Violation de sécurité chez Railway
Railway a récemment signalé une violation de sécurité, liée à un vol de crypto-monnaie d’environ 371 000 $ sur 19 réseaux compatibles avec la machine virtuelle Ethereum (EVM). Dans sa divulgation de sécurité du 21 octobre, la plateforme de déploiement cloud a indiqué avoir détecté une activité inhabituelle concernant des systèmes utilisés pour stocker des variables d’environnement client, qui peuvent contenir des informations sensibles telles que des clés API, des mots de passe de bases de données et des identifiants de registre privé. Un tiers non autorisé aurait pu accéder à des variables cryptées et déchiffrer certaines d’entre elles. Bien que l’enquête soit toujours en cours, Railway n’a pas encore établi le nombre de clients affectés.
Analyse des pertes
La chercheuse en sécurité blockchain, Taylor Monahan, a rapporté le 22 octobre que des attaquants avaient siphonné de la crypto-monnaie à partir de clés privées stockées dans Railway, avec un vol impliquant plus de 500 transactions sur plus de 200 adresses distinctes. Ses estimations des pertes s’élèvent à environ 371 000 $, avec des activités s’étendant sur au moins 19 blockchains compatibles avec EVM. Monahan a identifié l’adresse de l’attaquant suspect comme étant 0xd9773325282874d18cb83f1fe50f14c39750b2ee et a noté que la première transaction de vol de crypto-monnaie connue a eu lieu à 19h36 UTC le 21 octobre.
Selon son analyse, les transactions semblaient avoir été réalisées à l’aide d’un script de balayage de portefeuille relativement standard, plutôt que d’un logiciel spécifiquement développé pour cet incident.
Ces scripts sont conçus pour transférer la crypto-monnaie disponible à partir de portefeuilles dont les clés privées ont été compromises. Les conclusions de Monahan suggèrent que l’attaquant avait obtenu l’accès à des identifiants capables d’autoriser des transactions à partir des adresses affectées. Cependant, Railway n’a pas confirmé de manière indépendante les pertes de crypto-monnaie signalées ni précisé comment l’attaquant avait obtenu les identifiants de portefeuille identifiés par Monahan.
Chronologie des événements
Dans un post séparé, Monahan a remis en question le moment de la divulgation publique de Railway, décrivant une séquence de perturbations de service qui a commencé plusieurs heures avant la première transaction de vol de crypto-monnaie qu’elle a identifiée. Selon la chronologie qu’elle a partagée, Railway a suspendu les constructions à 07h24 UTC le 21 octobre. À 09h28 UTC, la perturbation avait affecté son API, son interface de ligne de commande, son tableau de bord et ses services de déploiement.
Les utilisateurs ont continué à recevoir des mises à jour de service tout au long de la journée pendant que la société travaillait à rétablir l’accès à ses systèmes. Monahan a placé le premier vol de crypto-monnaie connu à 19h36 UTC, soit environ 12 heures après la suspension initiale de la construction. À 21h11 UTC, le co-fondateur et PDG de Railway, Jake Cooper, connu sous le nom de Postiz sur X, a été cité dans la chronologie discutant des notifications de Stripe et Ant concernant des identifiants compromis.
Railway a publié sa divulgation de sécurité à environ 21h51 UTC, plus de deux heures après la première transaction de vol identifiée par Monahan. La chronologie ne précise pas quand Railway a d’abord pris connaissance du vol suspect de crypto-monnaie ni si les perturbations de service antérieures ont été directement causées par l’accès non autorisé.
Mesures prises par Railway
Railway a déclaré que son enquête initiale suggérait que la violation pourrait n’avoir affecté qu’un sous-ensemble de clients, mais a recommandé à tous les utilisateurs de la plateforme de remplacer immédiatement leurs variables d’environnement stockées et les identifiants associés. La société a spécifiquement conseillé aux clients de faire tourner les clés API et les identifiants de registre privé tout en vérifiant les journaux de service pour une activité inhabituelle.
Railway pense que l’incident pourrait être lié à une série d’attaques contre des entreprises de plateforme visant à compromettre les fournisseurs d’inférence en intelligence artificielle. Bien que la société n’ait pas identifié les attaquants suspects ni les fournisseurs impliqués, elle a déclaré avoir informé les services en amont afin qu’ils puissent révoquer les clés potentiellement exposées par précaution.
Les déploiements ont été temporairement suspendus pendant l’enquête, empêchant les clients de déployer de nouvelles versions d’application jusqu’à ce que le service de construction soit rétabli.
Suivi et réinitialisation des identifiants
Dans un suivi du 22 octobre, Railway a confirmé avoir réinitialisé les identifiants de bucket de stockage et les jetons GitHub détenus pour les comptes et services clients. La société a précisé que les identifiants précédents ne fonctionneraient plus, obligeant les clients affectés à redéployer des services en utilisant les identifiants de stockage de remplacement et à reconnecter leurs comptes GitHub.
L’exposition des identifiants a été responsable de plusieurs incidents de sécurité liés à la crypto-monnaie cette année, bien que les méthodes utilisées pour obtenir l’accès aient varié. En juillet, crypto.news a rapporté sur un logiciel compromis distribué via un package de développeur Injective, contenant un code malveillant conçu pour collecter des clés privées et des phrases de récupération.
La société de sécurité Socket a découvert que le package affecté avait été téléchargé plus de 300 fois, la mise à jour malveillante se propageant à travers 17 packages connexes. Un autre incident impliquant les identifiants de signature d’oracle d’Ostium a entraîné le drainage de près de 18 millions de USDC du coffre de liquidité de la plateforme de trading en juillet, selon la société de sécurité Blockaid.
En avril, Syndicate Labs a divulgué qu’une clé de mise à niveau divulguée avait permis à un attaquant de compromettre son pont inter-chaînes et de voler des jetons SYND ainsi que des fonds d’utilisateurs. Railway a déclaré qu’il contacterait directement les clients par e-mail une fois que les enquêteurs auraient confirmé quels comptes avaient été affectés, avec plus d’informations à publier via son annonce de sécurité et sa page d’état.
