Vercel confirme un incident de sécurité affectant une partie de ses clients

Un hack vient d’être signalé dans le monde de la tech, et cette secousse n’a rien d’un banal incident de couloir. D’abord, Vercel n’est pas une petite pièce perdue dans l’atelier numérique, mais une charnière pour beaucoup d’applications modernes. Ensuite, la communauté crypto a relevé la tête presque aussitôt, consciente qu’un choc sur l’infrastructure peut contaminer tout le reste. Quand le plancher tremble sous les interfaces, même les protocoles qui se croyaient solides commencent à compter les fissures ce matin.

Une brèche limitée en apparence, massive par position

D’abord, Vercel a confirmé un accès non autorisé à certains systèmes internes, tout en parlant d’un sous-ensemble limité de clients touchés. Le groupe a engagé des experts externes, alerté les forces de l’ordre, et maintient ses services en ligne. Pourtant, dans la crypto, le mot limité ne rassure personne. Vercel héberge des frontends de wallets, de DEX, et de tableaux de bord Web3 ; quand cette couche bouge, c’est la vitrine entière qui peut se fendre. 

Guillermo Rauch a ensuite détaillé l’entrée initiale : un employé compromis via Context.ai, un outil d’IA lié à Google Workspace OAuth, puis une escalade vers les environnements Vercel. Les variables d’environnement sensibles resteraient protégées au repos, mais les variables marquées non sensibles ont été énumérées. 

Autrement dit, l’attaque n’a pas frappé un protocole directement ; elle a visé l’atelier où l’on fabrique l’interface servie aux utilisateurs du marché crypto mondial chaque jour désormais partout.

Quand l’IA raccourcit le temps entre l’erreur et l’impact

Puis, l’IA surgit comme le vrai poison de fond. Rauch ne dit pas que l’intelligence artificielle a inventé l’attaque ; il soupçonne qu’elle l’a accélérée brutalement. Selon lui, le groupe était hautement sophistiqué, avec une vitesse surprenante et une compréhension profonde de Vercel.

Nous pensons que le groupe attaquant est hautement sophistiqué et, je le soupçonne fortement, considérablement accéléré par l’IA. Ils ont progressé avec une vitesse surprenante et une compréhension approfondie de Vercel.

Source : X, Guillermo Rauch

Dans les commentaires, plusieurs développeurs enfoncent le clou : beaucoup de systèmes ont été pensés contre des adversaires à vitesse humaine, pas contre des workflows capables de fouiller, comparer et escalader presque sans souffle. 

ByteCrafter rappelle que la distinction entre variable sensible et non sensible peut devenir un piège, car un simple accès en lecture suffit parfois à cartographier toute la pile technique.

La crypto découvre son angle mort : l’interface réelle

Enfin, le vrai danger pour la crypto ne passe plus seulement par le DNS ou le registrar. Ici, la menace vise la couche d’hébergement et, potentiellement, le build lui-même. Si des clés API, des endpoints privés, des tokens NPM ou GitHub et des secrets de déploiement ont circulé, l’attaquant n’a plus besoin de détourner un domaine ; il peut toucher l’interface réelle. 

Orca a déjà fait tourner ses accès par précaution, tout en assurant que son protocole onchain et les fonds des utilisateurs restent intacts.

Beaucoup de systèmes ont été conçus pour des adversaires à vitesse humaine. L’IA brise cette hypothèse bien avant de découvrir de nouvelles surfaces d’attaque. Une fois qu’un outil s’insère dans la surface opérationnelle, il apporte une friction de sécurité que les gens sous-estiment encore.

Source : X, Commentaires de rexx sur le poste de Guillermo Rauch

Le secteur découvre ainsi une surface d’attaque plus intime.

Repères à garder sous les yeux

• 2 millions de dollars réclamés sur BreachForums ;
• 580 fiches employés montrées en échantillon ;
• Orca a roté ses accès par précaution ;
• Mandiant aide Vercel dans l’enquête ;
• Next.js et Turbopack restent déclarés sûrs.

Ce signal n’arrive pas seul. Ces dernières semaines, les hackers ont repris de plus belle, et le climat devient lourd. Le hack de Kelp a montré comment une faille externe peut contaminer Aave et provoquer des retraits massifs. Dans ce décor, l’incident Vercel rappelle ceci : la crypto ne se fait plus percer sur ses contrats, mais sur sa tuyauterie.