Twitch：一次伺服器設定錯誤洩漏了其原始碼與創作者的收益

2021年10月6日，一名匿名使用者在4chan上發布了一個約128GB的種子檔：「Twitch的全部」，包括近6,000個內部Git儲存庫的原始碼、代號「Vapor」的Steam競爭對手計畫、行動與桌面用戶端，以及自2019年8月以來涵蓋近240萬名實況主的收益紀錄。發文者稱這是更大規模外洩的「第一部分」。

Twitch在一天內證實了這起入侵事件。該公司將入侵歸因於一個遭惡意第三方利用的伺服器設定錯誤，表示未發現登入憑證或信用卡資料遭竊的跡象，並作為預防措施重設了平台上所有的串流金鑰。但收益資料是真實的——新聞媒體根據這些資料對平台收入最高的實況主進行排名，其中Critical Role以960萬美元居首，xQc則以每年850萬美元緊隨其後，而這些數字讓Twitch自身的經濟狀況攤在所有人眼前。

這起外洩事件發生在創作者反抗行動的中期。數個月前，實況主們曾因平台50/50的訂閱分潤與薄弱的內容審核而發起#ADayOffTwitch抵制活動。如今該公司的程式碼、發展藍圖與薪酬紀錄全都公開了，其年收入約960萬美元的頂尖實況主，與收入僅為其零頭的長尾實況主並列——這是Twitch絕不會選擇公開的寫照。

約6,000個內部儲存庫的原始碼曝光；240萬名實況主的收益紀錄被公開；所有串流金鑰被重設；頂尖實況主的收入差距被公開。

伺服器設定的變更並未受到與程式碼部署相同的審查紀律把關，因此一個錯誤的設定就暴露了正式環境的資料儲存庫。

原始碼、未發布的產品計畫與創作者收益紀錄都存放在同一扇設定錯誤的門後——最珍貴的資產之間毫無區隔。

收益紀錄是最具破壞性的資產：該公司曾私下對抗分潤要求，而這起外洩卻公開了它自身的談判立場。

當你的程式碼庫與使用者的薪酬都仰賴一台伺服器時，設定錯誤的伺服器就不是小問題。原始碼、機密與收益紀錄需要與登入憑證同等級的防護。

Twitch在全平台重設了串流金鑰，並提醒創作者對冒充該公司的釣魚攻擊保持警覺。被公開的收益表直接助長了持續進行的分潤爭議，而2022年9月，Twitch總裁Dan Clancy宣布為頂尖實況主提供更優惠的訂閱收益條件——這是外洩事件的餘波所促成的讓步。對Amazon而言，近6,000個內部儲存庫的曝光，使一次例行的設定審查演變為對其2014年以近10億美元收購之平台長達數年的安全重建工程。