Incidente de seguridad ferroviaria vinculado a un robo de criptomonedas de $371,000 en 19 cadenas

Railway ha revelado un incidente de seguridad que el investigador de blockchain Taylor Monahan vinculó a aproximadamente $371,000 en drenajes de criptomonedas a través de 19 redes compatibles con EVM.

Resumen

• Railway reveló un incidente de seguridad que podría haber expuesto variables de entorno de clientes que contienen credenciales sensibles y claves privadas.
• El investigador de blockchain Taylor Monahan vinculó el incidente a aproximadamente $371,000 en robo de criptomonedas que involucró más de 500 transacciones en al menos 19 redes EVM.
• Monahan identificó la primera transacción de robo conocida a las 19:36 UTC del 21 de octubre, más de dos horas antes de que Railway hiciera pública la divulgación del incidente de seguridad.
• Railway suspendió temporalmente los despliegues y pidió a todos los clientes que rotaran sus credenciales almacenadas mientras investiga la magnitud de la brecha.

Según la divulgación de seguridad de Railway del 21 de octubre, la plataforma de despliegue en la nube detectó actividad inusual relacionada con sistemas utilizados para almacenar variables de entorno de clientes, que pueden contener información sensible como claves API, contraseñas de bases de datos y credenciales de registro privado.

Un tercero no autorizado puede haber accedido a variables encriptadas y obtenido el contenido desencriptado de algunas de ellas, aunque la empresa dijo que su investigación aún estaba en curso y no se había establecido el número de clientes afectados.

Incidente de Railway vinculado a más de 500 transacciones de criptomonedas

El investigador de seguridad de blockchain Taylor Monahan informó el 22 de octubre que los atacantes habían drenado criptomonedas de claves privadas almacenadas en Railway, con el robo sospechado involucrando más de 500 transacciones a través de más de 200 direcciones distintas.

Esta línea de tiempo es el sueño húmedo más húmedo de los abogados que persiguen ambulancias 🫠

07:24: Se detienen las construcciones de Railway

09:28: Railway API + CLI + Dashboard + construcciones se detienen

(muchas actualizaciones de "todavía estamos fuera de línea" aquí)

19:36: Primera transacción de robo de criptomonedas conocida

21:11: Postiz es como... pic.twitter.com/7fajuLKQK2
--- Tay 💖 (@tayvano_) 22 de octubre de 2026

Sus hallazgos colocaron las pérdidas estimadas en aproximadamente $371,000, con actividad abarcando al menos 19 blockchains compatibles con Ethereum Virtual Machine.

Monahan identificó la dirección del atacante sospechoso como 0xd9773325282874d18cb83f1fe50f14c39750b2ee y colocó la primera transacción de robo de criptomonedas conocida a las 19:36 UTC del 21 de octubre.

Según su evaluación, las transacciones parecían haberse llevado a cabo utilizando un script de barrido de billetera relativamente estándar, en lugar de software desarrollado específicamente para el incidente.

Dichos scripts están diseñados para transferir criptomonedas disponibles de billeteras cuyas claves privadas han sido comprometidas. Los hallazgos de Monahan sugieren que el atacante había obtenido acceso a credenciales capaces de autorizar transacciones desde las direcciones afectadas.

Sin embargo, Railway no ha confirmado de manera independiente las pérdidas de criptomonedas reportadas ni ha establecido cómo el atacante obtuvo las credenciales de billetera identificadas por Monahan.

La cifra reportada de $371,000 sigue siendo una estimación externa, y las divulgaciones disponibles no establecen si se comprometieron billeteras adicionales o si las transacciones identificadas representan todas las pérdidas relacionadas.

Railway suspendió despliegues antes de que se detectara el robo de criptomonedas

En una publicación separada, Monahan cuestionó el momento de la divulgación pública de Railway y delineó una secuencia de interrupciones en el servicio que comenzaron varias horas antes de la primera transacción de robo de criptomonedas que identificó.

Según la línea de tiempo que compartió, Railway pausó las construcciones a las 07:24 UTC del 21 de octubre. Para las 09:28 UTC, la interrupción había afectado su API, interfaz de línea de comandos, panel de control y servicios de despliegue.

Los usuarios continuaron recibiendo actualizaciones de servicio durante todo el día mientras la empresa trabajaba para restaurar el acceso a sus sistemas.

Monahan colocó el primer robo de criptomonedas conocido a las 19:36 UTC, aproximadamente 12 horas después de la suspensión inicial de la construcción.

A las 21:11 UTC, Jake Cooper, cofundador y CEO de Railway, quien usa el nombre Postiz en X, fue citado en la línea de tiempo discutiendo notificaciones de Stripe y Ant sobre credenciales comprometidas.

Railway publicó su divulgación de seguridad aproximadamente a las 21:51 UTC, más de dos horas después de la primera transacción de robo identificada por Monahan.

La línea de tiempo no establece cuándo Railway se dio cuenta por primera vez del robo de criptomonedas sospechoso o si las interrupciones del servicio anteriores fueron causadas directamente por el acceso no autorizado.

Railway insta a los clientes a reemplazar credenciales expuestas

Railway dijo que su investigación inicial sugirió que la violación podría haber afectado solo a un subconjunto de clientes, pero recomendó que todos los que usan la plataforma reemplacen de inmediato sus variables de entorno almacenadas y credenciales asociadas.

La empresa aconsejó específicamente a los clientes que rotaran las claves de API y las credenciales del registro privado mientras revisaban los registros de servicio en busca de actividad inusual.

Railway cree que el incidente puede estar conectado a una serie de ataques contra empresas de plataformas que tenían como objetivo comprometer a los proveedores de inferencia de IA.

Aunque la empresa no identificó a los atacantes sospechosos ni a los proveedores involucrados, dijo que había notificado a los servicios ascendentes para que pudieran revocar las claves potencialmente expuestas como precaución.

Las implementaciones se suspendieron temporalmente durante la investigación, impidiendo que los clientes lanzaran nuevas versiones de aplicaciones hasta que se restaurara el servicio de construcción.

En un seguimiento del 22 de octubre, Railway confirmó que había restablecido las credenciales de los buckets de almacenamiento y los tokens de GitHub mantenidos para las cuentas y servicios de los clientes.

La empresa dijo que las credenciales anteriores ya no funcionarían, lo que requeriría que los clientes afectados volvieran a implementar servicios utilizando las credenciales de almacenamiento de reemplazo y reconectaran sus cuentas de GitHub.

Credenciales comprometidas han causado pérdidas anteriores en criptomonedas

La exposición de credenciales ha sido responsable de varios incidentes de seguridad en criptomonedas este año, aunque los métodos utilizados para obtener acceso han sido diferentes.

En julio, crypto.news informó sobre software comprometido distribuido a través de un paquete de desarrollador de Injective que contenía código malicioso diseñado para recopilar claves privadas y frases semilla.

La firma de seguridad Socket encontró que el paquete afectado había sido descargado más de 300 veces, con la actualización maliciosa propagándose a través de 17 paquetes relacionados.

Otro incidente que involucró las credenciales de firma de oráculo de Ostium resultó en casi $18 millones en USDC drenados del vault de liquidez de la plataforma de trading en julio, según la firma de seguridad Blockaid.

En abril, Syndicate Labs divulgó que una clave de actualización filtrada había permitido a un atacante comprometer su puente entre cadenas y robar tokens SYND y fondos de usuarios.

Railway dijo que contactaría a los clientes directamente por correo electrónico una vez que los investigadores confirmaran qué cuentas habían sido afectadas, con más información que se publicará a través de su anuncio de seguridad y página de estado.