〔品傳媒／綜合外電報導〕眾多加密貨幣專案用來架設技術文件的線上文件平台GitBook，於台灣時間11月3日凌晨2時（歐洲中部時間11月2日晚間7時）遭攻擊者取得部分基礎設施憑證。GitBook在官方資安公告中表示，這是一起運用AI代理（AI agents）發動的針對性攻擊，客戶的整合權杖、Git Sync密鑰、API權杖，以及網站訪客向GitBook Assistant提出的問題都可能已被存取；平台已撤銷所有客戶API權杖，並要求使用者重新產生與輪替相關密鑰。去中心化交易所PancakeSwap一度下架其文件網站，凸顯加密產業對第三方SaaS服務的依賴風險。
重點摘要：GitBook證實遭AI代理攻擊，API權杖、整合密鑰與AI助理提問紀錄可能外洩，但目前未發現託管內容遭竄改。平台已全面更換憑證並撤銷客戶權杖，使用者須自行重新產生權杖、輪替第三方密鑰，並重新驗證GitBook MCP伺服器。
GitBook資安事件始末：AI代理攻擊取得基礎設施憑證
根據GitBook官方資安公告，攻擊者於歐洲中部時間11月2日晚間7時取得部分基礎設施憑證，GitBook表示「立即」察覺並迅速圍堵。官方將此事件形容為一起「高度針對性的攻擊」，並指出攻擊者使用了AI代理工具。
調查初步結果顯示，攻擊者可能接觸到的資料包括：整合權杖（integration tokens）、用來連結文件與程式碼儲存庫的Git Sync密鑰、API權杖，以及文件網站訪客向GitBook Assistant提出的問題。GitBook強調，目前沒有發現任何客戶託管內容遭到修改。
不過，Decrypt報導指出，GitBook尚未說明攻擊者如何運用AI工具、涉及哪些AI系統，以及憑證是如何被取得；公告內容也無法證明入侵與GitBook自家的AI產品有關。
服務中斷約一天 GitBook撤銷所有客戶API權杖
GitBook表示，事發後已切斷攻擊者存取、修補相關漏洞，並更換整個基礎設施內的所有憑證與密鑰，同時讓全部客戶API權杖失效、撤銷所有個人API權杖。為了確保安全，平台一度將應用程式與需驗證的文件網站下線，公開文件則盡可能以快取版本維持可讀取。
依據GitBook狀態頁與官方公告，事件處理時序整理如下：
| 時間（歐洲中部時間） | 台灣時間 | 進展 |
|---|---|---|
| 11月2日19:00 | 11月3日02:00 | 攻擊者取得部分基礎設施憑證，GitBook察覺並圍堵 |
| 11月3日13:15 | 11月3日20:15 | 官方說明部分服務為預防措施暫時下線 |
| 11月3日16:21 | 11月3日23:21 | 應用程式、API與已發布文件恢復可用，部分服務仍可能降速 |
資料來源：GitBook官方資安公告、GitBook狀態頁
GitBook另表示，將持續監控、增加額外安全措施，並承諾公布完整的事後檢討報告。
PancakeSwap遷移文件 加密專案須自行輪替密鑰
由於GitBook是許多區塊鏈專案存放白皮書、開發文件與使用教學的平台，事件也波及加密產業。Decrypt報導指出，PancakeSwap曾暫時停用文件網站並將訪客導向首頁，同時表示文件未遭入侵、應用程式不受影響；其後PancakeSwap已將文件從GitBook移至自行控管的基礎設施，原有連結仍可使用。PancakeSwap也提醒用戶，官方文件從不會要求連接錢包或授權代幣。
GitBook要求客戶採取的行動包括：重新建立GitBook API權杖以取代已遭撤銷的舊權杖；輪替用來連接其他工具的第三方API權杖與密鑰；輪替已發布整合功能所使用的密鑰；若有使用GitBook的MCP（Model Context Protocol）伺服器，需重新驗證。
AI代理攻擊頻傳 加密產業供應鏈風險升溫
此次事件發生在加密產業資安事件密集爆發之際。區塊鏈分析公司Chainalysis日前也證實遭AI代理式攻擊入侵、部分客戶資料外洩（詳見本站報導：Chainalysis證實遭AI代理式攻擊入侵 客戶姓名、電子郵件外洩）；幣安63億美元駭案的初步調查也顯示，攻擊者是先從員工裝置與開發工具下手（詳見幣安公布63億美元駭案調查）。
對加密專案而言，文件平台雖不直接保管資產，但一旦整合權杖或程式碼儲存庫密鑰遭濫用，仍可能成為竄改官方說明、植入釣魚連結的入口。後續可觀察GitBook事後報告是否說明攻擊手法與受影響客戶範圍，以及其他依賴GitBook的區塊鏈專案是否跟進遷移或發布安全通知。
常見問題 FAQ
GitBook這次資安事件外洩了哪些資料？
根據GitBook公告，攻擊者可能存取了整合權杖、Git Sync密鑰、API權杖，以及網站訪客向GitBook Assistant提出的問題。官方表示目前未發現客戶託管的文件內容遭到修改。
使用GitBook的加密專案或用戶該怎麼做？
專案方應重新產生GitBook API權杖、輪替所有連接GitBook的第三方權杖與整合密鑰，使用MCP伺服器者需重新驗證。一般用戶則應留意，正規專案文件不會要求連接錢包或授權代幣，遇到此類要求應提高警覺。
這起事件會直接影響加密資產安全嗎？
目前沒有資訊顯示有用戶資產因此遭竊。PancakeSwap表示其應用程式不受影響，但文件平台若遭竄改可能被用於釣魚，因此專案方已陸續加強防範。
參考資料
- GitBook：Security incident（2026-11-03）
- GitBook Status：Security incident impacting published sites and GitBook app
- Decrypt：Crypto Docs Host GitBook Hit by AI Agent Security Breach, Urges Users to Rotate Keys
※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Freepik）。
