أفضل المعلومات حول العملات الرقمية تصلك مباشرة إلى بريدك الإلكتروني.
OpenAI تنفي تسريب بيانات المستخدمين من TanStack npm، وهجوم Mini Shai-Hulud على سلسلة التوريد
- أكدت شركة OpenAI أن جهازين من أجهزة الموظفين قد تعرضا للاختراق، لكنها لم تجد أي دليل على الوصول إلى بيانات المستخدم أو أنظمة الإنتاج أو الملكية الفكرية أو سرقتها.
- استغلت حملة "Mini Shai-Hulud" نقاط الضعف في GitHub Actions لنشر 84 حزمة خبيثة عبر 42 مكتبة TanStack.
- بينما تعتبر تطبيقات ويندوز و iOS آمنة، تقوم OpenAI بتدوير شهادات توقيع التعليمات البرمجية.
أقرت شركة OpenAI بأن جهازين من أجهزة الموظفين قد تعرضا للاختراق من خلال إصدارات خبيثة من حزم TanStack npm.
وتصر الشركة على أنه لم يتم العثور على أي دليل على التلاعب ببيانات المستخدمين أو أنظمة الإنتاج أو الملكية الفكرية.
هل تم اختراق شركة OpenAI؟
شركة OpenAI أكدت أن جهات خبيثة اخترقت جهازين من أجهزة موظفيها كجزء من حملة ضخمة لسلسلة توريد البرمجيات تسمى "Mini Shai-Hulud".
قامت OpenAI سابقًا بنشر ضوابط للحد من التعرض لهجمات سلسلة التوريد بعدdent مع Axios، لكن جهازي الموظفين المتضررين لم يتلقيا بعد التكوينات المحدثة التي كانت ستمنع تنزيل الحزمة الضارة.
استهدف الهجوم TanStackمفتوحة المصدر، والتي يستخدمها ملايين المطورين. ونشر المهاجمون 84 نسخة خبيثة عبر 42 حزمة npm، بما في ذلك حزمة @tanstack/react-router الشهيرة، والتي يتم تحميلها أكثر من 12 مليون مرة أسبوعيًا.
قام باحث خارجي يعمل لدى StepSecurity باكتشاف الحزم الخبيثة في غضون 20 دقيقة تقريبًا من النشر وأبلغ قسم أمن npm مباشرة.
استغل هذا الهجوم ثقة المستخدمين في أنظمة البناء الآلية. تم نشر الشفرة الخبيثة باستخدام مفاتيح النشر الشرعية الخاصة بشركة TanStack، مما جعلها تبدو كتحديث رسمي.
برنامج Mini Shai-Hulud هو برنامج خبيث ذاتي التكاثر، يقوم بسرقة بياناتdentمثل رموز GitHub ومفاتيح السحابة ومفاتيح SSH بمجرد تثبيته من قِبل مطور أو نظام CI/CD. ثم يحاول البرنامج إعادة نشره في حزم أخرى يحتفظ بها الضحية.
أفاد باحثون أمنيون بأن الحملة قد اخترقت حزمًا برمجية عبر منصتي npm وPyPI. وبالإضافة إلى OpenAI وTanStack، فقد أثر الهجوم على برامج تابعة لشركات Mistral AI وUiPath (المدرجة في بورصة نيويورك تحت الرمز: PATH) وOpenSearch وGuardrails AI.
يشير الباحثون إلى أن الحمولة تقوم بتثبيت برنامج خفي دائم يعمل كـ "مفتاح أمان". إذا قام الضحية بإلغاء رمز GitHub المسروق، يمكن للبرمجية الخبيثة تشغيل أمر لمسح دليل المستخدم الرئيسي.
هل تم اختراق بيانات مستخدمي OpenAI؟
عقب الهجوم، استعانت شركة OpenAI بشركة متخصصة في الأدلة الجنائية الرقمية للمساعدة في التحقيق. وأكدت الشركة أنها لم تجد أي دليل على اختراق بيانات مستخدميها أو تعرض أنظمة الإنتاج أو الملكية الفكرية أو البرامج الخاصة بها للاختراق.
ومع ذلك، تمكن المهاجمون منtracبعض بياناتdentمن مستودعات التعليمات البرمجية الداخلية التي كانت تلك الأجهزة قادرة على الوصول إليها. وشمل ذلك شهادات توقيع التعليمات البرمجية لتطبيقات macOS.
الآن، يجب على مستخدمي أجهزة Mac تحديث تطبيقات ChatGPT Desktop و Codex و Atlas الخاصة بهم إلى أحدث إصدار بحلول 12 يونيو 2026، وإلا سيتم حظر البرنامج بواسطة إجراءات الحماية الأمنية لنظام macOS.
شركة OpenAI أنها لم تجد أي دليل على وجود برامج ضارة موقعة بشهاداتها، ولا أي تعديلات غير مصرح بها على التطبيقات المنشورة.
وأشارت الشركة إلى أنه تم بالفعل حظر التوثيق الجديد باستخدام الشهادات القديمة، مما يعني أن أي تطبيق احتيالي يحاول استخدامها سيفتقر إلى توثيق Apple وسيتم إيقافه بواسطة حماية macOS الأمنية بشكل افتراضي.
أذكى العقول في عالم العملات الرقمية يتابعون نشرتنا الإخبارية بالفعل. هل ترغب بالانضمام إليهم؟ انضم إليهم.
الأسئلة الشائعة
هل تم الكشف عن بيانات مستخدمي OpenAI أو معلومات العملاء في هجوم TanStack؟
لا. صرحت OpenAI أنها لم تجد أي دليل على الوصول إلى بيانات المستخدم، أو اختراق أنظمة الإنتاج، أو تغيير أي برنامج منشور.
هل يحتاج مستخدمو OpenAI إلى تغيير كلمات المرور أو مفاتيح API الخاصة بهم؟
أكدت OpenAI أن كلمات مرور العملاء ومفاتيح واجهة برمجة التطبيقات (API) لم تتأثر. مع ذلك، يتعين على مستخدمي macOS تحديث تطبيقات OpenAI المكتبية (ChatGPT Desktop وCodex App وCodex CLI وAtlas) بحلول 12 يونيو 2026، حيث سيتم إلغاء شهادات التوقيع القديمة.
كيف تم تنفيذ هجوم سلسلة توريد TanStack npm؟
استغل مهاجم ثغرات أمنية في سير عمل GitHub Actions لتسميم ذاكرة التخزين المؤقت CI/CD لمستودع TanStack Router، ثم استخدم هذا الوصول لنشر 84 إصدارًا خبيثًا من الحزم عبر 42 مكتبة TanStack التي جمعت بياناتdentالمطورين أثناء التثبيت، وفقًا لتقرير TanStack بعد الحادث.
هانا كوليمور
هانا كاتبة ومحررة تتمتع بخبرة تقارب عشر سنوات في كتابة المدونات وتغطية الأحداث. تخرجت من جامعة أركاديا حيث درست إدارة الأعمال. تعمل حاليًا مع Cryptopolitan، حيث تساهم في تغطية آخر التطورات في مجالات العملات المشفرة والألعاب والذكاء الاصطناعي.
دورة
- أي العملات المشفرة يمكن أن تدر عليك المال
- كيفية تعزيز أمانك باستخدام المحفظة الإلكترونية (وأي منها يستحق الاستخدام فعلاً)
- استراتيجيات استثمارية غير معروفة يستخدمها المحترفون
- كيفية البدء في الاستثمار في العملات المشفرة (أي منصات التداول التي يجب استخدامها، وأفضل العملات المشفرة للشراء، إلخ)