A Railway divulgou uma violação de segurança que a investigadora de blockchain Taylor Monahan vinculou a aproximadamente US$ 371.000 em drenagens de criptomoedas em 19 redes compatíveis com EVM.
Resumo
- A Railway divulgou uma violação de segurança que pode ter exposto variáveis de ambiente de clientes contendo credenciais sensíveis e chaves privadas.
- A investigadora de blockchain Taylor Monahan vinculou o incidente a aproximadamente US$ 371.000 em roubo de criptomoedas envolvendo mais de 500 transações em pelo menos 19 redes EVM.
- Monahan identificou a primeira transação de roubo conhecida às 19:36 UTC de 21 de outubro, mais de duas horas antes de a Railway divulgar publicamente o incidente de segurança.
- A Railway suspendeu temporariamente as implantações e instou todos os clientes a renovarem suas credenciais armazenadas enquanto investiga a extensão da violação.
De acordo com a divulgação de segurança de 21 de outubro da Railway, a plataforma de implantação em nuvem detectou atividade incomum envolvendo sistemas usados para armazenar variáveis de ambiente de clientes, que podem conter informações sensíveis, como chaves de API, senhas de banco de dados e credenciais de registro privado.
Um terceiro não autorizado pode ter acessado variáveis criptografadas e obtido o conteúdo descriptografado de algumas delas, embora a empresa tenha afirmado que sua investigação ainda estava em andamento e que o número de clientes afetados não havia sido estabelecido.
Violação da Railway vinculada a mais de 500 transações de criptomoedas
A pesquisadora de segurança de blockchain Taylor Monahan relatou em 22 de outubro que atacantes haviam drenado criptomoedas de chaves privadas armazenadas na Railway, com o suposto roubo envolvendo mais de 500 transações em mais de 200 endereços distintos.
Suas descobertas estimaram as perdas em aproximadamente US$ 371.000, com atividade abrangendo pelo menos 19 blockchains compatíveis com Ethereum Virtual Machine.
Monahan identificou o suposto endereço do atacante como 0xd9773325282874d18cb83f1fe50f14c39750b2ee e situou a primeira transação de roubo de criptomoedas conhecida às 19:36 UTC de 21 de outubro.
De acordo com sua avaliação, as transações pareciam ter sido realizadas usando um script de varredura de carteiras relativamente padrão, em vez de software desenvolvido especificamente para o incidente.
Tais scripts são projetados para transferir criptomoedas disponíveis de carteiras cujas chaves privadas foram comprometidas. As descobertas de Monahan sugerem que o atacante obteve acesso a credenciais capazes de autorizar transações a partir dos endereços afetados.
No entanto, a Railway não confirmou de forma independente as perdas de criptomoedas relatadas nem estabeleceu como o atacante obteve as credenciais de carteira identificadas por Monahan.
O valor relatado de US$ 371.000 permanece uma estimativa externa, e as divulgações disponíveis não estabelecem se carteiras adicionais foram comprometidas ou se as transações identificadas correspondem a todas as perdas relacionadas.
Railway suspendeu implantações antes de o roubo de criptomoedas ser detectado
Em uma publicação separada, Monahan questionou o momento da divulgação pública da Railway e delineou uma sequência de interrupções de serviço que começou várias horas antes da primeira transação de roubo de criptomoedas que ela identificou.
De acordo com a linha do tempo que ela compartilhou, a Railway pausou os builds às 07:24 UTC de 21 de outubro. Por volta das 09:28 UTC, a interrupção havia afetado sua API, interface de linha de comando, painel e serviços de implantação.
Os usuários continuaram recebendo atualizações de serviço ao longo do dia enquanto a empresa trabalhava para restaurar o acesso aos seus sistemas.
Monahan situou o primeiro roubo de criptomoedas conhecido às 19:36 UTC, aproximadamente 12 horas após a suspensão inicial dos builds.
Às 21:11 UTC, o cofundador e CEO da Railway, Jake Cooper, que usa o nome Postiz no X, foi citado na linha do tempo discutindo notificações do Stripe e da Ant sobre credenciais comprometidas.
A Railway publicou sua divulgação de segurança aproximadamente às 21:51 UTC, mais de duas horas após a primeira transação de roubo identificada por Monahan.
A linha do tempo não estabelece quando a Railway tomou conhecimento pela primeira vez do suposto roubo de criptomoedas ou se as interrupções de serviço anteriores foram diretamente causadas pelo acesso não autorizado.
Railway insta os clientes a substituir credenciais expostas
A Railway afirmou que sua investigação inicial sugeria que a violação pode ter afetado apenas um subconjunto de clientes, mas recomendou que todos que usam a plataforma substituíssem imediatamente suas variáveis de ambiente armazenadas e credenciais associadas.
A empresa aconselhou especificamente os clientes a rotacionar chaves de API e credenciais de registro privado enquanto verificavam os logs de serviço em busca de atividade incomum.
A Railway acredita que o incidente pode estar relacionado a uma série de ataques contra empresas de plataforma que tinham como objetivo comprometer provedores de inferência de IA.
Embora a empresa não tenha identificado os supostos atacantes ou os provedores envolvidos, afirmou que notificou os serviços upstream para que pudessem revogar chaves potencialmente expostas como precaução.
As implantações foram temporariamente suspensas durante a investigação, impedindo os clientes de lançar novas versões de aplicativos até que o serviço de build fosse restaurado.
Em um acompanhamento de 22 de outubro, a Railway confirmou que redefiniu as credenciais de bucket de armazenamento e os tokens do GitHub mantidos para contas e serviços de clientes.
A empresa afirmou que as credenciais anteriores não funcionariam mais, exigindo que os clientes afetados reimplantassem os serviços usando as credenciais de armazenamento substitutas e reconectassem suas contas do GitHub.
Credenciais comprometidas causaram perdas anteriores em criptomoedas
A exposição de credenciais foi responsável por vários incidentes de segurança em criptomoedas este ano, embora os métodos usados para obter acesso tenham sido diferentes.
Em julho, o crypto.news noticiou sobre software comprometido distribuído por meio de um pacote de desenvolvedor Injective que continha código malicioso projetado para coletar chaves privadas e frases-semente.
A empresa de segurança Socket descobriu que o pacote afetado havia sido baixado mais de 300 vezes, com a atualização maliciosa se espalhando por 17 pacotes relacionados.
Outro incidente envolvendo credenciais de assinatura de oráculo da Ostium resultou em quase US$ 18 milhões em USDC sendo drenados do cofre de liquidez da plataforma de negociação em julho, de acordo com a empresa de segurança Blockaid.
Em abril, a Syndicate Labs divulgou que uma chave de atualização vazada permitiu que um atacante comprometesse sua ponte cross-chain e roubasse tokens SYND e fundos de usuários.
