GitHub内部仓库遭入侵，赵长鹏紧急提醒密钥轮换

核心提要：GitHub确认近3800个内部仓库遭未授权访问，涉事员工设备被入侵。币安创始人赵长鹏紧急呼吁开发者立即更新存储在代码库中的密钥，防范潜在金融风险。

GitHub内部系统遭入侵致数千仓库暴露，加密行业警报拉响

微软旗下代码托管平台GitHub近日证实，因部分员工终端遭受恶意入侵，导致约3800个内部代码仓库出现未经授权的访问。该事件迅速引发业界关注，尤其在加密货币开发领域，币安联合创始人赵长鹏随即发布警示，敦促所有开发者立即检查并更换其项目中可能外泄的API密钥。

攻击路径锁定：恶意扩展程序成突破口

根据GitHub周三发布的官方通报，此次事件起源于一个被篡改的Visual Studio Code插件。公司在检测到异常行为后，迅速隔离受影响设备，并移除恶意组件。尽管公司声明客户数据和外部企业环境未受波及，但承认内部核心系统部分遭到渗透，相关数据与黑客组织TeamPCP此前宣称的“4000个私有仓库”高度一致。

据安全机构分析，TeamPCP为具备自动化特征的网络犯罪团伙，专攻开发工具链以窃取凭证，进而实施经济牟利。其攻击模式通常包括植入隐蔽后门、窃取配置信息，并通过暗网出售敏感数据。

加密生态面临双重威胁：密钥泄露与勒索压力

在此次事件背景下，赵长鹏强调，即便位于私有仓库中的密钥也存在暴露风险，必须立即执行轮换操作。由于加密项目高度依赖GitHub进行智能合约部署、钱包集成及自动化交易脚本管理，一旦凭证外泄，可能导致交易所接口被滥用、云资源被非法占用或用户资产被盗。

GitHub方面表示，已对关键权限凭据完成重置，优先保障高危系统的安全性。目前调查仍在持续，团队正深入分析日志记录，监控潜在后续攻击行为，并承诺将在事后发布完整技术复盘报告。

行业安全态势再受冲击：接连爆发供应链攻击

就在GitHub事件发生前数日，可观测性平台Grafana Labs披露一起类似攻击——攻击者通过未授权访问下载部分代码库，并以泄露数据为要挟提出勒索要求。这一系列事件凸显出开发基础设施已成为攻击者的重点目标。

今年三月，安全厂商OX Security揭露一场针对OpenClaw开源AI代理项目的钓鱼活动。攻击者伪装成社区成员，在讨论区诱导开发者点击伪造链接，最终引导其连接至欺诈性钱包界面，实现资金清空。此类攻击利用混淆脚本与浏览器追踪指令，可实时监控用户行为，并具备自动清除痕迹的能力。

OX Security建议用户屏蔽相关域名，并避免将个人钱包与新出现的网站建立连接。值得注意的是，这并非币安首次遭遇密钥安全隐患。2024年2月曾有报道指出，多个与币安相关的生产环境配置文件及架构图长期公开于公共GitHub仓库，涵盖身份验证逻辑与密码信息。当时币安回应称这些内容已脱离实际运行系统，对用户安全影响极小。