Pelanggaran keamanan kereta api terkait dengan pencurian kripto senilai $371.000 di 19 rantai

Railway telah mengungkapkan pelanggaran keamanan yang dihubungkan oleh penyelidik blockchain Taylor Monahan dengan sekitar $371.000 dalam pencurian cryptocurrency di 19 jaringan yang kompatibel dengan EVM.

Ringkasan

• Railway mengungkapkan pelanggaran keamanan yang mungkin telah mengekspos variabel lingkungan pelanggan yang berisi kredensial sensitif dan kunci pribadi.
• Penyelidik blockchain Taylor Monahan mengaitkan insiden tersebut dengan sekitar $371.000 dalam pencurian kripto yang melibatkan lebih dari 500 transaksi di setidaknya 19 jaringan EVM.
• Monahan mengidentifikasi transaksi pencurian pertama yang diketahui pada pukul 19:36 UTC pada 21 Oktober, lebih dari dua jam sebelum Railway secara publik mengungkapkan insiden keamanan tersebut.
• Railway sementara menghentikan penyebaran dan mendesak semua pelanggan untuk mengganti kredensial yang disimpan saat mereka menyelidiki sejauh mana pelanggaran tersebut.

Menurut pengungkapan keamanan Railway pada 21 Oktober, platform penyebaran cloud mendeteksi aktivitas tidak biasa yang melibatkan sistem yang digunakan untuk menyimpan variabel lingkungan pelanggan, yang mungkin berisi informasi sensitif seperti kunci API, kata sandi database, dan kredensial registri pribadi.

Pihak ketiga yang tidak berwenang mungkin telah mengakses variabel terenkripsi dan memperoleh isi yang didekripsi dari beberapa di antaranya, meskipun perusahaan mengatakan penyelidikan mereka masih berlangsung dan jumlah pelanggan yang terpengaruh belum ditentukan.

Pelanggaran Railway terkait dengan lebih dari 500 transaksi kripto

Peneliti keamanan blockchain Taylor Monahan melaporkan pada 22 Oktober bahwa para penyerang telah menguras cryptocurrency dari kunci pribadi yang disimpan di Railway, dengan pencurian yang dicurigai melibatkan lebih dari 500 transaksi di lebih dari 200 alamat yang berbeda.

Garis waktu ini adalah mimpi terbasah pengacara yang mengejar ambulans 🫠

07:24: Pembangunan Railway dihentikan

09:28: Railway API + CLI + Dashboard + pembangunan dihentikan

(banyak pembaruan "kami masih offline" di sini)

19:36: Transaksi pencurian kripto pertama yang diketahui

21:11: Postiz seperti... pic.twitter.com/7fajuLKQK2
--- Tay 💖 (@tayvano_) 22 Oktober 2026

Temuan-temuannya memperkirakan kerugian sekitar $371.000, dengan aktivitas yang mencakup setidaknya 19 blockchain yang kompatibel dengan Ethereum Virtual Machine.

Monahan mengidentifikasi alamat penyerang yang dicurigai sebagai 0xd9773325282874d18cb83f1fe50f14c39750b2ee dan menempatkan transaksi pencurian cryptocurrency pertama yang diketahui pada pukul 19:36 UTC pada 21 Oktober.

Menurut penilaiannya, transaksi tampaknya dilakukan menggunakan skrip penyapu dompet yang relatif standar, bukan perangkat lunak yang dikembangkan khusus untuk insiden tersebut.

Skrip semacam itu dirancang untuk mentransfer cryptocurrency yang tersedia dari dompet yang kunci pribadinya telah dikompromikan. Temuan Monahan menunjukkan bahwa penyerang telah memperoleh akses ke kredensial yang mampu mengotorisasi transaksi dari alamat yang terpengaruh.

Namun, Railway belum secara independen mengonfirmasi kerugian cryptocurrency yang dilaporkan atau menetapkan bagaimana penyerang memperoleh kredensial dompet yang diidentifikasi oleh Monahan.

Angka $371.000 yang dilaporkan tetap merupakan perkiraan eksternal, dan pengungkapan yang tersedia tidak menetapkan apakah dompet tambahan telah dikompromikan atau apakah transaksi yang diidentifikasi mencakup semua kerugian terkait.

Railway menghentikan penyebaran sebelum pencurian kripto terdeteksi

Dalam posting terpisah, Monahan mempertanyakan waktu pengungkapan publik Railway dan menguraikan urutan gangguan layanan yang dimulai beberapa jam sebelum transaksi pencurian cryptocurrency pertama yang dia identifikasi.

Menurut garis waktu yang dia bagikan, Railway menghentikan pembangunan pada pukul 07:24 UTC pada 21 Oktober. Pada pukul 09:28 UTC, gangguan tersebut telah mempengaruhi API, antarmuka baris perintah, dasbor, dan layanan penyebaran.

Pengguna terus menerima pembaruan layanan sepanjang hari sementara perusahaan bekerja untuk memulihkan akses ke sistemnya.

Monahan menempatkan pencurian cryptocurrency pertama yang diketahui pada pukul 19:36 UTC, sekitar 12 jam setelah penghentian pembangunan awal.

Pada pukul 21:11 UTC, salah satu pendiri dan CEO Railway, Jake Cooper, yang menggunakan nama Postiz di X, dikutip dalam timeline yang membahas pemberitahuan dari Stripe dan Ant mengenai kredensial yang terkompromi.

Railway menerbitkan pengungkapan keamanannya sekitar pukul 21:51 UTC, lebih dari dua jam setelah transaksi pencurian pertama yang diidentifikasi oleh Monahan.

Timeline tersebut tidak menetapkan kapan Railway pertama kali menyadari dugaan pencurian cryptocurrency atau apakah gangguan layanan sebelumnya disebabkan langsung oleh akses yang tidak sah.

Railway Mendorong Pelanggan untuk Mengganti Kredensial yang Terpapar

Railway mengatakan bahwa penyelidikan awalnya menunjukkan bahwa pelanggaran tersebut mungkin hanya mempengaruhi sebagian kecil pelanggan, tetapi merekomendasikan agar semua orang yang menggunakan platform segera mengganti variabel lingkungan yang disimpan dan kredensial terkait.

Perusahaan secara khusus menyarankan pelanggan untuk memutar kunci API dan kredensial registri pribadi sambil memeriksa log layanan untuk aktivitas yang tidak biasa.

Railway percaya bahwa insiden ini mungkin terkait dengan serangkaian serangan terhadap perusahaan platform yang bertujuan untuk mengkompromikan penyedia inferensi AI.

Meskipun perusahaan tidak mengidentifikasi pelaku yang diduga atau penyedia yang terlibat, mereka mengatakan telah memberi tahu layanan hulu agar mereka dapat mencabut kunci yang mungkin terpapar sebagai tindakan pencegahan.

Penerapan sementara dihentikan selama penyelidikan, mencegah pelanggan untuk meluncurkan versi aplikasi baru sampai layanan build dipulihkan.

Dalam tindak lanjut pada 22 Oktober, Railway mengonfirmasi bahwa mereka telah mereset kredensial bucket penyimpanan dan token GitHub yang dipegang untuk akun dan layanan pelanggan.

Perusahaan mengatakan kredensial sebelumnya tidak akan berfungsi lagi, mengharuskan pelanggan yang terkena dampak untuk menerapkan kembali layanan menggunakan kredensial penyimpanan pengganti dan menyambungkan kembali akun GitHub mereka.

Kredensial yang Terkompromi Telah Menyebabkan Kerugian Crypto Sebelumnya

Paparan kredensial telah bertanggung jawab atas beberapa insiden keamanan cryptocurrency tahun ini, meskipun metode yang digunakan untuk mendapatkan akses berbeda-beda.

Pada bulan Juli, crypto.news melaporkan tentang perangkat lunak yang terkompromi yang didistribusikan melalui paket pengembang Injective yang mengandung kode jahat yang dirancang untuk mengumpulkan kunci pribadi dan frasa benih.

Perusahaan keamanan Socket menemukan bahwa paket yang terpengaruh telah diunduh lebih dari 300 kali, dengan pembaruan jahat menyebar melalui 17 paket terkait.

Insiden lain yang melibatkan kredensial penandatangan oracle Ostium mengakibatkan hampir $18 juta dalam USDC yang diambil dari vault likuiditas platform perdagangan pada bulan Juli, menurut perusahaan keamanan Blockaid.

Pada bulan April, Syndicate Labs mengungkapkan bahwa kunci upgrade yang bocor telah memungkinkan seorang penyerang untuk mengkompromikan jembatan lintas rantai dan mencuri token SYND serta dana pengguna.

Railway mengatakan akan menghubungi pelanggan secara langsung melalui email setelah penyelidik mengonfirmasi akun mana yang telah terpengaruh, dengan informasi lebih lanjut akan dipublikasikan melalui pengumuman keamanan dan halaman statusnya.