Railway раскрыла инцидент безопасности, который, по данным блокчейн-исследователя Тейлор Монахан, связан с выводом криптовалюты на сумму около $371 000 через 19 сетей, совместимых с EVM.
Краткое содержание
- Railway раскрыла инцидент безопасности, в результате которого могли быть раскрыты переменные окружения клиентов, содержащие конфиденциальные учётные данные и приватные ключи.
- Блокчейн-исследователь Тейлор Монахан связала инцидент с кражей криптовалюты на сумму около $371 000, охватывающей более 500 транзакций как минимум в 19 сетях EVM.
- Монахан определила первую известную транзакцию кражи в 19:36 UTC 21 октября — более чем за два часа до того, как Railway публично раскрыла инцидент безопасности.
- Railway временно приостановила развёртывания и призвала всех клиентов сменить сохранённые учётные данные, пока расследует масштаб утечки.
Согласно раскрытию информации о безопасности от 21 октября, облачная платформа развёртывания обнаружила необычную активность в системах, используемых для хранения переменных окружения клиентов, которые могут содержать конфиденциальную информацию, такую как API-ключи, пароли к базам данных и учётные данные приватных реестров.
Неавторизованная третья сторона могла получить доступ к зашифрованным переменным и получить расшифрованное содержимое некоторых из них, хотя компания заявила, что её расследование всё ещё продолжается и число пострадавших клиентов не установлено.
Утечка в Railway связана с более чем 500 криптовалютными транзакциями
Блокчейн-исследователь по безопасности Тейлор Монахан сообщила 22 октября, что злоумышленники вывели криптовалюту с приватных ключей, хранившихся в Railway, причём предполагаемая кража охватывает более 500 транзакций по более чем 200 различным адресам.
Её выводы оценивают потери примерно в $371 000, при этом активность охватывает как минимум 19 блокчейнов, совместимых с Ethereum Virtual Machine.
Монахан определила предполагаемый адрес злоумышленника как 0xd9773325282874d18cb83f1fe50f14c39750b2ee и отнесла первую известную транзакцию кражи криптовалюты к 19:36 UTC 21 октября.
Согласно её оценке, транзакции, по-видимому, были выполнены с использованием относительно стандартного скрипта для опустошения кошельков, а не программного обеспечения, разработанного специально для этого инцидента.
Такие скрипты предназначены для перевода доступной криптовалюты из кошельков, приватные ключи которых были скомпрометированы. Выводы Монахан предполагают, что злоумышленник получил доступ к учётным данным, позволяющим авторизовать транзакции с затронутых адресов.
Однако Railway независимо не подтвердила сообщённые криптовалютные потери и не установила, как злоумышленник получил учётные данные кошельков, выявленные Монахан.
Сообщённая сумма в $371 000 остаётся внешней оценкой, и имеющиеся раскрытия не устанавливают, были ли скомпрометированы дополнительные кошельки или охватывают ли выявленные транзакции все связанные потери.
Railway приостановила развёртывания до обнаружения кражи криптовалюты
В отдельной публикации Монахан поставила под сомнение сроки публичного раскрытия Railway и описала последовательность сбоев в работе сервисов, начавшихся за несколько часов до первой транзакции кражи криптовалюты, которую она выявила.
Согласно опубликованной ею хронологии, Railway приостановила сборки в 07:24 UTC 21 октября. К 09:28 UTC сбой затронул её API, интерфейс командной строки, панель управления и сервисы развёртывания.
Пользователи продолжали получать обновления о работе сервиса в течение дня, пока компания работала над восстановлением доступа к своим системам.
Монахан отнесла первую известную кражу криптовалюты к 19:36 UTC, примерно через 12 часов после первоначальной приостановки сборок.
В 21:11 UTC соучредитель и генеральный директор Railway Джейк Купер, использующий в X имя Postiz, был упомянут в ленте в связи с обсуждением уведомлений от Stripe и Ant о скомпрометированных учётных данных.
Railway опубликовала своё раскрытие информации о безопасности примерно в 21:51 UTC, более чем через два часа после первой транзакции кражи, выявленной Монаханом.
Хронология не устанавливает, когда Railway впервые узнала о предполагаемой краже криптовалюты или были ли более ранние сбои в работе сервиса напрямую вызваны несанкционированным доступом.
Railway призывает клиентов заменить скомпрометированные учётные данные
Railway заявила, что её первоначальное расследование показало, что утечка могла затронуть лишь часть клиентов, но рекомендовала всем, кто использует платформу, немедленно заменить сохранённые переменные окружения и связанные с ними учётные данные.
Компания особо рекомендовала клиентам сменить ключи API и учётные данные приватного реестра, а также проверить журналы сервисов на предмет необычной активности.
Railway полагает, что инцидент может быть связан с серией атак на платформенные компании, целью которых было скомпрометировать поставщиков услуг вывода ИИ.
Хотя компания не назвала предполагаемых злоумышленников или участвовавших поставщиков, она сообщила, что уведомила вышестоящие сервисы, чтобы они могли в качестве меры предосторожности отозвать потенциально скомпрометированные ключи.
Во время расследования развёртывания были временно приостановлены, что не позволяло клиентам выпускать новые версии приложений до восстановления сервиса сборки.
В дополнении от 22 октября Railway подтвердила, что сбросила учётные данные бакетов хранилища и токены GitHub, хранившиеся для клиентских аккаунтов и сервисов.
Компания заявила, что прежние учётные данные больше не будут работать, что требует от затронутых клиентов повторного развёртывания сервисов с использованием заменённых учётных данных хранилища и повторного подключения своих аккаунтов GitHub.
Скомпрометированные учётные данные уже приводили к потерям криптовалюты
Утечка учётных данных стала причиной нескольких инцидентов безопасности в сфере криптовалют в этом году, хотя методы получения доступа различались.
В июле crypto.news сообщил о скомпрометированном программном обеспечении, распространявшемся через пакет разработчика Injective, который содержал вредоносный код, предназначенный для сбора приватных ключей и сид-фраз.
Компания по безопасности Socket обнаружила, что затронутый пакет был загружен более 300 раз, а вредоносное обновление распространилось через 17 связанных пакетов.
Ещё один инцидент, связанный с учётными данными для подписи оракула Ostium, привёл к выводу почти 18 миллионов USDC из хранилища ликвидности торговой платформы в июле, согласно данным компании по безопасности Blockaid.
В апреле Syndicate Labs раскрыла, что утёкший ключ обновления позволил злоумышленнику скомпрометировать её кросс-чейн мост и украсть токены SYND и средства пользователей.
