A Coinbase állt a legújabb GitHub-hackertámadás célkeresztjében
Nemrégiben egy GitHub Actions ellátási láncot érintő támadás középpontjában a Coinbase állt, amely során több száz titkos adat került veszélybe. A támadás a `reviewdog/action-setup@v1` GitHub Action megfertőzésével kezdődött. A hackerek módosították az akciót, hogy CI/CD-titkokat és hitelesítési tokeneket szivárogtasson a GitHub Actions naplókba.
A támadás részletei
Az első szakaszban a `reviewdog/action-setup@v1` GitHub Action kompromittálódott. Amikor a `tj-actions/eslint-changed-files` GitHub Action használta a reviewdog akciót, annak titkos adatai a munkafolyamat-naplókba kerültek.
Ez lehetővé tette a támadók számára egy személyes hozzáférési token ellopását, amelyet aztán a `tj-actions/changed-files` GitHub Action módosítására használtak, hogy az ismét CI/CD-titkokat szivárogtasson a naplókba.
Célzott támadás a Coinbase ellen
Az első rosszindulatú commit kifejezetten a Coinbase projektjeit és egy “mmvojwip” nevű felhasználói fiókot célzott, ami a támadókhoz tartozott. A `changed-files` akciót több mint 20 000 projekt használta, köztük a Coinbase `coinbase/agentkit` keretrendszere, amely MI-ügynökök és blokkláncok közötti interakciót tesz lehetővé.
A Unit 42 szerint a Coinbase agentkit munkafolyamata végrehajtotta a `changed-files` akciókat, lehetővé téve a támadóknak olyan tokenek ellopását, amelyek írási hozzáférést biztosítottak a tárolóhoz. A támadó 2025. március 14-én, 15:10 UTC-kor szerezte meg a GitHub tokent, kevesebb mint két órával a nagyobb támadás megkezdése előtt.
A Coinbase később közölte a Unit 42-vel, hogy a támadás sikertelen volt, és nem érintette az eszközeiket.
🔎 A legutóbbi kiberbiztonsági vizsgálatok szerint veszélybe kerültek az amerikai és kanadai egyetemek kutatói: ismeretlen támadók gyenge pontokat fedeztek fel a Roundcube-levelezőszervereken, és ezt kihasználva fizikusokat, mérnököket, adminisztrátorokat, illetve asztrofizikával, részecskefizikával vagy nemzetbiztonsággal foglalkozó intézményeket is megcéloztak...
Otthon a tévézés már régen nem a magánszféráról szól. Az okostévék folyamatosan figyelik, mit nézel, majd ezt az adatot eladják más cégeknek, vagy éppen azért jelennek meg ugyanazok a hirdetések a telefonodon, a weben vagy a tévéden, amit előzőleg valamelyik online áruházban kerestél...
🔬 A Harvard Egyetem kutatói forradalmasítják a biotechnológiát: egy szilíciumchip már nemcsak információt dolgoz fel, hanem képes DNS-t is létrehozni...
💡 Régóta húzódó rejtély oldódott meg a kvantumfizika világában. Egy új elméleti keretrendszer először egyesíti két, egymásnak látszólag ellentmondó modellt arról, hogy miként viselkedik egy különösen szokatlan részecske a zsúfolt kvantumkörnyezetben...
Viharos nap a történelemben: pusztító földrengés Japánban, nagyhatalmi fordulatok Európában, mérföldkő a rabszolgaság felszámolásában, és modern kori sorsfordulók Dél-Szudán függetlenné válásáig...
Külön említést érdemel, hogy egy nemzetközi kutatócsoport forradalmi szimulációt dolgozott ki, amely mesterséges intelligenciát használ fel annak feltérképezésére, hogyan keletkeznek az univerzum legnehezebb elemei...
Ki gondolta volna, hogy az egyik legnépszerűbb sporttáplálék-kiegészítő nemcsak a testépítők kedvence lehet, hanem a rákkutatás egyik izgalmas eszközévé is válhat?..
Az OpenAI július 9-én világszerte elérhetővé teszi a GPT-5.6 három változatát, Solt, Lunát és Terrát, alig néhány héttel azt követően, hogy csak egy szűk kör kapott próbalehetőséget...
Általában nincs is jobb annál, mint egy hosszú, fárasztó nap után bedőlni az ágyba, előkapni a távirányítót, és megnézni az egyik kedvenc sorozatodat...
Az Apple bejelentette, hogy újabb többéves megállapodást kötött a Broadcommal, melynek célja, hogy egy sor Apple-termékekhez készült, egyedi szilíciumchipek és korszerű vezeték nélküli kommunikációs technológiák az Egyesült Államokban készüljenek...
Egy lényeges szempont, hogy miközben világszerte egyre több kormány és nagybank fogadja el a blokklánc-technológiát, India továbbra is ragaszkodik a kriptovaluták elleni kemény fellépéshez...
🐝 A poszméhek akár hétszer több mérgező nehézfémet halmoznak fel magukban, mint a háziméhek, még akkor is, ha ugyanazon a vidéken gyűjtik a virágport...
Érdemes megérteni, hogy az Android 17 legújabb fejlesztése valóban véget vethet az éjszakai hunyorgásnak, amikor túlságosan világos HDR‑videót nézel a mobilodon...
Az ipari szektorban zajló technológiai megújulás mérföldköveire ritkán figyel fel a nagyközönség, pedig ezek a fejlesztések a vállalatok világát gyökere-sen alakítják át...
A világegyetem hajnalán a galaxisok és a szupermasszív fekete lyukak keletkezése körül rengeteg a rejtély – most mégis egy óriási lépéssel közelebb kerültünk a megfejtéshez...
Első pillantásra úgy tűnt, hogy Michiganben csak egy átmeneti, hasmenéses megbetegedési hullám indult el, ám néhány nap alatt drámaian megemelkedett a fertőzések száma...
Az Anthropic újabb lépést tett afelé, hogy a mesterséges intelligencia valóban mindennapi segítőtársunk legyen: a Claude Cowork mostantól nemcsak asztali gépeken, hanem mobileszközökön és a weben is elérhető...
Fizetős iOS appok és játékok, amik ingyenesek a mai napon. Between Dates Calendar Math (iPhone/iPad)A Between Days alkalmazás segít gyorsan kiszámolni, hány nap van két dátum között...
Egy nemrégiben készült brit kutatás szerint számos népszerű elviteles étel lényegesen több sót tartalmaz, mint amennyit a menük feltüntetnek – sőt, akadnak fogások, amelyek egyetlen adagban bőven meghaladják a napi ajánlott sóbevitelt...
