币圈界报道：

GitHub证实内部代码库遭黑客渗透，源头为被篡改开发工具

本周二，GitHub官方披露一起重大安全事件，确认有黑客组织通过伪装成正规插件的恶意Visual Studio Code扩展程序，非法获取了约3800个内部代码存储库。该扩展最初经由微软官方商店分发，诱骗开发者安装后在后台执行数据外传行为。

仅限内部系统受波及，客户数据暂无暴露风险

作为全球领先的开源协作平台，GitHub服务超过1.8亿开发者与400万机构，涵盖绝大多数世界500强企业。公司声明指出，此次入侵范围限定于其内部管理的代码仓库，外部公开或客户自建项目未被触及。尽管部分内部仓库包含客户支持摘要等非敏感信息，但尚未发现实际数据泄露至第三方。

发言人强调：“若后续调查确认存在影响客户的情形，我们将依据既定流程及时通知相关方，并提供必要协助。”

紧急凭证轮换与持续威胁追踪同步展开

为遏制潜在扩散，公司已在夜间完成核心系统密钥更新，优先处置高危访问凭证，并部署强化监控机制以识别异常访问模式。据网络安全机构通报，名为TeamPCP的网络犯罪团伙在暗网论坛宣称对此事负责，称已获取近4000个私有代码库，并以不低于5万美元的价格进行售卖，同时向潜在买家提供数据样本。

目前该说法尚未得到独立验证。团队表示其行动并非传统勒索，若无法售出则可能选择公开数据。此前，该组织已被关联至针对GitHub、PyPI、NPM及Docker的多起供应链攻击事件，且与长期活跃的Shai-Hulud恶意软件活动存在交集。