Pengungkapan Pelanggaran Keamanan oleh Railway
Railway baru-baru ini mengungkapkan adanya pelanggaran keamanan yang dihubungkan oleh penyelidik blockchain, Taylor Monahan, dengan pencurian cryptocurrency senilai sekitar $371,000 di 19 jaringan yang kompatibel dengan Ethereum Virtual Machine (EVM). Dalam pengumuman keamanan yang dirilis pada 21 Oktober, Railway menyatakan bahwa platform penyebaran cloud mereka mendeteksi aktivitas mencurigakan yang melibatkan sistem penyimpanan variabel lingkungan pelanggan, yang mungkin berisi informasi sensitif seperti kunci API, kata sandi database, dan kredensial registri pribadi.
Detail Pencurian Cryptocurrency
Pihak ketiga yang tidak berwenang mungkin telah mengakses variabel terenkripsi dan memperoleh isi yang terdekripsi dari beberapa di antaranya. Meskipun perusahaan menyatakan bahwa penyelidikan mereka masih berlangsung, jumlah pelanggan yang terpengaruh belum dapat ditentukan.
Taylor Monahan melaporkan pada 22 Oktober bahwa para penyerang telah menguras cryptocurrency dari kunci pribadi yang disimpan di Railway, dengan pencurian yang dicurigai melibatkan lebih dari 500 transaksi di lebih dari 200 alamat yang berbeda. Temuannya memperkirakan kerugian sekitar $371,000, dengan aktivitas yang mencakup setidaknya 19 blockchain yang kompatibel dengan EVM. Monahan mengidentifikasi alamat penyerang yang dicurigai sebagai 0xd9773325282874d18cb83f1fe50f14c39750b2ee dan mencatat bahwa transaksi pencurian cryptocurrency yang pertama terjadi pada pukul 19:36 UTC pada 21 Oktober.
Metode Penyerangan
Menurut penilaiannya, transaksi tampaknya dilakukan menggunakan skrip pembersih dompet yang relatif standar, bukan perangkat lunak yang dikembangkan khusus untuk insiden tersebut. Skrip semacam itu dirancang untuk mentransfer cryptocurrency yang tersedia dari dompet yang kunci pribadinya telah dikompromikan. Temuan Monahan menunjukkan bahwa penyerang telah memperoleh akses ke kredensial yang mampu mengotorisasi transaksi dari alamat yang terpengaruh. Namun, Railway belum secara independen mengonfirmasi kerugian cryptocurrency yang dilaporkan atau menjelaskan bagaimana penyerang memperoleh kredensial dompet yang diidentifikasi oleh Monahan.
Waktu Pengungkapan dan Gangguan Layanan
Angka $371,000 yang dilaporkan tetap merupakan perkiraan eksternal, dan pengungkapan yang tersedia tidak menetapkan apakah dompet tambahan telah dikompromikan atau apakah transaksi yang diidentifikasi mencakup semua kerugian terkait. Dalam sebuah pos terpisah, Monahan mempertanyakan waktu pengungkapan publik Railway dan menguraikan urutan gangguan layanan yang dimulai beberapa jam sebelum transaksi pencurian cryptocurrency pertama yang dia identifikasi.
Menurut garis waktu yang dia bagikan, Railway menghentikan pembangunan pada pukul 07:24 UTC pada 21 Oktober. Pada pukul 09:28 UTC, gangguan tersebut telah mempengaruhi API, antarmuka baris perintah, dasbor, dan layanan penyebaran. Pengguna terus menerima pembaruan layanan sepanjang hari sementara perusahaan bekerja untuk memulihkan akses ke sistemnya.
Monahan menempatkan pencurian cryptocurrency yang diketahui pertama pada pukul 19:36 UTC, sekitar 12 jam setelah penangguhan pembangunan awal. Pada pukul 21:11 UTC, salah satu pendiri dan CEO Railway, Jake Cooper, yang menggunakan nama Postiz di X, dikutip dalam garis waktu yang membahas pemberitahuan dari Stripe dan Ant mengenai kredensial yang dikompromikan. Railway menerbitkan pengungkapan keamanannya pada sekitar pukul 21:51 UTC, lebih dari dua jam setelah transaksi pencurian pertama yang diidentifikasi oleh Monahan.
Rekomendasi untuk Pengguna
Garis waktu tersebut tidak menetapkan kapan Railway pertama kali menyadari pencurian cryptocurrency yang dicurigai atau apakah gangguan layanan sebelumnya disebabkan langsung oleh akses yang tidak sah. Railway menyatakan bahwa penyelidikan awal menunjukkan bahwa pelanggaran tersebut mungkin hanya mempengaruhi sebagian pelanggan, tetapi merekomendasikan agar semua pengguna platform segera mengganti variabel lingkungan yang disimpan dan kredensial terkait.
Perusahaan secara khusus menyarankan pelanggan untuk memutar kunci API dan kredensial registri pribadi sambil memeriksa log layanan untuk aktivitas yang tidak biasa.
Hubungan dengan Serangan Lain
Railway percaya insiden tersebut mungkin terkait dengan serangkaian serangan terhadap perusahaan platform yang dimaksudkan untuk mengkompromikan penyedia inferensi AI. Meskipun perusahaan tidak mengidentifikasi penyerang yang dicurigai atau penyedia yang terlibat, mereka mengatakan telah memberi tahu layanan hulu agar mereka dapat mencabut kunci yang mungkin terpapar sebagai tindakan pencegahan. Penyebaran sementara dihentikan selama penyelidikan, mencegah pelanggan meluncurkan versi aplikasi baru hingga layanan pembangunan dipulihkan.
Tindak Lanjut dan Tindakan Keamanan
Dalam tindak lanjut pada 22 Oktober, Railway mengonfirmasi bahwa mereka telah mengatur ulang kredensial bucket penyimpanan dan token GitHub yang dipegang untuk akun dan layanan pelanggan. Perusahaan menyatakan bahwa kredensial sebelumnya tidak akan berfungsi lagi, yang mengharuskan pelanggan yang terpengaruh untuk menyebarkan kembali layanan menggunakan kredensial penyimpanan pengganti dan menyambungkan kembali akun GitHub mereka.
Paparan kredensial telah bertanggung jawab atas beberapa insiden keamanan cryptocurrency tahun ini, meskipun metode yang digunakan untuk mendapatkan akses telah berbeda. Pada bulan Juli, crypto.news melaporkan tentang perangkat lunak yang dikompromikan yang didistribusikan melalui paket pengembang Injective yang mengandung kode jahat yang dirancang untuk mengumpulkan kunci pribadi dan frasa benih. Perusahaan keamanan Socket menemukan bahwa paket yang terpengaruh telah diunduh lebih dari 300 kali, dengan pembaruan jahat menyebar melalui 17 paket terkait.
Insiden lain yang melibatkan kredensial penandatangan oracle Ostium mengakibatkan hampir $18 juta dalam USDC yang dikuras dari brankas likuiditas platform perdagangan pada bulan Juli, menurut perusahaan keamanan Blockaid. Pada bulan April, Syndicate Labs mengungkapkan bahwa kunci peningkatan yang bocor telah memungkinkan seorang penyerang untuk mengkompromikan jembatan lintas rantai dan mencuri token SYND serta dana pengguna.
Railway menyatakan bahwa mereka akan menghubungi pelanggan secara langsung melalui email setelah penyelidik mengonfirmasi akun mana yang terpengaruh, dengan informasi lebih lanjut akan diterbitkan melalui pengumuman keamanan dan halaman statusnya.
