GitHub Actions 是一个CI/CD解决方案，可以实现所有软件工作流程的自动化，并设置定期任务。而本次攻击将恶意的 GitHub Actions 代码添加到从合法仓库分叉出来的仓库中，并进一步创建一个 Pull Request，让原仓库维护者将代码合并回来，以改变原始代码。并且恶意代码会从 GitLab 中加载一个挖矿程序 npm.exe，并使用攻击者的钱包地址运行它。
根据荷兰安全工程师安全工程师 Justin Perdok 的说法，攻击者已经瞄准了使用 GitHub Actions 来挖掘加密货币的 GitHub 仓库。令人惊讶的是，该攻击并不需要原项目的维护者批准恶意的 Pull Request，恶意攻击者仅仅提交 Pull Request 就足以触发攻击。这对于那些设置了自动工作流，通过 Action 来验证传入 Pull Request 的 GitHub 项目来说尤其如此。一旦为原始项目创建了Pull Request，GitHub 的系统就会执行攻击者的代码。
目前，GitHub 表示他们已知道该问题，正在积极调查。