用 TiDB Cloud 的公司，现在就该去控制台把管理用的 API 密钥换一遍。PingCAP 10 月 20 日通知所有客户“不必等单独通知”，立刻轮换密钥、删掉不用的密钥、查日志有没有陌生操作。

TiDB Cloud 是 PingCAP 的云数据库服务。这次出事的是它的“控制平面”，相当于管理后台：谁有账号、开了哪些数据库、合同价格、怎么扣费，都记在这里。客户存的业务数据在另一层。

【官方承认了什么】

PingCAP 10 月 19 日的报告说，有人用偷来的服务账号凭证（程序之间互相登录用的钥匙），9 月 9 日到 10 月 7 日进入内部系统，复制了数据和源代码。公司 10 月 7 日才发现。

确认外泄的有：用户名和邮箱，网页版 SQL 编辑器里输入过的查询和报错，客户联系人、合同、价格和账单设置，一张存着加密 API 密钥的表。日文公告 10 月 21 日又加上“客服工单信息”，日本最多约 5 万条个人信息受影响。

PingCAP 说，没有证据显示客户存在 TiDB 里的数据被动过，也没发现攻击者在生产集群上执行命令；泄露的密钥是加密的，暂未发现被解密或使用。

【黑客声称了什么】

以下来自勒索组织 FulcrumSec 10 月 19 日的发布，PingCAP 没有证实。

FulcrumSec 说，凭证是在 PingCAP 自己的代码仓库里找到的。他们借此搭了一条“复制”通道，把后台数据库持续同步一份到自己手里，每 6 小时导出一次，连续 88 次没触发警报，共拿走 10.6 TB，已放出约 200 GB。他们还说拿到 413 个私有代码仓库、2060 万条客户 SQL 查询，以及工程师贴进内部工单的客户密钥，一个附件里就有 8027 个。PingCAP 说“工单里有可用凭证”的说法还没核实。

FulcrumSec 列出的客户包括 https://t.co/89rdkLs5E3、Airbnb、Pinterest、Shopee、卡普空等几十家，这最多说明它们的相关记录在被盗数据里，不等于它们自己被攻破。名单上的 Bitget 回应说，只在 TiDB 存过公开成交记录，两个多月前已停用。

【除了换密钥还要做什么】

如果你曾把数据库密码、云服务密钥，或者带签名的临时下载链接（presigned URL，有效期内谁拿到都能下载文件）贴进客服工单或 SQL 编辑器，按已泄露处理，全部换掉或作废。这条是根据黑客声称和日文公告推断的，官方没这样要求。

还要防钓鱼。骗子手里有真实的联系人、合同和账单，“改收款账户”的邮件可能细节全对。PingCAP 说它不会通过邮件索要密码或密钥。

来源：
PingCAP 事故报告：https://t.co/bSRj2fX6Mc
PingCAP 客户操作建议：https://t.co/BL97KBxFkT
PingCAP 日文公告：https://t.co/A8RBrZh5k2
Bitget 回应（动区动趋报道）：https://t.co/gdtOt3Awmf
Hacker News 讨论：https://t.co/8Lodsn2YTB