一、案例背景
平凯星辰（PingCAP）成立于2015年，是中国开源基础软件领域的代表性企业，其核心产品TiDB是一款开源分布式关系型数据库，以”HTAP”（混合事务/分析处理）能力著称，在全球拥有数千家企业用户。公司业务覆盖数据库内核研发、云数据库服务（TiDB Cloud）以及企业级技术支持，在北京、上海、硅谷等地设有分支机构。作为开源商业模式的践行者，PingCAP既依赖全球开发者社区的代码协作，又通过云服务和企业订阅实现商业变现，这种”开源+云”的双轮驱动模式使其在技术社区享有较高声誉，但也使其内部系统与外部生态之间的边界管理变得尤为复杂。
2026年9月9日至10月7日，PingCAP遭遇了一起持续近一个月的严重网络安全事件。根据公司在官网发布的安全事件声明，攻击者利用被盗的服务账号凭据访问了部分内部系统，复制数据并获取源代码。公司于10月7日发现事件并当天开始禁用相关凭据。然而，攻击者组织FulcrumSec在安全威胁情报平台Hackmanac上公开宣称，其窃取的数据规模高达约10.6TB、涉及490万个文件，包括约18万条租户组织记录、40余万个电子邮箱地址、超过11万个API Key（其中4.2万余个被声称仍有效）、约2065万条客户SQL语句、约1.02亿条数据库网关连接记录以及413个私有源代码仓库。攻击者还声称已公开首批约200GB数据，后续将继续释放。
PingCAP在10月19日的官方声明中确认了内部系统遭到未经授权访问、部分数据被复制、源代码遭窃取的事实，但指出攻击者公布的API Key数据表中包含的是加密后的密钥，外部调查机构测试样本后确认其无法直接使用。10月20日，平凯星辰发布中国区情况说明，称未发现中国区客户生产数据库及业务数据受到影响，事件亦非由TiDB内核漏洞导致。截至新闻报道时，客户影响范围仍在逐一确认中，攻击者披露数据的真实性尚未获得独立验证。
……