PingCAP 遭黑客宣称窃取 10.6TB 数据，API Key 有效性成争议焦点

开源分布式数据库 TiDB 厂商 PingCAP 确认遭遇严重安全事件，黑客组织 FulcrumSec 声称窃取了约 10.6TB 数据，包含 18 万条租户记录、超 11 万个 API Key 及数千万条客户 SQL 语句。PingCAP 官方声明确认内部系统被未经授权访问且部分源代码被盗，但否认 TiDB 内核漏洞导致存储数据泄露，并指出已修复四个相关漏洞。

核心分歧在于 API Key 的实际可用性：攻击者声称获取了 11.5 万个明文密钥且 4.2 万个仍有效，而 PingCAP 表示导出的是加密后的密钥，经外部测试无法直接使用，不过承认需进一步排查支持材料中是否混入可用凭据。攻击过程显示威胁持续近一个月，利用 GCP 和 Azure 服务账号凭据在控制平面建立数据复制通道，每六小时导出一次元数据，这种针对控制平面的长期渗透比一次性窃取更具破坏性。

事实层面，PingCAP 确认泄露数据包含用户姓名、邮箱、账单配置及 SQL 编辑器文本等敏感信息，但未发现存储在 TiDB 中的数据受影响；推断层面，控制平面失守意味着攻击者可获取集群拓扑、连接信息及查询历史，为后续针对下游客户的定向攻击提供线索；猜测层面，若攻击者公布的 API Key 确为有效凭证，将直接导致客户业务中断或数据被非法访问，目前具体影响范围仍在调查中。