CrowdSec ha confermato al terzo giorno dell’incidente che il furto non è nato dal proprio GitHub, ma da un token OAuth rimasto valido sull’account di un ex dipendente. Con quel token, legato al worm Shai-Hulud e al filone TanStack npm, sono stati copiati in pochi minuti circa 170 repository privati.
Il punto non è il volume del leak. È che GitHub ha trattato l’accesso come legittimo perché la chiave era ancora attiva. In questo schema, il worm serve solo a rubare una credenziale persistente; da lì in poi il download della base di codice avviene senza toccare l’infrastruttura della vittima.
Per chi gestisce organizzazioni GitHub, il rischio resta nei token lunghi e nei grant lasciati dietro l’uscita del personale. CrowdSec ha ruotato i token, ma l’episodio mostra che l’offboarding e la vita utile delle credenziali terze parti sono parte della superficie d’attacco.
Shai-Hulud Attack Nips Cyber-Firm CrowdSec's GitHub Data
Threat actors stole the contents of 170 private repositories with a stolen OAuth token of a former employee through the TanStack npm supply-chain attack.