Un token OAuth robado en el ataque a TanStack expuso repositorios privados de CrowdSec

CrowdSec publicó el 18 de septiembre su investigación final sobre la copia no autorizada de aproximadamente 170 repositorios privados de GitHub. La extracción ocurrió el 22 de mayo de 2026, entre las 05:52 y las 06:01 UTC, pero la empresa no conoció el incidente hasta que el archivo apareció en un foro el 16 de septiembre.

GitHub ayudó a reconstruir el ciclo de vida del token utilizado. La investigación vinculó el acceso con la cuenta de un desarrollador que acababa de salir de CrowdSec y cuyo permiso en la organización se mantuvo temporalmente para terminar trabajo pendiente. El equipo había sido afectado por la campaña de paquetes npm maliciosos contra TanStack, diseñada para robar credenciales de desarrolladores.

El actor usó un token OAuth de GitHub para clonar código; CrowdSec no encontró evidencia de commits maliciosos, cambios en CI/CD, acceso a sus bases de datos ni intrusión en su infraestructura AWS. La separación de privilegios evitó que la credencial de GitHub ofreciera el mismo alcance sobre otros sistemas.

El material incluía código de la consola SaaS, scripts y modelos de ciencia de datos, automatizaciones y la lógica de consenso empleada para decidir cuándo una dirección IP entra en las listas de bloqueo. También quedaron expuestos 83 correos de usuarios y datos de contacto y contexto de inversión de 51 posibles inversores de 2020.

La autenticación multifactor no detiene el uso de un token OAuth ya autorizado. Además, cuando CrowdSec investigó meses después, la credencial ya no existía y la actividad Git no estaba disponible en los registros que podía consultar, lo que dificultó atribuir rápidamente las descargas.

El incidente combina dos fallas operativas: una dependencia comprometida alcanzó una estación de desarrollo con acceso valioso, y una excepción de salida dejó viva una credencial sin una caducidad y vigilancia suficientes. El desfase de casi cuatro meses demuestra que rotar solamente los paquetes afectados no cierra el riesgo de los secretos que pudieron robar.