Railway повідомила про порушення безпеки, яке дослідниця блокчейну Тейлор Монахан пов'язала з витоком криптовалюти на суму приблизно 371 000 доларів через 19 мереж, сумісних з EVM.
Резюме
- Railway повідомила про порушення безпеки, яке могло призвести до розкриття змінних середовища клієнтів, що містили конфіденційні облікові дані та приватні ключі.
- Дослідниця блокчейну Тейлор Монахан пов'язала цей інцидент із крадіжкою криптовалюти на суму приблизно 371 000 доларів, що охоплює понад 500 транзакцій у щонайменше 19 мережах EVM.
- Монахан визначила першу відому транзакцію крадіжки о 19:36 UTC 21 жовтня, більш ніж за дві години до публічного розкриття Railway інциденту безпеки.
- Railway тимчасово призупинила розгортання та закликала всіх клієнтів змінити збережені облікові дані, поки розслідує масштаби порушення.
Згідно з розкриттям інформації про безпеку від 21 жовтня Railway, платформа хмарного розгортання виявила незвичайну активність у системах, що використовуються для зберігання змінних середовища клієнтів, які можуть містити конфіденційну інформацію, таку як ключі API, паролі до баз даних і облікові дані приватних реєстрів.
Неавторизована третя сторона могла отримати доступ до зашифрованих змінних і отримати розшифрований вміст деяких із них, хоча компанія заявила, що її розслідування ще триває і кількість постраждалих клієнтів не встановлена.
Порушення Railway пов'язане з понад 500 криптовалютними транзакціями
Дослідниця безпеки блокчейну Тейлор Монахан 22 жовтня повідомила, що зловмисники вивели криптовалюту з приватних ключів, збережених у Railway, а підозрювана крадіжка охоплює понад 500 транзакцій за понад 200 різними адресами.
Її висновки оцінюють збитки приблизно в 371 000 доларів, а активність охоплює щонайменше 19 блокчейнів, сумісних з Ethereum Virtual Machine.
Монахан визначила ймовірну адресу зловмисника як 0xd9773325282874d18cb83f1fe50f14c39750b2ee та встановила першу відому транзакцію крадіжки криптовалюти о 19:36 UTC 21 жовтня.
Згідно з її оцінкою, транзакції, схоже, були здійснені за допомогою відносно стандартного скрипту для вичерпування гаманців, а не програмного забезпечення, розробленого спеціально для цього інциденту.
Такі скрипти призначені для переказу доступної криптовалюти з гаманців, приватні ключі яких було скомпрометовано. Висновки Монахан свідчать про те, що зловмисник отримав доступ до облікових даних, здатних авторизувати транзакції з постраждалих адрес.
Однак Railway самостійно не підтвердила повідомлені втрати криптовалюти і не встановила, як зловмисник отримав облікові дані гаманців, визначені Монахан.
Повідомлена сума в 371 000 доларів залишається зовнішньою оцінкою, і наявні розкриття інформації не встановлюють, чи були скомпрометовані додаткові гаманці або чи охоплюють визначені транзакції всі пов'язані втрати.
Railway призупинила розгортання до виявлення крадіжки криптовалюти
В окремій публікації Монахан поставила під сумнів час публічного розкриття Railway і окреслила послідовність збоїв у роботі сервісів, які почалися за кілька годин до першої визначеної нею транзакції крадіжки криптовалюти.
Згідно з хронологією, яку вона опублікувала, Railway призупинила збірки о 07:24 UTC 21 жовтня. До 09:28 UTC збій вплинув на її API, інтерфейс командного рядка, панель керування та сервіси розгортання.
Користувачі продовжували отримувати оновлення про роботу сервісів протягом дня, поки компанія працювала над відновленням доступу до своїх систем.
Монахан визначила першу відому крадіжку криптовалюти о 19:36 UTC, приблизно через 12 годин після початкового призупинення збірок.
О 21:11 UTC співзасновник і генеральний директор Railway Джейк Купер, який використовує ім'я Postiz у X, був згаданий у стрічці, обговорюючи сповіщення від Stripe та Ant щодо скомпрометованих облікових даних.
Railway опублікувала своє розкриття інформації про безпеку приблизно о 21:51 UTC, більш ніж через дві години після першої транзакції крадіжки, виявленої Монаганом.
Хронологія не встановлює, коли Railway вперше дізналася про підозрювану крадіжку криптовалюти або чи були попередні збої в роботі сервісу безпосередньо спричинені несанкціонованим доступом.
Railway закликає клієнтів замінити скомпрометовані облікові дані
Railway заявила, що її початкове розслідування показало, що порушення могло торкнутися лише частини клієнтів, але рекомендувала всім, хто використовує платформу, негайно замінити збережені змінні середовища та пов'язані облікові дані.
Компанія особливо радила клієнтам оновити ключі API та облікові дані приватного реєстру, перевіряючи журнали сервісів на предмет незвичайної активності.
Railway вважає, що інцидент може бути пов'язаний із серією атак на платформні компанії, спрямованих на компрометацію постачальників послуг AI-інференсу.
Хоча компанія не назвала підозрюваних зловмисників або залучених постачальників, вона заявила, що повідомила вищі за рівнем сервіси, щоб вони могли відкликати потенційно скомпрометовані ключі як запобіжний захід.
Розгортання було тимчасово призупинено під час розслідування, що перешкоджало клієнтам випускати нові версії застосунків до відновлення сервісу збірки.
У подальшому повідомленні від 22 жовтня Railway підтвердила, що скинула облікові дані сховища та токени GitHub, які зберігалися для облікових записів і сервісів клієнтів.
Компанія заявила, що попередні облікові дані більше не працюватимуть, що вимагає від постраждалих клієнтів повторного розгортання сервісів із використанням замінених облікових даних сховища та повторного підключення їхніх облікових записів GitHub.
Скомпрометовані облікові дані спричиняли попередні криптовалютні втрати
Розкриття облікових даних стало причиною кількох інцидентів безпеки криптовалют цього року, хоча методи, використані для отримання доступу, відрізнялися.
У липні crypto.news повідомив про скомпрометоване програмне забезпечення, розповсюджене через пакет розробника Injective, який містив шкідливий код, призначений для збору приватних ключів і seed-фраз.
Компанія з безпеки Socket виявила, що постраждалий пакет було завантажено понад 300 разів, а шкідливе оновлення поширювалося через 17 пов'язаних пакетів.
Інший інцидент із обліковими даними підпису оракула Ostium призвів до витоку майже 18 мільйонів доларів у USDC зі сховища ліквідності торгової платформи в липні, за даними компанії з безпеки Blockaid.
У квітні Syndicate Labs розкрила, що витік ключа оновлення дозволив зловмиснику скомпрометувати її кросс-чейн міст і викрасти токени SYND та кошти користувачів.
