GitHub, yaklaşık 3.800 dahili deposundan kodların bir hacker tarafından çalındığını duyuruyor. Saldırgan, bir çalışanının bilgisayarına zararlı bir eklenti yerleştirdi. Bu olay, kodların içinde saklanan API anahtarlarının güvenliği konusunda kripto para sektöründe ciddi alarma yol açtı.
Binance kurucusu Changpeng Zhao, geliştiricilere her projede gizli anahtar olup olmadığını kontrol etmelerini ve varsa hemen değiştirmelerini önerdi. CZ, artık özel depoların da açık gibi değerlendirilmesi gerektiğini vurguladı.
GitHub Neleri Açıkladı?
GitHub, ihlalin bir çalışanın milyonlarca geliştirici tarafından kullanılan kod editörü için zararlı bir VS Code eklentisi yüklemesiyle başladığını açıkladı.
Şirket, etkilenen bilgisayarı ağdan izole etti, kötü amaçlı eklentiyi kaldırdı ve kritik şifrelerin değiştirilmesine gece boyunca başladı. En riskli erişim bilgilerinin değişimi öncelikli olarak yapıldı.
Şu ana kadar yapılan araştırma, saldırganın yalnızca GitHub’ın kendi dahili depolarından kod çektiğine işaret ediyor. Müşteri projeleri, organizasyonlar ve hesaplarda herhangi bir etki bulgusu yok.
GitHub, saldırganın iddia ettiği yaklaşık 3.800 çalınan depo sayısının kendi tespit ettikleriyle örtüştüğünü belirtti. Soruşturma bittikten sonra kapsamlı bir rapor paylaşılacak.
Kripto Geliştiricileri Neden Tetikte?
Kripto dünyasında, açığa çıkan bir API anahtarı birkaç dakika içinde bir trading hesabının boşaltılmasına yol açabiliyor. Birçok anahtar, cüzdanlara, saklama araçlarına ve kripto para borsası botlarına da erişim sağlıyor. İşte bu yüzden CZ, takipçilerini hemen uyardı.
Sektör daha önce de benzer ihlallerle sarsıldı. Bu yılın başlarında altyapı sağlayıcısı Vercel‘da yaşanan sızıntı ekiplerin anahtarlarını değiştirmesini zorunlu kılmıştı. 2022’de 3Commas’da yaşanan sızıntı ise yaklaşık 100.000 kullanıcı anahtarının ifşasına yol açmıştı.
Ayrıca Bitwarden şifre yöneticisine yapılan zincir üstü bir saldırıda ise hem cüzdan tohumları hem de geliştirici token’ları çalındı ve elde edilen veriler GitHub depoları içine gizlendi.
Geliştiriciler çoğu zaman, kimsenin erişemeyeceğini varsayarak, özel anahtarları kodun, yapı dosyalarının ya da gizli ayar dosyalarının içinde bırakabiliyor. Ancak GitHub vakası, dahili sistemlerin de tıpkı herkese açık olanlar gibi kırılabileceğini gösterdi.
GitHub ekibi hala incelemelerini sürdürüyor. Çalınan depo’ların kripto altyapısıyla ilgili kod ya da sırlar içerip içermediği önümüzdeki günlerde daha net ortaya çıkacak.
