Railway Sikkerhedsbrud
Railway har afsløret et sikkerhedsbrud, som blockchain-efterforsker Taylor Monahan har knyttet til et kryptovalutaudtræk på cirka $371.000 på tværs af 19 EVM-kompatible netværk. Ifølge Railways sikkerhedsafsløring den 21. oktober opdagede cloud-implementeringsplatformen usædvanlig aktivitet, der involverede systemer brugt til at gemme kundens miljøvariabler, som kan indeholde følsomme oplysninger såsom API-nøgler, databaseadgangskoder og private registreringsoplysninger. En uautoriseret tredjepart kan have fået adgang til krypterede variabler og opnået de dekrypterede indhold af nogle af dem. Virksomheden har dog oplyst, at deres undersøgelse stadig er i gang, og antallet af berørte kunder ikke er fastlagt.
Kryptovalutaudtræk
Blockchain-sikkerhedsforsker Taylor Monahan rapporterede den 22. oktober, at angribere havde udtrukket kryptovaluta fra private nøgler gemt i Railway. Det mistænkte tyveri involverede mere end 500 transaktioner på tværs af over 200 forskellige adresser. Hendes fund placerede de estimerede tab på cirka $371.000, med aktivitet der strakte sig over mindst 19 Ethereum Virtual Machine-kompatible blockchains. Monahan identificerede den mistænkte angriberadresse som 0xd9773325282874d18cb83f1fe50f14c39750b2ee og placerede den første kendte kryptovaluta-tyveritransaktion kl. 19:36 UTC den 21. oktober. Ifølge hendes vurdering syntes transaktionerne at være udført ved hjælp af et relativt standard wallet sweeper-script, snarere end software udviklet specifikt til hændelsen. Sådanne scripts er designet til at overføre tilgængelig kryptovaluta fra tegnebøger, hvis private nøgler er blevet kompromitteret. Monahans fund tyder på, at angriberen havde fået adgang til legitimationsoplysninger, der kunne autorisere transaktioner fra de berørte adresser.
Undersøgelse og Reaktion
Railway har dog ikke uafhængigt bekræftet de rapporterede kryptovalutatab eller fastlagt, hvordan angriberen fik adgang til de wallet-legitimationsoplysninger, som Monahan identificerede. Det rapporterede beløb på $371.000 forbliver et eksternt skøn, og de tilgængelige afsløringer fastlægger ikke, om yderligere tegnebøger blev kompromitteret, eller om de identificerede transaktioner dækker alle relaterede tab.
I et separat indlæg stillede Monahan spørgsmål ved tidspunktet for Railways offentlige afsløring og skitserede en sekvens af serviceforstyrrelser, der begyndte flere timer før den første kryptovaluta-tyveritransaktion, hun identificerede.
Railway sagde, at deres indledende undersøgelse antydede, at bruddet muligvis kun havde påvirket en delmængde af kunderne, men anbefalede, at alle, der bruger platformen, straks udskiftede deres gemte miljøvariabler og tilknyttede legitimationsoplysninger. Virksomheden rådede specifikt kunderne til at rotere API-nøgler og private registreringsoplysninger, mens de tjekkede servicelogs for usædvanlig aktivitet.
Fremtidige Forholdsregler
Railway mener, at hændelsen kan være forbundet med en række angreb mod platformvirksomheder, der havde til formål at kompromittere AI-inferensudbydere. Selvom virksomheden ikke identificerede de mistænkte angribere eller de involverede udbydere, sagde den, at den havde underrettet upstream-tjenester, så de kunne tilbagekalde potentielt eksponerede nøgler som en forholdsregel. Implementeringer blev midlertidigt suspenderet under undersøgelsen, hvilket forhindrede kunder i at rulle nye applikationsversioner ud, indtil build-tjenesten blev genoprettet.
Opfølgning og Bekræftelse
I en opfølgning den 22. oktober bekræftede Railway, at de havde nulstillet opbevaringsbucket-legitimationsoplysninger og GitHub-tokens, der blev opbevaret for kundekonti og tjenester. Virksomheden sagde, at de tidligere legitimationsoplysninger ikke længere ville fungere, hvilket krævede, at berørte kunder skulle genimplementere tjenester ved hjælp af de erstatningsopbevaringslegitimationsoplysninger og genoprette forbindelsen til deres GitHub-konti.
Legitimationsoplysningseksponering har været ansvarlig for flere kryptovaluta-sikkerhedshændelser i år, selvom metoderne til at opnå adgang har været forskellige. Railway sagde, at de ville kontakte kunder direkte via e-mail, når efterforskerne bekræftede, hvilke konti der var blevet påvirket, med yderligere information, der ville blive offentliggjort gennem deres sikkerhedsmeddelelse og status-side.
