우선 공격자측 주장은 vercel의 내부 인프라에 침투해 직원들의 깃허브와 npm 토큰을 탈취했으며, vercel의 직원정보 일부를 확보했다는 거네요. 이미 vercel에서 상황파악한 이상 내부 직원들의 깃허브/npm api는 이미 로테이션이 끝났을 것으로 생각됩니다.
다만 환경변수의 경우 vercel docs보니 일반 환경변수는 vercel 측에서 들고있는 복호화 키로 즉시 조회가 가능하니 시간이 많은 공격자였다면 털어갔을 가능성이 높고, sensitive로 지정된 강화모드 환경변수의 경우 빌드 인프라까지 침투했을 경우 정도에만 탈취 가능하게 되어있어 털렸을 가능성이 좀더 낮은 것 같네요.
더 큰 문제는 공격자가 침투 시점부터 지금까지 vercel 인프라 내에서 추가로 무엇을 했는지, 그리고 인프라 내에 백도어/루트킷이 남아있을 수 있다일텐데 이걸로 2차적인 피해가 뭐가 발생할지 모르는 상황이라는 겁니다.