Порушення безпеки залізниці пов'язане з крадіжкою криптовалюти на 371 000 доларів через 19 мереж

Залізниця повідомила про порушення безпеки, яке, за словами блокчейн-розслідувача Тейлора Монагана, пов'язане з приблизно 371 000 доларами США, вкраденими з 19 мереж, сумісних з EVM.

Резюме

• Залізниця повідомила про порушення безпеки, яке могло призвести до витоку змінних середовища клієнтів, що містять чутливі дані та приватні ключі.
• Блокчейн-розслідувач Тейлор Монаган пов'язав інцидент з крадіжкою криптовалюти на приблизно 371 000 доларів США, що включає понад 500 транзакцій в принаймні 19 мережах EVM.
• Монаган виявив першу відому транзакцію крадіжки о 19:36 UTC 21 жовтня, більш ніж за дві години до того, як Залізниця публічно оголосила про інцидент.
• Залізниця тимчасово призупинила розгортання та закликала всіх клієнтів змінити свої збережені дані під час розслідування масштабу порушення.

Згідно з повідомленням про безпеку Залізниці від 21 жовтня, платформа хмарного розгортання виявила незвичну активність, пов'язану з системами, що використовуються для зберігання змінних середовища клієнтів, які можуть містити чутливу інформацію, таку як ключі API, паролі бази даних та дані приватних реєстрів.

Несанкціонована третя сторона могла отримати доступ до зашифрованих змінних і отримати розшифровані вмісти деяких з них, хоча компанія заявила, що її розслідування ще триває, і кількість постраждалих клієнтів не була встановлена.

Порушення Залізниці пов'язане з понад 500 транзакціями криптовалюти

Дослідник безпеки блокчейну Тейлор Монаган повідомила 22 жовтня, що зловмисники вкрали криптовалюту з приватних ключів, збережених у Залізниці, при цьому підозрювана крадіжка включала понад 500 транзакцій через понад 200 різних адрес.

Ця хронологія - це найгірший сон адвокатів, які переслідують амбуланси 🫠

07:24: Будівництво Залізниці призупинено

09:28: API Залізниці + CLI + панель управління + будівництво призупинено

(багато оновлень "ми все ще офлайн" тут)

19:36: Перша відома транзакція крадіжки криптовалюти

21:11: Постіз як... pic.twitter.com/7fajuLKQK2
--- Тей 💖 (@tayvano_) 22 жовтня 2026 року

Її висновки оцінюють збитки приблизно в 371 000 доларів США, при цьому активність охоплює принаймні 19 блокчейнів, сумісних з Ethereum Virtual Machine.

Монаган вказала підозрювану адресу зловмисника як 0xd9773325282874d18cb83f1fe50f14c39750b2ee і розмістила першу відому транзакцію крадіжки криптовалюти о 19:36 UTC 21 жовтня.

Згідно з її оцінкою, транзакції, здається, були виконані за допомогою відносно стандартного скрипта для очищення гаманців, а не програмного забезпечення, розробленого спеціально для цього інциденту.

Такі скрипти призначені для передачі доступної криптовалюти з гаманців, приватні ключі яких були скомпрометовані. Висновки Монагана свідчать про те, що зловмисник отримав доступ до даних, здатних авторизувати транзакції з постраждалих адрес.

Однак Залізниця не підтвердила самостійно повідомлені збитки криптовалюти або не встановила, як зловмисник отримав дані гаманців, вказані Монаганом.

Повідомлена сума в 371 000 доларів США залишається зовнішньою оцінкою, і доступні розкриття не встановлюють, чи були скомпрометовані додаткові гаманці або чи враховують вказані транзакції всі пов'язані збитки.

Залізниця призупинила розгортання до виявлення крадіжки криптовалюти

У окремому пості Монаган поставила під сумнів час публічного розкриття Залізниці та окреслила послідовність збоїв у сервісі, які почалися за кілька годин до першої транзакції крадіжки криптовалюти, яку вона виявила.

Згідно з хронологією, яку вона поділилася, Залізниця призупинила будівництво о 07:24 UTC 21 жовтня. До 09:28 UTC порушення вплинуло на її API, командний інтерфейс, панель управління та служби розгортання.

Користувачі продовжували отримувати оновлення про обслуговування протягом дня, поки компанія працювала над відновленням доступу до своїх систем.

Монаган вказала першу відому крадіжку криптовалюти о 19:36 UTC, приблизно через 12 годин після початкової зупинки будівництва.

У 21:11 UTC співзасновник і генеральний директор Railway Джейк Купер, який використовує ім'я Postiz на X, був процитований у хронології, обговорюючи сповіщення від Stripe та Ant щодо скомпрометованих облікових даних.

Railway опублікувала своє повідомлення про безпеку приблизно о 21:51 UTC, більше ніж через дві години після першої крадіжки, виявленої Монаханом.

Хронологія не встановлює, коли Railway вперше дізналася про підозрювану крадіжку криптовалюти або чи були раніше зафіксовані збої в обслуговуванні безпосередньо викликані несанкціонованим доступом.

Railway закликає клієнтів замінити скомпрометовані облікові дані

Railway повідомила, що її початкове розслідування показало, що витік міг вплинути лише на частину клієнтів, але рекомендувала всім, хто користується платформою, негайно замінити свої збережені змінні середовища та пов'язані облікові дані.

Компанія спеціально порадила клієнтам змінити API-ключі та облікові дані приватного реєстру, перевіряючи журнали обслуговування на наявність незвичайної активності.

Railway вважає, що інцидент може бути пов'язаний з серією атак на компанії платформи, які були спрямовані на компрометацію постачальників AI-інференції.

Хоча компанія не вказала підозрюваних нападників або залучених постачальників, вона повідомила, що сповістила верхні служби, щоб вони могли відкликати потенційно скомпрометовані ключі як запобіжний захід.

Розгортання було тимчасово призупинено під час розслідування, що завадило клієнтам впроваджувати нові версії додатків, поки служба складання не була відновлена.

У доповненні від 22 жовтня Railway підтвердила, що скинула облікові дані сховища та токени GitHub, які зберігалися для облікових записів і послуг клієнтів.

Компанія повідомила, що попередні облікові дані більше не працюватимуть, що вимагатиме від постраждалих клієнтів повторно розгорнути послуги, використовуючи нові облікові дані сховища, та повторно підключити свої облікові записи GitHub.

Скомпрометовані облікові дані спричинили попередні втрати криптовалюти

Витік облікових даних став причиною кількох інцидентів безпеки криптовалюти цього року, хоча методи, що використовувалися для отримання доступу, відрізнялися.

У липні crypto.news повідомила про скомпрометоване програмне забезпечення, розповсюджене через пакет розробника Injective, який містив шкідливий код, призначений для збору приватних ключів і фраз для відновлення.

Безпекова компанія Socket виявила, що постраждалий пакет було завантажено більше 300 разів, а шкідливе оновлення поширилося через 17 пов'язаних пакетів.

Ще один інцидент, пов'язаний з обліковими даними підпису оракулів Ostium, призвів до витоку майже 18 мільйонів USDC з ліквідного сховища торгової платформи в липні, згідно з інформацією безпекової компанії Blockaid.

У квітні Syndicate Labs розкрила, що витік ключа оновлення дозволив зловмиснику скомпрометувати свій крос-ланцюговий міст і вкрасти токени SYND та кошти користувачів.

Railway повідомила, що зв'яжеться з клієнтами безпосередньо електронною поштою, як тільки слідчі підтвердять, які облікові записи були під загрозою, з подальшою інформацією, яка буде опублікована через її повідомлення про безпеку та сторінку статусу.