GitHub仓库遭VS Code扩展入侵触发CZ警示_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

GitHub仓库遭VS Code扩展入侵触发CZ警示

2026-05-21 07:42:07

恶意扩展程序入侵GitHub内部仓库引发安全警报

据报道，GitHub内部仓库近期通过一款受污染的Visual Studio Code扩展程序遭到入侵，币安联合创始人赵长鹏随即呼吁开发者和加密货币企业立即更新密钥。

攻击事件核心要点

此次攻击以被篡改的VS Code扩展程序为媒介，据称影响了约3800个代码仓库。赵长鹏公开建议所有使用GitHub托管凭证的用户立即执行密钥轮换措施。对于在GitHub上管理部署密钥、API密钥及钱包基础设施的加密团队而言，此次事件显著增加了其安全风险。

恶意扩展如何打开入侵之门

GitHub已确认内部仓库因恶意扩展程序而遭到入侵。该扩展程序一旦被开发者安装，攻击者即可获取开发环境中存储的身份验证令牌与仓库凭证。据安全媒体披露，此次事件涉及数千个仓库，凸显了开发工具被武器化时带来的供应链风险规模。

扩展程序为何成为攻击载体

VS Code扩展在开发者环境中拥有广泛权限，包括文件访问、终端会话调用及存储凭证读取能力。受感染的扩展可在不触发安全警报的情况下，悄然窃取令牌、SSH密钥与环境变量。此类软件供应链攻击之所以危害巨大，是因为其利用了开发者对工具的信任。许多机构虽已部署面向用户端的欺诈检测系统，却往往缺乏对内部开发工具完整性的等效监控机制。

密钥轮换对加密企业的紧迫性

在事件披露后，赵长鹏敦促开发者立即轮换凭证。密钥轮换可使已泄露的凭证失效，即使攻击者已获取令牌也能切断其访问路径。对加密企业而言，开发流程中常涉及私钥、交易所API凭证、智能合约部署密钥及钱包配置等敏感信息，这些都可能通过GitHub仓库被获取。

加密工作流中的高风险凭证

具备提现权限的交易所API密钥属于最高风险类别。此外，智能合约部署密钥、资金管理签名密钥以及自动化代币转移的CI/CD管道密钥都需立即审查。通过GitHub托管工具管理多签钱包配置的团队，应将此事件视为运营安全的直接威胁。那些基于GitHub部署流程开展新代币发行项目的团队同样面临风险。

事件后的紧急处置清单

在官方发布完整报告前，建议采取以下预防措施：审计已安装的VS Code扩展，核对是否存在已知受污染扩展，移除未经验证的扩展程序；检查GitHub审计日志中近30天是否存在未授权仓库访问、令牌创建或权限变更记录；优先轮换交易所API密钥、部署密钥及开发环境可访问的所有私钥；审查仓库访问日志中的异常克隆操作、陌生IP分支创建等非常规活动；立即撤销并重新生成暴露窗口期内存在的所有个人访问令牌与OAuth令牌。

GitHub已就该事件发布更新通告。加密团队应密切关注官方渠道发布的威胁指标，并根据最新信息调整应对策略。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文