Vercel hat einen Sicherheitsvorfall gemeldet, bei dem Unbefugte Zugriff auf interne Systeme hatten. Davon waren nur wenige Kunden betroffen.
Die Webhosting-Plattform veröffentlichte am 19. April einen Sicherheitshinweis hier und fordert alle Nutzer dazu auf, ihre Umgebungsvariablen umgehend zu überprüfen.
Was bei Vercel passiert ist
Nach Angaben der offiziellen Stellungnahme von Vercel konnten Angreifer auf bestimmte interne Systeme zugreifen. Das Unternehmen hat Experten für Vorfallmanagement eingeschaltet und die Polizei informiert.
Der Entwickler Theo Browne teilte weitere Einzelheiten mit und berichtet, dass vor allem die Linear- und GitHub-Integrationen von Vercel betroffen waren.
Allerdings blieben auf der Plattform als „sensitiv” markierte Umgebungsvariablen geschützt.
Variablen, die nicht als sensitiv markiert wurden, sollten vorsorglich erneuert werden.
Die Angreifer könnten mit ihrer Methode noch weitere Unternehmen als Vercel betroffen haben. Wie viele Kunden tatsächlich betroffen sind, ist derzeit noch unklar, da die Untersuchungen andauern.
Warum Krypto-Projekte aufmerksam sein sollten
Viele Krypto- und Web3-Frontends werden auf Vercel bereitgestellt, darunter Wallet-Connectoren oder dezentrale Anwendungsoberflächen.
Projekte, die API-Schlüssel, private RPC-Endpunkte oder Wallet-bezogene Geheimnisse in nicht sensiblen Umgebungsvariablen speichern, sind einem Risiko einer möglichen Offenlegung ausgesetzt.
Der Vorfall gefährdet die Blockchains oder Smart Contracts nicht direkt, da diese unabhängig von Frontend-Hosting arbeiten.
Allerdings könnten kompromittierte Deployment-Pipelines theoretisch Manipulationen beim Build in betroffenen Accounts ermöglichen.
Bislang gibt es keine Hinweise auf solche Manipulationen.
Vercel empfiehlt, alle Umgebungsvariablen zu überprüfen und die Funktion für sensible Variablen zu aktivieren.
Sicherheitsexperten raten zudem, GitHub-Token, die mit Vercel-Integrationen verbunden sind, neu zu generieren und aktuelle Build-Logs auf gespeicherte Zugangsdaten zu prüfen.
Der Vorfall erinnert daran, dass zentrale Deployment-Plattformen trotz dezentraler Ansätze Risiken bergen können.
