Утечка безопасности Railway связана с кражей криптовалюты на сумму 371 000 долларов через 19 цепочек

Railway сообщила о нарушении безопасности, которое, по словам блокчейн-исследователя Тейлора Монахана, связано с кражей криптовалюты на сумму примерно 371 000 долларов через 19 совместимых с EVM сетей.

Резюме

• Railway раскрыла нарушение безопасности, которое могло подвергнуть риску переменные окружения клиентов, содержащие конфиденциальные учетные данные и закрытые ключи.
• Блокчейн-исследователь Тейлор Монахан связал инцидент с кражей криптовалюты на сумму около 371 000 долларов, включая более 500 транзакций через как минимум 19 сетей EVM.
• Монахан выявил первую известную транзакцию кражи в 19:36 UTC 21 октября, более чем за два часа до того, как Railway публично раскрыла инцидент.
• Railway временно приостановила развертывания и призвала всех клиентов изменить свои сохраненные учетные данные, пока проводится расследование масштабов утечки.

Согласно раскрытию информации о безопасности Railway от 21 октября, облачная платформа развертывания обнаружила необычную активность, связанную с системами, используемыми для хранения переменных окружения клиентов, которые могут содержать конфиденциальную информацию, такую как ключи API, пароли баз данных и учетные данные частных реестров.

Несанкционированная третья сторона могла получить доступ к зашифрованным переменным и получить расшифрованное содержимое некоторых из них, хотя компания заявила, что ее расследование все еще продолжается и количество затронутых клиентов не установлено.

Утечка Railway связана с более чем 500 транзакциями криптовалюты

Исследователь безопасности блокчейна Тейлор Монахан сообщила 22 октября, что злоумышленники вывели криптовалюту из закрытых ключей, хранящихся в Railway, при этом подозреваемая кража включает более 500 транзакций через более чем 200 различных адресов.

Эта хронология — самый влажный сон адвокатов, преследующих амбулансы 🫠

07:24: Развертывания Railway приостановлены

09:28: Railway API + CLI + Панель управления + развертывания приостановлены

(много обновлений "мы все еще оффлайн")

19:36: Первая известная транзакция кражи криптовалюты

21:11: Postiz как... pic.twitter.com/7fajuLKQK2
--- Тей 💖 (@tayvano_) 22 октября 2026 года

Ее результаты оценили потери примерно в 371 000 долларов, при этом активность охватывает как минимум 19 совместимых с Ethereum Virtual Machine блокчейнов.

Монахан идентифицировала адрес подозреваемого злоумышленника как 0xd9773325282874d18cb83f1fe50f14c39750b2ee и поместила первую известную транзакцию кражи криптовалюты на 19:36 UTC 21 октября.

Согласно ее оценке, транзакции, похоже, были выполнены с использованием относительно стандартного скрипта для очистки кошельков, а не программного обеспечения, разработанного специально для этого инцидента.

Такие скрипты предназначены для передачи доступной криптовалюты из кошельков, закрытые ключи которых были скомпрометированы. Результаты Монахан предполагают, что злоумышленник получил доступ к учетным данным, способным авторизовать транзакции с затронутых адресов.

Тем не менее, Railway не подтвердила самостоятельно сообщенные потери криптовалюты и не установила, как злоумышленник получил учетные данные кошелька, идентифицированные Монахан.

Сообщенная сумма в 371 000 долларов остается внешней оценкой, и доступные раскрытия не устанавливают, были ли скомпрометированы дополнительные кошельки или идентифицированные транзакции учитывают все связанные потери.

Railway приостановила развертывания до обнаружения кражи криптовалюты

В отдельном посте Монахан поставила под сомнение время публичного раскрытия Railway и изложила последовательность сбоев в обслуживании, которые начались за несколько часов до первой транзакции кражи криптовалюты, которую она идентифицировала.

Согласно хронологии, которую она поделилась, Railway приостановила развертывания в 07:24 UTC 21 октября. К 09:28 UTC сбой затронул ее API, интерфейс командной строки, панель управления и службы развертывания.

Пользователи продолжали получать обновления о службе в течение всего дня, пока компания работала над восстановлением доступа к своим системам.

Монахан поместила первую известную кражу криптовалюты на 19:36 UTC, примерно через 12 часов после первоначальной приостановки развертывания.

В 21:11 UTC соучредитель и генеральный директор Railway Джейк Купер, использующий имя Postiz в X, был упомянут в хронологии, обсуждая уведомления от Stripe и Ant о скомпрометированных учетных данных.

Railway опубликовала свое раскрытие безопасности примерно в 21:51 UTC, более чем через два часа после первой кражи, идентифицированной Монаханом.

Хронология не устанавливает, когда Railway впервые узнала о подозреваемой краже криптовалюты или были ли ранее возникшие сбои в обслуживании непосредственно вызваны несанкционированным доступом.

Railway призывает клиентов заменить скомпрометированные учетные данные

Railway заявила, что ее первоначальное расследование показало, что утечка могла затронуть только часть клиентов, но рекомендовала всем пользователям платформы немедленно заменить свои сохраненные переменные окружения и связанные учетные данные.

Компания специально посоветовала клиентам сменить API-ключи и учетные данные частного реестра, проверяя журналы обслуживания на наличие необычной активности.

Railway считает, что инцидент может быть связан с серией атак на платформенные компании, целью которых было скомпрометировать поставщиков ИИ-инференса.

Хотя компания не назвала подозреваемых злоумышленников или вовлеченных поставщиков, она сообщила, что уведомила вышестоящие службы, чтобы они могли отозвать потенциально скомпрометированные ключи в качестве меры предосторожности.

Развертывания были временно приостановлены во время расследования, что помешало клиентам развертывать новые версии приложений до восстановления службы сборки.

В последующем сообщении 22 октября Railway подтвердила, что сбросила учетные данные хранилищ и токены GitHub, хранящиеся для учетных записей и услуг клиентов.

Компания сообщила, что предыдущие учетные данные больше не будут работать, что потребует от затронутых клиентов повторного развертывания услуг с использованием замененных учетных данных хранилища и повторного подключения своих учетных записей GitHub.

Скомпрометированные учетные данные стали причиной предыдущих потерь в криптовалюте

Утечка учетных данных стала причиной нескольких инцидентов безопасности криптовалюты в этом году, хотя методы, использованные для получения доступа, различались.

В июле crypto.news сообщила о скомпрометированном программном обеспечении, распространенном через пакет разработчика Injective, который содержал вредоносный код, предназначенный для сбора приватных ключей и сид-фраз.

Безопасная компания Socket обнаружила, что затронутый пакет был загружен более 300 раз, при этом вредоносное обновление распространилось через 17 связанных пакетов.

Другой инцидент, связанный с учетными данными подписания оракула Ostium, привел к тому, что почти 18 миллионов долларов в USDC были выведены из ликвидного хранилища торговой платформы в июле, согласно данным компании безопасности Blockaid.

В апреле Syndicate Labs раскрыла, что утечка ключа обновления позволила злоумышленнику скомпрометировать его кросс-цепной мост и украсть токены SYND и средства пользователей.

Railway заявила, что свяжется с клиентами напрямую по электронной почте, как только следователи подтвердят, какие учетные записи были затронуты, с дальнейшей информацией, которая будет опубликована через ее объявление о безопасности и страницу статуса.