Railway ha advertido de que una parte no autorizada podría haber accedido a sistemas que almacenan variables de entorno de clientes, lo que podría exponer claves de API, credenciales de bases de datos y otros secretos usados por las aplicaciones alojadas en este proveedor de plataforma como servicio (PaaS).
Según un informe que recoge la comunicación de Railway, la empresa detectó «actividad anómala» en los sistemas que guardan esas variables. Railway afirmó que los datos afectados estaban cifrados, pero reconoció que el intruso podría, en algunos casos, haber obtenido su contenido descifrado.
Railway describió el alcance como limitado a un «subconjunto de usuarios», sin proporcionar un recuento de clientes, espacios de trabajo o cuentas.
Por qué el acceso a las variables de entorno genera riesgos posteriores
Las variables de entorno son pares clave-valor que se configuran a nivel de sistema operativo o de contenedor, y permiten que las aplicaciones usen valores sensibles sin incluirlos directamente en el código fuente. Suelen contener claves de API, contraseñas de bases de datos, credenciales de registros privados y marcas de configuración.
Si se recuperó una credencial válida en forma descifrada, podría utilizarse contra el servicio externo correspondiente incluso después de que los sistemas de Railway se hayan asegurado. Por ese motivo, Railway aconseja a los clientes que:
- Roten todas las variables de entorno almacenadas en Railway, incluidas las claves de API.
- Roten las credenciales de los registros privados.
- Revisen los registros de los servicios afectados y busquen actividad inusual.
Los clientes deben entender la rotación como una sustitución, y no como volver a introducir los mismos valores. Cualquier revisión de los registros de servicio debe abarcar los sistemas a los que se haya accedido con esas credenciales, no solo los despliegues de Railway.
Railway invalida tokens y restablece la capacidad de compilación
Railway indicó que notificó a los proveedores de nivel superior para que pudieran revocar proactivamente las claves y evitar un uso indebido. La empresa también rotó todas las credenciales de los buckets de Railway e invalidó los tokens de API de Railway.
En el momento de la declaración, las builds se habían restablecido para los espacios de trabajo Pro y Enterprise, lo que permitía a esos clientes desplegar las credenciales recién emitidas. La restauración seguía en curso para los espacios de trabajo Hobby, seguidos de las cuentas Free y Trial.
El incidente también afectaba al funcionamiento normal. Railway informó de una tasa de fallos de build superior a la habitual, mientras que muchos despliegues permanecían en cola durante más tiempo del normal.
Un investigador vincula el incidente con robos de criptomonedas
El investigador de seguridad Taylor Monahan, conocido como @tayvano_, atribuyó robos de carteras de criptomonedas a la dirección:
0xd9773325282874d18cb83f1fe50f14c39750b2ee
Monahan afirmó que el atacante vació carteras cuyas claves privadas se habían almacenado en Railway. La primera transacción de robo conocida habría ocurrido supuestamente a las 19:36, al menos dos horas antes de la comunicación de Railway. La hora no iba acompañada de fecha ni de zona horaria, y el material publicado no establece que Railway haya confirmado esta atribución.
Por otra parte, Railway evaluó que la intrusión probablemente formaba parte de una serie más amplia de ataques contra empresas de plataformas, cuyos objetivos finales serían los proveedores de inferencia de IA. Esa es la atribución de la empresa, no una vinculación demostrada con una campaña concreta.
Para los clientes, la prioridad inmediata es sustituir todos los secretos almacenados en Railway, desplegar los nuevos valores cuando las builds estén disponibles en sus espacios de trabajo e inspeccionar los servicios asociados a esas credenciales por si hay un uso no autorizado.
