Coinbase afasta ataque direcionado via GitHub Action em tentativa de violação em estágio inicial

Especialistas em segurança afirmam que a exchange listada publicamente Coinbase foi o alvo principal no ataque à cadeia de suprimentos da Ação do GitHub. De acordo com as empresas de cibersegurança que analisam o incidente, o atacante inicialmente tentou comprometer o agente do projeto de código aberto da Coinbase, o agentkit.

Foi apenas após falharem nisso que decidiram atacar a ação do GitHub e mirar em vários repositórios. De acordo com os relatos, o atacante estava provavelmente focado no projeto da Coinbase para que pudessem usá-lo para acessar o ecossistema da exchange e roubar ativos cripto.

No entanto, eles não conseguiram atingir seu objetivo, pois a Coinbase também detectou o ataque a tempo e mitigou seu impacto. De acordo com a empresa de cibersegurança Wiz, sua análise das identidades do GitHub usadas no ataque mostra que o atacante está ativo na comunidade de criptomoedas e provavelmente opera da Europa ou da África.

Embora a Coinbase não tenha comentado publicamente sobre o incidente, especialistas afirmam que a exchange confirmou que o resolveu. Análise de especialistas mostrou que atores maliciosos injetaram código em “tj-actions/changed-files” para vazar dados sensíveis de repositórios que executavam o fluxo de trabalho.

Com a Coinbase impedindo o ataque direcionado, parece que o ator mal-intencionado decidiu atacar a popular Ação do GitHub com um ataque à cadeia de suprimentos. Endor Labs descobriu que o ataque comprometeu 218 repositórios do GitHub, forçando-os a revelar seus segredos.

No entanto, a maioria das informações vazadas eram credenciais para Amazon Web Services, npm, Dockerhub e tokens de instalação de acesso ao GitHub. Isso significava que o impacto foi menor do que o temido anteriormente, pois a maioria dos segredos vazados eram tokens do GitHub que expiravam após a conclusão da execução do fluxo de trabalho.

O pesquisador da Endor Labs, Henrik Plate, disse:

“A escala inicial do ataque à cadeia de suprimentos soava assustadora, considerando que dezenas de milhares de repositórios dependem da Ação do GitHub.”

Enquanto isso, especialistas em segurança também estão examinando o motivo do ataque. Muitos acreditam que o objetivo era provavelmente roubar ativos cripto da Coinbase. No entanto, a correção do incidente pela Coinbase a tempo pode ter levado o atacante a mudar sua abordagem de um ataque direcionado e furtivo para um ataque em larga escala, de modo que eles pudessem comprometer muitos projetos.

Projetos de criptomoedas permanecem sob ameaça

Enquanto isso, o ataque fracassado destaca as ameaças constantes contra projetos de criptomoedas. O fundador da SlowMist, Yu Jian, que compartilhou o incidente no X, disse que, se o ataque tivesse ocorrido, a Coinbase se tornaria o próximo grande relatório de incidente de segurança.

Sua declaração faz referência ao recente hack de US$ 1,5 bilhão da exchange ByBit em fevereiro de 2025. Jian acrescentou que as empresas que usam tj-actions ou reviewdog precisam realizar uma autoavaliação para garantir que seus segredos não tenham sido vazados.

Curiosamente, ataques à cadeia de suprimentos como este já causaram perdas massivas antes. Em 2024, um usuário perdeu 10 BTC, avaliados em US$ 725.000, em um ataque que explorava as atualizações do pacote npm Lottie Player, uma biblioteca de animação Java-script usada por várias aplicações descentralizadas.

Além disso, explorações de segurança em diferentes formas continuam sendo comuns no espaço Web3. Há alguns dias, os ativos de restaking para ativos do mundo real, ZOTH, perderam mais de US$ 8 milhões devido à modificação de seu contrato de lógica com código malicioso após o ator mal-intencionado obter privilégios de administrador.