Violação de segurança ferroviária ligada ao roubo de criptomoedas de $371.000 em 19 cadeias

A Railway divulgou uma violação de segurança que o investigador de blockchain Taylor Monahan vinculou a aproximadamente $371.000 em drenagens de criptomoedas em 19 redes compatíveis com EVM.

Resumo

• A Railway divulgou uma violação de segurança que pode ter exposto variáveis de ambiente de clientes contendo credenciais sensíveis e chaves privadas.
• O investigador de blockchain Taylor Monahan vinculou o incidente a cerca de $371.000 em roubo de criptomoedas envolvendo mais de 500 transações em pelo menos 19 redes EVM.
• Monahan identificou a primeira transação de roubo conhecida às 19:36 UTC em 21 de outubro, mais de duas horas antes de a Railway divulgar publicamente o incidente de segurança.
• A Railway suspendeu temporariamente as implantações e pediu a todos os clientes que rotacionassem suas credenciais armazenadas enquanto investiga a extensão da violação.

De acordo com a divulgação de segurança da Railway em 21 de outubro, a plataforma de implantação em nuvem detectou atividade incomum envolvendo sistemas usados para armazenar variáveis de ambiente de clientes, que podem conter informações sensíveis, como chaves de API, senhas de banco de dados e credenciais de registro privado.

Um terceiro não autorizado pode ter acessado variáveis criptografadas e obtido o conteúdo descriptografado de algumas delas, embora a empresa tenha afirmado que sua investigação ainda estava em andamento e o número de clientes afetados não havia sido estabelecido.

Violação da Railway ligada a mais de 500 transações de criptomoedas

O pesquisador de segurança em blockchain Taylor Monahan relatou em 22 de outubro que atacantes drenaram criptomoedas de chaves privadas armazenadas na Railway, com o roubo suspeito envolvendo mais de 500 transações em mais de 200 endereços distintos.

Esta linha do tempo é o sonho molhado de advogados que perseguem ambulâncias 🫠

07:24: Construções da Railway são pausadas

09:28: Railway API + CLI + Dashboard + construções são pausadas

(muitas atualizações de "ainda estamos offline" aqui)

19:36: Primeira transação de roubo de criptomoeda conhecida

21:11: Postiz é como... pic.twitter.com/7fajuLKQK2
--- Tay 💖 (@tayvano_) 22 de outubro de 2026

Seus achados colocaram as perdas estimadas em aproximadamente $371.000, com atividade abrangendo pelo menos 19 blockchains compatíveis com Ethereum Virtual Machine.

Monahan identificou o endereço do suposto atacante como 0xd9773325282874d18cb83f1fe50f14c39750b2ee e colocou a primeira transação de roubo de criptomoeda conhecida às 19:36 UTC em 21 de outubro.

De acordo com sua avaliação, as transações pareciam ter sido realizadas usando um script de varredura de carteira relativamente padrão, em vez de software desenvolvido especificamente para o incidente.

Esses scripts são projetados para transferir criptomoedas disponíveis de carteiras cujas chaves privadas foram comprometidas. As descobertas de Monahan sugerem que o atacante obteve acesso a credenciais capazes de autorizar transações dos endereços afetados.

No entanto, a Railway não confirmou de forma independente as perdas de criptomoedas relatadas ou estabeleceu como o atacante obteve as credenciais da carteira identificadas por Monahan.

O valor relatado de $371.000 permanece uma estimativa externa, e as divulgações disponíveis não estabelecem se carteiras adicionais foram comprometidas ou se as transações identificadas representam todas as perdas relacionadas.

Railway suspendeu implantações antes que o roubo de criptomoedas fosse detectado

Em uma postagem separada, Monahan questionou o momento da divulgação pública da Railway e delineou uma sequência de interrupções de serviço que começaram várias horas antes da primeira transação de roubo de criptomoeda que ela identificou.

De acordo com a linha do tempo que ela compartilhou, a Railway pausou as construções às 07:24 UTC em 21 de outubro. Às 09:28 UTC, a interrupção havia afetado sua API, interface de linha de comando, painel e serviços de implantação.

Os usuários continuaram recebendo atualizações de serviço ao longo do dia enquanto a empresa trabalhava para restaurar o acesso aos seus sistemas.

Monahan colocou o primeiro roubo de criptomoeda conhecido às 19:36 UTC, aproximadamente 12 horas após a suspensão inicial da construção.

Às 21h11 UTC, Jake Cooper, cofundador e CEO da Railway, que usa o nome Postiz no X, foi citado na linha do tempo discutindo notificações da Stripe e da Ant sobre credenciais comprometidas.

A Railway publicou sua divulgação de segurança por volta das 21h51 UTC, mais de duas horas após a primeira transação de roubo identificada por Monahan.

A linha do tempo não estabelece quando a Railway tomou conhecimento pela primeira vez do suposto roubo de criptomoedas ou se as interrupções de serviço anteriores foram causadas diretamente pelo acesso não autorizado.

Railway recomenda que clientes substituam credenciais expostas

A Railway disse que sua investigação inicial sugeriu que a violação pode ter afetado apenas um subconjunto de clientes, mas recomendou que todos os usuários da plataforma substituíssem imediatamente suas variáveis de ambiente armazenadas e credenciais associadas.

A empresa aconselhou especificamente os clientes a rotacionar chaves de API e credenciais de registro privado, enquanto verificavam os logs de serviço em busca de atividades incomuns.

A Railway acredita que o incidente pode estar conectado a uma série de ataques contra empresas de plataforma que tinham como objetivo comprometer provedores de inferência de IA.

Embora a empresa não tenha identificado os supostos atacantes ou os provedores envolvidos, disse que notificou serviços upstream para que pudessem revogar chaves potencialmente expostas como precaução.

As implantações foram temporariamente suspensas durante a investigação, impedindo os clientes de lançar novas versões de aplicativos até que o serviço de construção fosse restaurado.

Em um acompanhamento em 22 de outubro, a Railway confirmou que havia redefinido as credenciais de bucket de armazenamento e tokens do GitHub mantidos para contas e serviços de clientes.

A empresa disse que as credenciais anteriores não funcionariam mais, exigindo que os clientes afetados reimplantassem serviços usando as credenciais de armazenamento de substituição e reconectassem suas contas do GitHub.

Credenciais comprometidas causaram perdas anteriores em criptomoedas

A exposição de credenciais foi responsável por vários incidentes de segurança em criptomoedas este ano, embora os métodos usados para obter acesso tenham diferido.

Em julho, o crypto.news relatou sobre software comprometido distribuído através de um pacote de desenvolvedor Injective que continha código malicioso projetado para coletar chaves privadas e frases-semente.

A empresa de segurança Socket descobriu que o pacote afetado havia sido baixado mais de 300 vezes, com a atualização maliciosa se espalhando por 17 pacotes relacionados.

Outro incidente envolvendo as credenciais de assinatura oracle da Ostium resultou em quase 18 milhões de USDC sendo drenados do cofre de liquidez da plataforma de negociação em julho, de acordo com a empresa de segurança Blockaid.

Em abril, a Syndicate Labs divulgou que uma chave de atualização vazada permitiu que um atacante comprometesse sua ponte cross-chain e roubasse tokens SYND e fundos de usuários.

A Railway disse que entraria em contato diretamente com os clientes por e-mail assim que os investigadores confirmassem quais contas haviam sido afetadas, com mais informações a serem publicadas através de seu anúncio de segurança e página de status.