Para peneliti telah menentukan bahwa Coinbase adalah target utama dalam tindakan github baru -baru ini yang mengalihkan serangan rantai pasokan yang mengganggu rahasia dalam ratusan repositori.
Menurut laporan baru dari Palo Alto Unit 42 Dan Ahliserangan itu direncanakan dengan cermat dan dimulai ketika kode jahat disuntikkan ke reviewdog/action-setup@v1 Tindakan GitHub. Tidak jelas bagaimana pelanggaran terjadi, tetapi para aktor ancaman memodifikasi tindakan untuk membuang rahasia CI/CD dan token otentikasi ke dalam log tindakan github.
Sebagai Dilaporkan sebelumnyatahap pertama dari pelanggaran melibatkan kompromi dari ReviewDog/Action-setup@V1 Github Action. Tidak jelas bagaimana pelanggaran terjadi, tetapi ketika tindakan gitub terkait, tj-actions/eslint-changed-filesmemohon tindakan ReviewDog, menyebabkan rahasianya dibuang ke log alur kerja.
Ini memungkinkan para aktor ancaman untuk mencuri token akses pribadi yang kemudian digunakan untuk mendorong komitmen jahat pada tj-actions/changed-files Tindakan GitHub yang sekali lagi membuang rahasia CI/CD ke Log Workflow.
Namun, komit awal ini secara khusus menargetkan proyek untuk Coinbase dan pengguna lain bernama “MMVOJWIP,” sebuah akun milik penyerang.
Sumber: Palo Alto Unit 42
Tindakan Changes-Files digunakan oleh lebih dari 20.000 proyek lainnya, termasuk Coinbase coinbase/agent kitkerangka kerja populer untuk memungkinkan agen AI berinteraksi dengan blockchain.
Menurut Unit 42, Alur Kerja AgenKit Coinbase mengeksekusi tindakan Change-Files, yang memungkinkan para aktor ancaman mencuri token yang memberi mereka akses ke repositori.
“Penyerang memperoleh token GitHub dengan izin tulis ke repositori Coinbase/AgentKit pada 14 Maret 2025, 15:10 UTC, kurang dari dua jam sebelum serangan yang lebih besar dimulai terhadap tindakan TJ-aksi/diubah,” jelas Palo Alto Unit 42.
Namun, Coinbase kemudian mengatakan kepada Unit 42 bahwa serangan itu tidak berhasil dan tidak berdampak pada aset mereka.
“Kami menindaklanjuti dengan berbagi lebih banyak rincian dari temuan kami dengan Coinbase, yang menyatakan bahwa serangan itu tidak berhasil menyebabkan kerusakan pada proyek AgenKit, atau aset Coinbase lainnya,” lapor Palo Alto Unit 42.
Laporan Unit 42 dan Wiz mengkonfirmasi bahwa kampanye ini awalnya sangat fokus pada Coinbase dan diperluas ke semua proyek yang menggunakan aksi TJ/di berubah setelah upaya awal mereka gagal.
Sementara 23.000 proyek memanfaatkan tindakan yang diubah, Hanya 218 repositori pada akhirnya dipengaruhi oleh pelanggaran.
BleepingComputer juga menghubungi Coinbase tentang insiden tersebut tetapi belum menerima balasan atas pertanyaan kami.
