Vercelでのハッキングにより、暗号開発者たちがAPIキーのロックダウンに急務

ウェブインフラプロバイダーのVercelでの侵害により、暗号通貨チームはAPIキーのローテーションを実施し、基盤となるコードの詳細な点検を行う必要に迫られています。

においてブリーフィング、Vercel は、ハッカーがロックされていなかった舞台裏の設定を取得できたと述べており、それにより API キーがさらされる可能性があるとしています。API キーとは、アプリが他のサービスに接続するために使用するデジタル認証情報です。これらの認証情報はデジタルパスワードのようなもので、ソフトウェアがデータベース、暗号資産ウォレット、外部サービスと接続することを可能にします。不正な手に渡ると、アプリをなりすましたり、利用制限を超過したり、動作を操作されたりする恐れがあります。

サイバー犯罪フォーラムBreachForumsの投稿で、アクセキーやソースコードを含むVercelのデータが200万ドルで販売されていると主張されましたが、これらの主張は独立して確認されていません。Vercelは、インシデント対応企業や法執行機関と連携しており、データが流出したかどうかの調査を継続しています。

同社は侵入の原因を、従業員が使用していた第三者のAIツールであるContext.aiに特定しました。同社のCEOがXの投稿で述べた、ここで侵害されたGoogle Workspaceの接続により攻撃者がVercelの内部環境へのアクセス権を昇格させることが可能となりました。Vercelは、「機密」とマークされた環境変数が読み取られないように保存されていると述べており、これらがアクセスされた証拠はないとしています。

この事件は、Vercel が多くの暗号通貨アプリケーションのフロントエンドインフラストラクチャを支えており、最も広く使用されているウェブ開発フレームワークの一つである Next.js の主要な管理者であることから注目を集めています。多くの Web3 チームは、ウォレットインターフェースや分散型アプリケーションのダッシュボードを Vercel 上にホストしており、環境変数を利用してフロントエンドとブロックチェーンのデータプロバイダーやバックエンドサービスをつなぐ認証情報を管理しています。

Solanaを基盤とした分散型取引所 Orca は、フロントエンドが Vercel 上でホストされており、予防措置としてすべてのデプロイメント認証情報をローテーションしたと述べました。プロジェクト側は、オンチェーンプロトコルおよびユーザー資金には影響がなかったことを付け加えました。

このハッキングは、同じ週末に発生しました、2億9,200万ドルの攻撃 Kelp DAOのrsETHトークンのがDeFi全体に広範な流動性不足を引き起こし、Aaveを含む主要なレンディングプラットフォームからの大規模な資金引き出しを誘発、依然として未知の深刻な連鎖反応への懸念を高めています。

完全に暗号通貨に特化したものではありませんが、今回の最新のVercelハッキングにより、4月は今年の暗号通貨のエクスプロイトに関して最悪の月の一つとなりそうです。月初にはSolanaベースの永久契約プロトコルが発生しましたドリフトの資金流出 北朝鮮に関連するアクターと後に結び付けられた攻撃で約2億8500万ドル相当が奪われ、その後数週間でCoW Swap、Zerion、Rhea Finance、Silo Financeを含む少なくとも12の小規模プロトコルが悪用されています。