Intrusion d’IA tierce dans Vercel, Orca confirme en urgence la sécurité du protocole de rotation de la clé

L’échange décentralisé Orca a annoncé le 20 avril avoir mené à bien une rotation complète des clés et des identifiants dans le cadre d’un incident de sécurité concernant la plateforme de développement cloud Vercel, confirmant que son contrat on-chain et les fonds des utilisateurs n’ont pas été affectés. Vercel a révélé l’incident dimanche : les attaquants ont accédé à une partie des systèmes internes de la plateforme via un outil d’IA tiers, intégré à Google Workspace OAuth.

Chemin d’intrusion : faille de la chaîne d’approvisionnement liée à l’AI OAuth, et non une attaque directe de Vercel elle-même

（Source：Vercel）

Le parcours d’attaque de cet événement ne vise pas directement Vercel, mais passe par un outil d’IA tiers qui avait déjà été compromis dans un précédent incident de sécurité plus vaste, en utilisant ses autorisations d’intégration Google Workspace OAuth pour accéder aux systèmes internes de Vercel. Vercel indique que cet outil avait déjà touché plusieurs centaines d’utilisateurs dans diverses organisations.

Ce type de faille de chaîne d’approvisionnement est difficile à identifier au moyen de systèmes de surveillance de sécurité traditionnels, car il exploite des services d’intégration de confiance plutôt que des failles de code directes. Le développeur Theo Browne a souligné que la zone la plus gravement touchée au sein de Vercel est l’intégration interne avec Linear et GitHub. Les informations que les attaquants auraient pu consulter incluent : des clés d’accès, du code source, des enregistrements de base de données et des identifiants de déploiement (y compris les jetons NPM et GitHub). À ce stade, l’attribution de l’incident demeure incertaine ; des rapports indiquent que des vendeurs auraient demandé une rançon à Vercel, mais les détails des négociations n’ont pas été divulgués.

Risque particulier du front-end chiffré : attaque de la couche d’hébergement vs. détournement DNS traditionnel

Cet incident met en évidence une surface d’attaque de la sécurité du front-end chiffré longtemps négligée :

Différences clés entre deux modes d’attaque

Détournement au niveau DNS : l’attaquant redirige les utilisateurs vers un site frauduleux ; généralement, il est détectable relativement rapidement via des outils de surveillance

Intrusion de la couche d’hébergement (Build Pipeline) : l’attaquant modifie directement le code du front-end livré aux utilisateurs ; ceux-ci accèdent au bon domaine, mais peuvent exécuter, à leur insu, un code malveillant

Dans l’environnement Vercel, si les variables d’environnement ne sont pas marquées comme « sensitive », elles peuvent être divulguées. Pour les protocoles chiffrés, ces variables contiennent généralement des informations critiques telles que des clés API, des endpoints RPC privés et des identifiants de déploiement. Une fois divulguées, les attaquants peuvent falsifier les versions déployées, injecter du code malveillant ou accéder aux services back-end afin de mener des attaques plus étendues. Vercel a exhorté ses clients à examiner immédiatement les variables d’environnement et à activer les fonctions de protection des variables sensibles de la plateforme.

Enseignements pour la sécurité Web3 : la dépendance à la chaîne d’approvisionnement devient un risque systémique

Cet incident n’affecte pas seulement Orca ; il révèle à l’ensemble de la communauté Web3 un problème structurel plus profond : la dépendance des projets cryptographiques aux infrastructures cloud centralisées et aux services d’intégration à l’IA, qui crée une nouvelle surface d’attaque difficile à défendre. Lorsqu’un quelconque service tiers de confiance est compromis, l’attaquant peut contourner les défenses de sécurité traditionnelles et impacter directement les utilisateurs. La sécurité du front-end chiffré dépasse désormais le périmètre de la protection DNS et des audits de contrats intelligents ; la gestion de sécurité complète des plateformes cloud, des pipelines CI/CD et des intégrations à l’IA devient une couche de défense que les projets Web3 ne peuvent plus ignorer.

Questions fréquentes

Quel est l’impact de cet incident de sécurité Vercel sur les projets cryptographiques qui utilisent Vercel ?

Vercel indique que le nombre de clients touchés est limité et que les services de la plateforme n’ont pas été interrompus. Toutefois, comme de nombreux fronts DeFi, interfaces DEX et pages de connexion de portefeuille sont hébergés sur Vercel, il est recommandé aux équipes projet d’examiner immédiatement les variables d’environnement, de faire une rotation des clés susceptibles d’avoir été divulguées, et de vérifier l’état de sécurité des identifiants de déploiement (y compris les jetons NPM et GitHub).

Que signifie concrètement une « fuite de variables d’environnement » dans un front-end chiffré ?

Les variables d’environnement stockent généralement des informations sensibles telles que des clés API, des endpoints RPC privés et des identifiants de déploiement. Si ces valeurs sont divulguées, l’attaquant peut falsifier le déploiement du front-end, injecter du code malveillant (par exemple des requêtes d’autorisation de portefeuille contrefaites) ou accéder aux services back-end de connexion pour mener des attaques plus étendues, tout en faisant en sorte que le domaine affiché par les utilisateurs semble toujours normal.

Les fonds des utilisateurs d’Orca sont-ils affectés par cet incident Vercel ?

Orca a confirmé sans ambiguïté que son contrat on-chain et les fonds des utilisateurs n’ont pas été affectés. Cette rotation des clés a été effectuée par mesure de précaution, et non sur la base d’une perte de fonds confirmée. Comme Orca utilise une architecture non-custodiale, même si le front-end est affecté, le contrôle de la propriété des actifs on-chain reste entre les mains de l’utilisateur lui-même.