Railway ha avvertito che un soggetto non autorizzato potrebbe aver avuto accesso ai sistemi che conservano le variabili d'ambiente dei clienti, con il rischio di esporre chiavi API, credenziali di database e altri segreti usati dalle applicazioni ospitate sul provider Platform-as-a-Service.
Secondo un articolo che riporta la comunicazione di Railway, l'azienda ha rilevato «attività anomale» nei sistemi che memorizzano quelle variabili. Railway ha dichiarato che i dati coinvolti erano cifrati, ma ha riconosciuto che l'intruso potrebbe, in alcuni casi, essere riuscito a ottenerne il contenuto decifrato.
Railway ha descritto la portata dell'incidente come limitata a un «sottoinsieme di utenti», senza fornire il numero di clienti, workspace o account coinvolti.
Perché l'accesso alle variabili d'ambiente crea rischi a valle
Le variabili d'ambiente sono coppie chiave-valore configurate a livello di sistema operativo o di container, che permettono alle applicazioni di usare valori sensibili senza incorporarli direttamente nel codice sorgente. Di solito contengono chiavi API, password di database, credenziali per registry privati e flag di configurazione.
Se una credenziale valida fosse stata recuperata in forma decifrata, potrebbe essere usata contro il servizio esterno corrispondente anche dopo che i sistemi di Railway sono stati messi in sicurezza. Per questo Railway consiglia ai clienti di:
- Ruotare tutte le variabili d'ambiente memorizzate su Railway, incluse le chiavi API.
- Ruotare le credenziali dei registry privati.
- Esaminare i log dei servizi interessati alla ricerca di attività insolite.
I clienti dovrebbero intendere la rotazione come sostituzione e non come semplice reinserimento degli stessi valori. L'analisi dei log dei servizi dovrebbe coprire tutti i sistemi raggiunti da quelle credenziali, non solo i deployment su Railway.
Railway invalida i token e ripristina la capacità di build
Railway afferma di aver avvisato i fornitori a monte, così da poter revocare preventivamente le chiavi e prevenire abusi. L'azienda ha inoltre ruotato tutte le credenziali dei bucket Railway e invalidato i token API di Railway.
Al momento della dichiarazione, le build erano state ripristinate per i workspace Pro ed Enterprise, consentendo a quei clienti di distribuire le credenziali appena emesse. Il ripristino era ancora in corso per i workspace Hobby, seguiti dagli account Free e Trial.
L'incidente stava inoltre interferendo con le normali operazioni. Railway ha segnalato un tasso di errori di build superiore al solito, mentre molti deployment restavano in coda più a lungo del normale.
Un ricercatore collega l'incidente al furto di criptovalute
Il ricercatore di sicurezza Taylor Monahan, noto come @tayvano_, ha attribuito i furti di portafogli di criptovalute all'indirizzo:
0xd9773325282874d18cb83f1fe50f14c39750b2ee
Monahan sostiene che l'aggressore abbia svuotato portafogli le cui chiavi private erano state memorizzate su Railway. Secondo quanto riferito, la prima transazione di furto nota sarebbe avvenuta alle 19:36, almeno due ore prima della comunicazione di Railway. Nessuna data o fuso orario accompagna quell'orario, e il materiale riportato non stabilisce che Railway abbia confermato l'attribuzione.
Railway ha inoltre valutato che l'intrusione facesse probabilmente parte di una serie più ampia di attacchi contro aziende di piattaforme, con i fornitori di inferenza AI come bersagli finali. Resta un'attribuzione dell'azienda, non un legame dimostrato con una campagna specifica.
Per i clienti, la priorità immediata è sostituire ogni segreto conservato su Railway, distribuire i nuovi valori non appena le build dei workspace saranno disponibili e verificare i servizi associati a quelle credenziali per individuare usi non autorizzati.
