Railway ujawniło naruszenie bezpieczeństwa, które badaczka blockchain Taylor Monahan powiązała z około 371 000 dolarów w kryptowalutach wyprowadzonych z 19 sieci kompatybilnych z EVM.
Podsumowanie
- Railway ujawniło naruszenie bezpieczeństwa, które mogło ujawnić zmienne środowiskowe klientów zawierające wrażliwe dane uwierzytelniające i klucze prywatne.
- Badaczka blockchain Taylor Monahan powiązała incydent z kradzieżą kryptowalut o wartości około 371 000 dolarów, obejmującą ponad 500 transakcji w co najmniej 19 sieciach EVM.
- Monahan zidentyfikowała pierwszą znaną transakcję kradzieży o 19:36 UTC 21 października, ponad dwie godziny przed publicznym ujawnieniem incydentu bezpieczeństwa przez Railway.
- Railway tymczasowo wstrzymało wdrożenia i wezwało wszystkich klientów do rotacji przechowywanych danych uwierzytelniających, podczas gdy bada zakres naruszenia.
Zgodnie z ujawnieniem bezpieczeństwa z 21 października Railway, platforma wdrożeniowa w chmurze wykryła nietypową aktywność dotyczącą systemów używanych do przechowywania zmiennych środowiskowych klientów, które mogą zawierać wrażliwe informacje, takie jak klucze API, hasła do baz danych i dane uwierzytelniające prywatnych rejestrów.
Nieupoważniona strona trzecia mogła uzyskać dostęp do zaszyfrowanych zmiennych i uzyskać odszyfrowaną zawartość niektórych z nich, choć firma podała, że jej dochodzenie wciąż trwa, a liczba dotkniętych klientów nie została ustalona.
Naruszenie w Railway powiązane z ponad 500 transakcjami kryptowalutowymi
Badaczka bezpieczeństwa blockchain Taylor Monahan poinformowała 22 października, że atakujący wyprowadzili kryptowaluty z kluczy prywatnych przechowywanych w Railway, a podejrzana kradzież obejmowała ponad 500 transakcji na ponad 200 różnych adresach.
Jej ustalenia oszacowały straty na około 371 000 dolarów, a aktywność obejmowała co najmniej 19 łańcuchów bloków kompatybilnych z Ethereum Virtual Machine.
Monahan zidentyfikowała podejrzany adres atakującego jako 0xd9773325282874d18cb83f1fe50f14c39750b2ee i ustaliła pierwszą znaną transakcję kradzieży kryptowalut na 19:36 UTC 21 października.
Według jej oceny transakcje wydawały się zostać przeprowadzone przy użyciu stosunkowo standardowego skryptu do opróżniania portfeli, a nie oprogramowania opracowanego specjalnie na potrzeby tego incydentu.
Takie skrypty są zaprojektowane do przenoszenia dostępnych kryptowalut z portfeli, których klucze prywatne zostały skompromitowane. Ustalenia Monahan sugerują, że atakujący uzyskał dostęp do danych uwierzytelniających umożliwiających autoryzację transakcji z dotkniętych adresów.
Jednak Railway nie potwierdziło niezależnie zgłoszonych strat kryptowalut ani nie ustaliło, w jaki sposób atakujący uzyskał dane uwierzytelniające portfeli zidentyfikowane przez Monahan.
Zgłoszona kwota 371 000 dolarów pozostaje zewnętrznym szacunkiem, a dostępne ujawnienia nie ustalają, czy dodatkowe portfele zostały skompromitowane ani czy zidentyfikowane transakcje obejmują wszystkie powiązane straty.
Railway wstrzymało wdrożenia przed wykryciem kradzieży kryptowalut
W osobnym wpisie Monahan zakwestionowała timing publicznego ujawnienia Railway i przedstawiła sekwencję zakłóceń usług, które rozpoczęły się kilka godzin przed pierwszą zidentyfikowaną przez nią transakcją kradzieży kryptowalut.
Zgodnie z udostępnioną przez nią osią czasu, Railway wstrzymało kompilacje o 07:24 UTC 21 października. Do 09:28 UTC zakłócenie dotknęło jego API, interfejsu wiersza poleceń, panelu i usług wdrożeniowych.
Użytkownicy nadal otrzymywali aktualizacje usług przez cały dzień, podczas gdy firma pracowała nad przywróceniem dostępu do swoich systemów.
Monahan ustaliła pierwszą znaną kradzież kryptowalut na 19:36 UTC, około 12 godzin po początkowym wstrzymaniu kompilacji.
O 21:11 UTC współzałożyciel i dyrektor generalny Railway, Jake Cooper, który w serwisie X używa nazwy Postiz, został przywołany w osi czasu podczas omawiania powiadomień od Stripe i Ant dotyczących skompromitowanych danych uwierzytelniających.
Railway opublikował swoje ujawnienie dotyczące bezpieczeństwa około 21:51 UTC, ponad dwie godziny po pierwszej transakcji kradzieży zidentyfikowanej przez Monahana.
Oś czasu nie ustala, kiedy Railway po raz pierwszy dowiedział się o podejrzanej kradzieży kryptowalut ani czy wcześniejsze zakłócenia usług były bezpośrednio spowodowane nieautoryzowanym dostępem.
Railway wzywa klientów do wymiany ujawnionych danych uwierzytelniających
Railway poinformował, że jego wstępne dochodzenie sugerowało, iż naruszenie mogło dotyczyć jedynie podzbioru klientów, ale zalecił wszystkim korzystającym z platformy natychmiastową wymianę przechowywanych zmiennych środowiskowych i powiązanych danych uwierzytelniających.
Firma konkretnie doradziła klientom rotację kluczy API i danych uwierzytelniających prywatnego rejestru, a także sprawdzenie dzienników usług pod kątem nietypowej aktywności.
Railway uważa, że incydent może być powiązany z serią ataków na firmy platformowe, których celem było skompromitowanie dostawców wnioskowania AI.
Chociaż firma nie zidentyfikowała podejrzanych napastników ani zaangażowanych dostawców, poinformowała, że powiadomiła usługi nadrzędne, aby mogły w ramach środka ostrożności unieważnić potencjalnie ujawnione klucze.
Wdrożenia zostały tymczasowo wstrzymane podczas dochodzenia, uniemożliwiając klientom wdrażanie nowych wersji aplikacji do czasu przywrócenia usługi kompilacji.
W kontynuacji z 22 października Railway potwierdził, że zresetował dane uwierzytelniające zasobników pamięci masowej oraz tokeny GitHub przechowywane dla kont i usług klientów.
Firma poinformowała, że poprzednie dane uwierzytelniające nie będą już działać, co wymaga od dotkniętych klientów ponownego wdrożenia usług przy użyciu zastępczych danych uwierzytelniających pamięci masowej i ponownego połączenia swoich kont GitHub.
Skompromitowane dane uwierzytelniające powodowały wcześniejsze straty kryptowalut
Ujawnienie danych uwierzytelniających było odpowiedzialne za kilka incydentów bezpieczeństwa kryptowalut w tym roku, chociaż metody uzyskania dostępu były różne.
W lipcu crypto.news poinformował o skompromitowanym oprogramowaniu rozprowadzanym za pośrednictwem pakietu deweloperskiego Injective, który zawierał złośliwy kod zaprojektowany do zbierania kluczy prywatnych i fraz seed.
Firma bezpieczeństwa Socket ustaliła, że dotknięty pakiet został pobrany ponad 300 razy, a złośliwa aktualizacja rozprzestrzeniła się przez 17 powiązanych pakietów.
Inny incydent dotyczący danych uwierzytelniających podpisywania oracle Ostium spowodował wyczerpanie prawie 18 milionów USDC z sejfu płynności platformy handlowej w lipcu, według firmy bezpieczeństwa Blockaid.
W kwietniu Syndicate Labs ujawnił, że wyciekły klucz aktualizacji pozwolił napastnikowi skompromitować jego most międzyłańcuchowy i ukraść tokeny SYND oraz środki użytkowników.
