Railway a divulgué une violation de sécurité que l'enquêtrice blockchain Taylor Monahan a liée à environ 371 000 $ de vols de cryptomonnaies sur 19 réseaux compatibles EVM.
Résumé
- Railway a divulgué une violation de sécurité qui pourrait avoir exposé les variables d'environnement des clients contenant des identifiants sensibles et des clés privées.
- L'enquêtrice blockchain Taylor Monahan a lié l'incident à environ 371 000 $ de vols de cryptomonnaies impliquant plus de 500 transactions sur au moins 19 réseaux EVM.
- Monahan a identifié la première transaction de vol connue à 19h36 UTC le 21 octobre, plus de deux heures avant que Railway ne divulgue publiquement l'incident de sécurité.
- Railway a temporairement suspendu les déploiements et a exhorté tous les clients à renouveler leurs identifiants stockés pendant qu'elle enquête sur l'ampleur de la violation.
Selon la divulgation de sécurité du 21 octobre de Railway, la plateforme de déploiement cloud a détecté une activité inhabituelle impliquant des systèmes utilisés pour stocker les variables d'environnement des clients, qui peuvent contenir des informations sensibles telles que des clés API, des mots de passe de bases de données et des identifiants de registres privés.
Un tiers non autorisé pourrait avoir accédé à des variables chiffrées et obtenu le contenu déchiffré de certaines d'entre elles, bien que l'entreprise ait déclaré que son enquête était toujours en cours et que le nombre de clients affectés n'avait pas été établi.
La violation de Railway liée à plus de 500 transactions de cryptomonnaies
La chercheuse en sécurité blockchain Taylor Monahan a rapporté le 22 octobre que des attaquants avaient vidé des cryptomonnaies à partir de clés privées stockées dans Railway, le vol suspecté impliquant plus de 500 transactions sur plus de 200 adresses distinctes.
Ses conclusions estimaient les pertes à environ 371 000 $, avec une activité s'étendant sur au moins 19 blockchains compatibles avec l'Ethereum Virtual Machine.
Monahan a identifié l'adresse de l'attaquant présumé comme étant 0xd9773325282874d18cb83f1fe50f14c39750b2ee et a situé la première transaction de vol de cryptomonnaies connue à 19h36 UTC le 21 octobre.
Selon son évaluation, les transactions semblaient avoir été effectuées à l'aide d'un script de balayage de portefeuille relativement standard, plutôt que d'un logiciel développé spécifiquement pour l'incident.
Ces scripts sont conçus pour transférer les cryptomonnaies disponibles depuis des portefeuilles dont les clés privées ont été compromises. Les conclusions de Monahan suggèrent que l'attaquant avait obtenu l'accès à des identifiants capables d'autoriser des transactions depuis les adresses affectées.
Cependant, Railway n'a pas confirmé de manière indépendante les pertes de cryptomonnaies signalées ni établi comment l'attaquant a obtenu les identifiants de portefeuille identifiés par Monahan.
Le chiffre rapporté de 371 000 $ reste une estimation externe, et les divulgations disponibles n'établissent pas si des portefeuilles supplémentaires ont été compromis ou si les transactions identifiées représentent l'ensemble des pertes liées.
Railway a suspendu les déploiements avant que le vol de cryptomonnaies ne soit détecté
Dans un autre message, Monahan a remis en question le moment de la divulgation publique de Railway et a décrit une séquence de perturbations de service qui a commencé plusieurs heures avant la première transaction de vol de cryptomonnaies qu'elle a identifiée.
Selon la chronologie qu'elle a partagée, Railway a mis en pause les builds à 07h24 UTC le 21 octobre. À 09h28 UTC, la perturbation avait affecté son API, son interface en ligne de commande, son tableau de bord et ses services de déploiement.
Les utilisateurs ont continué à recevoir des mises à jour de service tout au long de la journée pendant que l'entreprise s'efforçait de rétablir l'accès à ses systèmes.
Monahan a situé le premier vol de cryptomonnaies connu à 19h36 UTC, environ 12 heures après la suspension initiale des builds.
À 21 h 11 UTC, le cofondateur et PDG de Railway, Jake Cooper, qui utilise le nom Postiz sur X, a été cité dans la chronologie pour avoir évoqué des notifications de Stripe et Ant concernant des identifiants compromis.
Railway a publié sa divulgation de sécurité vers 21 h 51 UTC, plus de deux heures après la première transaction de vol identifiée par Monahan.
La chronologie n’établit pas quand Railway a pris connaissance pour la première fois du vol présumé de cryptomonnaies, ni si les perturbations de service antérieures ont été directement causées par l’accès non autorisé.
Railway exhorte ses clients à remplacer les identifiants exposés
Railway a déclaré que son enquête initiale suggérait que la violation pourrait n’avoir touché qu’un sous-ensemble de clients, mais a recommandé à tous les utilisateurs de la plateforme de remplacer immédiatement leurs variables d’environnement stockées et les identifiants associés.
L’entreprise a spécifiquement conseillé aux clients de renouveler les clés API et les identifiants de registre privé tout en vérifiant les journaux de service pour détecter toute activité inhabituelle.
Railway estime que l’incident pourrait être lié à une série d’attaques contre des entreprises de plateformes, destinées à compromettre des fournisseurs d’inférence d’IA.
Bien que l’entreprise n’ait pas identifié les attaquants présumés ni les fournisseurs impliqués, elle a déclaré avoir notifié les services en amont afin qu’ils puissent révoquer par précaution les clés potentiellement exposées.
Les déploiements ont été temporairement suspendus pendant l’enquête, empêchant les clients de déployer de nouvelles versions d’application jusqu’à la restauration du service de build.
Dans un suivi du 22 octobre, Railway a confirmé avoir réinitialisé les identifiants des buckets de stockage et les jetons GitHub détenus pour les comptes et services clients.
L’entreprise a indiqué que les identifiants précédents ne fonctionneraient plus, obligeant les clients concernés à redéployer leurs services avec les identifiants de stockage de remplacement et à reconnecter leurs comptes GitHub.
Des identifiants compromis ont déjà causé des pertes en cryptomonnaies
L’exposition d’identifiants a été à l’origine de plusieurs incidents de sécurité liés aux cryptomonnaies cette année, bien que les méthodes utilisées pour obtenir l’accès aient différé.
En juillet, crypto.news a rapporté un logiciel compromis distribué via un package développeur Injective contenant du code malveillant conçu pour collecter des clés privées et des phrases de récupération.
La société de sécurité Socket a découvert que le package concerné avait été téléchargé plus de 300 fois, la mise à jour malveillante se propageant via 17 packages associés.
Un autre incident impliquant les identifiants de signature d’oracle d’Ostium a entraîné le drainage de près de 18 millions de dollars en USDC du coffre de liquidité de la plateforme de trading en juillet, selon la société de sécurité Blockaid.
En avril, Syndicate Labs a divulgué qu’une clé de mise à niveau divulguée avait permis à un attaquant de compromettre son pont inter-chaînes et de voler des jetons SYND et des fonds d’utilisateurs.
