FreeBuf网络安全行业门户 ·

GitHub供应链攻击事件：Coinbase遭袭，218个仓库暴露，CI/CD密钥泄露

💡 原文中文，约2900字，阅读约需7分钟。

📝

内容提要

此次针对GitHub Action 'tj-actions/changed-files' 的供应链攻击最初针对Coinbase，随后波及218个仓库，导致多个平台密钥泄露。攻击者采用多种策略掩盖踪迹，最终可能意在经济利益。GitHub已修复相关漏洞。

🎯

此次供应链攻击针对GitHub Action 'tj-actions/changed-files'，最初是针对Coinbase的开源项目。
攻击导致218个GitHub仓库的密钥泄露，泄露信息包括DockerHub、npm和AWS的凭证。
攻击者未能成功使用Coinbase的密钥或发布软件包，实际影响比预期小。
另一个GitHub Action 'reviewdog/action-setup'也被入侵，攻击载荷与'tj-actions/changed-files'类似。
攻击者通过分叉仓库和提交拉取请求的方式引入恶意代码，使用了多种技术手段掩盖踪迹。
GitHub表示没有证据表明其系统遭到入侵，用户应审查使用的第三方代码。
攻击者的策略和动机可能与经济利益有关，可能试图进行加密货币盗窃。
Coinbase已于2025年3月19日修复了此次攻击的漏洞。

🔎

此次针对Coinbase的供应链攻击不仅影响了其自身，还波及到218个GitHub仓库。这表明，开源项目的安全性不仅依赖于单个项目的防护，还需要整个生态系统的共同维护。开发者应关注所依赖的第三方代码，确保其安全性。

攻击者在此次事件中展现了高超的技术手段，通过分叉和拉取请求引入恶意代码，显示出对CI/CD流程的深刻理解。虽然攻击未能成功利用Coinbase的密钥，但其背后的经济动机仍需警惕，尤其是在加密货币领域。

GitHub在此次事件中迅速修复了相关漏洞，并强调用户应审查使用的第三方代码。这提醒开发者在使用开源工具时，需保持警惕，定期检查和更新依赖项，以降低潜在的安全风险。

❓

此次攻击的主要目标是Coinbase的开源项目，特别是GitHub Action 'tj-actions/changed-files'。

此次攻击导致218个GitHub仓库的密钥泄露，包括DockerHub、npm和AWS的凭证。

攻击者通过分叉仓库和提交拉取请求的方式引入恶意代码，使用了多种技术手段掩盖踪迹。

GitHub表示没有证据表明其系统遭到入侵，并建议用户审查使用的第三方代码。

攻击者的动机可能与经济利益有关，可能试图进行加密货币盗窃。

Coinbase已于2025年3月19日修复了此次攻击的漏洞。

🏷️