币圈界报道：

GitHub内部代码库遭大规模未授权访问，安全调查持续展开

微软旗下代码托管平台GitHub近日披露，由于员工终端设备遭受恶意入侵，导致约3800个内部代码仓库出现未经授权的访问行为。此次事件引发行业高度关注，尤其在加密货币领域，促使币安联合创始人赵长鹏公开警示开发团队尽快执行密钥轮换操作。

恶意扩展程序触发安全警报，平台已隔离风险端点

根据GitHub周三发布的官方声明，系统检测到与员工设备异常活动相关的未授权访问迹象，并随即启动应急响应机制。公司指出，当前尚无证据显示客户外部仓库或企业级环境受到波及。调查发现，攻击者利用被篡改的Visual Studio Code插件作为入口，植入恶意组件以窃取凭据。相关恶意扩展已被移除，受影响的终端也已完成隔离处理。

黑客组织宣称掌控四千个私有仓库，安全机构追踪其自动化攻击模式

尽管GitHub强调客户数据未受直接影响，但承认内部系统中约3800个专属项目库遭到渗透。该数字与网络上匿名组织TeamPCP所声称的“4000个私有代码仓库”高度一致。据安全研究团队分析，该团伙具备高度自动化的攻击能力，专注于通过污染开发工具链来非法获取认证信息并牟利。其行动轨迹显示，曾尝试将涉密代码资产用于勒索或出售给第三方。

加密生态面临严峻安全挑战，开发者需警惕凭证暴露风险

在这一背景下，赵长鹏特别提醒所有基于GitHub构建应用的加密项目团队，必须立即审查代码仓库中是否存在明文存储的API密钥、云服务令牌及钱包配置。这些敏感信息广泛存在于去中心化金融协议、交易机器人和区块链基础设施项目中，一旦泄露可能直接导致资金被盗。他强调，即使代码库设定为私有，仍存在被横向渗透的可能，因此应视作高危暴露面。

行业接连爆发供应链攻击，多起事件指向同一类攻击手法

此次事件发生前数日，可观测性平台Grafana Labs也报告了类似攻击——攻击者下载部分开源代码后，以曝光数据为要挟提出勒索。此外，今年三月，安全厂商OX Security揭露一起针对OpenClaw开源AI代理项目的钓鱼骗局：攻击者伪造官方账户，在讨论区诱导开发者点击虚假链接，进而引导其连接恶意钱包地址，完成资产清空。

该系列攻击普遍采用混淆脚本与浏览器追踪技术，配合自动清除痕迹的功能，隐蔽性强。OX Security建议用户屏蔽相关域名，避免将个人钱包接入新出现的未经验证网站。

值得注意的是，币安此前也曾遭遇类似问题。2024年2月有调查显示，其内部架构文档、身份验证代码及生产环境密码曾在GitHub上长期公开可访问。虽然当时公司回应称这些信息已脱离实际运行环境，对用户构成“可忽略风险”，但此类事件再次凸显关键基础设施管理中的漏洞隐患。