نقص امنیتی در راه‌آهن مرتبط با سرقت ۳۷۱,۰۰۰ دلاری ارز دیجیتال در ۱۹ زنجیره

راه‌آهن نقص امنیتی را فاش کرده است که محقق بلاک‌چین، تیلور موناهان، آن را به حدود ۳۷۱,۰۰۰ دلار در سرقت ارز دیجیتال در ۱۹ شبکه سازگار با EVM مرتبط دانسته است.

خلاصه

• راه‌آهن نقص امنیتی را فاش کرده است که ممکن است متغیرهای محیطی مشتری را که شامل اعتبارنامه‌های حساس و کلیدهای خصوصی است، در معرض خطر قرار داده باشد.
• محقق بلاک‌چین، تیلور موناهان، این حادثه را به تقریباً ۳۷۱,۰۰۰ دلار در سرقت ارز دیجیتال مرتبط با بیش از ۵۰۰ تراکنش در حداقل ۱۹ شبکه EVM مرتبط دانسته است.
• موناهان اولین تراکنش سرقت شناخته شده را در ساعت ۱۹:۳۶ به وقت UTC در ۲۱ اکتبر شناسایی کرد، بیش از دو ساعت قبل از اینکه راه‌آهن به‌طور عمومی این حادثه امنیتی را فاش کند.
• راه‌آهن به‌طور موقت استقرارها را متوقف کرده و از همه مشتریان خواسته است تا اعتبارنامه‌های ذخیره‌شده خود را تغییر دهند در حالی که در حال بررسی وسعت نقص است.

بر اساس افشای امنیتی راه‌آهن در ۲۱ اکتبر، پلتفرم استقرار ابری فعالیت‌های غیرمعمولی را شناسایی کرده است که شامل سیستم‌های استفاده‌شده برای ذخیره متغیرهای محیطی مشتری است، که ممکن است شامل اطلاعات حساسی مانند کلیدهای API، رمزهای عبور پایگاه داده و اعتبارنامه‌های ثبت خصوصی باشد.

یک طرف ثالث غیرمجاز ممکن است به متغیرهای رمزگذاری‌شده دسترسی پیدا کرده و محتوای رمزگشایی‌شده برخی از آن‌ها را به‌دست آورده باشد، هرچند که شرکت اعلام کرده است که تحقیقات آن هنوز در حال انجام است و تعداد مشتریان آسیب‌دیده مشخص نشده است.

نقص امنیتی راه‌آهن مرتبط با بیش از ۵۰۰ تراکنش ارز دیجیتال

محقق امنیت بلاک‌چین، تیلور موناهان، در ۲۲ اکتبر گزارش داد که مهاجمان ارز دیجیتال را از کلیدهای خصوصی ذخیره‌شده در راه‌آهن تخلیه کرده‌اند، با سرقت مشکوک که شامل بیش از ۵۰۰ تراکنش در بیش از ۲۰۰ آدرس متمایز است.

این زمان‌بندی، خواب و خیال وکلا را به واقعیت تبدیل می‌کند 🫠

۰۷:۲۴: ساخت‌های راه‌آهن متوقف شده‌اند

۰۹:۲۸: API + CLI + داشبورد + ساخت‌های راه‌آهن متوقف شده‌اند

(بسیاری از به‌روزرسانی‌های "ما هنوز آفلاین هستیم" در اینجا)

۱۹:۳۶: اولین تراکنش سرقت ارز دیجیتال شناخته شده

۲۱:۱۱: پستیز شبیه به... pic.twitter.com/7fajuLKQK2
--- تیلور 💖 (@tayvano_) ۲۲ اکتبر ۲۰۲۶

یافته‌های او خسارات تخمینی را حدود ۳۷۱,۰۰۰ دلار قرار داده است، با فعالیتی که حداقل ۱۹ بلاک‌چین سازگار با ماشین مجازی اتریوم را در بر می‌گیرد.

موناهان آدرس مهاجم مشکوک را به عنوان ۰xd9773325282874d18cb83f1fe50f14c39750b2ee شناسایی کرده و اولین تراکنش سرقت ارز دیجیتال شناخته شده را در ساعت ۱۹:۳۶ به وقت UTC در ۲۱ اکتبر قرار داده است.

بر اساس ارزیابی او، به نظر می‌رسد تراکنش‌ها با استفاده از یک اسکریپت نسبتاً استاندارد برای جارو کردن کیف پول انجام شده‌اند، نه نرم‌افزاری که به‌طور خاص برای این حادثه توسعه یافته باشد.

این‌گونه اسکریپت‌ها برای انتقال ارز دیجیتال موجود از کیف پول‌هایی که کلیدهای خصوصی آن‌ها به خطر افتاده طراحی شده‌اند. یافته‌های موناهان نشان می‌دهد که مهاجم به اعتبارنامه‌هایی دسترسی پیدا کرده است که قادر به مجاز کردن تراکنش‌ها از آدرس‌های آسیب‌دیده بوده‌اند.

با این حال، راه‌آهن به‌طور مستقل خسارات گزارش‌شده ارز دیجیتال را تأیید نکرده و مشخص نکرده است که مهاجم چگونه به اعتبارنامه‌های کیف پول شناسایی‌شده توسط موناهان دسترسی پیدا کرده است.

عدد گزارش‌شده ۳۷۱,۰۰۰ دلار همچنان یک تخمین خارجی باقی مانده است و افشاگری‌های موجود مشخص نمی‌کند که آیا کیف پول‌های اضافی به خطر افتاده‌اند یا اینکه آیا تراکنش‌های شناسایی‌شده شامل تمام خسارات مرتبط هستند.

راه‌آهن قبل از شناسایی سرقت ارز دیجیتال، استقرارها را متوقف کرد

در یک پست جداگانه، موناهان زمان‌بندی افشای عمومی راه‌آهن را زیر سوال برد و توالی اختلالات خدماتی را که چند ساعت قبل از اولین تراکنش سرقت ارز دیجیتال که او شناسایی کرده بود، آغاز شد، تشریح کرد.

بر اساس زمان‌بندی که او به اشتراک گذاشت، راه‌آهن ساخت‌ها را در ساعت ۰۷:۲۴ به وقت UTC در ۲۱ اکتبر متوقف کرد. تا ساعت ۰۹:۲۸ به وقت UTC، اختلال بر API، رابط خط فرمان، داشبورد و خدمات استقرار تأثیر گذاشته بود.

کاربران در طول روز به دریافت به‌روزرسانی‌های خدماتی ادامه دادند در حالی که شرکت در تلاش بود تا دسترسی به سیستم‌های خود را بازیابی کند.

موناهان اولین سرقت ارز دیجیتال شناخته شده را در ساعت ۱۹:۳۶ به وقت UTC قرار داد، تقریباً ۱۲ ساعت پس از تعلیق اولیه ساخت‌ها.

در ساعت 21:11 به وقت UTC، جیک کوپر، یکی از بنیان‌گذاران و مدیرعامل Railway، که در X با نام Postiz شناخته می‌شود، در زمان‌بندی به بحث درباره اعلان‌های Stripe و Ant در مورد اعتبارنامه‌های به خطر افتاده پرداخت.

Railway افشای اطلاعات امنیتی خود را در حدود ساعت 21:51 به وقت UTC منتشر کرد، بیش از دو ساعت پس از اولین تراکنش سرقت شناسایی شده توسط موناها.

زمان‌بندی مشخص نمی‌کند که Railway چه زمانی برای اولین بار از سرقت احتمالی ارز دیجیتال مطلع شد یا اینکه آیا اختلالات خدمات قبلی به طور مستقیم ناشی از دسترسی غیرمجاز بوده است.

Railway از مشتریان می‌خواهد که اعتبارنامه‌های افشا شده را تعویض کنند

Railway گفت که تحقیقات اولیه‌اش نشان می‌دهد که این نقض ممکن است تنها بر یک زیرمجموعه از مشتریان تأثیر گذاشته باشد، اما به همه کاربران پلتفرم توصیه کرد که فوراً متغیرهای محیطی ذخیره شده و اعتبارنامه‌های مرتبط خود را تعویض کنند.

این شرکت به‌طور خاص به مشتریان توصیه کرد که کلیدهای API و اعتبارنامه‌های ثبت خصوصی را چرخش دهند و در حین بررسی لاگ‌های خدمات برای فعالیت‌های غیرمعمول، احتیاط کنند.

Railway معتقد است که این حادثه ممکن است به یک سری حملات علیه شرکت‌های پلتفرم مرتبط باشد که هدف آن‌ها به خطر انداختن ارائه‌دهندگان استنتاج هوش مصنوعی بوده است.

اگرچه این شرکت مهاجمان مشکوک یا ارائه‌دهندگان درگیر را شناسایی نکرد، اما گفت که به خدمات بالادستی اطلاع داده است تا بتوانند کلیدهای احتمالی افشا شده را به عنوان احتیاط لغو کنند.

استقرارها در طول تحقیقات به‌طور موقت متوقف شد و از این رو مشتریان نتوانستند نسخه‌های جدید برنامه را تا زمانی که خدمات ساخت دوباره برقرار شود، راه‌اندازی کنند.

در پی‌نوشت 22 اکتبر، Railway تأیید کرد که اعتبارنامه‌های سطل ذخیره‌سازی و توکن‌های GitHub متعلق به حساب‌ها و خدمات مشتریان را بازنشانی کرده است.

این شرکت گفت که اعتبارنامه‌های قبلی دیگر کار نخواهند کرد و از مشتریان تحت تأثیر خواسته شد که خدمات را با استفاده از اعتبارنامه‌های ذخیره‌سازی جایگزین دوباره مستقر کنند و حساب‌های GitHub خود را دوباره متصل کنند.

اعتبارنامه‌های افشا شده باعث خسارات قبلی در ارزهای دیجیتال شده‌اند

افشای اعتبارنامه‌ها مسئول چندین حادثه امنیتی ارز دیجیتال در سال جاری بوده است، اگرچه روش‌های استفاده شده برای به دست آوردن دسترسی متفاوت بوده است.

در ماه ژوئیه، crypto.news گزارشی درباره نرم‌افزارهای به خطر افتاده‌ای که از طریق یک بسته توسعه‌دهنده Injective توزیع شده بودند و حاوی کد مخرب طراحی شده برای جمع‌آوری کلیدهای خصوصی و عبارات دانه‌ای بود، منتشر کرد.

شرکت امنیتی Socket دریافت که بسته تحت تأثیر بیش از 300 بار دانلود شده و به‌روزرسانی مخرب از طریق 17 بسته مرتبط گسترش یافته است.

حادثه دیگری که شامل اعتبارنامه‌های امضای اوراکل Ostium بود، منجر به تخلیه نزدیک به 18 میلیون USDC از خزانه نقدینگی پلتفرم معاملاتی در ماه ژوئیه شد، طبق گفته شرکت امنیتی Blockaid.

در ماه آوریل، Syndicate Labs فاش کرد که یک کلید ارتقاء افشا شده به یک مهاجم اجازه داده است تا پل زنجیره‌ای خود را به خطر بیندازد و توکن‌های SYND و وجوه کاربران را سرقت کند.

Railway گفت که به‌طور مستقیم از طریق ایمیل با مشتریان تماس خواهد گرفت تا زمانی که محققان تأیید کنند که کدام حساب‌ها تحت تأثیر قرار گرفته‌اند، و اطلاعات بیشتری از طریق اعلامیه امنیتی و صفحه وضعیت خود منتشر خواهد کرد.