GitHub被“偷家”，约 3800 个内部仓库外泄

导读：GitHub 内部 3800 个代码库，被人打包挂到了黑客论坛上。

@github官方刚刚确认：一名员工设备被恶意VS Code扩展入侵，导致约3800个内部仓库（含平台源码、工具和基础设施配置）数据被窃取。

据了解，攻击者TeamPCP已在暗网论坛标价超5万美元出售。

惹祸的是 5 月 18 日在微软插件市场短暂上架的知名扩展 Nx Console（v18.95.0 版本）。攻击者盗取了核心开发者的 Token，直接把暗藏盗号木马的恶意版本发到了官方商店。

可贵的是，Nx 团队反应极快，11 分钟内就强行下架了这版插件，但仍有 GitHub 员工在空窗期内不幸中招。这套恶意程序会在后台悄悄扫盘，全盘吸走这台电脑里的 Git 凭证、VS Code 存储数据、AWS 密钥甚至 1Password 密码。黑客拿到这些高权限令牌后，直接绕过外围安全网，长驱直入 GitHub 内部搬空了代码库。

GitHub 表示已在 5 月 19 日切断了涉事设备的内网连接并阻断入侵。为了止损，安全团队连夜紧急更换了所有核心密钥，并优先重置了最高权限的内部凭证。后续排查工作仍在进行。

安全专家23pds针对此事件发文表示：“透过分析网络犯罪论坛的爆料，黑客可能用Anthropic的Mythos安全AI，用它精准突破GitHub的防线,偷走约4000个核心内部仓库：里面有Copilot的源码、CodeQL的整个、Actions 动态程式分析等。

VS Code 是全球最大的编辑器生态，里面躺着无数未经严格审核的第三方插件。

安全人员以前都盯着防火墙和服务器漏洞，却忽视了开发人员自己电脑上的日常工具。

这次事件彻底扯下了顶级大厂的安全神话。在现代软件供应链安全面前，最坚固的防线，往往是从一个最不起眼的日常插件开始崩溃的。