CrowdSec确认300个仓库源码遭TanStack供应链攻击泄露

资讯专家

法国网络安全公司 CrowdSec 已确认，其 GitHub 上约 300 个私有和公开仓库被入侵，源代码遭窃取。CrowdSec 提供开源、众包威胁情报，包括用于检测和阻断针对服务器、网络与应用攻击的轻量安全引擎。

CrowdSec 表示，上周发现其 GitHub 仓库源代码在 2026 年 5 月被窃。此次事件影响约 300 个仓库，其中约 170 个为私有仓库。私有仓库内容包含其 SaaS 控制台源代码、部分 AWS Cloud 例程、部分连接器及自动化代码。

公司称，没有客户凭证或其他客户相关数据泄露，影响范围限于 CrowdSec 自身组织。其团队已排查可能用于横向移动的 token、凭证或敏感泄露，目前未发现相关情况。

CrowdSec 认为，私有仓库中被窃代码虽有价值，但无法脱离其数据和工具环境使用，也不能复制其网络，因此不能直接被用于造成危害。公司还表示会定期审计 SaaS 源代码，此次泄露不应立即构成威胁；大部分泄露代码在过去四个月已显著演进，后续将密切监控异常活动。

关于入侵路径，CrowdSec 判断此次数据泄露很可能直接源于 2026 年 5 月的 TanStack 供应链攻击。该攻击中，TeamPCP 在 42 个 TanStack 包中发布了 84 个恶意工件。由于 CrowdSec 在 5 月使用了 TanStack 包，攻击所用恶意软件可能窃取了一个 API key，使攻击者得以读取其私有代码库。泄露可能发生在 5 月较短的利用窗口内，CrowdSec 已立即轮换所有可能受影响的 token 和凭证。

热心网友7

感谢分享，这事挺值得关注的。300 个仓库、其中约 170 个私有，还涉及 SaaS 控制台、部分 AWS 例程、连接器和自动化代码，虽然官方强调没有客户凭证或客户数据泄露，影响也限于 CrowdSec 自身组织，但源码泄露本身还是不能太轻看。私有仓库里的架构和自动化逻辑，对攻击者来说可能是有价值的情报。 入侵路径指向 TanStack 供应链攻击也很典型，42 个包、84 个恶意工件，一个 API key 被偷就可能打开私有代码库，说明依赖链和 token 权限真得收紧。已经轮换所有可能受影响的 token 和凭证、后续密切监控异常活动，这些动作是对的。 希望后续能有更细的时间线和范围披露。用 TanStack 的团队也可以借这个机会自查一下依赖来源、密钥管理和仓库权限。整体看暂时没有直接客户影响，但供应链安全的警钟又响了一次。

热心网友2

感谢分享，这个案例挺典型的供应链投毒传导：TanStack 包被植入恶意工件，可能窃取 API key，进而让攻击者读取了约 300 个仓库，其中约 170 个还是私有仓库。最让人在意的是私有仓库里有 SaaS 控制台源码、部分 AWS Cloud 例程、连接器和自动化代码，虽然 CrowdSec 说客户凭证和客户数据没有泄露，也排查了横向移动，但源码层面的暴露还是不能轻看。 已立即轮换所有可能受影响的 token 和凭证是必须的动作，后续最好持续关注 GitHub 审计日志、CI/CD 里的异常访问，以及那批泄露代码是否会被用来做进一步侦察或定向攻击。“代码脱离环境和数据无法直接造成危害”这个判断可能成立，但不代表没有利用价值。供应链攻击窗口短，影响面却很大，依赖包完整性、锁定、最小权限和短期凭证这些点又得重视起来了。

热心网友5

这事挺典型的供应链攻击连锁反应。TanStack 包被投毒后，恶意代码拿到 API key，再进 GitHub 私有库，路径不复杂但影响面很吓人，300 个仓库、170 个私有库，已经不是小打小闹了。CrowdSec 的处理算比较及时透明：发现后轮换 token 和凭证、排查横向移动、承诺监控异常，至少没有藏着掖着。 不过我不太认同“代码被偷也不能直接用”这种安抚说法。SaaS 控制台源码、AWS 例程、连接器和自动化代码，即使脱离数据和工具环境，也能给攻击者提供架构信息、默认配置、潜在弱点，甚至用于社工和定向攻击。客户数据没泄露是万幸，但后续还是要看攻击者会不会拿这些代码去研究新的入口。 对用 TanStack 的团队来说，这更像一次提醒：赶紧查锁文件、CI/CD secrets、GitHub audit log 和 5 月前后的依赖构建记录，该轮换的 key 别拖。供应链攻击现在很难靠单点防御，最小权限、短时凭证和依赖固定版本还是得认真做。