GitHub称因投毒版VS Code扩展导致约3800个内部仓库被盗

GitHub确认发生一起供应链安全事件：一名员工在不知情情况下安装了恶意“投毒版VS Code扩展”。随后，攻击者外传约3,800个GitHub内部仓库。GitHub表示，事件已在发现后得到处置与遏制：移除了恶意扩展版本，并隔离受影响的终端设备。 在最新评估中，GitHub称此次活动仅涉及GitHub内部仓库；截至目前，公司没有证据表明存放在这些内部仓库之外的客户信息（例如客户企业/组织或客户自有仓库）受到影响。GitHub也指出，部分内部仓库可能包含客户相关摘录；若发现更广泛影响，公司将通过既定事件响应与通知渠道告知客户。此外，GitHub称已在夜间轮换关键凭据，优先处理高风险密钥，并持续监测是否存在后续入侵。 另据消息，黑客组织TeamPCP宣称对该事件负责，并表示其疑似在地下论坛提供了样本，且涉嫌索要至少5万美元以出售/赎取被盗代码。对交易者而言，这再次提示开发者工具链供应链风险仍在持续；而GitHub周边与密钥/凭据相关的安全防护，仍是加密与web3团队（依赖GitHub进行代码托管、CI/CD与运维权限）面临的系统性风险。