Нарушение безопасности в компании Railway
Компания Railway сообщила о нарушении безопасности, которое исследователь блокчейна Тейлор Монахан связала с кражей криптовалюты на сумму примерно $371,000 через 19 совместимых с EVM сетей. Согласно раскрытию информации о безопасности Railway от 21 октября, облачная платформа обнаружила необычную активность, связанную с системами, используемыми для хранения переменных окружения клиентов, которые могут содержать конфиденциальную информацию, такую как API-ключи, пароли баз данных и учетные данные частных реестров.
Доступ к зашифрованным переменным
Неавторизованная третья сторона могла получить доступ к зашифрованным переменным и расшифровать некоторые из них. Компания заявила, что ее расследование все еще продолжается, и количество затронутых клиентов пока не установлено. Тейлор Монахан сообщила 22 октября, что злоумышленники вывели криптовалюту из частных ключей, хранящихся в Railway. Подозреваемая кража затронула более 500 транзакций через более чем 200 различных адресов.
Подозреваемый адрес и методы кражи
Монахан идентифицировала подозреваемый адрес злоумышленника как 0xd9773325282874d18cb83f1fe50f14c39750b2ee и отметила первую известную транзакцию кражи криптовалюты в 19:36 UTC 21 октября. Согласно ее оценке, транзакции, похоже, были выполнены с использованием стандартного скрипта для очистки кошельков, а не программного обеспечения, разработанного специально для этого инцидента. Такие скрипты предназначены для передачи доступной криптовалюты из кошельков, чьи частные ключи были скомпрометированы.
Расследование и рекомендации
Выводы Монахан предполагают, что злоумышленник получил доступ к учетным данным, способным авторизовать транзакции с затронутых адресов. Однако Railway не подтвердила независимо сообщенные убытки в криптовалюте и не установила, как злоумышленник получил учетные данные кошелька, идентифицированные Монахан. Сообщенная сумма в $371,000 остается внешней оценкой, и доступные раскрытия не устанавливают, были ли скомпрометированы дополнительные кошельки или идентифицированные транзакции учитывают все связанные убытки.
Хронология событий
В отдельном посте Монахан поставила под сомнение время публичного раскрытия информации Railway и описала последовательность сбоев в обслуживании, которые начались за несколько часов до первой транзакции кражи криптовалюты. Согласно предоставленной ею хронологии, Railway приостановила сборки в 07:24 UTC 21 октября. К 09:28 UTC сбой затронул ее API, интерфейс командной строки, панель управления и службы развертывания.
Монахан отметила первую известную кражу криптовалюты в 19:36 UTC, примерно через 12 часов после первоначальной приостановки сборки. В 21:11 UTC соучредитель и генеральный директор Railway Джейк Купер был упомянут в хронологии, обсуждая уведомления от Stripe и Ant о скомпрометированных учетных данных. Railway опубликовала свое раскрытие информации о безопасности примерно в 21:51 UTC, более чем через два часа после первой транзакции кражи, идентифицированной Монахан.
Меры предосторожности и дальнейшие действия
Railway заявила, что ее первоначальное расследование предполагает, что нарушение могло затронуть только подмножество клиентов, но рекомендовала всем пользователям платформы немедленно заменить свои сохраненные переменные окружения и связанные учетные данные. Компания специально посоветовала клиентам сменить API-ключи и учетные данные частного реестра, проверяя журналы обслуживания на наличие необычной активности.
Развертывания были временно приостановлены во время расследования, что помешало клиентам развертывать новые версии приложений до восстановления службы сборки. В последующем сообщении 22 октября Railway подтвердила, что сбросила учетные данные хранилищ и токены GitHub, хранящиеся для учетных записей и служб клиентов.
Заключение
Утечка учетных данных стала причиной нескольких инцидентов безопасности в криптовалюте в этом году, хотя методы, использованные для получения доступа, различались. Railway заявила, что свяжется с клиентами напрямую по электронной почте, как только следователи подтвердят, какие учетные записи были затронуты, с дальнейшей информацией, которая будет опубликована через ее объявление о безопасности и страницу статуса.
