Violazione della sicurezza ferroviaria collegata a un furto di criptovalute di 371.000 dollari su 19 catene

La Railway ha rivelato una violazione della sicurezza che l'investigatore blockchain Taylor Monahan ha collegato a circa 371.000 dollari in drenaggi di criptovalute su 19 reti compatibili con EVM.

Riepilogo

• La Railway ha rivelato una violazione della sicurezza che potrebbe aver esposto variabili ambientali dei clienti contenenti credenziali sensibili e chiavi private.
• L'investigatore blockchain Taylor Monahan ha collegato l'incidente a circa 371.000 dollari di furto di criptovalute coinvolgendo più di 500 transazioni su almeno 19 reti EVM.
• Monahan ha identificato la prima transazione di furto nota alle 19:36 UTC del 21 ottobre, più di due ore prima che la Railway rivelasse pubblicamente l'incidente di sicurezza.
• La Railway ha temporaneamente sospeso i deployment e ha esortato tutti i clienti a ruotare le proprie credenziali memorizzate mentre indaga sull'estensione della violazione.

Secondo la divulgazione sulla sicurezza della Railway del 21 ottobre, la piattaforma di deployment cloud ha rilevato attività insolite riguardanti i sistemi utilizzati per memorizzare le variabili ambientali dei clienti, che potrebbero contenere informazioni sensibili come chiavi API, password di database e credenziali di registri privati.

Una terza parte non autorizzata potrebbe aver avuto accesso a variabili crittografate e ottenuto i contenuti decrittografati di alcune di esse, sebbene l'azienda abbia dichiarato che la sua indagine fosse ancora in corso e il numero di clienti coinvolti non fosse stato stabilito.

Violazione della Railway collegata a oltre 500 transazioni di criptovalute

Il ricercatore di sicurezza blockchain Taylor Monahan ha riportato il 22 ottobre che gli aggressori avevano drenato criptovalute da chiavi private memorizzate nella Railway, con il furto sospettato che coinvolgeva più di 500 transazioni su oltre 200 indirizzi distinti.

Questa cronologia è il sogno bagnato degli avvocati in cerca di risarcimenti 🫠

07:24: Le build della Railway sono sospese

09:28: Railway API + CLI + Dashboard + build sono sospesi

(molti aggiornamenti "siamo ancora offline" qui)

19:36: Prima transazione di furto di criptovalute nota

21:11: Postiz è come... pic.twitter.com/7fajuLKQK2
--- Tay 💖 (@tayvano_) 22 ottobre 2026

Le sue scoperte hanno collocato le perdite stimate a circa 371.000 dollari, con attività che si estendevano su almeno 19 blockchain compatibili con Ethereum Virtual Machine.

Monahan ha identificato l'indirizzo dell'attaccante sospettato come 0xd9773325282874d18cb83f1fe50f14c39750b2ee e ha collocato la prima transazione di furto di criptovalute nota alle 19:36 UTC del 21 ottobre.

Secondo la sua valutazione, le transazioni sembravano essere state eseguite utilizzando uno script di wallet sweeper relativamente standard, piuttosto che software sviluppato specificamente per l'incidente.

Tali script sono progettati per trasferire criptovalute disponibili da wallet le cui chiavi private sono state compromesse. Le scoperte di Monahan suggeriscono che l'attaccante avesse ottenuto accesso a credenziali in grado di autorizzare transazioni dagli indirizzi coinvolti.

Tuttavia, la Railway non ha confermato in modo indipendente le perdite di criptovalute riportate né ha stabilito come l'attaccante abbia ottenuto le credenziali del wallet identificate da Monahan.

La cifra riportata di 371.000 dollari rimane una stima esterna e le divulgazioni disponibili non stabiliscono se ulteriori wallet siano stati compromessi o se le transazioni identificate rappresentino tutte le perdite correlate.

Railway ha sospeso i deployment prima che fosse rilevato il furto di criptovalute

In un post separato, Monahan ha messo in discussione il tempismo della divulgazione pubblica della Railway e ha delineato una sequenza di interruzioni del servizio che sono iniziate diverse ore prima della prima transazione di furto di criptovalute che ha identificato.

Secondo la cronologia che ha condiviso, la Railway ha sospeso le build alle 07:24 UTC del 21 ottobre. Entro le 09:28 UTC, l'interruzione aveva colpito la sua API, interfaccia a riga di comando, dashboard e servizi di deployment.

Gli utenti hanno continuato a ricevere aggiornamenti sul servizio durante il giorno mentre l'azienda lavorava per ripristinare l'accesso ai propri sistemi.

Monahan ha collocato il primo furto di criptovalute noto alle 19:36 UTC, circa 12 ore dopo la sospensione iniziale delle build.

Alle 21:11 UTC, Jake Cooper, cofondatore e CEO di Railway, che utilizza il nome Postiz su X, è stato citato nella cronologia discutendo delle notifiche da Stripe e Ant riguardo a credenziali compromesse.

Railway ha pubblicato la sua comunicazione di sicurezza circa alle 21:51 UTC, più di due ore dopo la prima transazione di furto identificata da Monahan.

La cronologia non stabilisce quando Railway sia diventata consapevole del sospetto furto di criptovalute o se le precedenti interruzioni del servizio siano state direttamente causate dall'accesso non autorizzato.

Railway invita i clienti a sostituire le credenziali esposte

Railway ha dichiarato che la sua indagine iniziale suggeriva che la violazione potesse aver colpito solo un sottoinsieme di clienti, ma ha raccomandato a tutti gli utenti della piattaforma di sostituire immediatamente le variabili ambientali memorizzate e le credenziali associate.

L'azienda ha specificamente consigliato ai clienti di ruotare le chiavi API e le credenziali del registro privato, controllando i log di servizio per attività insolite.

Railway ritiene che l'incidente possa essere collegato a una serie di attacchi contro le aziende della piattaforma volti a compromettere i fornitori di inferenza AI.

Sebbene l'azienda non abbia identificato gli attaccanti sospetti o i fornitori coinvolti, ha dichiarato di aver notificato i servizi upstream affinché potessero revocare le chiavi potenzialmente esposte come precauzione.

Le distribuzioni sono state temporaneamente sospese durante l'indagine, impedendo ai clienti di implementare nuove versioni dell'applicazione fino al ripristino del servizio di build.

In un aggiornamento del 22 ottobre, Railway ha confermato di aver reimpostato le credenziali del bucket di archiviazione e i token di GitHub detenuti per gli account e i servizi dei clienti.

L'azienda ha dichiarato che le credenziali precedenti non funzioneranno più, richiedendo ai clienti interessati di ridistribuire i servizi utilizzando le nuove credenziali di archiviazione e riconnettere i loro account GitHub.

Le credenziali compromesse hanno causato precedenti perdite di criptovalute

L'esposizione delle credenziali è stata responsabile di diversi incidenti di sicurezza delle criptovalute quest'anno, sebbene i metodi utilizzati per ottenere l'accesso siano stati diversi.

A luglio, crypto.news ha riportato di un software compromesso distribuito attraverso un pacchetto per sviluppatori di Injective che conteneva codice malevolo progettato per raccogliere chiavi private e frasi seed.

La società di sicurezza Socket ha scoperto che il pacchetto interessato era stato scaricato più di 300 volte, con l'aggiornamento malevolo che si diffondeva attraverso 17 pacchetti correlati.

Un altro incidente che ha coinvolto le credenziali di firma dell'oracolo di Ostium ha portato a quasi 18 milioni di USDC drenati dal vault di liquidità della piattaforma di trading a luglio, secondo la società di sicurezza Blockaid.

Ad aprile, Syndicate Labs ha rivelato che una chiave di aggiornamento trapelata aveva consentito a un attaccante di compromettere il suo ponte cross-chain e rubare token SYND e fondi degli utenti.

Railway ha dichiarato che contatterà direttamente i clienti via email una volta che gli investigatori confermeranno quali account sono stati colpiti, con ulteriori informazioni che saranno pubblicate attraverso il suo annuncio di sicurezza e la pagina di stato.