Hack at Vercel envia desenvolvedores de criptografia lutando para bloquear chaves de API

Uma violação no provedor de infraestrutura web Vercel está forçando as equipes de criptografia a alternar chaves de API e fazer uma inspeção profunda de seu código subjacente.

Em um boletimVercel disse que o hacker conseguiu obter configurações de bastidores que não estavam bloqueadas, potencialmente expondo chaves de API – as credenciais digitais que os aplicativos usam para se conectar a outros serviços. Essas credenciais funcionam como senhas digitais, permitindo que o software se conecte a bancos de dados, carteiras criptografadas e serviços externos. Nas mãos erradas, eles podem ser usados ​​para personificar um aplicativo, ultrapassar limites de uso ou manipular o modo como ele é executado.

Uma postagem no fórum de crimes cibernéticos BreachForums alegou estar vendendo dados da Vercel por US$ 2 milhões, incluindo chaves de acesso e código-fonte, embora essas afirmações não tenham sido verificadas de forma independente. A Vercel disse que contratou empresas de resposta a incidentes e autoridades policiais e continua investigando se algum dado foi exfiltrado.

A empresa rastreou a intrusão no Context.ai, uma ferramenta de IA de terceiros usada por um funcionário, seu CEO disse em um post Xonde uma conexão comprometida do Google Workspace permitiu que invasores aumentassem o acesso aos ambientes internos da Vercel. Vercel disse que as variáveis ​​de ambiente marcadas como “sensíveis” são armazenadas de forma que impedem sua leitura e que não há evidências de que tenham sido acessadas.

O incidente está sendo examinado porque Vercel sustenta a infraestrutura de front-end para muitos aplicativos de criptografia e é o principal administrador do Next.js, uma das estruturas de desenvolvimento web mais amplamente utilizadas. Muitas equipes Web3 hospedam interfaces de carteira e painéis de aplicativos descentralizados no Vercel, contando com variáveis ​​de ambiente para armazenar credenciais que conectam seus front-ends a provedores de dados de blockchain e serviços de back-end.

Troca descentralizada baseada em Solana Orca disse que seu frontend está hospedado no Vercel e que alternou todas as credenciais de implantação por precaução. O projeto acrescentou que seu protocolo on-chain e os fundos dos usuários não foram afetados.