Säkerhetsintrång och kryptovaluta-stöld
Järnväg har avslöjat ett safety breach som blockchain-utredaren Taylor Monahan kopplade till en stöld av kryptovaluta värd cirka 371 000 dollar, som har inträffat över 19 EVM-kompatibla nätverk. Enligt järnvägens säkerhetsavslöjande den 21 oktober upptäckte molnplattformen ovanlig aktivitet som involverade system som används för att lagra kundens miljövariabler. Dessa variabler kan innehålla känslig information, såsom API-nycklar, databaslösenord och privata registreringsuppgifter. En obehörig tredje part kan ha fått tillgång till dessa krypterade variabler och dekrypterat innehållet i några av dem. Företaget meddelade att deras utredning fortfarande pågick och att antalet påverkade kunder ännu inte hade fastställts.
Detaljer om stölden
Blockchain-säkerhetsforskaren Taylor Monahan rapporterade den 22 oktober att angripare hade tömt kryptovaluta från privata nycklar som lagrades i Järnväg. Den misstänkta stölden involverade mer än 500 transaktioner över 200 distinkta adresser. Monahans fynd placerade de uppskattade förlusterna på cirka 371 000 dollar, med aktivitet som sträckte sig över minst 19 Ethereum Virtual Machine-kompatibla blockkedjor. Monahan identifierade den misstänkta angriparens adress som 0xd9773325282874d18cb83f1fe50f14c39750b2ee och placerade den första kända kryptovaluta-stöldtransaktionen klockan 19:36 UTC den 21 oktober.
”Transaktionerna verkade ha genomförts med hjälp av ett relativt standardiserat plånbokssvepande skript, snarare än programvara som utvecklats specifikt för incidenten.”
Monahans fynd tyder på att angriparen hade fått tillgång till autentiseringsuppgifter som kunde auktorisera transaktioner från de påverkade adresserna. Emellertid har Järnväg inte oberoende bekräftat de rapporterade kryptovalutaförlusterna eller fastställt hur angriparen fick tillgång till plånboksuppgifterna som identifierades av Monahan.
Tidslinje för incidenten
Den rapporterade summan på 371 000 dollar förblir en extern uppskattning, och de tillgängliga avslöjandena fastställer inte om ytterligare plånböcker har komprometterats eller om de identifierade transaktionerna omfattar alla relaterade förluster. I ett separat inlägg ifrågasatte Monahan tidpunkten för Järnvägs offentliga avslöjande och skisserade en sekvens av tjänstestörningar som började flera timmar innan den första kryptovaluta-stöldtransaktionen hon identifierade. Enligt tidslinjen hon delade pausade Järnväg byggen klockan 07:24 UTC den 21 oktober. Vid 09:28 UTC hade störningen påverkat dess API, kommandoradsgränssnitt, instrumentpanel och distributionstjänster.
Användare fortsatte att få tjänsteuppdateringar under hela dagen medan företaget arbetade för att återställa tillgången till sina system. Monahan placerade den första kända kryptovaluta-stölden klockan 19:36 UTC, cirka 12 timmar efter den initiala byggpausen.
Reaktioner och rekommendationer
Klockan 21:11 UTC citerades Järnvägs medgrundare och VD Jake Cooper, som använder namnet Postiz på X, i tidslinjen där han diskuterade meddelanden från Stripe och Ant angående komprometterade uppgifter. Järnväg publicerade sitt säkerhetsavslöjande klockan 21:51 UTC, mer än två timmar efter den första stöldtransaktionen som identifierades av Monahan. Tidslinjen fastställer inte när Järnväg först blev medveten om den misstänkta kryptovaluta-stölden eller om de tidigare tjänstestörningarna orsakades direkt av den obehöriga åtkomsten.
Järnväg meddelade att deras initiala utredning tyder på att intrånget kan ha påverkat endast en delmängd av kunderna, men rekommenderade att alla som använder plattformen omedelbart ersätter sina lagrade miljövariabler och relaterade autentiseringsuppgifter. Företaget rådde specifikt kunder att rotera API-nycklar och privata registreringsuppgifter samtidigt som de kontrollerade tjänsteloggar för ovanlig aktivitet.
Framtida åtgärder och säkerhetsmeddelanden
Järnväg tror att incidenten kan vara kopplad till en serie attacker mot plattformsföretag som syftade till att kompromettera AI-inferensleverantörer. Även om företaget inte identifierade de misstänkta angriparna eller de involverade leverantörerna, meddelade de att de hade informerat uppströms tjänster så att de kunde återkalla potentiellt exponerade nycklar som en försiktighetsåtgärd.
Distributioner stängdes tillfälligt under utredningen, vilket förhindrade kunder från att rulla ut nya applikationsversioner tills byggtjänsten återställdes. I en uppföljning den 22 oktober bekräftade Järnväg att de hade återställt lagringsbucketuppgifter och GitHub-token som hölls för kundkonton och tjänster. Företaget meddelade att de tidigare autentiseringsuppgifterna inte längre skulle fungera, vilket krävde att berörda kunder skulle distribuera tjänster på nytt med de ersättande lagringsuppgifterna och återansluta sina GitHub-konton.
Exponering av autentiseringsuppgifter har varit ansvarig för flera kryptovaluta-säkerhetsincidenter i år, även om metoderna som använts för att få tillgång har varierat. Järnväg meddelade att de skulle kontakta kunder direkt via e-post när utredarna bekräftade vilka konton som hade påverkats, med ytterligare information som skulle publiceras genom deras säkerhetsmeddelande och status sida.
