InfoQ 中文 · 10/21/2026, 15:08:36
PingCAP Breach: Hackers Claim Theft of 10.6TB Data
Open-source database vendor PingCAP confirmed unauthorized access to internal systems after hacker group FulcrumSec claimed theft of 10.6TB data and source code. While China-region production databases remain unaffected and the breach is not linked to TiDB kernel vulnerabilities, the potential exposure of API keys and private repositories poses significant security implications for cloud database architectures.
SOURCE COVERAGEFull Original Report
Contents4 sections
PingCAP 遭 FulcrumSec 组织入侵，确认内部系统被未授权访问、部分数据被复制及源代码泄露；中国区客户生产数据库与业务数据未受影响，事件与 TiDB 内核无关。
攻击者宣称窃取 10.6TB 数据，含 18 万租户记录、超 11 万 API Key、数千万客户 SQL 及数百私有代码库；实际泄露范围与影响程度 PingCAP 尚未确认；中国区情况已单独说明，强调基础设施与内核安全性未受损。
适合数据库平台工程师、SaaS 安全负责人、云服务架构师阅读
近日，开源分布式数据库 TiDB 背后的公司 PingCAP 遭遇严重安全事件。根据安全威胁情报平台 Hackmanac 在 X 上发布的信息，一个名为 FulcrumSec 的黑客组织公开宣称，已从 PingCAP 窃取约 10.6TB 数据，涉及约 18 万条租户组织记录、超过 11 万个 API Key、数千万条客户 SQL 语句及数百个私有代码仓库。
10 月 19 日，PingCAP 在官网发布安全事件声明，确认公司内部系统遭到未经授权访问，部分数据被复制，源代码也遭到窃取。不过，对于攻击者公布的数据规模、API Key 泄露情况及客户实际受影响范围，尚未得到确认。10 月 20 日，平凯星辰发布中国区情况说明：截至目前，未发现中国区客户生产数据库及业务数据受到影响，本事件亦非由 TiDB 内核漏洞导致。
黑客声称窃取 10.6TB 数据，涉及大量客户信息
根据 FulcrumSec 发布的披露材料，攻击者声称共窃取约 490 万个文件，总计 10.6TB，涉及 PingCAP 的云数据库控制平面、内部代码仓库、客户支持系统、业务系统以及云基础设施相关数据。
其中，攻击者列出的数据包括：
- 180,046 条租户组织记录、403,262 个不同的电子邮箱地址；
- 115,308 个客户 API Key，其中 42,612 个被声称仍处于有效状态；
- 约 2065 万条客户 SQL 语句；
- 约 1.02 亿条数据库网关连接记录；
- 413 个私有源代码仓库；
- 大量 Jira 工单、CRM 客户资料及云服务成本数据。
攻击者还声称，泄露数据涉及多家知名企业的租户信息及云资源配置，并已公开首批约 200GB 数据，后续还将继续释放。
需要注意的是，上述数字均来自攻击者的单方面披露，尚未得到独立验证。
攻击持续近一个月，控制平面数据被反复导出？
PingCAP 在官方声明中确认，2026 年 9 月 9 日至 10 月 7 日期间，攻击者利用被盗的服务账号凭据访问了部分内部系统，并复制数据、获取源代码。公司于 10 月 7 日发现事件，当天开始禁用相关凭据。
FulcrumSec 则披露了更具体的攻击过程。按照其说法，攻击者利用 PingCAP 代码仓库中发现的 GCP 服务账号密钥及 Azure 凭据，建立了 TiDB Cloud 控制平面数据库的数据复制通道。
攻击者声称，从 9 月 8 日至 30 日，该通道每六小时导出一次控制平面数据，累计执行 88 次，期间未触发安全检测。如果这一说法属实，意味着攻击者可能在较长时间内持续获取租户、用户、集群和凭据等关键元数据，而非仅完成一次性数据窃取。
此外，攻击者还公布了一份据称来自 PingCAP 内部 Jira 系统、创建于 2022 年的安全工单。工单描述了组织内低权限角色可能重置集群 root 密码的权限问题。不过，该工单的真实性、相关漏洞是否已经修复，以及是否与此次攻击有关，目前均未获得独立确认。
PingCAP 确认客户信息泄露，但称未发现 TiDB 存储数据受到影响
在官方安全声明中，PingCAP 确认，已导出的记录包含 TiDB Cloud 用户姓名、电子邮箱、组织及项目关联信息，以及 SQL 编辑器文本和错误信息。部分记录还包含组织、项目及集群标识。此外，客户联系人、合同条款、订单、定价、付款条件及账单配置等商业信息也受到影响。
API Key 的泄露情况是双方说法存在分歧的焦点之一。
FulcrumSec 声称获得了超过 11 万个明文 API Key，其中超过 4 万个仍有效。而 PingCAP 表示，已导出的相关数据表中包含的是加密后的 TiDB Cloud API Key。外部安全调查机构测试了一个由调查人员持有的样本，发现其无法直接作为 API Key 使用。
不过，PingCAP 同时承认，是否还有其他可用凭据遭到泄露，仍需进一步调查；攻击者关于客户支持材料中存在凭据的说法，也尚未完成核实。PingCAP 表示，外部事件响应机构在已审查的生产系统中，没有发现攻击者执行命令或维持持久访问的证据。目前也没有证据表明存储在 TiDB 中的数据受到影响。
但这一调查结论并未否认已经确认的数据泄露事实。SQL 编辑器记录、控制平面元数据以及客户支持材料本身，也可能包含敏感信息。
四个漏洞已修复，客户影响范围仍在调查
PingCAP 表示，截至 10 月 14 日，所有已识别的被盗凭据均已失效，未经授权的访问路径已经封堵。
10 月 12 日至 13 日，外部安全机构报告了四个漏洞。PingCAP 于 10 月 14 日完成修复，并通过第三方复测。此外，公司已清理部分跨云项目的过度授权，增加云存储访问日志，并计划进一步加强凭据轮换、代码与密钥扫描、审计日志及异常数据导出告警。
目前，PingCAP 仍在逐一确认受影响客户及数据类型，同时调查漏洞修复前是否存在进一步利用行为。公司表示，将在确定客户具体影响范围后直接通知相关客户。
此次事件也暴露出云数据库服务的一类潜在风险：即使攻击者没有直接访问客户数据库中的数据，云服务控制平面、SQL 查询历史、运维日志和支持工单等外围系统一旦失守，仍可能泄露大量客户信息，甚至为进一步攻击提供线索。
对于 PingCAP 而言，事件的最终影响仍取决于后续调查，尤其是攻击者公布的 API Key 是否真实可用、客户生产凭据是否泄露，以及是否已经发生针对下游客户的进一步攻击。
截至发稿，相关问题尚无完整的公开调查结论。