Coinbase هو الهدف الرئيسي في هجوم سلسلة التوريد على GitHub Action

خبراء الأمن السيبراني يحددونكوين بيس باعتبارها الهدف الأساسي لهجوم سلسلة التوريد GitHub Action.

تشير التقارير الأولية إلى أن المهاجم حاول في البداية اختراق مشروع AgentKit مفتوح المصدر التابع لشركة Coinbase.

وبعد فشلهم، قاموا بتوسيع نطاق عملهم، مستغلين GitHub Actions للتسلل إلى مستودعات متعددة.

ويشير المحللون إلى أن المهاجم كان يهدف إلى اختراق النظام البيئي لـ Coinbase لسرقة الأصول المشفرة، لكن تم إحباطه من خلال الكشف والاستجابة السريعة من جانب البورصة.

وفقًا لشركة الأمن السيبراني Wiz يشير تحليل هويات GitHub المرتبطة بالهجوم إلى أن مرتكب الجريمة هو عضو نشط في مجتمع التشفير، ومن المرجح أنه يعمل من أوروبا أو أفريقيا.

وفي حين لم تتطرق Coinbase علنًا إلى الحادث، أفاد الخبراء أن البورصة أكدت أن الاختراق تم التخفيف منه.

كشف تحقيق إضافي أن الجهات الخبيثة قامت بحقن الكود في سير العمل "tj-actions/changed-files"، محاولة استخراج البيانات الحساسة من المستودعات المتأثرة.

كيف صدّ Coinbase المهاجم

نجحت Coinbase، أكبر بورصة للعملات المشفرة في الولايات المتحدة، في إحباط هجوم على سلسلة التوريد كان يستهدف البنية التحتية مفتوحة المصدر الخاصة بها.

وفقًا لشركة الأمن السيبراني Unit 42، استهدف المهاجم AgentKit، وهي مجموعة أدوات مفتوحة المصدر تديرها Coinbase للمعاملات القائمة على blockchain.عملاء الذكاء الاصطناعي.

من خلال تقسيم مستودعات AgentKit وOnchainKit على GitHub، قام المهاجم بحقن كود خبيث مصمم لاستغلال خط أنابيب التكامل المستمر.

تم اكتشاف محاولة الاختراق لأول مرة في 14 مارس 2025.

استغل المهاجم أذونات "الكتابة الكاملة" في GitHub لإدراج تعليمات برمجية ضارة في سير العمل الآلي للمشروع، مما قد يؤدي إلى تعريض البيانات الحساسة للخطر وتمكين المزيد من الاختراقات.

وفي حين أكدت الوحدة 42 أن الحمولة جمعت معلومات حساسة، إلا أنها لم تتضمن استغلالات متقدمة مثل تنفيذ التعليمات البرمجية عن بعد أو هجمات القشرة العكسية.

استجابت Coinbase بسرعة، وعملت مع خبراء الأمن لعزل التهديد وتنفيذ التدابير التخفيفية.

وقد أدى هذا التدخل السريع إلى منع التسلل بشكل أعمق وحماية البنية التحتية للبورصة من المزيد من المخاطر.

الفاعل الخبيث يحول التركيز إلى هدف أوسع

بعد أن أحبطت Coinbase الهجوم المستهدف بنجاح، حول الفاعل التهديدي تركيزه إلى هجوم أوسع على سلسلة التوريد، مستهدفًا هذه المرة GitHub Actions.

حددت Endor Labs أن 218 مستودعًا لـ GitHub تم اختراقها، مما أدى إلى الكشف عن معلومات حساسة.

ومع ذلك، تتكون البيانات المسربة في المقام الأول من بيانات اعتماد لمنصات مثل Amazon Web Services، وnpm، وDockerhub، ورموز الوصول إلى GitHub.

لحسن الحظ، كان التأثير أقل حدة مما كان يخشى في البداية، حيث انتهت صلاحية العديد من رموز GitHub المكشوفة بمجرد اكتمال سير العمل.

وقال الباحث في مختبرات إندور، هنريك بلات:

"بدا النطاق الأولي للهجوم على سلسلة التوريد مخيفًا، نظرًا لأن عشرات الآلاف من مستودعات البيانات تعتمد على GitHub Action."

ويقوم خبراء الأمن حاليا بالتحقيق في الدافع وراء الهجوم.

في حين يشتبه البعض في أن الهدف الأساسي كان سرقة الأصول المشفرة منكوين بيس، ومن المرجح أن الحل السريع للحادث أجبر المهاجم على تغيير موقفه.

وبدلاً من الاستمرار في الهجوم المركّز على Coinbase، قاموا بتوسيع جهودهم لاختراق مجموعة واسعة من المشاريع من خلال هجوم سلسلة التوريد واسع النطاق هذا.

التهديدات الأمنية لا تزال تستهدف مشاريع التشفير

يؤكد الهجوم الفاشل على Coinbase على التهديدات المستمرة التي تستهدف مشاريع التشفير.

سلط يو جيان، مؤسس SlowMist، الضوء على الخطورة المحتملة للاختراق، مشيرًا إلى أنه لو نجح، لكان Coinbase قد يكون الحادث الأمني ​​​​الكبير التالي، في إشارة إلى اختراق ByBit بقيمة 1.5 مليار دولار في فبراير 2025.

ونصح جيان أيضًا الشركات التي تستخدم أدوات مثل tj-actions أو reviewdog بإجراء عمليات تدقيق شاملة لضمان بقاء أسرارها آمنة.

لقد أدت هجمات سلسلة التوريد مثل هذا الهجوم إلى خسائر كبيرة في الماضي.

في عام 2024، أدى استغلال يستهدف تحديثات حزمة npm الخاصة بـ Lottie Player إلى خسارة المستخدم 10 BTC، بقيمة 725000 دولار.

وعلى نحو مماثل، لا تزال الثغرات الأمنية تؤثر على مساحة Web3، حيث خسرت ZOTH، وهي منصة لاستعادة الأصول، أكثر من 8 ملايين دولار بعدالفاعل الخبيث حصل على امتيازات المسؤول وقام بتعديل عقده المنطقي.

ويؤكد هذا على المخاطر المستمرة داخل النظام البيئي للعملات المشفرة.