Um invasor copiou cerca de 170 repositórios privados do GitHub da CrowdSec em 22 de maio usando a conta de um funcionário que havia deixado a empresa, informou a companhia em 18 de setembro.
A empresa francesa de segurança manteve o acesso dele ao GitHub ativo. Segundo a CrowdSec, o notebook desse ex-funcionário foi comprometido no ataque à supply chain contra a TanStack em maio, quando versões maliciosas de pacotes npm da TanStack roubaram credenciais de máquinas de desenvolvedores.
O código apareceu em um fórum on-line em 16 de setembro. Além do código-fonte, o material continha os endereços de e-mail de 83 usuários da CrowdSec e os nomes, os e-mails e o contexto de investimento de 51 potenciais investidores de 2020, afirmou a empresa.
A CrowdSec diz que a conta foi usada apenas para copiar o código, que sua infraestrutura e seus bancos de dados não foram acessados e que nenhuma linha de código foi alterada.
Como o código foi levado
Em 11 de maio, foram publicadas 84 versões maliciosas de 42 pacotes npm da TanStack. O compromisso é acompanhado como
CVE-2026-45321
. Ao instalar uma dessas versões, o sistema executava código que roubava credenciais da máquina, incluindo tokens do GitHub, chaves SSH e credenciais de cloud, de acordo com o comunicado da TanStack.
A empresa afirma que a cópia foi feita 11 dias depois com um token OAuth do GitHub vinculado à conta do ex-funcionário. A companhia havia mantido o acesso dele para que ele concluísse parte do trabalho.
A CrowdSec removeu a conta da organização no GitHub em 25 de maio, três dias após a cópia e meses antes de saber do vazamento. Os demais acessos já haviam sido revogados, o que, segundo a empresa, explica por que não houve atividade suspeita em seus sistemas da AWS.
O token não deixou rastros nos logs do GitHub que a empresa conseguiu verificar e já não existia quando o vazamento veio à tona. A CrowdSec afirma que o suporte do GitHub então rastreou o histórico do token e confirmou sua suspeita de que a origem estava na TanStack.
A empresa não informou qual pacote malicioso chegou ao notebook do ex-funcionário nem em que momento isso ocorreu, e seu relatório não traz as conclusões do próprio GitHub. A CrowdSec diz que as máquinas dos desenvolvedores foram verificadas e não apresentaram sinais de comprometimento.
O mesmo ataque também atingiu outras empresas. A Mistral AI informou que um dispositivo de desenvolvedor esteve envolvido no seu caso, e a OpenAI disse que dois dispositivos de funcionários foram afetados, com acesso não autorizado a um conjunto limitado de seus repositórios internos de código.
O que o arquivo continha
O Security Engine open source da CrowdSec detecta ataques em servidores, e usuários que compartilham suas detecções recebem uma lista compartilhada de bloqueio com endereços IP maliciosos. O código vazado vem dos repositórios privados da empresa, e não desse mecanismo público.
Segundo a companhia, o material inclui sua console web, scripts e modelos de ciência de dados, scripts de automação e o algoritmo de consenso que define quais endereços IP entram nas listas de bloqueio.
A empresa afirma que o código tem quase quatro meses e mudou bastante desde então.
A CrowdSec diz que o vazamento também revelou os limiares usados pelo algoritmo de consenso, como a quantidade de detecções exigida antes de adicionar um endereço IP à lista de bloqueio. Esses parâmetros ainda não haviam sido tornados públicos.
Até onde sabe, a lista de bloqueio continua protegida contra envenenamento, isto é, contra a tentativa de induzir o sistema a bloquear um IP inofensivo. A empresa afirma que um invasor precisaria de dezenas de detecções de dezenas de mecanismos confiáveis em dezenas de redes separadas, a um custo elevado. A CrowdSec também diz que pode alterar os limiares, como faz com frequência.
De acordo com a empresa, a única credencial utilizável no vazamento era para o serviço de notificações SNS da AWS, e ela só permitia publicar mensagens em um tópico. Alguém tentou usá-la em 17 de agosto, um mês antes da publicação do código, mas não avançou. Outros tokens no código já haviam sido rotacionados ou não podiam ser usados a partir da internet, segundo a companhia.
A CrowdSec afirma ter cerca de 150.000 usuários. Sua equipe de ciência de dados manteve os 83 endereços de e-mail expostos para estudar como as pessoas usavam o produto, e a empresa diz que vai entrar em contato com esses usuários.
Os dados dos investidores vieram de um sistema de 2020 que, segundo a CrowdSec, nunca foi criado para ser público. A empresa afirma que comunicará o vazamento aos investidores e às autoridades. O CEO Philippe Humeau escreveu aos investidores no relatório que "por isso, peço desculpas pessoalmente".
A empresa afetada rotacionou as credenciais expostas em 16 e 17 de setembro. Na época, não exigia software de proteção de endpoint nas máquinas dos desenvolvedores, mas agora usa esse tipo de software nos notebooks dos funcionários que trabalham com seu código ou seus sistemas.
Nem o relatório da CrowdSec nem a primeira nota da empresa pedem qualquer ação dos usuários.
Como a posição da CrowdSec mudou
O relatório da CrowdSec de 18 de setembro difere da primeira nota, publicada um dia antes. Nessa primeira versão, a empresa disse que "nenhum dado de clientes, login/senha, nome, organização ou qualquer outra coisa foi vazado" e que o impacto ficou restrito à companhia.
A primeira nota também apontava o compromisso na TanStack como a origem mais provável do vazamento. Segundo o texto, um componente usado internamente pela CrowdSec em maio parecia ter sido alvo de backdoor para roubar uma chave de API capaz de ler o código privado.
O relatório de 18 de setembro diz que nenhuma das versões maliciosas da TanStack foi encontrada no código da CrowdSec e aponta, em vez disso, para a conta do ex-funcionário. Ele também lista os nomes dos investidores, que a primeira nota dizia não ter vazado, além dos endereços de e-mail dos 83 usuários.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...