdése előtt.
A Coinbase később közölte a Unit 42-vel, hogy a támadás sikertelen volt, és nem érintette az eszközeiket.
🌾 A gazdák életét egy új MI-modell könnyíti meg Seattle-ben, ahol a Carbon Robotics nevű cég olyan robotokat gyárt, amelyek lézerekkel irtják a gyomnövényeket...
A Notepad++ fejlesztői bejelentették, hogy a népszerű szövegszerkesztőt célzott kibertámadás érte, amelynek hátterében valószínűsíthetően egy államilag támogatott szereplő áll...
A hamis, szuperhozamot ígérő befektetési programok (HYIP) terjedése újabb csúcsra ért: ezek a csalások irreális hozamokat, például 40%-os nyereséget 72 óra alatt ígérnek, miközben semmilyen valódi megtérülést nem biztosítanak...
A Starbucks hatalmas összegeket fektet MI-alapú automatizálásba: robotokat tesztelnek, amelyek átveszik az autós kiszolgálásnál a rendeléseket, virtuális asszisztensekkel segítik a baristák munkáját a receptek és a beosztások terén, valamint digitális rendszerekkel mérik a készleteket...
Érdemes megvizsgálni, hogy egy látszólag sikeres evolúciós stratégia hogyan lehet végzetes gyengeség forrása a Föld egyik legelterjedtebb élőlénye számára...
💸 India újabb lépést tett, hogy a világ technológiai központjává váljon, és 20 évig tartó adómentességet kínál azoknak a külföldi cégeknek, amelyek Indiából kiszolgálva nyújtanak felhőalapú adatokat a világ bármely más országába...
💸 Az Oracle részvényei 5%-ot emelkedtek a hétfői kereskedésben, miután a vállalat bejelentette, hogy 2026-ban 16 500–18 300 milliárd forintnyi tőkét tervez bevonni adósság és részvénykibocsátás útján...
🔮 A tudomány világát új áttörések rázzák fel: az MI végre közelebb vihet minket a DNS titkainak megfejtéséhez, eközben orvosok először tartottak életben beteget mesterséges tüdővel, és egy egzotikus növény látványosan cáfolja az evolúció klasszikus elméleteit...
📱 A Google nemrég visszavonta a Gonosz témacsomagot (Wicked) a Pixel telefonokról, amelyet a Gonosz: Mindörökké (Wicked: For Good) című film bemutatója alkalmából indítottak Ariana Grande közreműködésével...
A Microsoft fejlesztői már hónapok óta összevetik az Anthropic-féle Claude Code, az Anysphere Cursor és a GitHub Copilot előnyeit és hátrányait, keresve a legjobb MI-kódoló eszközt...
Nem mindegy, mennyi ideig húzza egy akkumulátorról a kültéri, vezeték nélküli biztonsági kamerád – főleg, ha a cél az, hogy szinte teljesen megfeledkezhess arról, mikor kell majd töltened...
👍 A Pixel 10a első pillantásra egyetlen izgalmat sem tartogat: a dizájn szinte ugyanaz, a hardver szintén, a fejlesztések inkább kozmetikaiak, mint forradalmiak...
💸 Hirtelen bizonytalanság: a szuperciklus lekerült a napirendről Changpeng Zhao, vagyis CZ, a Binance korábbi vezetője még hetekkel ezelőtt is arról beszélt, hogy soha nem látott kripto-szuperciklus jöhet a tömeges intézményi befektetések és a kriptóbarát szabályozás miatt...
