Vercel-Breach: Wie ein Roblox-Cheat über OAuth-Missbrauch zum 2-Mio-Dollar-Datendiebstahl führte

Vercel hat am 19. April 2026 einen Sicherheitsvorfall bestätigt, bei dem Angreifer unbefugten Zugriff auf interne Systeme und Kundencredentials erlangten. Der Einstieg lag nicht im Vercel-Perimeter – sondern in einer Kette aus drei Komponenten, die einzeln betrachtet harmlos wirkten:

1. Ein Mitarbeiter eines Drittanbieter-Integrators lud einen Roblox-Game-Cheat herunter, der einen Infostealer mitbrachte. 2. Der Stealer extrahierte gespeicherte OAuth-Tokens für AI-Tools mit Vercel-Zugriff (u.a. LiteLLM-Setups). 3. Über die Integration konnten die Angreifer Build-Logs, Umgebungsvariablen und Kundentokens auslesen.

Schaden: Sicherheitsforscher beziffern die direkten Folgekosten auf rund 2 Millionen US-Dollar. Betroffen sind dutzende Vercel-Kunden, deren API-Schlüssel und Webhook-Secrets rotiert werden mussten. Vercel hat alle Tokens der betroffenen Integration invalidiert und Zwei-Faktor-Pflicht für Drittanbieter-Apps verschärft.

Lesson Learned: OAuth-Scopes für AI-Integrationen werden in vielen Organisationen extrem weit vergeben. Ein einziger kompromittierter Entwickler reicht, um eine Lieferkette aufzubrechen.