Violación de Seguridad en Railway
Railway ha revelado una violación de seguridad que el investigador de blockchain Taylor Monahan ha vinculado a un robo de aproximadamente $371,000 en criptomonedas a través de 19 redes compatibles con EVM. Según la divulgación de seguridad de Railway del 21 de octubre, la plataforma de implementación en la nube detectó actividad inusual relacionada con sistemas utilizados para almacenar variables de entorno de clientes, que pueden contener información sensible como claves API, contraseñas de bases de datos y credenciales de registro privado.
Un tercero no autorizado podría haber accedido a variables encriptadas y obtenido el contenido desencriptado de algunas de ellas. Sin embargo, la empresa indicó que su investigación aún estaba en curso y no se había establecido el número de clientes afectados.
Detalles del Robo
La investigadora de seguridad en blockchain, Taylor Monahan, informó el 22 de octubre que los atacantes habían drenado criptomonedas de claves privadas almacenadas en Railway, con el robo sospechoso involucrando más de 500 transacciones a través de más de 200 direcciones distintas. Sus hallazgos estimaron las pérdidas en aproximadamente $371,000, con actividad que abarca al menos 19 blockchains compatibles con Ethereum Virtual Machine.
Monahan identificó la dirección del atacante sospechoso como 0xd9773325282874d18cb83f1fe50f14c39750b2ee y situó la primera transacción de robo de criptomonedas conocida a las 19:36 UTC del 21 de octubre.
Según su evaluación, las transacciones parecían haberse llevado a cabo utilizando un script de barrido de billetera relativamente estándar, en lugar de software desarrollado específicamente para el incidente. Dichos scripts están diseñados para transferir criptomonedas disponibles de billeteras cuyas claves privadas han sido comprometidas. Los hallazgos de Monahan sugieren que el atacante había obtenido acceso a credenciales capaces de autorizar transacciones desde las direcciones afectadas.
Investigación y Recomendaciones
Sin embargo, Railway no ha confirmado de manera independiente las pérdidas de criptomonedas reportadas ni ha establecido cómo el atacante obtuvo las credenciales de billetera identificadas por Monahan. La cifra reportada de $371,000 sigue siendo una estimación externa, y las divulgaciones disponibles no aclaran si se comprometieron billeteras adicionales o si las transacciones identificadas representan todas las pérdidas relacionadas.
En una publicación separada, Monahan cuestionó el momento de la divulgación pública de Railway y delineó una secuencia de interrupciones en el servicio que comenzaron varias horas antes de la primera transacción de robo de criptomonedas que identificó. Según la línea de tiempo que compartió, Railway pausó las construcciones a las 07:24 UTC del 21 de octubre. Para las 09:28 UTC, la interrupción había afectado su API, interfaz de línea de comandos, panel de control y servicios de implementación.
Railway indicó que su investigación inicial sugiere que la violación podría haber afectado solo a un subconjunto de clientes, pero recomendó que todos los que usaran la plataforma reemplazaran de inmediato sus variables de entorno almacenadas y credenciales asociadas. La empresa aconsejó específicamente a los clientes que rotaran las claves API y las credenciales de registro privado mientras revisaban los registros de servicio en busca de actividad inusual.
Acciones Posteriores y Conclusiones
En un seguimiento del 22 de octubre, Railway confirmó que había restablecido las credenciales de los buckets de almacenamiento y los tokens de GitHub mantenidos para cuentas y servicios de clientes. La empresa indicó que las credenciales anteriores ya no funcionarían, requiriendo que los clientes afectados volvieran a implementar servicios utilizando las credenciales de almacenamiento de reemplazo y reconectaran sus cuentas de GitHub.
La exposición de credenciales ha sido responsable de varios incidentes de seguridad de criptomonedas este año, aunque los métodos utilizados para obtener acceso han diferido. Railway indicó que contactaría a los clientes directamente por correo electrónico una vez que los investigadores confirmaran qué cuentas habían sido afectadas, con más información que se publicaría a través de su anuncio de seguridad y página de estado.
