Sicherheitsverletzung bei Railway
Railway hat eine Sicherheitsverletzung offengelegt, die der Blockchain-Ermittlerin Taylor Monahan mit einem Diebstahl von etwa 371.000 $ in Kryptowährung über 19 EVM-kompatible Netzwerke in Verbindung bringt. Laut der Sicherheitsmitteilung von Railway vom 21. Oktober hat die Cloud-Bereitstellungsplattform ungewöhnliche Aktivitäten festgestellt, die Systeme betreffen, die zur Speicherung von Umgebungsvariablen der Kunden verwendet werden. Diese könnten sensible Informationen wie API-Schlüssel, Datenbankpasswörter und private Registrierungsanmeldeinformationen enthalten. Ein unbefugter Dritter könnte auf verschlüsselte Variablen zugegriffen und deren entschlüsselte Inhalte erhalten haben. Das Unternehmen gab an, dass die Untersuchung noch im Gange sei und die Anzahl der betroffenen Kunden noch nicht festgelegt wurde.
Details zum Diebstahl
Die Blockchain-Sicherheitsforscherin Taylor Monahan berichtete am 22. Oktober, dass Angreifer Kryptowährung von privaten Schlüsseln, die in Railway gespeichert sind, abgezogen hatten. Der mutmaßliche Diebstahl umfasste mehr als 500 Transaktionen über mehr als 200 verschiedene Adressen. Ihre Erkenntnisse schätzten die Verluste auf etwa 371.000 $, wobei die Aktivitäten mindestens 19 Ethereum Virtual Machine-kompatible Blockchains umspannten. Monahan identifizierte die mutmaßliche Angreiferadresse als 0xd9773325282874d18cb83f1fe50f14c39750b2ee und datierte die erste bekannte Kryptowährungsdiebstahltransaktion auf 19:36 UTC am 21. Oktober.
Laut ihrer Einschätzung scheinen die Transaktionen mit einem relativ standardmäßigen Wallet-Sweeper-Skript durchgeführt worden zu sein, anstatt mit einer speziell für den Vorfall entwickelten Software. Solche Skripte sind darauf ausgelegt, verfügbare Kryptowährung von Wallets zu übertragen, deren private Schlüssel kompromittiert wurden. Monahans Erkenntnisse deuten darauf hin, dass der Angreifer Zugang zu Anmeldeinformationen erhalten hatte, die in der Lage waren, Transaktionen von den betroffenen Adressen zu autorisieren.
Unklarheiten und Reaktionen
Railway hat jedoch die gemeldeten Kryptowährungsverluste nicht unabhängig bestätigt oder festgestellt, wie der Angreifer die von Monahan identifizierten Wallet-Anmeldeinformationen erhalten hat. Die gemeldete Summe von 371.000 $ bleibt eine externe Schätzung, und die verfügbaren Offenlegungen zeigen nicht, ob zusätzliche Wallets kompromittiert wurden oder ob die identifizierten Transaktionen alle damit verbundenen Verluste abdecken.
In einem separaten Beitrag stellte Monahan die zeitliche Abfolge der öffentlichen Offenlegung von Railway in Frage und skizzierte eine Reihe von Dienstunterbrechungen, die mehrere Stunden vor der ersten von ihr identifizierten Kryptowährungsdiebstahltransaktion begannen.
Laut dem von ihr geteilten Zeitplan pausierte Railway die Builds um 07:24 UTC am 21. Oktober. Bis 09:28 UTC hatte die Störung ihre API, die Befehlszeilenschnittstelle, das Dashboard und die Bereitstellungsdienste betroffen. Die Benutzer erhielten den ganzen Tag über Service-Updates, während das Unternehmen daran arbeitete, den Zugang zu seinen Systemen wiederherzustellen. Monahan datierte den ersten bekannten Kryptowährungsdiebstahl auf 19:36 UTC, etwa 12 Stunden nach der ersten Build-Pause.
Um 21:11 UTC wurde Railway-Mitbegründer und CEO Jake Cooper, der auf X den Namen Postiz verwendet, im Zeitplan zitiert, als er über Benachrichtigungen von Stripe und Ant bezüglich kompromittierter Anmeldeinformationen sprach. Railway veröffentlichte seine Sicherheitsmitteilung um etwa 21:51 UTC, mehr als zwei Stunden nach der ersten Diebstahltransaktion, die von Monahan identifiziert wurde. Der Zeitplan legt nicht fest, wann Railway erstmals von dem mutmaßlichen Kryptowährungsdiebstahl erfuhr oder ob die früheren Dienstunterbrechungen direkt durch den unbefugten Zugriff verursacht wurden.
Empfehlungen und weitere Maßnahmen
Railway gab an, dass die erste Untersuchung darauf hindeutete, dass die Verletzung möglicherweise nur eine Teilmenge von Kunden betroffen hat, empfahl jedoch, dass alle Benutzer der Plattform sofort ihre gespeicherten Umgebungsvariablen und zugehörigen Anmeldeinformationen ersetzen. Das Unternehmen riet den Kunden ausdrücklich, API-Schlüssel und private Registrierungsanmeldeinformationen zu rotieren und die Serviceprotokolle auf ungewöhnliche Aktivitäten zu überprüfen.
Railway glaubt, dass der Vorfall möglicherweise mit einer Reihe von Angriffen auf Plattformunternehmen verbunden ist, die darauf abzielten, Anbieter von KI-Inferenzdiensten zu kompromittieren. Obwohl das Unternehmen die mutmaßlichen Angreifer oder die beteiligten Anbieter nicht identifizierte, gab es an, dass es die vorgelagerten Dienste benachrichtigt hatte, damit sie potenziell exponierte Schlüssel vorsorglich widerrufen konnten.
Die Bereitstellungen wurden während der Untersuchung vorübergehend ausgesetzt, was es den Kunden verhinderte, neue Anwendungsversionen bereitzustellen, bis der Build-Service wiederhergestellt war. In einem Follow-up vom 22. Oktober bestätigte Railway, dass es die Anmeldeinformationen für Speicher-Buckets und GitHub-Tokens, die für Kundenkonten und -dienste gehalten wurden, zurückgesetzt hatte. Das Unternehmen gab an, dass die vorherigen Anmeldeinformationen nicht mehr funktionieren würden, was die betroffenen Kunden dazu zwingt, die Dienste mit den Ersatzspeicheranmeldeinformationen neu bereitzustellen und ihre GitHub-Konten erneut zu verbinden.
Vergangene Sicherheitsvorfälle
Die Offenlegung von Anmeldeinformationen war in diesem Jahr für mehrere Sicherheitsvorfälle im Bereich Kryptowährung verantwortlich, obwohl die Methoden, um Zugang zu erhalten, unterschiedlich waren. Im Juli berichtete crypto.news über kompromittierte Software, die über ein Injective-Entwicklerpaket verteilt wurde, das bösartigen Code enthielt, der darauf ausgelegt war, private Schlüssel und Seed-Phrasen zu sammeln. Die Sicherheitsfirma Socket stellte fest, dass das betroffene Paket mehr als 300 Mal heruntergeladen worden war, wobei das bösartige Update sich über 17 verwandte Pakete verbreitete.
Ein weiterer Vorfall, der die Oracle-Signieranmeldeinformationen von Ostium betraf, führte dazu, dass im Juli fast 18 Millionen USDC aus dem Liquiditätspool der Handelsplattform abgezogen wurden, so die Sicherheitsfirma Blockaid. Im April gab Syndicate Labs bekannt, dass ein geleakter Upgrade-Schlüssel es einem Angreifer ermöglicht hatte, seine Cross-Chain-Brücke zu kompromittieren und SYND-Token sowie Benutzerfonds zu stehlen.
Railway gab an, dass es die Kunden direkt per E-Mail kontaktieren würde, sobald die Ermittler bestätigten, welche Konten betroffen waren, und weitere Informationen über seine Sicherheitsankündigung und Statusseite veröffentlicht werden würden.
