Railway ha revelado una brecha de seguridad que la investigadora de blockchain Taylor Monahan vinculó con aproximadamente $371,000 en drenajes de criptomonedas a través de 19 redes compatibles con EVM.
Resumen
- Railway reveló una brecha de seguridad que podría haber expuesto variables de entorno de clientes que contenían credenciales sensibles y claves privadas.
- La investigadora de blockchain Taylor Monahan vinculó el incidente con aproximadamente $371,000 en robo de criptomonedas que involucra más de 500 transacciones en al menos 19 redes EVM.
- Monahan identificó la primera transacción de robo conocida a las 19:36 UTC del 21 de octubre, más de dos horas antes de que Railway divulgara públicamente el incidente de seguridad.
- Railway suspendió temporalmente los despliegues y instó a todos los clientes a rotar sus credenciales almacenadas mientras investiga el alcance de la brecha.
Según la divulgación de seguridad del 21 de octubre de Railway, la plataforma de despliegue en la nube detectó actividad inusual que involucraba sistemas utilizados para almacenar variables de entorno de clientes, que pueden contener información sensible como claves de API, contraseñas de bases de datos y credenciales de registros privados.
Un tercero no autorizado podría haber accedido a variables cifradas y obtenido el contenido descifrado de algunas de ellas, aunque la compañía dijo que su investigación aún estaba en curso y no se había establecido el número de clientes afectados.
La brecha de Railway vinculada a más de 500 transacciones de criptomonedas
La investigadora de seguridad de blockchain Taylor Monahan informó el 22 de octubre que los atacantes habían drenado criptomonedas de claves privadas almacenadas en Railway, con el presunto robo involucrando más de 500 transacciones en más de 200 direcciones distintas.
Sus hallazgos situaron las pérdidas estimadas en aproximadamente $371,000, con actividad que abarca al menos 19 blockchains compatibles con la Máquina Virtual de Ethereum.
Monahan identificó la dirección del presunto atacante como 0xd9773325282874d18cb83f1fe50f14c39750b2ee y situó la primera transacción de robo de criptomonedas conocida a las 19:36 UTC del 21 de octubre.
Según su evaluación, las transacciones parecían haberse llevado a cabo utilizando un script de barrido de billeteras relativamente estándar, en lugar de software desarrollado específicamente para el incidente.
Dichos scripts están diseñados para transferir criptomonedas disponibles desde billeteras cuyas claves privadas han sido comprometidas. Los hallazgos de Monahan sugieren que el atacante había obtenido acceso a credenciales capaces de autorizar transacciones desde las direcciones afectadas.
Sin embargo, Railway no ha confirmado de forma independiente las pérdidas de criptomonedas reportadas ni ha establecido cómo el atacante obtuvo las credenciales de billetera identificadas por Monahan.
La cifra reportada de $371,000 sigue siendo una estimación externa, y las divulgaciones disponibles no establecen si se comprometieron billeteras adicionales o si las transacciones identificadas representan todas las pérdidas relacionadas.
Railway suspendió los despliegues antes de que se detectara el robo de criptomonedas
En una publicación separada, Monahan cuestionó el momento de la divulgación pública de Railway y describió una secuencia de interrupciones del servicio que comenzó varias horas antes de la primera transacción de robo de criptomonedas que ella identificó.
Según la línea de tiempo que compartió, Railway pausó las compilaciones a las 07:24 UTC del 21 de octubre. Para las 09:28 UTC, la interrupción había afectado su API, interfaz de línea de comandos, panel y servicios de despliegue.
Los usuarios continuaron recibiendo actualizaciones del servicio a lo largo del día mientras la compañía trabajaba para restaurar el acceso a sus sistemas.
Monahan situó el primer robo de criptomonedas conocido a las 19:36 UTC, aproximadamente 12 horas después de la suspensión inicial de compilaciones.
A las 21:11 UTC, el cofundador y CEO de Railway, Jake Cooper, quien usa el nombre Postiz en X, fue citado en la cronología discutiendo notificaciones de Stripe y Ant sobre credenciales comprometidas.
Railway publicó su divulgación de seguridad aproximadamente a las 21:51 UTC, más de dos horas después de la primera transacción de robo identificada por Monahan.
La cronología no establece cuándo Railway se enteró por primera vez del presunto robo de criptomonedas ni si las interrupciones del servicio anteriores fueron causadas directamente por el acceso no autorizado.
Railway insta a los clientes a reemplazar las credenciales expuestas
Railway dijo que su investigación inicial sugirió que la brecha podría haber afectado solo a un subconjunto de clientes, pero recomendó que todos los que usan la plataforma reemplacen inmediatamente sus variables de entorno almacenadas y las credenciales asociadas.
La compañía aconsejó específicamente a los clientes rotar las claves API y las credenciales de registro privado mientras revisan los registros de servicio en busca de actividad inusual.
Railway cree que el incidente podría estar relacionado con una serie de ataques contra empresas de plataformas que tenían la intención de comprometer a los proveedores de inferencia de IA.
Aunque la compañía no identificó a los presuntos atacantes ni a los proveedores involucrados, dijo que había notificado a los servicios upstream para que pudieran revocar las claves potencialmente expuestas como precaución.
Los despliegues se suspendieron temporalmente durante la investigación, lo que impidió a los clientes implementar nuevas versiones de aplicaciones hasta que se restauró el servicio de compilación.
En un seguimiento del 22 de octubre, Railway confirmó que había restablecido las credenciales de los buckets de almacenamiento y los tokens de GitHub mantenidos para las cuentas y servicios de los clientes.
La compañía dijo que las credenciales anteriores ya no funcionarían, lo que requiere que los clientes afectados vuelvan a desplegar los servicios usando las credenciales de almacenamiento de reemplazo y vuelvan a conectar sus cuentas de GitHub.
Las credenciales comprometidas han causado pérdidas cripto anteriores
La exposición de credenciales ha sido responsable de varios incidentes de seguridad de criptomonedas este año, aunque los métodos utilizados para obtener acceso han sido diferentes.
En julio, crypto.news informó sobre software comprometido distribuido a través de un paquete de desarrollador de Injective que contenía código malicioso diseñado para recopilar claves privadas y frases semilla.
La firma de seguridad Socket descubrió que el paquete afectado se había descargado más de 300 veces, con la actualización maliciosa propagándose a través de 17 paquetes relacionados.
Otro incidente que involucró las credenciales de firma del oráculo de Ostium resultó en casi $18 millones en USDC drenados de la bóveda de liquidez de la plataforma de trading en julio, según la firma de seguridad Blockaid.
En abril, Syndicate Labs reveló que una clave de actualización filtrada había permitido a un atacante comprometer su puente entre cadenas y robar tokens SYND y fondos de usuarios.
