GitHub 有可能被黑了

[levelworm]

https://x.com/github/status/2056884788179726685

https://pbs.twimg.com/media/HItbXhvW4AAMD8W?format=jpg&name=orig

[craftsmanship]

卧槽，，，，

[cwxiaos]

这，啊？

[lod]

Vibe Coding

[wsbqdyhm]

勒索吗？

[Phariel]

上回的供应链攻击不就是 TeamPCP 搞的吗？

[darksword21]

这 tm ，今天的工作就是换 key 了

[mywaiting]

官方实锤了么？一堆流水线要更换打包了

[a33291]

意思他们获得了 github 的平台内部权限?

[yakumo520]

意思私有仓库随便访问？

[aikilan]

震惊

[supuwoerc]

别人：“我的私有仓库不会泄露核心代码吧？！”
我：“我的垃圾到不敢公开的代码不会被别人看见吧？！”

[Alias4ck]

哈哈哈哈

[vvhhaaattt]

如果系统内部代码泄漏，会成为一个开始吧，一般这种感觉会被分析然后发现更多风险点，结合 ai ，感觉可能后续时不时就被人进入或者找到端点资源被滥用。
之前 B 站代码泄漏，听说到现在还有被滥用的地方不好修补的

[nc]

情况是这样的，一位 GitHub 员工安装了恶意的 vscode 扩展，然后黑客窃取了 Github 自己内部的约 3800 个代码库，包括主站代码。

[XWZCoffee]

拿到了 github 自己内部源代码。官方说明对用户是没啥影响，不知道是不是真的。

[craftsmanship]

@nc 那就不止是代码了 各种 credentials 也都寄了

[CouleurVVEX]

[unusualcat]

看来重要的代码还是存放在本地或者自己家的 NAS 里比较靠谱。。。

[russ44]

不是吧阿 Sir

[darklinden]

刚想说应该没啥事儿，想了想去把信用卡移除了...等等，如果被盗了移除也没用了...吧？

[jacketma]

三哥，我经常把 Security Key 都硬写死在代码仓库里了，就这么脱光啦😨😨😨

[XWZCoffee]

@jacketma 真涉及到用户的仓库数据，量太大了，黑客根本懒得管你

[game]

@unusualcat 自己买云服务器使用类似 Gitea 、GitLab 搭建 Git 服务靠谱吗？

[wfhtqp]

能篡改提交历史吗？

[HankAviator]

@game 不靠谱，这次是 vscode 扩展带进来的，只要你访问库的电脑联网，就没办法避免。能放本地的代码黑客估计也懒得花时间做定向攻击。
最近会话盗取很猖獗，很多软件都没有保护，今年至少到下半年这种攻击会指数增长

[Kinnice]

所以这个 vscode 扩展是啥？

[rammiah]

现在都不上传到 github 了，自己 nas 建了 gitea 很好用

[mightofcode]

自建 gitea 吧
数据交给老美是多么的不靠谱
不是给黑客 就是给 CIA

[HotieCutie]

我不担心，我的东西拿去也没啥用

[7gugu]

@mightofcode 但自建也没解决问题吧，最后被脱裤了可能都不自知

[liuzhedash]

@7gugu 自建不容易被盯上，因为攻击者对你没兴趣，甚至都不知道你自建了个 git
要是建在 github 上，等于每天的攻击目标都有你

[lsearsea]

@7gugu 建内网就成，我用家里云搭了个 forgejo ，用 nginx 反代，域名 dns 记录为 easytier 设备内网 ip ，用 acme.sh 申请 ca 证书。这样设置后和普通 https 网站没区别，除了必须内网，连上就能访问，觉得不稳定大厂 vps 也是一样搭建

[CherryGods]

老板可以在懒猫微服部署 Gitea ，绝对让您满意

[Zarhani]

@7gugu 不对外公开域名和端口，套个 tailscale ，只能用 tailscale 访问，自己用

[0x5c0f]

似乎是真的，我的 github 中被创建了两个额外仓库 ，操作记录来自 156.146.40.206 Bratislava, Bratislava Region, Slovakia 19 hours ago