Violazione della Sicurezza di Railway
Railway ha rivelato una violazione della sicurezza che l’investigatore blockchain Taylor Monahan ha collegato a un furto di criptovalute di circa 371.000 dollari su 19 reti compatibili con EVM.
Dettagli della Violazione
Secondo la comunicazione di sicurezza di Railway del 21 ottobre, la piattaforma di distribuzione cloud ha rilevato attività insolite riguardanti i sistemi utilizzati per memorizzare le variabili ambientali dei clienti, che potrebbero contenere informazioni sensibili come chiavi API, password di database e credenziali di registri privati.
Una terza parte non autorizzata potrebbe aver avuto accesso a variabili crittografate e ottenuto i contenuti decrittografati di alcune di esse.
Tuttavia, l’azienda ha dichiarato che la sua indagine è ancora in corso e il numero di clienti interessati non è stato stabilito.
Furto di Criptovalute
L’investigatrice di sicurezza blockchain Taylor Monahan ha riportato il 22 ottobre che gli aggressori avevano drenato criptovalute da chiavi private memorizzate in Railway, con il furto sospettato che coinvolgeva più di 500 transazioni su oltre 200 indirizzi distinti.
Le sue scoperte hanno stimato le perdite a circa 371.000 dollari, con attività che si estendevano su almeno 19 blockchain compatibili con Ethereum Virtual Machine. Monahan ha identificato l’indirizzo dell’aggressore sospettato come 0xd9773325282874d18cb83f1fe50f14c39750b2ee e ha collocato la prima transazione di furto di criptovalute nota alle 19:36 UTC del 21 ottobre.
Secondo la sua valutazione, le transazioni sembravano essere state eseguite utilizzando uno script di wallet sweeper relativamente standard, piuttosto che software sviluppato specificamente per l’incidente. Tali script sono progettati per trasferire criptovalute disponibili da wallet le cui chiavi private sono state compromesse.
Risposta di Railway
Railway non ha confermato in modo indipendente le perdite di criptovalute riportate né ha stabilito come l’aggressore abbia ottenuto le credenziali del wallet identificate da Monahan. La cifra di 371.000 dollari rimane una stima esterna, e le comunicazioni disponibili non stabiliscono se ulteriori wallet siano stati compromessi o se le transazioni identificate rappresentino tutte le perdite correlate.
In un post separato, Monahan ha messo in discussione il tempismo della comunicazione pubblica di Railway e ha delineato una sequenza di interruzioni del servizio che sono iniziate diverse ore prima della prima transazione di furto di criptovalute identificata.
Secondo la cronologia che ha condiviso, Railway ha sospeso le build alle 07:24 UTC del 21 ottobre. Entro le 09:28 UTC, l’interruzione aveva colpito la sua API, l’interfaccia a riga di comando, il dashboard e i servizi di distribuzione.
Raccomandazioni per i Clienti
Railway ha dichiarato che la sua indagine iniziale suggeriva che la violazione potesse aver colpito solo un sottoinsieme di clienti, ma ha raccomandato a tutti coloro che utilizzano la piattaforma di sostituire immediatamente le loro variabili ambientali memorizzate e le credenziali associate. L’azienda ha specificamente consigliato ai clienti di ruotare le chiavi API e le credenziali di registri privati mentre controllavano i log di servizio per attività insolite.
Railway ritiene che l’incidente possa essere collegato a una serie di attacchi contro le aziende della piattaforma che miravano a compromettere i fornitori di inferenza AI. Sebbene l’azienda non abbia identificato gli aggressori sospettati o i fornitori coinvolti, ha dichiarato di aver notificato i servizi upstream affinché potessero revocare le chiavi potenzialmente esposte come precauzione.
Conclusione
In un aggiornamento del 22 ottobre, Railway ha confermato di aver reimpostato le credenziali dei bucket di archiviazione e i token GitHub detenuti per gli account e i servizi dei clienti. L’azienda ha dichiarato che le credenziali precedenti non funzioneranno più, richiedendo ai clienti interessati di ridistribuire i servizi utilizzando le credenziali di archiviazione sostitutive e riconnettere i loro account GitHub.
L’esposizione delle credenziali è stata responsabile di diversi incidenti di sicurezza delle criptovalute quest’anno, sebbene i metodi utilizzati per ottenere accesso siano stati diversi. Railway ha dichiarato che contatterà i clienti direttamente via email una volta che gli investigatori confermeranno quali account sono stati colpiti, con ulteriori informazioni che saranno pubblicate attraverso il suo annuncio di sicurezza e la pagina di stato.
