200萬美元贖金與加密安全恐慌——深入Vercel遭駭內幕

TLDR

• Vercel 證實其內部系統遭到未經授權的存取，起因是受損的第三方 AI 工具 Context.ai
• 一名在 BreachForums 上的駭客正以 200 萬美元的價格出售竊取的 Vercel 數據，其中包括 API 金鑰和原始碼
• 許多 Web3 專案在 Vercel 上託管錢包介面和應用程式前端，引發了暴露風險的擔憂
• Solana DEX Orca 已更換所有部署憑證作為預防措施；其鏈上資金未受影響
• Vercel 表示「敏感」環境變數已加密，且沒有證據顯示其已被存取

(SeaPRwire) –   網路基礎設施公司 Vercel 於週日證實了一起安全漏洞，此前攻擊者獲得了其內部系統部分區域的未經授權存取。該公司表示，受影響的客戶數量有限，且其服務仍維持運作。

此次漏洞始於一名 Vercel 員工的帳戶。該帳戶是透過該員工使用的第三方 AI 工具 Context.ai 遭到入侵。攻擊者隨後透過該員工的 Google Workspace 帳戶進入 Vercel 的內部環境。

Vercel 執行長 Guillermo Rauch 形容攻擊者「非常老練」，並表示他們的行動迅速且對 Vercel 的系統有深入了解。他補充說，他懷疑 AI 可能協助了攻擊者加快行動速度。

這是我就正在進行的事件調查向廣大社群提供的最新資訊。我想直接向各位說明情況。

一名 Vercel 員工因其使用的名為 https://t.co/xksNNigVfE 的 AI 平台客戶端遭到入侵而受損。細節如下……

— Guillermo Rauch (@rauchg) April 19, 2026

Rauch 證實所有客戶環境變數均以加密方式儲存。然而，未標記為「敏感」的變數可能會被攻擊者列舉。他建議客戶檢查其環境變數，並更換任何未被標記為敏感的變數。

網路犯罪論壇 BreachForums 上的一篇貼文（與名為 ShinyHunters 的組織有關）聲稱正以 200 萬美元出售 Vercel 數據。該清單包括存取金鑰、原始碼、資料庫記錄和內部部署權杖。這些說法尚未得到獨立證實。與 ShinyHunters 組織有關的成員已否認參與。

為什麼加密貨幣專案處於警覺狀態

Vercel 在 Web3 領域被廣泛使用。構建去中心化應用程式、錢包介面和 DEX 前端的團隊經常在 Vercel 上進行託管，並將憑證儲存在環境變數中。這一層的漏洞可能會暴露將前端連接到區塊鏈數據提供商和後端服務的 API 金鑰。

基於 Solana 的去中心化交易所 Orca 證實其前端在 Vercel 上運行。該專案表示，作為預防措施，已更換了所有部署憑證，且其鏈上協議和用戶資金並無風險。

在軟體社群中廣受關注的開發者 Theo Browne 表示，他的消息來源指出 Vercel 內部的 Linear 和 GitHub 整合是受影響最嚴重的系統。

Google 的 Mandiant 團隊正在協助 Vercel 進行調查。Vercel 表示，也已聯繫 Context.ai 以協助確定漏洞的完整範圍。

四月對加密貨幣安全來說是艱難的一個月

Vercel 漏洞發生在該產業的一段艱難時期。Kelp DAO 的 rsETH 代幣遭到 2.92 億美元的漏洞利用，導致包括 Aave 在內的 DeFi 借貸平台出現大範圍中斷。

4 月早些時候，基於 Solana 的永續合約協議 Drift 被盜取了約 2.85 億美元，隨後該攻擊被認為與北韓相關人士有關。

本月受到打擊的其他協議包括 CoW Swap、Zerion、Rhea Finance 和 Silo Finance。

Vercel 表示調查仍在進行中，並將隨著更多資訊的發布更新其安全公告。截至發稿時，尚無主要加密貨幣專案公開證實 Vercel 已就該漏洞與其聯繫。