Aconteceu quase o mesmo comigo. Num repo público o user.email não estava configurado, e o git pegou sozinho meu gmail pessoal e gravou no histórico. O seu pelo menos trouxe um contribuidor de 2015 de brinde. O meu não. Só o gmail mesmo.

O que me chamou atenção é que as três proteções do post atuam depois do push e contra alguém se passando por você, mas nos nossos casos quem errou foi a própria config, e assinar só marca o commit como Unverified sem impedir que ele entre. E pelo oráculo que você mostrou, um e-mail pessoal que vaza assim deixa qualquer um chegar na conta dona dele.

Pra não repetir, coloquei um pre-commit que compara o e-mail efetivo do autor (`git var GIT_AUTHOR_IDENT`) com uma allowlist. Config vazia também bloqueia.

Você reescreveu o histórico pra tirar o wroc ou deixou lá como registro?

Era projeto de estudos, eu ainda comentei no grupo do Discord do Java com os gringos e eles nao acreditaram, teve um ate que pediu para testar com o user dele hahahaha

Aconteceu quase o mesmo comigo. Num repo público o user.email não estava configurado, e o git pegou sozinho meu gmail pessoal e gravou no histórico. O seu pelo menos trouxe um contribuido...