Railway hat eine Sicherheitsverletzung offengelegt, die der Blockchain-Ermittler Taylor Monahan mit etwa 371.000 US-Dollar in Kryptowährungsabflüssen über 19 EVM-kompatible Netzwerke hinweg in Verbindung brachte.
Zusammenfassung
- Railway hat eine Sicherheitsverletzung offengelegt, die möglicherweise Kundenumgebungsvariablen mit sensiblen Anmeldedaten und privaten Schlüsseln preisgegeben hat.
- Der Blockchain-Ermittler Taylor Monahan brachte den Vorfall mit etwa 371.000 US-Dollar Kryptodiebstahl in Verbindung, an dem mehr als 500 Transaktionen über mindestens 19 EVM-Netzwerke beteiligt waren.
- Monahan identifizierte die erste bekannte Diebstahlstransaktion um 19:36 UTC am 21. Oktober, mehr als zwei Stunden bevor Railway den Sicherheitsvorfall öffentlich offenlegte.
- Railway setzte Deployments vorübergehend aus und forderte alle Kunden auf, ihre gespeicherten Anmeldedaten zu rotieren, während das Unternehmen das Ausmaß der Sicherheitsverletzung untersucht.
Laut Railways Sicherheitsoffenlegung vom 21. Oktober stellte die Cloud-Deployment-Plattform ungewöhnliche Aktivitäten in Systemen fest, die zur Speicherung von Kundenumgebungsvariablen verwendet werden, welche sensible Informationen wie API-Schlüssel, Datenbankpasswörter und private Registry-Anmeldedaten enthalten können.
Ein unbefugter Dritter könnte auf verschlüsselte Variablen zugegriffen und die entschlüsselten Inhalte einiger davon erhalten haben, obwohl das Unternehmen erklärte, dass seine Untersuchung noch andauere und die Zahl der betroffenen Kunden noch nicht ermittelt worden sei.
Railway-Sicherheitsverletzung mit mehr als 500 Krypto-Transaktionen in Verbindung gebracht
Die Blockchain-Sicherheitsforscherin Taylor Monahan berichtete am 22. Oktober, dass Angreifer Kryptowährungen von in Railway gespeicherten privaten Schlüsseln abgezogen hätten, wobei der mutmaßliche Diebstahl mehr als 500 Transaktionen über mehr als 200 verschiedene Adressen umfasse.
Ihre Erkenntnisse bezifferten die geschätzten Verluste auf etwa 371.000 US-Dollar, wobei sich die Aktivitäten über mindestens 19 Ethereum Virtual Machine-kompatible Blockchains erstreckten.
Monahan identifizierte die mutmaßliche Angreiferadresse als 0xd9773325282874d18cb83f1fe50f14c39750b2ee und legte die erste bekannte Kryptowährungs-Diebstahlstransaktion auf den 21. Oktober um 19:36 UTC fest.
Ihrer Einschätzung nach schienen die Transaktionen mit einem relativ standardmäßigen Wallet-Sweeper-Skript durchgeführt worden zu sein, nicht mit speziell für den Vorfall entwickelter Software.
Solche Skripte sind darauf ausgelegt, verfügbare Kryptowährungen von Wallets zu übertragen, deren private Schlüssel kompromittiert wurden. Monahans Erkenntnisse deuten darauf hin, dass der Angreifer Zugriff auf Anmeldedaten erlangt hatte, die zur Autorisierung von Transaktionen von den betroffenen Adressen befähigt waren.
Railway hat jedoch die gemeldeten Kryptowährungsverluste nicht unabhängig bestätigt oder festgestellt, wie der Angreifer die von Monahan identifizierten Wallet-Anmeldedaten erlangt hat.
Die gemeldete Zahl von 371.000 US-Dollar bleibt eine externe Schätzung, und die verfügbaren Offenlegungen belegen nicht, ob zusätzliche Wallets kompromittiert wurden oder ob die identifizierten Transaktionen alle damit verbundenen Verluste abdecken.
Railway setzte Deployments aus, bevor der Krypto-Diebstahl entdeckt wurde
In einem separaten Beitrag hinterfragte Monahan den Zeitpunkt von Railways öffentlicher Offenlegung und skizzierte eine Abfolge von Dienstunterbrechungen, die mehrere Stunden vor der ersten von ihr identifizierten Kryptowährungs-Diebstahlstransaktion begannen.
Laut der von ihr geteilten Zeitleiste pausierte Railway die Builds am 21. Oktober um 07:24 UTC. Bis 09:28 UTC hatte die Störung ihre API, ihre Kommandozeilenschnittstelle, ihr Dashboard und ihre Deployment-Dienste betroffen.
Die Nutzer erhielten im Laufe des Tages weiterhin Dienstaktualisierungen, während das Unternehmen daran arbeitete, den Zugang zu seinen Systemen wiederherzustellen.
Monahan legte den ersten bekannten Kryptowährungsdiebstahl auf 19:36 UTC, etwa 12 Stunden nach der anfänglichen Build-Aussetzung.
Um 21:11 UTC wurde Railway-Mitbegründer und CEO Jake Cooper, der auf X den Namen Postiz verwendet, in der Timeline zitiert, als er Benachrichtigungen von Stripe und Ant über kompromittierte Anmeldedaten diskutierte.
Railway veröffentlichte seine Sicherheitsoffenlegung um etwa 21:51 UTC, mehr als zwei Stunden nach der ersten von Monahan identifizierten Diebstahltransaktion.
Die Timeline legt nicht dar, wann Railway erstmals von dem mutmaßlichen Kryptowährungsdiebstahl Kenntnis erlangte oder ob die früheren Dienstunterbrechungen direkt durch den unbefugten Zugriff verursacht wurden.
Railway fordert Kunden auf, offengelegte Anmeldedaten zu ersetzen
Railway erklärte, seine erste Untersuchung deute darauf hin, dass die Sicherheitsverletzung möglicherweise nur eine Teilmenge von Kunden betroffen habe, empfahl jedoch allen Nutzern der Plattform, ihre gespeicherten Umgebungsvariablen und zugehörigen Anmeldedaten unverzüglich zu ersetzen.
Das Unternehmen riet Kunden ausdrücklich, API-Schlüssel und private Registry-Anmeldedaten zu rotieren und dabei die Dienstprotokolle auf ungewöhnliche Aktivitäten zu prüfen.
Railway glaubt, dass der Vorfall mit einer Reihe von Angriffen auf Plattformunternehmen zusammenhängen könnte, die darauf abzielten, KI-Inferenzanbieter zu kompromittieren.
Obwohl das Unternehmen die mutmaßlichen Angreifer oder die beteiligten Anbieter nicht identifizierte, erklärte es, es habe vorgelagerte Dienste benachrichtigt, damit diese potenziell offengelegte Schlüssel vorsorglich widerrufen könnten.
Während der Untersuchung wurden Deployments vorübergehend ausgesetzt, wodurch Kunden daran gehindert wurden, neue Anwendungsversionen auszurollen, bis der Build-Dienst wiederhergestellt war.
In einer Nachmeldung vom 22. Oktober bestätigte Railway, dass es die Anmeldedaten für Storage-Buckets und GitHub-Token zurückgesetzt habe, die für Kundenkonten und -dienste gehalten wurden.
Das Unternehmen erklärte, die bisherigen Anmeldedaten würden nicht mehr funktionieren, sodass betroffene Kunden ihre Dienste mit den Ersatz-Storage-Anmeldedaten erneut bereitstellen und ihre GitHub-Konten erneut verbinden müssten.
Kompromittierte Anmeldedaten haben in der Vergangenheit zu Krypto-Verlusten geführt
Die Offenlegung von Anmeldedaten war in diesem Jahr für mehrere Sicherheitsvorfälle im Kryptobereich verantwortlich, wobei die Methoden zur Erlangung des Zugangs unterschiedlich waren.
Im Juli berichtete crypto.news über kompromittierte Software, die über ein Injective-Entwicklerpaket verbreitet wurde und bösartigen Code enthielt, der darauf ausgelegt war, private Schlüssel und Seed-Phrasen zu sammeln.
Das Sicherheitsunternehmen Socket stellte fest, dass das betroffene Paket mehr als 300 Mal heruntergeladen worden war, wobei sich das bösartige Update über 17 verwandte Pakete verbreitete.
Ein weiterer Vorfall im Zusammenhang mit Ostiums Oracle-Signatur-Anmeldedaten führte laut dem Sicherheitsunternehmen Blockaid im Juli dazu, dass fast 18 Millionen USDC aus dem Liquiditätsvault der Handelsplattform abgezogen wurden.
Im April legte Syndicate Labs offen, dass ein durchgesickerter Upgrade-Schlüssel es einem Angreifer ermöglicht hatte, seine Cross-Chain-Bridge zu kompromittieren und SYND-Token sowie Nutzergelder zu stehlen.
