Một vụ xâm nhập hệ thống tại nhà cung cấp cơ sở hạ tầng web Vercel đang buộc các nhóm chuyên về mật mã phải thay đổi khóa API và tiến hành kiểm tra kỹ lưỡng mã nguồn của họ.
Trong một bản tin, Vercel cho biết tin tặc đã có thể lấy được các thiết lập ẩn không được bảo mật, có khả năng làm lộ các khóa API — thông tin xác thực kỹ thuật số mà các ứng dụng sử dụng để kết nối với các dịch vụ khác. Những thông tin xác thực này hoạt động như mật khẩu kỹ thuật số, cho phép phần mềm kết nối với cơ sở dữ liệu, ví tiền điện tử và các dịch vụ bên ngoài. Nếu rơi vào tay kẻ xấu, chúng có thể được sử dụng để mạo danh một ứng dụng, vượt quá giới hạn sử dụng hoặc thao túng cách hoạt động của ứng dụng.
Một bài đăng trên diễn đàn tội phạm mạng BreachForums tuyên bố đang rao bán dữ liệu của Vercel với giá 2 triệu đô la, bao gồm cả khóa truy cập và mã nguồn, mặc dù những tuyên bố này chưa được xác minh độc lập. Vercel cho biết họ đã liên hệ với các công ty ứng phó sự cố và cơ quan thực thi pháp luật và đang tiếp tục điều tra xem liệu có dữ liệu nào bị đánh cắp hay không.
Giám đốc điều hành của công ty cho biết trong một bài đăng trên X rằng họ đã truy tìm được nguồn gốc vụ xâm nhập là Context.ai, một công cụ trí tuệ nhân tạo của bên thứ ba được một nhân viên sử dụng. Tại đây, kết nối Google Workspace bị xâm phạm đã cho phép kẻ tấn công leo thang quyền truy cập vào môi trường nội bộ của Vercel. Vercel cho biết các biến môi trường được đánh dấu là “nhạy cảm” được lưu trữ theo cách ngăn chặn việc đọc chúng và không có bằng chứng nào cho thấy chúng đã bị truy cập.
Vụ việc đang thu hút sự chú ý vì Vercel là nền tảng cơ sở hạ tầng giao diện người dùng cho nhiều ứng dụng tiền điện tử và là đơn vị quản lý chính của Next.js, một trong những framework phát triển web được sử dụng rộng rãi nhất. Nhiều nhóm Web3 lưu trữ giao diện ví và bảng điều khiển ứng dụng phi tập trung trên Vercel, dựa vào các biến môi trường để lưu trữ thông tin xác thực kết nối giao diện người dùng của họ với các nhà cung cấp dữ liệu blockchain và các dịch vụ phụ trợ.
Sàn phi tập trung (DEX) Orca có trụ sở tại Solana cho biết giao diện người dùng của họ được lưu trữ trên Vercel và họ đã xoay vòng tất cả thông tin đăng nhập triển khai như một biện pháp phòng ngừa. Dự án cũng cho biết thêm rằng giao thức on-chain và tiền của người dùng không bị ảnh hưởng.
