Coinbase repele un ataque dirigido a una Acción de GitHub en un intento de violación en etapa temprana

Los expertos en seguridad afirman que el exchange cotizado públicamente Coinbase fue el objetivo principal en el ataque a la cadena de suministro de GitHub Action. Según las empresas de ciberseguridad que analizan el incidente, el atacante inicialmente intentó comprometer el proyecto de código abierto agentkit de Coinbase.

Solo después de fallar en esto decidieron atacar la acción de GitHub y apuntar a varios repositorios. Según los informes, el atacante probablemente se centró en el proyecto de Coinbase para poder usarlo para acceder al ecosistema del exchange y robar activos cripto.

Sin embargo, no lograron su objetivo ya que Coinbase también detectó el ataque a tiempo y mitigó su impacto. Según la firma de ciberseguridad Wiz, su análisis de las identidades de GitHub utilizadas en el ataque muestra que el atacante está activo en la comunidad cripto y probablemente opera desde Europa o África.

Aunque Coinbase no ha comentado públicamente el incidente, los expertos afirman que la plataforma ha confirmado que lo resolvió. El análisis de expertos mostró que actores maliciosos inyectaron código en “tj-actions/changed-files” para filtrar datos sensibles de los repositorios que ejecutaban el flujo de trabajo.

Con Coinbase deteniendo el ataque dirigido, pareció que el actor malicioso decidió apuntar a la popular Acción de GitHub con un ataque a la cadena de suministro. Endor Labs descubrió que el ataque comprometió 218 repositorios de GitHub, obligándolos a revelar sus secretos.

Sin embargo, la mayoría de la información filtrada fueron las credenciales para Amazon Web Services, npm, Dockerhub y tokens de instalación de acceso a GitHub. Esto significaba que el impacto fue menor de lo que se temía inicialmente, ya que la mayoría de los secretos filtrados eran tokens de GitHub que expiraban después de que se completaba la ejecución del flujo de trabajo.

El investigador de Endor Labs, Henrik Plate, dijo:

“La escala inicial del ataque a la cadena de suministro sonaba aterradora, considerando que decenas de miles de repositorios dependen de la Acción de GitHub.”

Mientras tanto, los expertos en seguridad también están examinando el motivo del ataque. Muchos creen que el objetivo era probablemente robar activos cripto de Coinbase. Sin embargo, que Coinbase haya remediado el incidente a tiempo podría haber llevado al atacante a cambiar su enfoque de un ataque dirigido y sigiloso a un ataque a gran escala para comprometer muchos proyectos.

Los proyectos cripto siguen bajo amenaza

Mientras tanto, el ataque fallido resalta las constantes amenazas contra los proyectos de criptomonedas. El fundador de SlowMist, Yu Jian, quien compartió el incidente en X, dijo que si el ataque hubiera tenido éxito, Coinbase se habría convertido en el siguiente gran informe de incidente de seguridad.

Su declaración hace referencia al reciente hackeo de 1.500 millones de dólares del exchange ByBit en febrero de 2025. Jian agregó que las empresas que usan tj-actions o reviewdog deben realizar un autoexamen para asegurarse de que sus secretos no hayan sido filtrados.

Curiosamente, los ataques a la cadena de suministro como este han provocado pérdidas masivas antes. En 2024, un usuario perdió 10 BTC valorados en 725.000 dólares debido a un ataque que explotaba las actualizaciones del paquete npm Lottie Player, una biblioteca de animación Java-script que utilizan varias aplicaciones descentralizadas.

Más allá de eso, las vulnerabilidades de seguridad en diferentes formas siguen siendo comunes en el espacio Web3. Hace unos días, ZOTH, que restakea activos para activos del mundo real, ZOTH perdió más de 8 millones de dólares debido a la modificación de su contrato de lógica con código malicioso después de que el actor malicioso obtuviera privilegios de administrador.