github

ChainCatcher 消息，据 Qubic 官方 X 账号 (@Qubic) 發佈公告，Qubic GitHub 組織於 7 月 13 日發生安全事件，一個被入侵的帳號訪問了代碼庫並提取了敏感資訊，官方已介入處置。官方建議以下用戶立即採取行動：網路守護者（Network Guardian）應立即輪換種子（seed）；Web 錢包用戶若曾在當日 03:00--10:00 UTC 期間解鎖錢包，請遷移至新身份；若不確定上次解鎖時間，同樣建議遷移；開發者在官方確認審計完成前，應暫停從 Qubic 代碼庫拉取或部署代碼。官方表示，完整細節及後續更新將在官方 Discord 頻道發佈，提醒用戶切勿輕信非官方渠道資訊，並警告任何人不得以任何理由索取用戶種子。事件善後報告將於處置完成後發佈。

ChainCatcher 消息，慢霧 SlowMist 發布安全警報，檢測到一起活躍的 npm 供應鏈攻擊，目標是 @redhat-cloud-services 相關軟體包。目前已確認 31+ 個包受影響，週下載量約 11.6 萬次，超過 300 個 GitHub 倉庫中存在被盜憑證。該攻擊手法與此前 "Shai-Hulud" npm 攻擊高度相似，包括憑證竊取、創建惡意倉庫及自動化秘密外洩。目前仍有新的可疑倉庫持續出現，表明攻擊仍在進行中，開發者仍在被持續感染。潛在危害包括：GitHub/npm token 被盜、AWS/GCP/Azure 雲憑證洩露、SSH 密鑰和 Kubernetes 秘密收集、本地環境及錢包數據外洩、惡意倉庫創建及持久化操作，甚至在 token 被吊銷後可能引發破壞性行為。建議立即移除或降級受影響的 @redhat-cloud-services 包版本，全面審計 CI/CD 工作流和依賴安裝，輪換所有 GitHub、npm、雲服務、SSH 及錢包相關密鑰，保留日誌，並從乾淨鏡像重建已暴露的開發者機器或 Runner，同時保持高度警惕。

ChainCatcher 消息，据 GoPlus 監測，黑客組織 TeamPCP 聲稱已拿到 GitHub 內部約 4000 個私有倉庫中的源代碼，並在地下論壇上標價 5 萬美元進行出售，並支持樣本驗證。如果沒人買，後續可能會免費公開這批數據。此前消息，GitHub 官方確認正在調查此次的「內部倉庫的未經授權訪問」問題，疑似 GitHub 員工設備上安裝了惡意 VS Code/AI Coding 插件。

ChainCatcher 消息，据慢霧發布的威脅情報，近期多個高頻 npm 包包括 AntV 和 Echarts-for-react 以及 Python SDK durabletask 遭到 Mini Shai-Hulud "迷你沙蟲"供應鏈攻擊。npm 帳號 atool 被入侵，攻擊者在 22 分鐘內自動發布了 637 個惡意版本，涉及 317 個包。攻擊者在 35 分鐘內連續上傳 durabletask 1.4.1、1.4.2 和 1.4.3 版本，繞過正常發布控制並冒充微軟官方發布。GitHub token 大規模洩露事件和 Grafana Labs 遭勒索攻擊很可能與此供應鏈攻擊相關。受影響組件包括 npm 生態系統中的 AntV、Echarts-for-react 等高頻組件，以及 Python 包 durabletask 1.4.1、1.4.2 和 1.4.3。攻擊者可竊取雲和本地憑證、未經授權訪問內部倉庫和敏感雲基礎設施、橫向移動至開發者機器和 CI/CD 管道、銷售和利用洩露的 GitHub token、實施勒索和數據洩露威脅。慢霧建議立即輪換所有暴露的憑證，替換受影響的包，隔離可能受感染的系統，並實施嚴格依賴審查政策。此前消息，"迷你沙蟲"蠕蟲近期在開源代碼庫裡完成大面積感染，開發者需注意排查。

ChainCatcher 消息，GitHub 發文更新了關於內部倉庫未授權訪問事件的調查細節：GitHub 昨日檢測並控制了一起員工設備遭入侵的事件，該事件涉及一個被植入惡意程序的 VS Code 擴展。GitHub 移除了惡意擴展程序，隔離了受影響的終端，並立即啟動了事件響應。目前評估顯示，僅 GitHub 內部倉庫存在數據外傳，攻擊者聲稱的約 3800 個倉庫數量與調查結果大致一致。GitHub 已優先輪換關鍵憑證，正在分析日誌、驗證憑證輪換並監控後續活動，調查完成後將發布完整報告。此外，慢霧首席信息安全官 23pds 對此事件發文稱："通過分析網絡犯罪論壇的爆料，黑客可能用 Anthropic 的 Mythos 安全 AI，用它精準突破 GitHub 的防線，偷走約 4000 個核心內部倉庫：裡面有 Copilot 的源碼、CodeQL 的算法、Actions 運行時和整個計費系統等信息。後續分析這些代碼，可能會再次攻擊，對整合開源社區產生深遠安全影響。"

ChainCatcher 消息，針對 GitHub 披露的內部代碼庫未授權訪問事件，趙長鵬發文提醒稱："如果代碼中包含 API Key，即使位於私有倉庫，也應立即復查並更換。"

ChainCatcher 消息，GitHub 官方表示，正在調查一起針對其內部代碼庫的未授權訪問事件。GitHub 稱，目前尚無證據表明客戶儲存在 GitHub 平台外部的企業、組織或代碼倉庫數據受到影響，但公司正在持續監控基礎設施，以防出現進一步異常活動。GitHub 表示，若後續確認存在用戶數據或服務受影響情況，將通過既有事件響應與通知渠道向客戶進行通報。

ChainCatcher 消息，開源數據可視化工具 Grafana 在 X 平台發文表示，近期發現一名未經授權的攻擊者獲取了可訪問 Grafana Labs GitHub 環境的 Token，並藉此下載代碼庫。經調查確認，此次事件未涉及客戶數據或個人信息洩露，也沒有發現客戶系統或業務運營受到影響，事件發生後已立即啟動取證分析，並認為已定位憑證洩露源頭，同時已部署額外安全措施以加強環境防護。此外，Grafana 披露攻擊者曾試圖通過勒索方式要求支付贖金以阻止代碼庫被公開，但公司最終決定拒絕支付贖金，待調查結束後將公布更多事件復盤信息。

ChainCatcher 消息，騰訊公關總監張軍今日發文稱，3 月 30 日，企業微信 CLI 開源項目上架 GitHub 社區，開放消息、日程、文檔、智能表、會議、待辦、通訊錄等七大核心產品能力，支持主流 AIAgent（如 ClaudeCode、Codex、WorkBuddy、QClaw 等）調用。開發者可基於這些能力，讓 AIAgent 能以更自然的方式理解和調用企業微信能力，快速開發更貼近日常辦公場景的 AI 應用。

ChainCatcher 消息，据市場消息，安全平台 OX Security 披露，AI 代理項目 OpenClaw 的開發者正成為加密貨幣釣魚活動的目標。攻擊者創建虛假 GitHub 帳號，在攻擊者控制的倉庫中發起議題並 @ 數十名開發者，聲稱其贏得 5000 美元 CLAW 代幣獎勵，並引導至與 openclaw.ai 幾乎完全相同的克隆網站。該釣魚網站多了一個"連接錢包"按鈕，旨在竊取連接的錢包資產。惡意代碼隱藏在經過深度混淆的 JavaScript 文件中，具備清除瀏覽器本地存儲數據的"nuke"功能以阻礙取證分析，並將錢包地址、交易值等信息編碼後傳回 C2 伺服器。研究者識別出一個疑似用於接收被盜資金的加密錢包地址。相關帳號上週創建，數小時內即被刪除，目前尚無確認受害者。OpenClaw 因其高關注度已成為詐騙分子的目標，其 Discord 社區此前也遭遇大量加密貨幣垃圾信息。此前消息，OpenClaw 創始人提醒稱，警惕假冒 OpenClaw 名義發送的加密貨幣詐騙郵件。

ChainCatcher 消息，OpenClaw 創始人 Peter Steinberger 發文抨擊 GitHub 安全漏洞報告流程存在多項問題，他指出目前漏洞報告僅對管理員開放訪問權限，導致團隊內部難以有效分發和協作處理。此外 GitHub 在漏洞報告方面 API 功能不足，無法通過自動化代理讀取或發布評論，這限制了安全響應流程的自動化能力，Peter Steinberger 還特別指出當前漏洞報告中充斥大量 AI 生成的低質量內容，需要花費數小時進行篩選，進一步增加了安全處理工作的負擔。

ChainCatcher 消息，Pump.fun 宣布上線 GitHub 創作者費用共享功能，用戶現在可以通過 Pump.fun 移動應用將創作者費用分配給任何 GitHub 帳戶。更多社交功能即將推出。

ChainCatcher 消息，ClawdBot（現更名為 Moltbot）創始人 Peter Steinberger 在社交媒體發文表示，其 GitHub 賬戶劫持問題已經解決，此問題僅影響個人賬戶而非組織賬戶。他特別提醒用戶警惕約 20 個冒充的 X 詐騙賬號。

ChainCatcher 消息，据澎湃新聞報導，近日有消息稱，騰訊已正式向 GitHub（全球最大代碼托管與協作平台）發出投訴函，要求下架一批 "允許用戶導出或分析自己微信聊天記錄" 的開源項目。其中，部分較受關注的項目負責人公開表示，在法律壓力下，項目被迫停止維護。騰訊方面回應，部分讀取微信聊天記錄的開源項目，是通過對微信客戶端進行逆向工程等手段，破解本地數據庫的密鑰，以繞過微信客戶端的加密措施，威脅用戶本人及第三方數據隱私及客戶端安全，且極易被黑灰產利用。

ChainCatcher 消息，Solana 聯合創始人 Anatoly Yakovenko 在 Solana Breakpoint 大會上表示，"我最喜歡的一點就是：去中心化並不是沒有領導者，而是領導者的豐富湧現。過去五年裡，有太多人站了出來------來自基金會、Labs 的人，也有完全不屬於這些初始組織的社區成員、應用和協議的建設者------他們真正承擔起了整個網絡的領導角色。發展到如今，我甚至已經沒有 GitHub 的提交權限了，我上台講話也就花了兩分鐘。我的目標就是坐在觀眾席裡------我覺得這意味著看到整個網絡真正成熟、擁有自己的生命。我對此感到非常自豪。"

ChainCatcher 消息，据 0xkatz.era 稱，Gitcoin 出現假冒釣魚公告，攻擊者通過 GitHub 原生通知系統向大量用戶發送垃圾信息。受影響用戶在點擊相關組織鏈接時發現頁面已無法訪問。部分用戶已向 GitHub 報告該帳號及相關問題，提醒社區提高警惕，防範釣魚風險。

ChainCatcher 消息，据慢霧安全團隊，7 月 2 日一名受害者稱其前一天使用了一個托管在 GitHub 上的開源項目 ------ zldp2002/solana-pumpfun-bot，隨後加密資產被盜。經慢霧分析，本次攻擊事件中，攻擊者通過偽裝為合法開源項目(solana-pumpfun-bot)，誘導用戶下載並運行惡意代碼。在刷高項目熱度的掩護下，用戶在毫無防備的情況下運行了攜帶惡意依賴的 Node.js 項目，導致錢包私鑰泄露、資產被盜。整個攻擊鏈條涉及多個 GitHub 帳號協同操作，擴大了傳播範圍，提升了可信度，極具欺騙性。同時，這類攻擊通過社會工程與技術手段雙管齊下，在組織內部也很難完全防禦。慢霧建議開發者與用戶高度警惕來路不明的 GitHub 項目，尤其是在涉及錢包或私鑰操作時。如果確實需要運行調試，建議在獨立且沒有敏感數據的機器環境運行和調試。