У CrowdSec украли исходник из 170 приватных репозиториев через заражённые npm-пакеты

18 сентября 2026 года организация CrowdSec опубликовала разбор инцидента, в котором связала кражу кода примерно из 170 приватных GitHub-репозиториев с майской компрометацией TanStack. Репозитории скачали 22 мая, а о результатах утечки организация узнала уже в сентябре, после публикации архива на форуме.

Цепочка событий, которая привела к потере данных, начинается ещё весной. 11 мая атакующий выпустил 84 вредоносные версии 42 пакетов TanStack. При установке они подтягивали Git-зависимость, чей установочный сценарий запускал исходник для сбора секретов, в том числе токены GitHub, облачные учётные информация и SSH-ключи.

В случае CrowdSec пострадал бывший сотрудник, которому временно сохранили доступ к GitHub для завершения работы. Украденный у него OAuth-токен позволил скачать репозитории, а скомпрометированный аккаунт удалили из организации только 25 мая, через три дня после кражи. По итогам расследования CrowdSec не обнаружила изменений кода или компрометации инфраструктуры и баз данных, тем не менее 16 сентября на стороннем форуме был обнародован исходный код из всех 170 затронутых репозиториев.

В базе CodeScoring есть действующие записи о вредоносном коде для всех 84 зараженных версий из официального списка TanStack. Для новых загрузок через подключённый к репозиторию пакетов модуль CodeScoring.OSA можно задать политику «Зависимость опасна», выбрать этап proxy и активировать «Активно» и «Блокер». Эти настройки позволяют блокировать запросы компонентов, признанных опасными.

В случае ранней установки заражённой версии необходимо проверить историю сборок и рабочие машины, отозвать скомпрометированные секреты и разобрать обращения к репозиториям. Временные доступы бывших сотрудников также требуют ограниченного срока действия и минимального набора прав. Даже после удаления заражённого пакета оставленный действующим токен позволяет продолжить атаку позже.