Twitch：一处服务器配置错误泄露了其源代码和创作者的收入

2021年10月6日，一名匿名用户在4chan上发布了一个约128GB的种子文件：包含Twitch“全部”内容，包括近6,000个内部Git代码库的源代码、代号为“Vapor”的Steam竞品计划、移动端和桌面端客户端，以及自2019年8月以来近240万名主播的收入记录。发帖者称这是更大规模泄露的“第一部分”。

Twitch在一天内确认了此次入侵。该公司将入侵归因于一个被恶意第三方利用的服务器配置错误，表示未发现登录凭证或信用卡数据被窃取的迹象，并作为预防措施重置了平台上所有串流密钥。但收入数据是真实的——新闻媒体据此对平台收入最高的主播进行了排名，其中Critical Role以960万美元居首，xQc以每年850万美元紧随其后，这些数字将Twitch自身的经济状况彻底暴露在公众面前。

此次泄露发生在创作者抗议的浪潮之中。几个月前，主播们曾发起#ADayOffTwitch抵制活动，抗议平台50/50的订阅分成和薄弱的审核机制。如今，公司的代码、路线图和薪酬记录全部公开，其年收入约960万美元的头部主播与收入仅为其零头的长尾主播并列——这是Twitch绝不会主动选择公开的画像。

约6,000个内部代码库的源代码被曝光；240万主播的收入记录被公开；所有串流密钥被重置；头部主播之间的收入差距被公之于众。

服务器配置变更没有像代码部署那样受到同等严格的审查流程管控，因此一个错误的设置就暴露了生产数据存储。

源代码、未发布的产品计划和创作者收入记录都存放在同一扇配置错误的门后——核心资产之间没有任何隔离。

收入记录是破坏性最大的资产：公司此前一直在私下抵制分成要求，而泄露事件将其自身的谈判立场公之于众。

当你的代码库和用户的收入都依赖于一台服务器时，配置错误就不是一个小问题。源代码、密钥和收入记录需要与登录凭证同等级别的安全加固。

Twitch在全平台重置了串流密钥，并提醒创作者警惕冒充该公司的钓鱼攻击浪潮。被公开的收入排行榜直接卷入了持续进行的收入分成之争，2022年9月，Twitch总裁Dan Clancy宣布为头部主播改善订阅收入条款——这一让步在一定程度上是泄露事件后续影响所促成的。对亚马逊而言，近6,000个内部代码库的曝光使一次例行的配置审查变成了对其2014年以近10亿美元收购的平台的多年安全重建。